De jaarlijkse ISO 27001-risicobeoordeling: kies je de vulnerability-scan, de pentest of de CyberCheck?
Een vulnerability-scan (kwetsbaarheidstest):
Een vulnerability-scan werkt met geautomatiseerde tools die systemen, servers en applicaties aftasten op bekende kwetsbaarheden. Denk hierbij aan verouderde software, ontbrekende updates of onveilige configuraties. De scan vergelijkt de gevonden situatie met databases van bekende zwakheden en levert een overzicht van potentiële issues op. Een vulnerability-scan is snel en relatief goedkoop en kan daardoor met regelmaat worden herhaald. Een keerzijde is dat de scan niet test of een kwetsbaarheid ook echt te misbruiken is, wat regelmatig leidt tot 'false positives': meldingen die er ernstiger uitzien dan ze in de praktijk zijn.
De pentest:
Bij een penetratietest voert een ethisch hacker een echte cyberaanval van buitenaf uit. Het doel is vaststellen óf en hoe een kwaadwillende crimineel via internet toegang kan krijgen tot jouw systemen, data of netwerk. Een pentester probeert gevonden kwetsbaarheden ook daadwerkelijk te misbruiken (exploiteren), zodat duidelijk wordt welke zwakke plekken in de praktijk een reëel risico vormen en welke vooral theoretisch zijn. De meeste bedrijven laten jaarlijks of na een grote wijziging in de IT-omgeving een pentest uitvoeren. De pentest is uitgebreider en ook duurder dan een vulnerability-scan.
Wat een vulnerability-scan en pentest helaas niet meten
Zowel een vulnerability-scan als een pentest zijn primair gericht op de technische beveiliging van een bedrijf: ze testen beide kwetsbaarheden in software, netwerken en systemen. Dat is waardevolle informatie, maar het geeft niet het hele plaatje. ISO 27001 vraagt om een risicobeoordeling van de informatiebeveiliging in de volle breedte, niet alleen om een technische toets. De norm schrijft geen specifieke methode voor: ze vraagt een risico-gebaseerde aanpak, waarbij een vulnerability-scan of pentest hooguit een bewijsstuk is dat de technische weerbaarheid van kritieke systemen is getoetst. Nogmaals, beide methodes zeggen dus vooral iets over technische risico’s.
Een risicobeoordeling die alleen naar de techniek kijkt geeft geen volledig inzicht. Immers, het mist per definitie de menselijke en organisatorische kant van risico’s. Zo wordt er niet getoetst of medewerkers op phishingmails klikken, of ze sterke wachtwoorden gebruiken en of ze wel of niet incidenten melden. En vragen als: welke bedrijfsprocessen zijn kritiek, van welke leveranciers ben je afhankelijk en wat gebeurt er als een systeem uitvalt?, worden niet gesteld. In de praktijk zijn juist de mens en het proces vaak de zwakste schakel, een puur technische test als de vulnerability-scan en pentest laten dit risico volledig onbelicht!
De CyberCheck van Securide: drie perspectieven in plaats van één
De CyberCheck geeft een veel breder beeld: het onderzoekt cyberweerbaarheid en beoordeelt risico’s op een drietal aspecten: techniek, mensen en processen.
1) Techniek:
In de CyberCheck wordt er m.b.t. technische beveiliging gekeken naar vijf invalshoeken; dit gaat verder dan alleen het externe aanvalsoppervlak:
- het externe aanvalsoppervlak zelf,
- identity & access management (o.a. meerfactorauthenticatie,beheerdersaccounts, off-boarding),
- patch- en configuratiehygiëne,
- logging & detectie (is een aanval überhaupt te zien) en
- back-up & herstelvermogen (herstellen na een ransomware-aanval).
2) Mensen:
De CyberCheck meet daarnaast hoe medewerkers zich écht gedragen rond wachtwoorden, phishing, thuiswerken en het melden van incidenten. Dit wordt getoetst d.m.v. een wetenschappelijk onderbouwde enquête van 45 vragen, gebaseerd op erkende gedragsmodellen. Ingebouwde controlevragen herkennen sociaal wenselijke antwoorden en de in de verslaglegging wordt hiermee rekening gehouden.
