Skip to main content

Blog Archives

Older posts
Newer posts

Beoordeling van de beveiliging van Oracle-databases

Een auditaanpak voor de Oracle-database waarin aandacht is voor beveiligingsmaatregelen op de verschillende relevante niveaus in de technische infrastructuur is cruciaal om de relevante beveiligingsrisico’s te kunnen identificeren. Het is van belang om tijdens het onderzoek naar de beveiliging van de Oracle-database de maatregelen op alle lagen in de technische infrastructuur te toetsen aangezien de beveiligingsmaatregelen in hogere lagen in belangrijke mate steunen op de maatregelen die in de onderliggende lagen zijn getroffen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Webservices: het volgende lek?

Webservices zijn de volgende stap in de voortschrijdende standaardisatie van communicatie tussen computersystemen. Zoals zo vaak volgt deze standaardisatie na een periode van wildgroei van oplossingen, die tot de nodige compatibiliteitsproblemen hebben geleid. Dit artikel gaat over het hoe en waarom van webservices, maar ook over de beveiliging ervan. Want – en ook dat is eerder vertoond – beveiliging komt na functionaliteit.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Informatiebeveiliging onder controle?

Niet alleen in de wereld om ons heen, maar ook op technologisch gebied is er de afgelopen jaren veel veranderd in het denken over informatiebeveiliging en op het gebied van management en organisatie. Opmerkelijk is dat veel van deze veranderingen ogenschijnlijk weinig met elkaar te maken hebben, maar bij nadere beschouwing onderling verbonden zijn en tezamen een onuitwisbaar stempel op het vakgebied informatiebeveiliging blijken te drukken Of is een verschuiving van de aandacht noodzakelijk? En hoe ziet het beveiligingslandschap eruit in het jaar 2010? Wat zouden we moeten doen om te bereiken dat informatiebeveiliging, tegen zo laag mogelijke kosten, werkelijk wordt ingericht als een beheerst proces?

Inleiding

Velen zullen zich het jaar 2000 herinneren als het jaar van de afkoeling. Het gevreesde millenniumprobleem eindigde in een geruststellende anticlimax, Frankrijk won het Europees Kampioenschap voetbal en het einde van de economische oververhitting diende zich aan. In hetzelfde jaar verscheen de eerste editie van het boek Informatiebeveiliging onder controle.

Bij het verschijnen van de tweede editie zijn we vijf jaar verder. Er is de afgelopen jaren veel veranderd, niet alleen in de wereld om ons heen, maar ook op technologisch gebied, in het denken over informatiebeveiliging en op het gebied van management en organisatie. Het bijzondere is dat veel van deze veranderingen op het eerste gezicht weinig met elkaar te maken hebben, maar bij nadere beschouwing onderling verbonden zijn en tezamen een onuitwisbaar stempel op het vakgebied informatiebeveiliging blijken te drukken.

In elk geval kunnen wij vijf jaar na dato constateren dat organisaties nog steeds grote bedragen in informatiebeveiliging investeren. Volgens recent onderzoek (CSI/FBI, 2004) bedragen de kosten voor informatiebeveiliging nog steeds tussen de drie en vijf procent van de totale uitgaven aan informatietechnologie, ongeveer evenveel als vijf jaar geleden. De vraag dringt zich op: bieden deze investeringen voldoende rendement, en is informatiebeveiliging inderdaad onder controle? Of is een verschuiving van de aandacht noodzakelijk? In dit artikel staan we kort stil bij de belangrijkste ontwikkelingen van de afgelopen vijf jaar – op sociaal-economisch gebied, voorzover relevant voor informatiebeveiliging, en op het gebied van de informatiebeveiliging zelf, waarbij wij onderscheid maken tussen de menselijke factor, de organisatie van informatiebeveiliging en de technologie. We besluiten met een blik vooruit. Hoe ziet het beveiligingslandschap eruit in het jaar 2010? Welke ontwikkelingen zijn daarbij bepalend? En wat zouden de stakeholders – ondernemers, managers, burgers, overheid, aandeelhouders, toezichthouders – de komende jaren moeten doen om ervoor te zorgen dat informatiebeveiliging, tegen zo laag mogelijke kosten, werkelijk wordt ingericht als een beheerst proces?

Sociaal-economische ontwikkelingen

De afgelopen vijf jaar zijn drie externe ontwikkelingen van grote invloed geweest: de opkomst van het internationaal terrorisme en de bijbehorende veiligheidsvraagstukken, de grote boekhoudschandalen en de hieruit voortvloeiende regelgeving op het gebied van corporate governance, en de economische recessie en de hiermee samenhangende kostenbesparingen. Wij gaan hieronder kort in op de effecten van deze ontwikkelingen.

Allereerst het veiligheidsvraagstuk. Ingrijpende incidenten als de aanslagen op 11 september 2001 en de moord op Theo van Gogh op 2 november 2004 hebben onmiskenbaar invloed gehad op informatiebeveiliging. Zo werd de wetgeving op het gebied van computercriminaliteit aangescherpt, zijn de bevoegdheden van de inlichtingen- en veiligheidsdiensten aanzienlijk verruimd, en is privacy met algemene instemming ondergeschikt gemaakt aan de jacht op terroristen. Ook op het gebied van voorlichting is er het nodige gebeurd. Het gevolg van dit alles? De drempels voor het inzetten van beveiligingsmiddelen zijn lager dan ooit. Er komt zelfs een paspoort met biometrie. Vijf jaar geleden was dit nog ondenkbaar.

Corporate governance staat, na de boekhoudschandalen bij onder meer Enron en Worldcom, al meer dan twee jaar in het middelpunt van de belangstelling. Nieuwe wetten als de Amerikaanse Sarbanes-Oxley Act (SOX) en richtinggevende documenten als de Code-Tabaksblat schrijven voor dat elke organisatie een stelsel van maatregelen op het gebied van interne controle ingericht moet hebben, en dat de effectiviteit hiervan expliciet door het management moet worden bevestigd. Het behoeft geen betoog dat ook maatregelen op het gebied van informatiebeveiliging deel uitmaken van zo’n stelsel, en men zou dan ook verwachten dat de corporate-governancebeweging zou leiden tot een toename van het beveiligingsbewustzijn. Dit lijkt niet het geval. Uit onderzoek (FBI/CSI, 2004) blijkt dat Sarbanes-Oxley niet leidt tot meer aandacht voor beveiliging; in de praktijk blijkt zelfs dat de grote projecten die momenteel worden uitgevoerd om internecontrolemaatregelen te documenteren zoveel aandacht en middelen vergen, dat beveiligingsactiviteiten even op een laag pitje worden gezet.

Ten slotte de economische recessie. Die heeft op grote schaal geleid tot operaties om de operationele kosten van ondernemingen en overheidsinstellingen drastisch te beperken. Informatiebeveiliging is bij zulke operaties niet buiten schot gebleven; integendeel, beveiliging blijkt een post waarop met relatief geringe inspanning een aanzienlijke besparing op korte termijn kan worden gerealiseerd. Mede om deze reden zijn de afgelopen jaren veel beveiligingsprojecten gereduceerd of zelfs stopgezet. Hetzelfde geldt voor organisatievormen die de inrichting van informatiebeveiliging als beheerst proces ondersteunen. Veel van wat in de jaren negentig aan security management is opgebouwd, is de afgelopen jaren afgebroken. Wij kennen hiervan tientallen voorbeelden, van kleine tot zeer grote organisaties. Nu de economie weer aantrekt, blijkt dat veel organisaties op beveiligingsgebied opnieuw moeten beginnen.

De conclusie is weinig bevredigend. Ontwikkelingen op het gebied van veiligheid en corporate governance maken een verhoogde aandacht voor informatiebeveiliging noodzakelijk. In sommige opzichten is die aandacht er ook. Maar tegelijkertijd moeten we constateren dat bij de kostenbesparingen van de afgelopen jaren veel goeds verloren is gegaan, dat de corporate-governancerage nog niet heeft geleid tot een waarneembare stijging van het beveiligingsbewustzijn, en dat tegelijkertijd het privacyvraagstuk vrijwel volledig van de agenda is verdwenen.

De menselijke factor

Dat het beveiligingsbewustzijn maar niet wil stijgen, lijkt in eerste instantie enigszins paradoxaal. Uiteindelijk heeft de toenemende automatisering in organisaties, maar ook thuis en op straat, geleid tot gewenning ten aanzien van informatietechnologie. Daardoor is een beter besef ontstaan van de sterke en zwakke kanten van het gebruik van informatietechnologie. Ook de overheid draagt hieraan bij met advertentiecampagnes, publicaties, meldpunten en waarschuwingsdiensten. Dit zou moeten leiden tot een verbetering van de attitude ten aanzien van informatiebeveiliging en een afname van fouten bij het toepassen van informatietechnologie. Maar deze attitude blijkt helemaal niet zo duidelijk verbeterd te zijn, getuige de gestage toename van de schade door onopzettelijke fouten bij het gebruik van informatietechnologie. Veel organisaties voeren kostbare awarenessprogramma’s uit, maar het blijkt niet eenvoudig daarmee tastbare resultaten te boeken. Het beperkte succes van deze campagnes rechtvaardigt de vraag of de gevolgde aanpak wel voldoende effectief is. Het blijkt bij informatiebeveiliging niet alleen te gaan om voorlichting, maar ook en vooral om motivatie – het motiveren van betrokken personen om hun gedrag actief en blijvend te veranderen. Onderzoek wijst keer op keer uit dat de attitude van medewerkers sterk afhankelijk is van een duidelijk commitment van het topmanagement. Juist daar blijkt de aandacht voor informatiebeveiliging relatief snel te verslappen. Vaak wordt er na een incident direct actie ondernomen, waarna men overgaat tot de orde van de dag. Bovendien betreft het veelal slechts maatregelen om soortgelijke incidenten in de toekomst te voorkomen, terwijl maatregelen tegen andere incidenten over het hoofd worden gezien. Managers zien informatiebeveiliging nog te vaak als een op zichzelf staand fenomeen en niet als een integraal onderdeel van de bedrijfsvoering. Hierdoor is informatiebeveiliging onvoldoende geïntegreerd in de werkprocessen. Ondanks het groeiend besef van het belang van de menselijke factor wordt de complexiteit hiervan structureel onderschat.

