Slides bij webinar ism Connect op 22/02/2020

1. Cybersecurity: een praktische introductie
VLAIO WEBINAR

2. Peter Geelen
• 20+ jaar ervaring in beveiliging
• Enterprise Security & IAM
• Cybersecurity
• Data Protection & Privacy
• Incident management, Disaster Recovery
• Trainer, coach, auditor
• Geaccrediteerd auditor ISO27001/9001
• Certified DPO & Fellow In Privacy
• ISO27001 Master
• Sr. Lead Cybersecurity Manager
• Lead Incident Manager & Disaster Recovery
Uw sprekerhttp://cybr.it/peter
Peter@cyberminute.com
www.cyberminute.com

3. 2020: jaar van spear-phishing
- gerichte poging om gevoelige informatie te stelen zoals accountgegevens of
financiële informatie
- wordt bereikt door het verkrijgen van persoonlijke gegevens van het
slachtoffer
- aanvallers vermommen zich dan als een betrouwbare entiteit
- meestal via e-mail of andere online berichten
- meer en meer worden ook nieuwe technieken gebruikt
Dit is de meest succesvolle vorm van het stelen van vertrouwelijke informatie,
goed voor > 90% van de aanvallen.
Spear-phishing - een reëel gevaar

4. Spear-phishing - 2020

5. Phishing
Phishing mail wordt beter met de dag...
• Meestal van een gekend persoon
• (bijna) normale inhoud
• Meestal dringende of belangrijke boodschap

6. Phishing
Phishing heeft industriële properties aangenomen.
• Steeds minder fouten of zelfs geen taalfouten
• Bevat jouw data / herkenbare gegevens
• URL/links lijken normaal … op het eerste zicht

7. Phishing - Sociale media
Maar ook op andere kanalen is het opletten geblazen!

8. Phishing - De gevolgen
En dus… nemen de gevolgen ook 'industriële' proporties aan

9. Phishing - KMO?
En KMO's blijven heus niet gespaard…
• 94% van de Belgische markt is KMO
• "Te klein om gehackt te worden" ??
• Wat als...??

10. En u?
Wat als…
het morgen jouw beurt is?

11. Waartegen beschermen?
Waar zou je ‘s nachts van wakker liggen?
• Reputatie schade?
• Omzet verlies?
• Verlies klanten?
• Boetes? Gerechtskosten?
• Reparatiekosten?
• Overlevingskansen v/h bedrijf bij een cyber attack?
Welke systemen gebruik je voor de herstelling?
Deze zijn ook doewit, dus als eerste beschermen.
(vaak blijken backups niet getest, ook besmet of beschadigd te zijn...)
Waar lig je wakker van?

12. Hoe aanpakken?
Cybersecurity Pareto regel - 20/80
• Basis beveiliging met maximale impact
• Simpele oplossing tegenwoordig mogelijk op
bijna alle platformen
• Beveiliging is niet enkel techniek
• Grootste impact via mensen en processen!
Besef goed: IEDEREEN zit mee in de boot.
En als we niet allemaal meegroeien,
tegen de stroming…

13. Gezond verstand
Je moet GEEN specialist zijn
om goede beveiliging
op te zetten.
Het begint met
jouw gezond verstand.

14. Eerst documentatie
Ken uw systemen - Documenteer en deel
• Voorbereiding cyber security start bij een grondige kennis
van de interne processen en data flows
• Kern taak weggelegd voor interne audit
• Ken de zwakke punten van (al) uw systemen en processen
• Maak een inventaris en hou inventaris up to date
Deze kennis is DE basis voor de meer technische discussies
met de IT diensten en leveranciers

15. Hoeveelheid data
Accountants, Freelancers & vrije beroepen
• Krijgen heel vaak te maken met een grote collectie van
apps en platformen, CRM systemen en data analytics
• Meer en meer cloud platformen
• Groeiende hoeveelheid data
• Groeiende verspreiding van data
• Meer vraag naar delen van data

16. Sta eens stil en denk na
Sta er eens (vaker) bij stil…
• Hoe ga je zelf om met deze data?
• Hoe gaan je leveranciers of verwerkers om met je data?
• Hoe gaan je klanten om met je data?
• Is de opslag van data wel beveilgd?
• Transport van data … beveiligd?
• Veilig gebruik van data?
• Wat als … er iemand meekijkt of meeluistert ("assume
breach")

17. Paniek!
Plan voor paniek
Bijgewerkte contact lijst
• Interne medewerkers en management
• Leveranciers
• Nooddiensten
• Telecom & cloud providers
• CERT
• FCCU
• (Crisis)communicatie bureau
• …
Heb je een incident management plan … op papier?
Business continuity (hoe doorwerken!!)
Disaster recovery (de zaak terug op orde krijgen, als het fout loopt)

18. Paniek!
Plan voor paniek
Wat als…
• Stroom uitvalt
• Internet uitvalt
• Telefonie uitvalt
• Geen enkele computer nog werkt?

19. Opleiding & awareness
Leid uw werknemers regelmatig op
• Verhoog de waakzaamheid
• Herken abnormale/verdachte situaties
• Vertrouw je buikgevoel
• Opleiding = verhogen kennis
• Communicatie = boodschap overbrengen
• Awareness/Bewustzijn = gedrag wijzigen

20. Gedrag & oefening
Leid uw werknemers regelmatig op
• Kweek een veiligheidscultuur
• Bouw vertrouwen
• Moedig melding van incidenten aan
• Spreek collega's aan op risico's
• Bewustmaken/bewust zijn is een continue taak
Al een cyber-brandoefening gedaan dit jaar?
Gebruik "spier-geheugen":
iets dat in je vingers zit, dat doe je automatisch.