3) Processen:
Onderdeel van de CyberCheck is ook een gesprek met het management of IT-eindverantwoordelijke: zo worden kritieke bedrijfsprocessen, hun onderlinge afhankelijkheden en single points of failure in kaart gebracht. In dit onderdeel komt bijvoorbeeld ook aan bod of er wel of niet is nagedacht over wat er dient te gebeuren zodra het bedrijf slachtoffer wordt van een cyberincident.
De bevindingen uit deze drie invalshoeken worden vervolgens samengevoegd tot realistische aanvalsscenario's. Een voorbeeld: phishing-gevoeligheid uit de enquête, gecombineerd met het ontbreken van meerfactorauthenticatie en een zwakke incident-meldprocedure, vormt samen een concreet ransomware-scenario. Elk scenario wordt beoordeeld op kans én impact, over vier dimensies: financieel, juridisch, reputatie en operationeel. Het resultaat is een managementrapport waarin de directie niet alleen ziet welke risico's er zijn, maar ook welke keuzes ze heeft: risico's verlagen, accepteren, overdragen of risico’s nader laten onderzoeken.
De drie methodes naast elkaar gezet
| Aspect | Vulnerability-scan | Pentest | CyberCheck |
|---|---|---|---|
| Menselijke factor | Nee | Nee | Ja: een wetenschappelijke enquête (45 vragen) |
| Bedrijfsprocessen | Nee | Nee | Ja: check op kritieke processen & afhankelijkheden |
| Techniekdiepgang | Bekende kwetsbaarheden | Exploitatie van kwetsbaarheden | Techniek bekeken op 5 invalshoeken |
| Vertaling naar bestuurlijk risico | Nee, alleen een technisch rapport | Beperkt, vooral technisch rapport | Ja: die aspecten grondig getoetst en dit vertaald naar scenario's, impact en besluitopties |
| Volledig genoeg voor ISO 27001-risicobeoordeling | Dekt één onderdeel, niet volledig | Dekt één onderdeel, niet volledig | Dekt de volle breedte: techniek, mens en proces, vertaald naar het management |
Conclusie
De makkelijkste en goedkoopste optie is de vulnerability-scan; het is tevens de meest beperkte toets op risico. Wil je specifiek laten toetsen of een (technische) kwetsbaarheid daadwerkelijk exploiteerbaar is, dan is een pentest een goede keuze. Een pentest en een vulnerability-scan blijven waardevolle methodes om aan te tonen of jouw technische beveiliging en verdediging van kritieke systemen daadwerkelijk wel of niet standhoudt.
Belangrijk om te weten: de meeste cyberaanvallen zijn niet gericht op alleen technische zwakke plekken! Een aanval bestaat vaak uit een gecombineerde tactiek waarbij gebruik wordt gemaakt van (het ontbreken van) menselijk gedrag, de procesmatige zaken die niet op orde zijn én het falen van technische beveiliging. Die combinatie leidt doorgaans tot een cyberincident. Daarom geeft alleen een technische toets, een volstrekt onvolledig risicobeeld. Indien je echt iets wilt kunnen zeggen over jouw risicogevoeligheid, is de CyberCheck uitgebreider, realistischer en daarmee veel waardevoller. De CyberCheck is de meest complete manier om in één toetsingstraject het risicobeeld op te bouwen dat een jaarlijkse ISO 27001-risicobeoordeling vereist. Getoetst op menselijke, procesmatige en technische aspecten, vertaald naar een managementrapport dat concrete aanvalsscenario’s en te maken keuzes geeft. De CyberCheck van Securide is de meest uitgebreide en volledige beoordeling: ze onderzoekt niet één, maar drie invalshoeken, vertaalt de bevindingen naar realistische aanvalsscenario's met concrete bedrijfsimpact en levert de directie een helder overzicht van de keuzes die ze zou moeten maken.
MKB-bedrijven die hun jaarlijkse ISO 27001-risicobeoordeling serieus nemen, kunnen vrijblijvend contact opnemen met Securide; we vertellen u alles over onze CyberCheck.