De organisatie van informatiebeveiliging

In de eerste jaren van deze eeuw zijn onder druk van de economische recessie en bezuinigingen vele activiteiten die niet direct bijdroegen aan het financiële resultaat gesneuveld. Voor de overheid had dat andere gevolgen dan voor het bedrijfsleven.

Bij de overheid is vanaf 1994, het jaar dat het Voorschrift Informatiebeveiliging Rijksdienst (VIR) van kracht werd, een opgaande lijn te constateren tot het moment dat het millenniumprobleem en vervolgens de invoering van de euro veel aandacht vragen. Daarna zijn organisatiestructuren die in het kader van het VIR zijn opgericht, verloren gegaan. Denk hierbij aan het opheffen van het voormalige Advies- en Coördinatiepunt voor Informatiebeveiliging (ACIB) en aan het verwateren van interdepartementale overlegvormen op dit gebied. De Rekenkamer constateerde in 2004 nog hoofdschuddend dat de helft van alle departementen de informatiebeveiliging niet op orde heeft en wees daarbij vooral op de hiaten in de organisatie. Natuurlijk waren er ook successen, zoals Govcert, de elektronische waarschuwingsdienst. De overheid moet nu de stap maken van een succesvol project naar een succesvol georganiseerd proces en maakt deze stap ook, mede als gevolg van het verscherpte dreigingenbeeld. Zo worden de verschillende beveiligingsfuncties, bijvoorbeeld voor personele, operationele en informatiebeveiliging, in een betere samenhang gebracht. Daarnaast zien we, ook onder invloed van aangescherpte regelgeving, verdere professionalisering van risicomanagement en security management.

Het bedrijfsleven wordt gedwongen opnieuw over de organisatie van de beveiliging na te denken onder invloed van de normen voor behoorlijk bestuur (SOX en Tabaksblat). Bedrijven die de functies voor interne controle en audit de afgelopen jaren goed hebben onderhouden, hebben het daarbij aanzienlijk eenvoudiger dan de bedrijven die hun administratieve organisatie hebben laten versloffen.

Technologie

Eigenlijk waren de technische ontwikkelingen de afgelopen jaren het minst interessant. Zij waren immers het gemakkelijkst te voorspellen en hebben niemand werkelijk verbaasd. De wet van Moore bleef onverminderd van toepassing. Dus werden de processors weer een paar keer sneller, kreeg iedereen een breedbandaansluiting en drukken we schijfruimte tegenwoordig uit in petabytes. Meer van hetzelfde dus – al zijn de kleurenschermen een stuk platter dan vijf jaar geleden. Het echte sleutelwoord was mobiel: de afgelopen vijf jaar zagen we de opkomst van mobiele toepassingen op basis van GPRS, UMTS, Wifi en Bluetooth – met alle beveiligingsvraagstukken van dien, van onveilige protocollen tot rammelende mobiele besturingssystemen. Ook de beveiligingstechnologie zelf ontwikkelde zich verder. Leveranciers van antivirussoftware beleefden gouden tijden in hun eeuwige race tegen de ontwikkelaars van nieuwe virussen. Het aantal patches om gaten in besturingssystemen te dichten, nam schrikbarend toe. Geavanceerde technieken als Public Key Infrastructures (PKI) en Intrusion Detection Systems (IDS) beleefden niet de doorbraak waarop velen hadden gehoopt. En voor de dertig jaar oude encryptiestandaard DES is geruisloos de opvolger benoemd: de Advanced Encryption Standard (AES), gebaseerd op een nieuw encryptiealgoritme, Rijndael.

Een blik vooruit

Wat heeft de toekomst voor ons in petto? Het beantwoorden van deze vraag is een hachelijke zaak, maar toch wagen wij een poging, mede gesteund door informatie van de bekende onderzoeksbureaus.

Op sociaal-economisch gebied valt een voortzetting van gesignaleerde trends rond efficiency, corporate governance en veiligheid te verwachten. Een andere sociaal-economische ontwikkeling die haar effect op informatiebeveiliging niet zal missen, is de toenemende juridisering van onze samenleving. Amerikaanse advocatenkantoren zullen de komende jaren voor het eerst grote claims indienen bij partijen waaraan nalatigheid inzake de bescherming van gevoelige gegevens en bedrijfsnetwerken kan worden verweten.

Op het menselijke vlak zal er minder veranderen. Er zullen kwaadwillenden blijven die steeds weer nieuwe technieken zullen vinden om particulieren en organisaties lastig te vallen. Door de toenemende impact van incidenten zal het belang van informatiebeveiliging verder toenemen, maar informatiebeveiliging zal nog steeds moeten concurreren met andere belangen en processen. Het zal nog lang duren voordat bij het merendeel van de organisaties de reactieve aanpak van informatiebeveiliging plaats heeft gemaakt voor een adequate preventieve aanpak. Wel zullen opsporingsinstanties langzaam maar zeker effectiever op gaan treden tegen digitaal geweld.

Op organisatorisch gebied zet de professionalisering door. Onder invloed van een veranderend dreigingenbeeld en aangescherpte regelgeving is een aantoonbare beheersing van risico’s steeds belangrijker. Een ad hoc, projectmatige invulling volstaat niet meer. Efficiënte en effectieve beheersing vereist een normaal ingericht proces. Hierbij is de trend voor zowel overheid als bedrijfsleven het streven de organisatie zo in te richten dat compliance met interne afspraken en externe regelgeving aantoonbaar is. Deze trend wordt mede gevoed door de in 2006 komende Wet Financieel Toezicht, maar ook door de nog door Eurocommissaris Bolkestein in gang gezette verscherping van het toezicht op Europese, beursgenoteerde ondernemingen. Dit toezicht zal steunen op dezelfde principes als SOX: verantwoordelijkheid, beheersing en transparantie.

De nieuwe cultuur en de nieuwe regelgeving hebben ook tot gevolg dat in het bedrijfsleven de eisen voor wat betreft aantoonbare compliance omhoog gaan. We zullen een sterk toenemende behoefte zien aan audits en derdepartijmededelingen. Deze mededelingen en de Amerikaanse vorm daarvan, gebaseerd op de standaard SAS 70, zullen veelal worden gebruikt door service providers, die daarmee aan hun klanten aanvullende zekerheid verstrekken omtrent het nakomen van de onderlinge afspraken, bijvoorbeeld in SLA’s. Ook certificaten op basis van de nieuwe versie van ISO 17799 zullen hiervoor worden gebruikt, maar wij constateren wel dat de waarde van deze certificaten aan enige inflatie onderhevig is.

Niemand heeft baat bij papieren tijgers of louter formele exercities. Er is een goed evenwicht nodig tussen de interne en de externe belangen. Het voldoen aan externe regelgeving mag nooit de aandacht afleiden van de eigen bedrijfsdoelstellingen. Zoals een ondernemer al verzuchtte: ‘We verkopen geen ijsje extra door SOX-compliance’.

C-2005-1-Overbeek-01

Figuur 1. Aantoonbaarheid van compliance.

Ook de komende vijf jaar zal informatietechnologie krachtiger en kleinschaliger worden. Mobiel blijft het sleutelwoord. Informatietechnologie convergeert naar wat IBM ‘pervasive computing’ noemt: draadloos communicerende technologie die onzichtbaar is geïntegreerd in tal van huishoudelijke producten, apparaten, consumentenproducten, materialen en dergelijke. De identificatie van fysieke objecten en goederen, maar ook van personen zal uiteindelijk voor een groot deel plaatsvinden op basis van Radio Frequency Identification (RFID). Biometrie zal voor specifieke toepassingen algemeen ingeburgerd raken en door verregaande integratie een vriendelijker karakter krijgen, bijvoorbeeld door een handpalmscanner te integreren in de deurknop. Op het gebied van encryptie kunnen we de komende jaren de opkomst van elliptic curve-encryptie en AES verwachten. Verder is er een stap voorwaarts nodig op het gebied van hash-functies.

De afgelopen jaren is het denken in beveiligingsarchitecturen voorzichtig gestart. Denk ook aan de opkomst van reduced-sign-on, gecentraliseerd identity- en access-rights management. Deze ontwikkeling zet zich door. Leveranciers zullen in toenemende mate hun verantwoordelijkheid nemen, maar daarbij ook worden geconfronteerd met de beperkingen van de technologie en de context waarin deze wordt gebruikt.

Beveiligingstechnieken in opmars zijn network inventory, boundary scanning en boundary testing, waarbij de actieve componenten binnen een netwerk in kaart worden gebracht, de contouren van het netwerk worden getekend en het netwerk vervolgens op beveiligingslekken wordt getest – en dit alles volledig geautomatiseerd. Technieken die hierbij worden gebruikt, zijn geavanceerde netwerkscans, geautomatiseerde penetratietests en ‘extrusion detection’-technieken, waarbij een computer die binnen een bedrijfsnetwerk is opgesteld netwerkpakketjes probeert te verzenden naar sensoren die zich buiten het netwerk bevinden – vergelijk het met het vinden van een lek in een binnenband door deze onder water te houden en hard op te pompen. Al deze diensten zullen door gespecialiseerde bedrijven in de vorm van security-abonnementen voor een appel en een ei worden aangeboden.