21. PPP
Beveiliging = 3P's (P-P-P)
Goede beveiliging werkt enkel door goede afstemming van
• Personen EN
• Processen EN
• Producten
Versterkt door
• Kennisdeling
• Continue verbetering

22. Risico beheer
Waar starten?
Basis Risicobeheer, zorgt voor balans tussen
• Kosten Bedreigingen
• Nodige Budget
• Vereiste Beveiliging en tegenmaatregelen
Beveiliging start bij het management
• Sponsoring (niet alleen €€€€)
• Motivatie
• Verantwoordelijkheid en aansprakelijkheid (ref. wet)

23. Regel 1
De beste en eenvoudigste regel:
Regelmatig bijwerken (updaten)
• Meeste aanvallen misbruiken gekende veiligheidsgaten
• Risico van 'verkeerde' patch << risico op hack
• Hou alle system up to date met de laatste
veiligheidspatches
• Blijf niet achter, gebruik recente versies van software en
systemen

24. Gelaagde beveiliging
De basis regel van beveiliging:
Gelaagde beveiliging - op alle fronten (1)
• Internet
• Perimeter (1e beveiliging)
• Publieke systemen en data
• Interne systemen en data
• Medewerkers (intern & extern)
• Noodsystemen

25. Gelaagde beveiliging
De basis regel van beveiliging:
Gelaagde beveiliging - op alle fronten (2)
• Internet Firewall
• Firewall tussen interne en publieke systemen
• Host-based Firewall op ALLE systemen
• Anti-virus
• Antimalware
• Anti-tracking (cookies, ad-blockers)

26. Gelaagde beveiliging
De basis regel van beveiliging:
Gelaagde beveiliging - in alle diensten (3)
• Cybersecurity = TEAMWORK
• Management
• Accounting
• Business
• IT

27. Leveranciers
Vraag naar de veiligheid van uw leveranciers
• Je blijft aansprakelijk
• Behoud controle
• Neem veiligheid op in contracten
• Gebruik Service level agreements met boeteclausule
Wees kritisch, blijf kritisch (en volg regelmatig op)
• Veiligheid van software
• Hoe gaan leveranciers om met UW security?
• Hoe gaan leveranciers om met UW DATA?

28. Je staat NIET allleen!
Communiceer
• Je bent echt niet de enige.
• Blijf niet zitten met vragen
• Blijf niet zitten met problemen
• Je krijgt maar hulp als je het vraagt!
Zet je over de schaamte, het wordt anders NOG erger.

29. Vraag raad
Vraag raad
Contacteer een professional in
• Crisis communicatie
• Cybersecurity
• Gegevensbescherming
• Fraudebestrijding
• Legale ondersteuning
• …
Laat eens naar uw omgeving kijken door een externe expert
Overleg met sector collega's

30. Herevalueer
Herevalueer regelmatig uw weerbaarheid
• Laat eens van buiten af naar je bedrijf kijken
• Neem systemen met internet toegang onder de loep
• Laat externe scans van uw websites uitvoeren
• Haal minstens jaarlijks een specialist in huis

31. Leveranciers
5 eenvoudige vragen naar de veiligheid van
uw leveranciers
1. Hoe gaan leveranciers om met JOUW security?
2. Hoe gaan leveranciers om met JOUW DATA?
3. Welke cyberbeveiliging past jouw leverancier toe op
zichzelf?
4. Wat is het noodplan van jouw leverancier?
5. Welke certificaties heeft jouw leverancier?

32. Quick tips
Quick tips tegen phishing
• Beweeg je muis over de afzender of URL zonder klikken
• Klik niet op URLs, type ze manueel over
• Open URLs op je smart phone (sandboxing)
• Test korte URLs (zoek op "short URL tester"), vb:
• CheckshortURL.com
• Getlinkinfo.com
• Expandurl.net
• … nog veel andere…

33. Toolbox
Mini Toolbox

34. Mini Toolbox
SafeonWeb - burgers informeren en adviseren over cybersecurity:
https://www.safeonweb.be/nl
CyberSecurity referentiegids - ondernemingen informeren en adviseren over cybersecurity:
https://cyberguide.ccb.belgium.be/nl
Verdachte mail of een verdacht bericht
Verdacht@safeonweb.be
Compromised accounts checken?
https://Cybr.it/userhacked
Toolbox

35. Mini Toolbox
No-more-ransom.org
https://www.nomoreransom.org/nl/prevention-advice.html
CERT.be richtlijnen
https://cert.be/nl/richtlijnen
Toolbox

36. Mini Toolbox
Gratis Password managers
LastPass, Keypass, …
Gratis Antimalware tools
Malwarebytes, CCleaner, … en nog vele andere
Gratis (en ready-to-use) IT risk management
www.monarc.lu
Start in minder dan 60' met IT risk management!
Toolbox

37. Mini Toolbox
We hebbben al deze handige
tips (en nog meer) verzameld
op
www.cybervoorKMO.be
Toolbox

38. Aangifte doen
Aangifte : lokale politie
https://www.belgium.be/nl/justitie/veiligheid/criminaliteit/computercriminaliteit
No-more-ransom.org (> Politie)
https://www.nomoreransom.org/declarations/aangifte-doen-van-ransomware.htm
Cert.be
https://cert.be/nl/een-incident-melden
Aangifte

39. CHAPTER TITLE
Bedrijven zullen niet beoordeeld worden omdat
ze gehackt zijn,
maar wel hoe VOORBEREID ze waren
en hoe de inbreuk OPGELOST werd
en hoe het bedrijf erover heeft
GECOMMUNICEERD…

40. Cybersecurity: een praktische introductie
VLAIO WEBINAR