Conclusie

De hierboven beschreven ontwikkelingen geven een gemengd beeld. Binnen organisaties is sprake van een toenemende formalisatie die soms ontaardt in verharding en indekgedrag. De risico’s nemen toe. De eisen aan aantoonbare beheersing worden strenger. De mens blijft als vanouds feilbaar. De verbeteringen in beveiliging komen zowel uit de meer professionele inrichting van het security management als uit de verbeterde technische hulpmiddelen voor beveiliging. Over de hele linie gaat de lat omhoog en het zal duidelijk zijn dat informatiebeveiliging nog belangrijker wordt dan zij nu al is. Ons vak zal zich verder verzakelijken. Hiermee zal wel wat warmte verdwijnen, maar uiteindelijk is een verdere professionalisering alleen maar toe te juichen.

Literatuur

[Over05] Dr. ir. P.L. Overbeek RE, prof. dr. E.E.O. Roos Lindgreen RE en dr. M.E.M. Spruit, Informatiebeveiliging onder controle, 2e editie, 2005, ISBN 90-430-0692-0.

Privacy: van organisatorisch beleid naar Privacy Enhancing Technologies

De privacybescherming is nog veelal een kwestie van juridische en organisatorische procedures. De Wet bescherming persoonsgegevens besteedt ook aandacht aan het toepassen van ICT-maatregelen om de betrouwbaarheid en efficiëntie van naleving van privacyvereisten te verbeteren. Dit artikel behandelt een aantal relevante ontwikkelingen op het gebied van privacy in het algemeen en de zogeheten Privacy Enhancing Technologies in het bijzonder, waarbij ook concrete voorbeelden worden behandeld.

Inleiding

Na een korte inleiding over de privacywetgeving wordt een aantal privacyontwikkelingen besproken. Hierbij wordt ingegaan op de organisatorische positionering, het privacybewustzijn en maatschappelijke en ICT-ontwikkelingen die de privacybeleving en -naleving beïnvloeden. Tevens wordt kort stilgestaan bij de overeenkomsten en verschillen van privacy en beveiliging. Vervolgens wordt ingegaan op de wijze waarop organisaties sinds de introductie van wetgeving op dit terrein privacy hebben aangepakt. Hierbij is een ontwikkeling naar het geleidelijk meer toepassen van technische maatregelen zichtbaar, uiteindelijk leidend tot vormen van Privacy Enhancing Technologies. Na behandeling van twee casussen wordt afgesloten met het belichten van de belangrijkste financiële en implementatieaspecten van deze technieken.

Ontwikkeling privacywetgeving

Privacybescherming en schendingen van privacy zijn van alle tijden. Zelfs in de middeleeuwen is op deelgebieden van privacy al wetgeving van kracht geworden, maar pas na de tweede wereldoorlog is de privacybescherming in een stroomversnelling gekomen. In de Universele Declaratie van de Rechten van de Mens uit 1948 is aangegeven dat territoriale en communicatieprivacy als primair recht gelden.

De introductie van informatie- en communicatietechnologie (ICT) in publieke en private organisaties en de privacyconsequenties van het gebruik en misbruik hiervan gaven een belangrijke impuls aan privacywetgeving. Na een eerste privacywet in de Duitse deelstaat Hessen (1970) volgde nationale wetgeving in Zweden (1973), de Verenigde Staten (1974), Duitsland (1977) en Frankrijk (1978). Dit legde de basis voor de Raad van Europa’s Convention for the Protection of Individuals with regard to the Automatic Processing of Personal Data (1980) en OECD’s[OECD: Organisation for Economic Cooperation and Development.] Guidelines Governing the Protection of Privacy and Transborder Data Flows of Personal Data[Bekend als de Fair Information Practices.] (beide in 1981).

De Raad van Europa-conventie is geadopteerd door meer dan twintig landen; de OECD-richtlijnen zijn eveneens verwerkt in diverse nationale wetten. Nederland was één van die landen en introduceerde in 1988 de Wet persoonsregistraties (Wpr). Zoals bekend heeft de Europese Unie vanaf begin jaren negentig privacy prioriteit gegeven, wat in 1995 is uitgemond in de Data Protection Directive[European Directive EC95/46, ook bekend als Europese privacyrichtlijn.]. Deze privacyrichtlijn is in Nederland per 1 september 2001 als de Wet bescherming persoonsgegevens (Wbp) in werking getreden, enigszins later dan de deadline van oktober 1998. In [Koor01] en [EPIC03] is verdere achtergrond te vinden over de ontwikkeling van privacywetgeving. In het vervolg van dit artikel wordt uitsluitend ingegaan op informatie- en communicatieprivacy; lichamelijke en territoriale privacy blijven buiten beschouwing.

Verantwoordelijkheid en bewustzijn voor privacy

Wie binnen organisaties verantwoordelijk is voor privacy, verschilt aanzienlijk. Veelal betreft het een jurist op de afdeling Juridische Zaken, maar in andere gevallen is het de beveiligingsfunctionaris of zelfs de IT-auditor die privacy ‘erbij doet’. Waar het voorheen een parttime functie was, is de laatste paar jaar een professionalisering gaande onder leiding van fulltime privacyverantwoordelijken. Ook de in de Wbp nieuw geïntroduceerde rol van Functionaris Gegevensverwerking (FG)[Voor een uitgebreide behandeling van de Functionaris Gegevensverwerking zie www.cbpweb.nl.] heeft hiertoe bijgedragen, ook al vergde die nieuwe functie in de startfase enig aanpassingsvermogen van de privacybetrokkenen vanwege de gewijzigde situatie qua privacygovernance. Privacy ressorteert nu veelal onder de juridische, compliance- of risicomanagementafdeling.

Waar privacy organisatorisch goed is verankerd, heeft zij een sterke impact op de omgang met privacyvraagstukken. Dit varieert van een sterke juridische benadering met stringente reglementen en procedures tot aan een gebalanceerde benadering met aandacht voor organisatorische en ICT-facetten. Waar de privacyverantwoordelijke zich ook bevindt, de communicatie tussen juristen, eigenaren van processen/systemen/gegevens, projectleiders, ICT’ers en gebruikers blijft een grote hindernis voor de goede inrichting van de privacybescherming. Gebaseerd op onze praktijkervaring durven wij te stellen dat minder dan vijf procent van de organisaties geheel Wbp-proof opereert.

Bewustzijn

Het privacybewustzijn correleert wel enigermate met de wetgevingsgolven, maar niet geheel. Hoewel het onderzoek naar het bewustzijn van privacyregels en de naleving hiervan beperkt is, is uit enquêtes wel zichtbaar geworden dat het bewustzijn ook onderhevig is aan golfbewegingen. Rond de introductie van de Wpr was er niet alleen bij de overheid, maar ook in het bedrijfsleven aandacht voor privacy. Onder druk van deze wet hebben de meeste grote organisaties privacybeleid en -reglementen opgesteld en deze vervolgens – veelal ten dele – geïmplementeerd. Andere belangrijke impulsen die niet direct samenhingen met nieuwe wetgeving, maar eerder door ICT- en externe ontwikkelingen werden veroorzaakt, betroffen:

  • Toepassing van internet voor gegevensuitwisseling en transacties. Door de on-line vergaarde persoonsgegevens en creditcardgegevens ontstond er bij gebruikers terughoudendheid vanwege onduidelijkheid over de privacybescherming en beveiliging van deze websites. Als reactie hierop werden onder andere privacy- en beveiligingsstatements op websites geplaatst en werd er via zelfreguleringsprogramma’s vertrouwen gegeven aan derden (Thuiswinkel, WebTrust, TRUSTe, e.d.).
  • Outsourcing en off-shoring. Deze activiteiten omvatten de overdracht van bedrijfsprocessen en ICT-systemen naar derde partijen, al dan niet zich bevindend in het buitenland en veelal buiten de Europese Unie (bijvoorbeeld Aziatische landen). Deze trend heeft het privacybewustzijn vergroot. In de praktijk blijkt zelfs dat er kritischer naar de privacybescherming bij deze service providers wordt gekeken dan naar die in de eigen organisatie. Dit heeft geleid tot verschillende bewerkersovereenkomsten en privacyclausules in contracten en service level agreements (SLA’s).
  • Centrale informatiesystemen en shared service centers met HR- en klantgegevens. Deze ontwikkeling deed en doet zich voornamelijk voor bij multinationals en de overheid en is te beschouwen als de organisatie-interne variant van het voorgaande punt. Het wereldwijd uitwisselen van persoonsgegevens, waaronder gevoelige gegevens, leidde bij veel organisaties tot aandacht voor privacyaspecten. Vooral in situaties waarin het centrale HR-systeem buiten de Europese Unie, bijvoorbeeld in de Verenigde Staten, staat opgesteld, bleken medewerkers, ondernemingsraad en toezichthouders aanvullende privacywaarborgen, zoals contracten, te eisen.
  • Audits door het College Bescherming Persoonsgegevens. Het College heeft sinds 1996 in diverse sectoren privacyaudits uitgevoerd, deels op eigen initiatief en deels na klachten. Ook zijn boetes uitgedeeld. Dit heeft een sterke bewustwordende functie gehad bij onder andere zorginstellingen, arbodienstverleners, handelsinformatiebureaus, financiële instellingen en gemeenten. Ook andere toezichthouders zoals DNB (De Nederlandsche Bank) en PVK (Pensioen- en Verzekeringskamer) tonen in hun controleonderzoeken toenemende interesse in privacy.
  • Fraude en misbruik van sociale voorzieningen. Van een andere orde is de wettelijke verruiming van het koppelen van gegevensbestanden voor het bestrijden van fraude. Pas toen dit daadwerkelijk ging gebeuren, trad privacybewustzijn bij de betrokkenen op.
  • Dreiging van terrorisme. De terroristische dreiging heeft ertoe geleid dat politie- en opsporingsdiensten ruimere bevoegdheden hebben gekregen, waarbij de privacy van verdachten kan worden aangetast. Enerzijds wordt dit geaccepteerd aangezien hiermee een hoger doel wordt gediend, anderzijds ontstaat het gevoel dat hiermee een ‘big brother’-achtige situatie kan ontstaan. Dit onderwerp wordt veeleer beïnvloed door de politiek en de stemming over de nationale veiligheid, dan dat het een sterke privacycomponent kent.

Ontegenzeggelijk hebben privacyincidenten een zeer grote invloed gehad op het privacybewustzijn. Onder de noemer ‘een hacker als wekker’ zijn door privacy- en beveiligingsfouten uiterst gevoelige persoonsgegevens geopenbaard. Bekende gevallen betreffen:

  • het lek in de Univé-website met het toegankelijk zijn van ziektekostenverzekerden;
  • het onrechtmatig uitwisselen van persoonsgegevens tussen GAK en Centraal Beheer;
  • het hacken van de universiteit van Berkeley (zie kader 1);
  • het benaderen van klanten met een ongevraagd hypotheekaanbod door een Belgische bank na analyse van hun maandelijkse automatische afschrijving van hun bankrekening van de hypotheekrente die zij aan andere hypotheekverstrekkers betaalden;
  • de problemen met Microsofts Hotmail en Passport;
  • het op een website vermeld zijn van het gedrag van schoolkinderen in Almere;
  • het stalken van leden van een vereniging van alleenstaande vrouwen;
  • het filmen en vervolgens aanschrijven van bordeelbezoekers;
  • het gebruik door de landsadvocaat van een handelsinformatiebureau dat op een illegale wijze persoonsgegevens verkreeg;
  • de vele inbraken in websites met vervolgens diefstal van creditcardgegevens.

Het wederrechtelijk verkrijgen en misbruiken van identificerende persoonsgegevens, identiteitsdiefstal, is inmiddels uitgegroeid tot één van de grootste fraudeoorzaken in de Verenigde Staten met enkele honderdduizenden Amerikanen per jaar die hierdoor gedupeerd zijn, met een schadepost van vele miljarden dollars.

Kader 1.

Hacker steelt persoonsgegevens van 1,4 miljoen Amerikanen (www.securityfocus.nl)

Een hacker heeft, naar nu blijkt, de persoonsgegevens van 1,4 miljoen Amerikanen gestolen uit een systeem van de Amerikaanse universiteit in Berkeley. De nog niet geïdentificeerde computerinbreker bemachtigde met zijn kraak de sofi-nummers, namen, thuisadressen, telefoonnummers en geboortedata van 1,4 miljoen oudere Amerikanen en zorgverleners. De gegevens waren met toestemming van de staat Californië, maar zonder toestemming van de burgers, opgeslagen bij de universiteit voor een onderzoek. De universiteit van Berkeley ontdekte de inbraak eind augustus 2004, maar stapte pas twee maanden later naar de politie om aangifte te doen. De FBI en de politie van de staat Californië onderzoeken de misdaad nog. Volgens een woordvoerder van de universiteit betreft het één van de grootste inbraken op een educatief computersysteem ooit in Amerika. De hacker maakte voor zijn inbraak gebruik van een onder technici algemeen bekend veiligheidsgat dat de universiteit niet tijdig had gerepareerd. Met de persoonsgegevens van de getroffen Amerikanen in handen kan de hacker talloze identiteiten aannemen en ook met de gestolen persoonsinformatie bankrekeningen openen en leningen aangaan.

Kader 2.

Beveiliging versus privacy

Een bekend misverstand – met name onder ICT’ers – is het als bijna synoniem zien van beveiliging en privacy: ‘Als we de beveiligingsmaatregelen hebben getroffen volgens de Code voor Informatiebeveiliging, dan hebben we direct de privacybescherming geregeld’. Dit is echter een misvatting, aangezien beveiliging slechts één van de zeven privacyprincipes kan invullen (zie figuur 1).

C-2004-3-Koorn-01

Figuur 1. Overeenkomsten en verschillen tussen beveiliging en privacy.

De juridische en procesmatige aspecten van privacy hebben weinig tot niets met beveiliging te maken. In figuur 1 is aangegeven op welke gezamenlijke aspecten en welke afzonderlijke aspecten het accent ligt. Zoals in dit artikel aangegeven, ligt voor de toepassing van Privacy Enhancing Technologies de uitdaging bij de privacyaspecten die niet louter door beveiligingsmaatregelen worden gerealiseerd.

Daarnaast kennen beide ook een andere insteek: het beveiligen richt zich op het bouwen van muren om een grote database met persoonsgegevens. Privacybescherming richt zich veeleer op het beperken van de geregistreerde en verwerkte persoonsgegevens en het zorgvuldig behandelen van deze gegevens in alle verwerkingsstappen.

Er zijn ook situaties waarin het verbeteren van de beveiliging de privacy juist kan aantasten. Hierbij valt te denken aan de toepassing van verdergaande identificatiegegevens, biometrie en gedetailleerde controles. Dit geldt evenzo voor antifraude- en antiterrorismemaatregelen. Hierdoor zal weer een nieuw evenwicht tussen beveiliging en privacy moeten worden gezocht.

Evolutie in de aanpak van privacy

De benadering van het privacyvraagstuk was na de introductie van de Wpr aanvankelijk sterk gericht op de beleidsmatige, procedurele en juridische aspecten en het treffen van traditionele beveiligingsmaatregelen. Dit omvatte dan de volgende generieke stappen:

  • aanstellen van een privacyverantwoordelijke;
  • ontwikkelen van een privacyreglement en soms een overkoepelend privacybeleid;
  • inventariseren van registraties met persoonsgegevens; veelal werd dit verengd tot de geautomatiseerd vastgelegde persoonsgegevens. Vervolgens werden de doelstellingen en verwerkingen van deze registraties in kaart gebracht;
  • aanmelden van registraties bij de Registratiekamer en na inwerkingtreding van de Wbp bij het College Bescherming Persoonsgegevens;
  • opstellen en implementeren van richtlijnen en procedures voor onder andere verstrekkingen, verzoek om inzage en correctie, en dergelijke. Bijvoorbeeld in de ‘scripts’ voor toepassing in alle kanalen waarlangs interactie met klanten plaatsvindt (internet, callcenter, balie);
  • opnemen van privacyspecifieke bepalingen in de contracten en SLA’s met businesspartners en service providers;
  • implementeren van traditionele beveiligingsmaatregelen zoals logische toegangsbeveiliging en het bouwen van ‘dikke muren’ ter bescherming van de persoonsgegevens.

Onderbelichte zaken betroffen onder meer het verhogen van het privacybewustzijn en de verdergaande organisatorische en technische implementatie van het privacybeleid. Geleidelijk aan heeft de privacyimplementatie zich verbreed en is de behoefte ontstaan om ook technische aspecten in te zetten voor het afdwingen van een betere naleving van het privacybeleid. De technische implementatie omvatte in die organisaties ook maatregelen voor de aangescherpte authenticatie (op basis van bezitskenmerk), gedifferentieerde afscherming met autorisatieprofielen, geprogrammeerde integriteitscontroles en het testen met gefingeerde gegevens. Tevens werden persoonsgegevens die werden verstuurd over openbare netwerken in toenemende mate versleuteld.

Huidige status privacymaatregelen

Zijn we er daarmee? Nee, aangezien een aantal privacyprincipes nog immer niet goed organisatorisch of technisch wordt gewaarborgd. Dit betreft zaken als:

  • het niet bovenmatig verzamelen van persoonsgegevens;
  • het uniek registreren van personen;
  • het beveiligen van de persoonsgegevens, hetgeen met name van belang is bij het groeiend aantal koppelingen van gegevensbanken en informatiesystemen, keteninformatisering en het voornemen van de overheid om authentieke registraties in te richten;
  • het rolgebaseerd of zelfs op dynamische basis en – sterker nog – ‘business rule’-gebaseerd autoriseren van toegang tot gegevensgroepen en individuele velden met gevoelige persoonsgegevens;
  • het verbeteren van de kwaliteit van de persoonsgegevens;
  • het registreren welke medewerker welke persoonsgegevens heeft ingezien;
  • het anoniem kunnen verwerken van persoonsgegevens;
  • het handhaven van bewaartermijnen en de vernietigingsplicht van persoonsgegevens;
  • het registreren van verstrekkingen aan derden in Nederland en andere EU-landen en aan derden daarbuiten.

Noodzaak tot Privacy Enhancing Technologies

Voor vrijwel alle bovenstaande onderwerpen kan de toepassing van technische maatregelen de afhankelijkheid van organisatorische procedures en het privacybewustzijn beperken en consistentie garanderen. De term Privacy Enhancing Technologies (PET) wordt gehanteerd om alle ICT-middelen aan te duiden die gebruikt kunnen worden om persoonsgegevens te beschermen. In de paragraaf ‘PET-vormen’ wordt in detail ingegaan op de PET-maatregelen die kunnen worden getroffen.

In de toepassing en ontwikkeling van PET is een trend te herkennen. Zoals in dit artikel is gesteld, werd de techniek in eerste instantie vooral ingezet ter bescherming van reeds geregistreerde persoonsgegevens. Vandaag de dag wordt PET echter ook al door een beperkt aantal organisaties ingezet om reeds aan de bron technische maatregelen te treffen en het aantal identificerende gegevens tot het absolute minimum te beperken. Daar waar het niet nodig is, wordt de identiteit niet vastgelegd of wordt de identiteit losgekoppeld van de overige persoonsgegevens. Een belangrijke stap die nog moet worden gezet, is dat alle gegevensverwerkende organisaties kritisch kijken welke gegevens nu echt noodzakelijk zijn voor de dienstverlening. Vaak worden uit gewoonte meer gegevens vastgelegd dan nodig is. Deze overtollige gegevens moeten worden beheerd en beschermd, terwijl ze geen nut dienen en dus alleen maar een risico en kostenpost vormen. De gemakkelijkste manier om dit te voorkomen is uitsluitend die gegevens te verzamelen en te verwerken die strikt noodzakelijk zijn voor het doel waarvoor de verwerking plaats moet vinden. Niet meer en niet minder. Een belangrijk aspect hierbij is dat moet worden vastgesteld of het verwerken van persoonsgegevens ([PKIO02]):

  • noodzakelijk is: ‘identiteitsrijk’;
  • beperkt noodzakelijk is: ‘identiteitsarm’;
  • vermijdbaar is (anonieme dienst): ‘identiteitsloos’.

PET-vormen

Bekende en breed toegepaste basisvormen van PET zijn versleuteling en logische toegangsbeveiliging. Binnen logische toegangsbeveiliging zijn met name het goede beheer van uniek identificerende persoonsgegevens en bijbehorende autorisatiegegevens van belang. Een belangrijke vorm van PET betreft de scheiding van gegevens in meerdere domeinen. Het ene domein bevat de identificerende persoonsgegevens, het andere de overige persoonsgegevens. De financiële, justitiële of medische gegevens zijn dan in één of meer domeinen opgenomen – los van het domein met de identiteitsgegevens. De gegevens in ieder afzonderlijk domein zijn niet privacygevoelig, omdat ze niet herleidbaar zijn naar een natuurlijk persoon. In deze PET-vorm zorgt programmatuur (identiteitsbeschermer) ervoor dat uitsluitend geautoriseerde systeemgebruikers de verschillende gegevensdomeinen kunnen koppelen. Een variant op de gegevensscheiding is de systeemfunctie die wel verifieert welke detailgegevens in de database zijn opgeslagen, maar die details niet vrijgeeft. De functie antwoordt bijvoorbeeld slechts bevestigend of ontkennend op een bevraging. In figuur 2 is de scheiding van gegevens in meerdere domeinen grafisch weergegeven.

C-2004-3-Koorn-02

Figuur 2. Scheiding van gegevens in meerdere domeinen met identiteitsbeschermer.

Een verdergaande integratie van gegevens en programmatuur wordt gevormd door een PET-vorm waarin de persoonsgegevens uitsluitend te benaderen zijn via specifieke programmatuur – het zogenaamde privacymanagementsysteem. Hierin is de vertaling van het privacyreglement geautomatiseerd. Voor ieder gegevenselement en iedere systeemfunctie wordt direct gecontroleerd of een activiteit in overeenstemming is met de regels in het privacyreglement. De ultieme vorm van PET betreft het anonimiseren van persoonsgegevens. Het gaat hierbij om programmatuur die de identificerende persoonsgegevens geheel niet registreert of direct vernietigt nadat die gegevens niet meer nodig zijn, bij voorkeur direct na het verzamelen. Idealiter worden deze persoonsgegevens dan niet eens meer opgeslagen. Dit is de sterkste vorm van bescherming van persoonsgegevens waarbij direct aan de wettelijke privacyeisen is voldaan. Anonimisering is natuurlijk niet altijd toepasbaar; in de situaties waarin persoonsgegevens noodzakelijk zijn kunt u beter één van de voorgaande PET-vormen toepassen.

In figuur 3 is in de PET-trap aangegeven dat de effectiviteit van de bescherming van persoonsgegevens wordt bepaald door de toegepaste PET-vorm. De PET-trap is geen groeimodel en behoeft niet geheel ‘tot de overloop’ te worden opgelopen. Wanneer een organisatie algemene PET-maatregelen heeft toegepast, wil dit niet zeggen dat de organisatie door moet groeien naar ‘hogere’ PET-vormen. De geschiktheid van de verschillende PET-vormen is met name afhankelijk van het type informatiesysteem, het nagestreefde ambitieniveau en de gevoeligheid van de persoonsgegevens.

C-2004-3-Koorn-03

Figuur 3. De PET-trap. [Klik hier voor een grotere afbeelding]

In het algemeen kan worden gesteld dat algemene PET-maatregelen op dit moment het meest worden toegepast, gevolgd door scheiding van gegevens en anonimisering. Het toepassen van privacymanagementsystemen staat in de kinderschoenen en vindt op beperkte schaal plaats.

Kader 3.

Nationaal Trauma Informatie Systeem (NTIS)

Het NTIS is een digitaal registratiesysteem voor traumapatiënten met zwaar acuut letsel die geholpen worden op de afdeling Spoed Eisende Hulp. Artsen, verpleegkundigen en assistenten hebben toegang tot dit systeem. Door de elektronische vastlegging en uitwisseling van medische gegevens kan een efficiëntere en effectievere hulpverlening aan de patiënt worden geboden. Tevens worden de uiterst gevoelige medische patiëntgegevens en behandelmethodieken anoniem geanalyseerd zodat men de behandelmethodieken kan verbeteren, waardoor de patiënten beter kunnen worden geholpen en de kans op overleven groter wordt.

PET-toepassing:

  • sterke beveiliging door een verfijnde autorisatiestructuur, waarbij de rol van de gebruiker bepaalt tot welk deel van het systeem hij of zij toegang heeft.

    Geautoriseerde zorgverleners maken gebruik van digitale certificaten die op chipkaarten zijn opgeslagen of van chipkaarten met biometrische gegevens om zich uniek te identificeren. Andere gebruikers maken gebruik van softwarecertificaten, maar daarmee krijgt men geen toegang tot de medische gegevens.
  • scheiden van gegevens, waarbij de medische gegevens en NAW-gegevens in verschillende tabellen zijn opgeslagen.

    De NAW-gegevens zijn versleuteld, zodat de medische gegevens voor ongeautoriseerde personen (bijvoorbeeld systeembeheerders) niet zijn te herleiden tot een natuurlijk persoon. De database is opgeslagen bij een vertrouwde derde partij, de zogenaamde Trusted Third Party (TTP), die stringente fysieke en logische beveiligingsmaatregelen heeft getroffen en hierop wordt geaudit.
  • minimaliseren van gegevens die worden uitgewisseld met andere informatiesystemen.

    Vanuit het NTIS worden er gegevens verstrekt aan een systeem waarmee de Regionaal Geneeskundig Functionaris (RGF) kan zien welke personen uit zijn gemeente betrokken zijn bij een ramp. Naast de NAW-gegevens wordt uitsluitend een classificatiecode verstrekt. De classificatiecode geeft informatie over de zwaarte van het letsel, maar de RGF krijgt geen inzage in de medische gegevens. Dit systeem bevat een tijdelijke database en de NAW-gegevens blijven hierin niet bewaard.

In figuur 4 is weergegeven op welke wijze de scheiding van gegevensdomeinen is aangebracht.

C-2004-3-Koorn-04

Figuur 4. Globale structuur traumasysteem.

Met het toepassen van PET is dit systeem uiteindelijk mogelijk geworden, zonder dit systeem zou de kwaliteit van de hulpverlening door traumacentra lager zijn. Door het regionale succes van dit systeem is een landelijke uitrol van het NTIS gaande.

In [Wijs04] is de toepassing van Privacy Enhancing Technologies voor het NTIS-systeem uitgebreider beschreven.

PET-kosten

Is PET te duur voor uw organisatie? Nee, er zijn verschillende PET-vormen mogelijk met ieder een eigen kostenniveau. Het is van belang om na te gaan of de kosten die met de oplossing zijn gemoeid in verhouding staan tot de risico’s. Eenvoudige, maar krachtige PET-maatregelen kunnen zelfs met geringe kosten een wezenlijke verbetering van de gegevensbescherming opleveren. Om te onderzoeken of er voor uw organisatie een positieve business case bestaat voor de toepassing van PET, moeten drie kernvragen worden beantwoord. Deze vragen zijn:

  1. Levert PET een wezenlijke bijdrage aan de beleidsdoelstellingen van onze organisatie?
  2. Welke kwalitatieve en kwantitatieve baten kan PET in onze organisatie realiseren?
  3. Welke kosten brengt PET eenmalig en structureel met zich mee?

De kosten van PET-toepassing zijn relatief beperkt als reeds in het ontwerpstadium rekening is gehouden met privacyaspecten. De kwantitatieve én kwalitatieve baten van PET voor de betrokken organisaties, de maatschappij en de geregistreerde burgers c.q. klanten zijn echter aanzienlijk. De kosten van PET-toepassing bedragen bij de meeste projecten gemiddeld slechts enkele procenten van het totaalbudget en laten zich derhalve snel terugverdienen.

Het feit of PET wordt toegepast op bestaande of nieuw te ontwikkelen systemen is ook van invloed op de hoogte van de kosten. Wanneer PET wordt toegepast op bestaande systemen liggen de kosten natuurlijk hoger dan bij nieuwe systemen. De oorzaak hiervan is dat de meeste kostenposten van PET eenmalig zijn en de eenmalige activiteiten deel uitmaken van het gehele systeemontwikkelingstraject. Wanneer de PET-specifieke activiteiten achteraf worden uitgevoerd, moet het bestaande systeem eventueel worden aangepast. Als gevolg hiervan moeten bepaalde activiteiten dubbel worden uitgevoerd en nemen de kosten van de invoering van PET toe.

PET-implementatie

Een belangrijke les uit eerdere PET-projecten is het in een zo vroeg mogelijk stadium nadenken over de noodzaak van vastlegging van persoonsgegevens, de wijze van gegevensbescherming, de oplossingsrichtingen en de bijbehorende kosten en baten. Dit zorgt ervoor dat gegevensbescherming gewoon als één van de eisen wordt geformuleerd en derhalve op een natuurlijke wijze in de bouw wordt betrokken. Het later toevoegen van PET in een informatiesysteem is zeker mogelijk gezien enkele praktijkervaringen, maar kan soms dieper in het informatiesysteem ingrijpen. In het algemeen zijn hier meer tijd en meer kosten mee gemoeid. Overigens geldt dat met name voor de geavanceerde PET-vormen en -maatregelen.

In tabel 1 worden de verschillende fasen weergegeven die moeten worden doorlopen om tot een succesvolle PET-implementatie te komen. Per fase is aangegeven welke PET-specifieke vragen in de betreffende fase moeten worden beantwoord.

C-2004-3-Koorn-05

Tabel 1. PET-stappenplan.

Kader 4.

‘Privacy by design’ in Canada: ICT kan niet alleen privacyproblemen veroorzaken maar ook oplossen!

Uit onderzoek van de overheid van Alberta was gebleken dat de inhoud van haar gegevensbanken voor ongeveer zevenenvijftig procent bestond uit direct of indirect identificeerbare persoonsgegevens. Vandaar dat een privacyarchitectuur binnen de centrale overheid van de provincie Alberta (Canada) als een logische stap werd gezien. Deze vormt een uitbreiding op de reeds bestaande ICT-infrastructuur en de Government of Alberta Enterprise Architecture (GAEA). Met deze privacyarchitectuur kan de overheid van Alberta haar privacybeleid met ICT realiseren en ervoor zorg dragen dat het gebruik van geavanceerde technieken voldoet aan de wettelijke privacyvereisten.

De vereisten voor de privacyarchitectuur werden in detail vastgelegd in oktober 2002 door middel van overheidsbreed georganiseerde werkvergaderingen met de betrokken beleidsambtenaren, ambtenaren verantwoordelijk voor de ICT-infrastructuur en vertegenwoordigers van het bedrijfsleven. Het resultaat van deze workshops leidde tot een lijst van twaalf vereisten, die gedetailleerd werden vastgelegd in het beleidsstuk over de GAEA Privacy Architecture Requirements. Niet alleen werd een afspraak gemaakt over de gemeenschappelijke privacyterminologie, de noodzakelijke gebruikersinterfaces en het gebruik van technologie om het privacybeleid af te dwingen, maar ook over een identiteitssysteem gebaseerd op betekenisloze maar unieke nummers (MBUN’s)[De MBUN’s zijn niet gebaseerd op reeds bestaande identificerende nummers.]. Deze nummers dienen als referentie naar bewust gefragmenteerde en aldus slechts per deel benaderbare domeinen van persoonsgegevens. Het concept van identificatie-sleutelnummers is gebaseerd op het inzetten van identiteitsbeschermers en gelaagde identiteitsdomeinen. Na de specificatie van de vereisten voor de privacyarchitectuur werd een testmodel ontwikkeld, dat vervolgens in dezelfde werkgroepen werd becommentarieerd. Met de verkregen informatie werd ten slotte het privacymanagementsysteem gerealiseerd. Dit systeem ontving de HP Privacy Innovation Award in 2003.

Toekomst

Onze verwachting is dat privacy en Privacy Enhancing Technologies een integraal deel zullen uitmaken van systeemontwikkeling. De burgers en consumenten verwachten van organisaties dat zij zorgvuldig en efficiënt met persoonsgegevens omgaan. Eenmalige registratie aan de bron en vertrouwelijke omgang in alle fasen van gegevensverwerking in het systeem en de keten behoren daartoe. Om deze verwachtingen te kunnen inlossen en om de kwaliteit van de gegevens te waarborgen zullen organisaties in toenemende mate dergelijke technologieën gaan toepassen. Wij verwachten dat in eerste instantie het merendeel van de overheidsorganisaties een vorm van Privacy Enhancing Technologies gaat toepassen, gevolgd door bedrijven die gevoelige persoonsgegevens verwerken of moeten voldoen aan stringente wet- en regelgeving. Hiermee zullen vraag en aanbod van Privacy Enhancing Technology-oplossingen gelijke tred moeten houden.

Conclusie

Door technische maatregelen te treffen wordt niet alleen een effectievere en efficiëntere gegevensbescherming bereikt. De toepassing van technische maatregelen vraagt namelijk ook om kritisch na te denken over persoonsgegevens en over de noodzaak en de bescherming ervan. Deze aanpak verhoogt de integriteit en vertrouwelijkheid van de gegevens en maakt een efficiëntere verwerking van persoonsgegevens mogelijk. Met Privacy Enhancing Technologies behoeft in mindere mate te worden gesteund op de naleving van procedures, maar worden privacybepalingen direct in de applicatie of in de ICT-infrastructuur verankerd.

Derhalve willen we op een onorthodoxe wijze dit artikel besluiten.

PET is meer dan een manier om persoonsgegevens te beschermen:

  • Vraag naar PET
    • PET bevordert de informatiekwaliteit.
    • De afhankelijkheid van de goede naleving van processen en procedures vermindert door het automatisch afdwingen van privacyregels.
    • Het toepassen van PET kan een middel zijn om burgers betere inzage- en controlemogelijkheden over hun persoonsgegevens te geven.
    • De toepassing van PET geeft de organisatie een innovatief imago.
  • Noodzaak tot PET
    • Met PET kan eenvoudiger worden voldaan aan de Wet bescherming persoonsgegevens.
    • PET is voorwaardenscheppend voor het vertrouwen van de burger.
    • PET maakt werken met gevoelige persoonsgegevens mogelijk.
  • Mogelijkheden voor PET-toepassing
    • PET is al vele malen succesvol geïmplementeerd (zie ook casussen in [BZK04]).
    • PET heeft slechts een beperkte invloed op de ontwikkelkosten van een nieuw informatiesysteem aangezien de technieken voorhanden zijn en de kosten voornamelijk samenhangen met het toepassen ervan. Het ‘kost’ met name denk- en ontwerpwerk.
    • Het opnemen van PET in de informatiearchitectuur biedt een basis om PET in verschillende informatiesystemen efficiënt toe te passen.

Literatuur

[BZK04] Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Witboek Privacy Enhancing Technologies, een witboek voor beslissers, december 2004.

[EPIC03] EPIC/Global Internet Liberty Campaign/ Privacy International, Privacy and Human Rights: An international survey of privacy laws and practices, 2003.

[Koor01] R.F. Koorn en M. Dontje, Internationale privacyaspecten en de Wbp, Compact 2001/4.

[PKIO02] PKIoverheid, PET en de PKI voor de overheid, november 2002.

[Wijs04] B. Wijskamp, J. ter Hart, L. Taal en R.F. Koorn, Casusbeschrijving Nationaal Trauma Informatie Systeem, toepassing van Privacy Enhancing Technologie bij traumacentra, oktober 2004.

Identity Management: hoe (on)toereikend is het nu en hoe kan het beter?

De situatie in Nederland op Identity Management-gebied laat vele knelpunten zien; organisaties blijken niet ‘in control’ te zijn. Gedeelde wachtwoorden, silo-oplossingen per applicatie of platform met hierdoor talloze authenticatiemiddelen en wachtwoordregimes, gestapelde autorisaties, doorbroken functiescheiding, weinig inzicht bij het management, hoge helpdeskkosten voor wijzigen van wachtwoorden en autorisaties, etc. De lijst van zwakke punten liegt er niet om. Dit artikel vat de belangrijkste uitkomsten samen van het grootschalige Identity Management-onderzoek dat KPMG heeft uitgevoerd. Inmiddels zijn veel organisaties gestart met het verbeteren van het authenticatie- en autorisatiemanagement, de ingrediënten van Identity Management. Daartoe heeft KPMG Information Risk Management een programma- en projectaanpak ontwikkeld die eveneens in dit artikel beknopt wordt behandeld.

Inleiding

In 2003 heeft KPMG Information Risk Management in samenwerking met het Genootschap van Informatie Beveiligers (GvIB) een onderzoeksvragenlijst inzake Identity Management verstuurd naar bijna 1000 Nederlandse organisaties, in alle publieke en private sectoren. 224 organisaties hebben gereageerd, zodat gesproken kan worden van een representatief beeld van de huidige situatie (zie figuur 1).

C-2004-2-Koorn-01

Figuur 1. Respondenten ingedeeld naar sectoren.

Achtergrond Identity Management

Identity Management is een veelgebruikte term waarmee niet altijd exact hetzelfde wordt bedoeld (zie figuur 2). In feite gaat het om logische toegangsbeveiliging in een eigentijdse vorm. Om onduidelijkheid te voorkomen gaan we in dit artikel uit van de volgende omschrijving:

C-2004-2-Koorn-02

Figuur 2. Alfabetsoep rond Identity Management.

Identity Management:

Het beleid, de processen en ondersteunende systemen die managen welke personen toegang verkrijgen tot informatie en ICT-middelen en wat ieder persoon gerechtigd is hiermee te doen.

Identity Management omvat het vaststellen en verifiëren van de identiteit van personen c.q. ICT-gebruikers (authenticatiemanagement) en het vaststellen, toewijzen, verifiëren en zo nodig intrekken van toegangsrechten van geauthenticeerde gebruikers tot specifieke systemen en informatie (autorisatiemanagement). Hierbij ondersteunende activiteiten betreffen het beheer van gebruikersgegevens (‘user management’) en het gebruikers voorzien van authenticatiemiddelen en autorisaties (‘provisioning’).

Een gebruiker die toegang wil verkrijgen tot een specifiek systeem of bepaalde informatie zal zich eerst eenduidig moeten authenticeren. Dit houdt in dat wordt vastgesteld of deze gebruiker inderdaad degene is die hij zegt te zijn. Na een succesvolle authenticatie zal van deze gebruiker moeten worden vastgesteld tot welke systemen en informatie hij is geautoriseerd toegang te krijgen. Op basis van een samengestelde set van toegekende autorisaties wordt de gebruiker vervolgens al dan niet toegang verleend.

In een praktijkvoorbeeld werkt dit als volgt: een gebruiker wil inloggen op een webportal. Allereerst zal hij zijn identiteit tonen door bijvoorbeeld een gebruikersnaam in te voeren. Om aan te tonen dat zijn gebruikersnaam bij hem hoort zal de gebruiker zich authenticeren met een authenticatiemiddel, bijvoorbeeld door een wachtwoord in te voeren of een smartcard te laten uitlezen. De ingevoerde gebruikersnaam en het bijbehorende wachtwoord worden vervolgens vergeleken met in de authenticatiedatabase (al dan niet versleuteld) opgeslagen gebruikersnamen en wachtwoorden. Deze authenticatiedatabase dient actuele gebruikersgegevens te bevatten. Deze database(s) wordt (worden) veelal onderhouden door ICT-medewerkers, maar in verschillende organisaties (ook) door applicatiebeheerders in de gebruikersorganisatie.

C-2004-2-Koorn-03

Figuur 3. Voorbeeld van het verkrijgen van toegang tot een webportal.

Zodra de authenticatie succesvol is verlopen krijgt de gebruiker, op basis van actuele gegevens die zijn opgeslagen in de autorisatiedatabase(s), wel of geen toegang tot specifieke via de portal toegankelijke applicaties of informatie (ook een geauthenticeerde gebruiker heeft immers toegang tot bepaalde systemen en gegevens). Dit kan bijvoorbeeld geschieden op basis van deelname van de gebruiker aan een groep, zijn functie of zijn organisatorische rol. Dit laatste wordt Role-Based Access Control (RBAC) genoemd (zie verder het artikel van Heiden c.s. in deze Compact en [Mien03]).

Waarom aandacht besteden aan Identity Management?

Logische toegangsbeveiliging is van belang sinds er informatiesystemen worden gebruikt. Vanwaar dan momenteel de aandacht voor het onderwerp? Redenen hiervoor zijn onder andere:

  • de noodzaak van een betere grip en controle op de toegang tot bedrijfsinformatie en systemen vanwege:
    • een explosieve groei van het aantal voor gebruikers beschikbare objecten (applicaties, informatie en systemen) in een geconsolideerde ICT-infrastructuur over een variëteit van kanalen (LAN, WAN, internet, mobiel, wireless);
    • het ontsluiten van de interne ICT-infrastructuur voor externe gebruikersgroepen, zoals klanten, freelancers, leveranciers en businesspartners;
    • de veranderende wet- en regelgeving, waaronder de Wet bescherming persoonsgegevens (Wbp), Sarbanes-Oxley, Tabaksblat en Basel II;
    • de aandacht bij toezichthoudende instanties op het vlak van corporate governance (‘goed huisvaderschap’);
  • de noodzakelijk geachte kostenverlaging door het verminderen van de belasting van helpdeskmedewerkers, applicatie-, systeem- en databasebeheerders alsmede van ICT-auditors;
  • het verhogen van de kwaliteit van de ICT-dienstverlening aan de in- en externe klanten, ten aanzien van:
    • gebruikersgemak;
    • toegangsmogelijkheden (24 × 7). Dit alles met behoud van adequate controle.

Om te kunnen vaststellen hoeveel waarde wordt toegekend aan de inzet van Identity Management is organisaties ook gevraagd in hoeverre Identity Management wordt gezien als ‘enabling technology’ bij elektronische dienstverlening. Een enabling technology is gedefinieerd als een technologie die bepaalde typen interne of externe dienstverlening en transacties vergemakkelijkt en/of mogelijk maakt (aangaan van een contractuele overeenkomst, aankooptransacties, toegang tot uiterst privacygevoelige gegevens, e.d.). Het grootste deel (76%) van de organisaties ziet Identity Management als enabling technology voor elektronische dienstverlening (zie figuur 4).

C-2004-2-Koorn-04

Figuur 4. Reacties op de stelling: Identity Management is enabling technology.

Tevredenheid

Aan organisaties is de volgende stelling voorgelegd: ‘Wij zijn tevreden over de wijze waarop Identity Management momenteel is ingericht.’ Uit figuur 5 blijkt dat ruim 30% aangeeft tevreden te zijn over de huidige inzet van Identity Management en dat ruim 30% ontevreden is.

C-2004-2-Koorn-05

Figuur 5. Reacties op de stelling: Wij zijn tevreden over de wijze waarop Identity Management momenteel is ingericht.

Het meest tevreden zijn organisaties in de sectoren Media, IT & entertainment, Financiële dienstverlening en de Nationale overheid. Het is opmerkelijk dat financiële instellingen zo tevreden zijn, aangezien daar momenteel grootschalige Identity Management-projecten plaatsvinden. Het minst tevreden zijn organisaties in de sectoren Onderwijs, Gezondheidszorg en Detailhandel.

Redenen voor verbetering

Vanwaar de vele Identity Management-projecten? In figuur 6 is te zien wat de meest genoemde redenen voor aanpassing zijn.

Uit de gedetailleerde onderzoeksresultaten blijkt verder dat het reduceren van het aantal authenticatiemiddelen en het integreren van fysieke en logische toegangsbeveiliging, bijvoorbeeld door het multifunctioneel maken van de toegangspas (bijv. smartcard), andere drivers van belang zijn.

C-2004-2-Koorn-06

Figuur 6. Redenen voor aanpassen van Identity Management.

In tegenstelling tot de verhalen van consultants en leveranciers zijn Identity Management-projecten derhalve niet geïnitieerd als kostenbesparingsoperatie, maar voornamelijk voor het verbeteren van de gebruikersvriendelijkheid en het ‘in control’ zijn c.q. naleving van externe en interne richtlijnen.

Verantwoordelijkheid

In figuur 7 is te zien dat bij de helft van de organisaties de verantwoordelijkheid voor Identity Management is belegd in de gebruikersorganisatie (directie, informatiebeveiliging, proces/systeemeigenaren) en bij de andere helft in de ICT-organisatie (hoofd ICT-afdeling). Gezien het door ons in de praktijk waargenomen technische karakter waarmee diverse organisaties dit onderwerp benaderen, verbaast het ons niet dat deze verantwoordelijkheid nog niet bij alle organisaties aan de gebruikerszijde is geplaatst.

C-2004-2-Koorn-07

Figuur 7. Verantwoordelijkheid voor Identity Management.

Het is ook gebleken dat het niet toekennen van verantwoordelijkheden gerelateerd is aan het niet beschikken over beleid op Identity Management-gebied.

Authenticatiemiddelen

De door onderzoeksbureaus voorspelde sterke opkomst van alternatieven voor wachtwoorden blijkt maar beperkt bewaarheid te worden. Het gebruik van tokens en digitale certificaten neemt geleidelijk toe, waarbij softwarecertificaten uit kostenoverwegingen veelal de voorkeur krijgen (zie figuur 8). Het succes van biometrische beveiliging lijkt sterk afhankelijk te zijn van grootschalige introductie door de overheid (nationale identiteitskaart, zorgpas, e.d.).

C-2004-2-Koorn-08

Figuur 8. Type gebruikt authenticatiemiddel.

Delen van authenticatiemiddelen

Uit figuur 9 blijkt dat in 71% van de organisaties sprake is van het incidenteel of structureel delen van authenticatiemiddelen zoals wachtwoorden. Dit betekent dat het handhaven van functiescheidingen en het naleven van bijvoorbeeld de Wet bescherming persoonsgegevens moeilijk of geheel niet is af te dwingen. Tevens zijn mutaties niet meer herleidbaar tot de persoon die ze heeft aangebracht.

C-2004-2-Koorn-09

Figuur 9. Delen van authenticatiemiddelen.

Toekennen van autorisaties

De wijze waarop autorisaties worden toegekend aan gebruikers varieert van het kopiëren van bestaande accounts en/of templates (52%) tot aan Role-Based Access Control (RBAC) (37%). Bij slechts 1% van de organisaties hebben geauthenticeerde gebruikers toegang tot alle ICT-objecten. Overigens blijkt in de praktijk dat een individueel autorisatieprofiel afgestemd op iemands functie vaak al wordt gezien als RBAC.

C-2004-2-Koorn-10

Figuur 10. Wijze van autorisatietoekenning.

Overzicht en controle van autorisaties

Hoe is het gesteld met de beheermatige aspecten van autorisatiemanagement? In figuur 11 is zichtbaar dat slechts 39% van de organisaties zegt te kunnen beschikken over een juist, volledig en actueel overzicht van verleende autorisaties, 35% geeft aan hierover zeker niet te kunnen beschikken.

C-2004-2-Koorn-11

Figuur 11. Reacties op de stelling: Actueel overzicht van verleende autorisaties is beschikbaar.

Identity Management functioneert in een dynamische omgeving met betrekking tot gebruikers (bijvoorbeeld verloop van personeel, verandering van taken en rollen van medewerkers, diversiteit in externe medewerkers en klanten) en met betrekking tot de technische systemen en applicaties (nieuwe applicaties, nieuwe applicatieversies, nieuwe platformen en besturingssystemen). Hierdoor is het van belang de inzet van Identity Management regelmatig te controleren. Controle kan vaststellen of toegangsrechten mogelijk te ruim zijn ingesteld en in hoeverre accounts van uit dienst getreden personeel nog bestaan. Dergelijke ‘ghost accounts’ verlagen het beveiligingsniveau en verhogen de kosten, zeker in het geval van kostbare licenties.

Wat gebeurt er vervolgens met dergelijke overzichten? Bijna de helft van de organisaties (46%) voert periodiek controles uit op uitgegeven autorisaties. Bij 34% worden geen periodieke controles uitgevoerd (zie figuur 12). 13% voert nooit controles uit.

C-2004-2-Koorn-12

Figuur 12. Reacties op de stelling: Periodiek vindt controle op verleende autorisaties plaats.

Bovenstaande uitkomsten op het gebied van autorisatiebeheer resulteren in een situatie waarin autorisaties niet geheel of zelfs geheel niet in overeenstemming zijn met de organisatorische eisen en wensen. Een significant deel van de respondenten (36%) geeft namelijk aan dat bij controles vaak blijkt dat autorisaties in hun organisatie te ruim zijn ingesteld en 27% geeft aan dat dit niet het geval is (zie figuur 13).

C-2004-2-Koorn-13

Figuur 13. Reacties op de stelling: Autorisaties zijn te ruim ingesteld.

Onweerlegbaarheid

Onweerlegbaarheid van transacties betekent dat een communicatie of een transactie noch door de zender noch de ontvanger achteraf kan worden ontkend. Organisaties is gevraagd welke maatregelen zijn genomen om de onweerlegbaarheid van elektronische transacties te kunnen waarborgen. De resultaten staan in figuur 14 weergegeven. Om transacties formeel te kunnen accorderen wordt vooral gebruikgemaakt van eenvoudige oplossingen, zoals een ‘OK’-knop (18%) of bevestiging per e-mail (14%), telefoon of SMS (3%). Hierbij moet worden opgemerkt dat deze maatregelen op zich onweerlegbaarheid vanuit juridisch oogpunt niet afdoende kunnen waarborgen.

C-2004-2-Koorn-14

Figuur 14. Maatregelen voor onweerlegbaarheid.

Sinds de invoering van de wet Elektronische Handtekening medio 2003 is het technisch mogelijk de onweerlegbaarheid van elektronische transacties te garanderen en hier zelfs een juridische consequentie aan te koppelen. Ondanks dat de elektronische handtekening relatief recentelijk wettelijk en technisch mogelijk is geworden, gaf inmiddels al 11% van de respondenten aan gebruik te maken van een vorm van een elektronische handtekening.

Uitbesteding

Figuur 15 geeft een verrassend hoge uitkomst inzake mogelijke uitbesteding op authenticatiegebied. 84% van de organisaties zal zeker of eventueel gebruik gaan maken van authenticatiediensten en -middelen die door een andere partij worden verstrekt.

C-2004-2-Koorn-15

Figuur 15. Uitbesteding van authenticatiediensten.

In figuur 16 zijn de belangrijkste redenen om van authenticatiediensten van derden gebruik te maken opgenomen. Dit zijn met name betrouwbaarheid, betaalbaarheid en gebruikersvriendelijkheid.

C-2004-2-Koorn-16

Figuur 16. Redenen voor uitbesteding van authenticatie.

Diverse organisaties blijken in aanmerking te komen om deze authenticatiediensten te leveren, maar banken (32%), overheid (18%) en ICT-dienstverleners worden het meest genoemd (zie figuur 17).

C-2004-2-Koorn-17

Figuur 17. Uitbestedingspartij voor authenticatiediensten.

Kader 1. KPMG Identity Management-projectaanpak – Pragmatisch vanuit een visie!

De behoefte aan een betere inrichting van Identity Management wordt breed onderkend:

  • noodzaak tot betere grip en controle op autorisaties (ingegeven door regelgeving);
  • noodzakelijke reductie van de (administratie)kosten van de helpdesk;
  • verhoging van de kwaliteit van de ICT-dienstverlening aan de (interne) klant.

Echter, het invoeren van Identity Management is geen sinecure:

  • Invoering van Identity Management is complex, het raakt zowel de gehele ICT-omgeving als de organisatie.
  • Hoewel de problematiek in generieke zin speelt voor iedere organisatie, is het noodzakelijk te onderkennen dat de invoeringsstrategie per organisatie verschilt.

    Binnen de invoeringsstrategieën kunnen diverse invoeringsparameters worden onderkend, zoals:

    • doelgroepen van gebruikers;
    • platformen;
    • applicaties;
    • organisatorische eenheden;
    • fysieke locaties,

      alsmede de prioriteitstelling vanuit de organisatie (bijv. door een ERP- of SOX-project). Op basis van deze parameters zal de invoeringsstrategie voor een organisatie worden bepaald.
  • Een succesvolle invoering vereist specialisme in kennis en ervaring, vaak aangevuld met tooling. Door de hoeveelheid gebruikers, authenticatiemiddelen en autorisaties is het ons inziens niet goed mogelijk zonder inzet van geautomatiseerde hulpmiddelen een efficiënt en effectief Identity Management in te voeren.

Om genoemde redenen heeft KPMG Information Risk Management een programma-aanpak ontwikkeld, KPMG Identity Management in Control genaamd, welke zich in de praktijk al meermalen heeft bewezen. Deze aanpak kenmerkt zich door pragmatiek met en vanuit een visie, gericht op een structureel langetermijnresultaat, gecombineerd met een zichtbaar kortetermijnrendement.

C-2004-2-Koorn-18

Klik hier voor grotere afbeelding

Op hoofdlijnen bevat de Identity Management-aanpak de volgende stappen:

  • Na een korte inventarisatie van de uitgangspunten of een vaststelling van de visie en het opstellen van de Identity Management-blauwdruk, is de aanpak gericht op het op korte termijn realiseren van een aantal ‘quick wins’. Dit kan worden bereikt met het uitvoeren van een aantal kleinschalige implementaties ter toetsing van de toepasbaarheid van het Identity Management-concept in één of meer organisatieonderdelen. De kleinschalige implementaties zijn gericht op het inrichten en verbeteren van de verschillende Identity Management-functionaliteiten, zoals daar zijn gebruikers-, authenticatie- en autorisatiemanagement, alsmede het verbeteren van de controleerbaarheid met auditing- en loggingfuncties.
  • Na deze kleinschalige implementaties wordt een stappenplan (‘Identity Management Roadmap’) opgesteld voor de te doorlopen vervolgactiviteiten op de verschillende Identity Management-gebieden. De stappen leiden tot beheersbare plateaus met een stabiele functionaliteit van waaruit de vervolgstap is te maken – wederom op basis van de evaluatie van de gerealiseerde situatie en de kosten-batenverhouding van vervolgstappen. Dit voorkomt het ontstaan van één langdurig, kostbaar en moeilijk beheersbaar project met constante wijziging van alle elementen.
  • Onder coördinatie van een op te zetten Identity Management-programma(bureau) zullen vervolgens separate projecten het uiteindelijke resultaat moeten realiseren: ‘Identity Management in control’.

Conclusie

We concluderen uit de onderzoeksresultaten dat Nederlandse organisaties niet ‘in control’ zijn. De problemen met het wijdverbreid delen van authenticatiemiddelen en matig gemanagede autorisaties zorgen ervoor dat er grote risico’s bestaan in de vorm van beveiligings- en privacyincidenten, fraude, identiteitsdiefstal en dergelijke. Een soortgelijk beeld komt naar voren uit ICT-audits die wij als KPMG uitvoeren. De uitkomsten wijzen er ook op dat relevante wet- en regelgeving bij diverse organisaties niet wordt nageleefd!

Overigens blijkt uit het onderzoek wel dat organisaties hun processen voor het toekennen van authenticatiemiddelen en autorisaties hebben verbeterd en grotendeels geüniformeerd. Wel is er veelal een oplossing per applicatie, ICT-omgeving of organisatieonderdeel in gebruik. Dit gaat nog niet altijd gepaard met meer structurele verbeteringsactiviteiten, zoals:

  • het standaardiseren van authenticatiemanagement;
  • het toepassen van autorisatierollen;
  • het inbedden in de beveiligingsarchitectuur en ICT-infrastructuur;
  • het centraliseren van de Identity Management-functie;
  • het verbeteren van de efficiëntie met specifieke Identity Management-software.

Voor het realiseren van een dergelijk volwassenheidsniveau op Identity Management-gebied is een gedegen aanpak onontbeerlijk. Met de in dit artikel geschetste aanpak en stappen valt – zo is in de praktijk gebleken – een structurele verbetering te bewerkstelligen.

Literatuur

[KPMG03] Executive Summary Identity Management Survey 2003, KPMG, november 2003 (per e-mail op te vragen bij de auteurs).

[KPMG02] Global Information Security Survey 2002, KPMG, maart 2002.

[Mien03] Ing. P. Mienes RE en B. Bokhorst RE RA, De (on)beheersbaarheid van toegangsbeveiliging, Compact 2003/1.

Rolgebaseerd autoriseren: effectief sturen op ICT-gebruik

Het belang van een effectieve sturing op en beheersing van het gebruik van ICT is voor u evident. Zo ook de vaststelling dat deze vrijwel altijd onder de maat is. De organisatie is niet goed in staat te formuleren wie op welke wijze gebruik mag maken van ICT-toepassingen. Het gevolg is een onbetrouwbaar en zeer inefficiënt autorisatiebeheerproces dat niet in staat is de herleidbaarheid van uitgegeven permissies te waarborgen. Met als gevolg dat de ICT-verantwoordelijke het ICT-gebruik niet ‘in control’ heeft, waardoor er onvoldoende basis is voor sturing en verantwoording. Dit artikel beschrijft niet alleen waarom deze sturing ontoereikend is (en dus goed onderbouwde verantwoording moeilijk mogelijk maakt) ondanks allerlei goedbedoelde doch niet coherente maatregelen en de inzet van vaak peperdure softwarepakketten, maar geeft ook aan hoe met behulp van rolgebaseerd autorisatiemanagement en de juiste tooling effectieve sturing wel mogelijk is.

Klik op het pdf-symbool om het volledige artikel te bekijken.

CHILLI: scanning tool externe netwerkkoppelingen

‘Tussen droom en daad staan wetten en praktische bezwaren.’ Zelfs als de droom het handhaven van een wet of beleidsregel is, blijken de praktische bezwaren soms in de weg te staan. Een voorbeeld hiervan is het verbod op ongecontroleerde verbindingen van het bedrijfsnetwerk met het internet. Deze ‘ongewenste intimiteiten’ vormen een potentieel gevaar voor de veiligheid van het netwerk. Het is echter niet haalbaar continu fysieke controles uit te voeren en bestaande geautomatiseerde hulpmiddelen richten zich eerder op beheer dan op beveiliging. Een door de auteurs ontwikkeld tool spoort internetkoppelingen op en helpt daarmee de beveiliging van een netwerk (verder) onder controle te krijgen.

Inleiding

Inzet van internettechnologieën is vaak één van de voortvloeisels uit de strategie en het beleid van een bedrijf. Organisaties die hiervoor kiezen realiseren zich meestal al snel dat een (internet) beveiligingsbeleid een onmisbaar element is van die strategie. Dit kan onder meer tot uiting komen door een wildgroei aan (decentrale) ICT- en internetinitiatieven, die meestal een functionele drijfveer hebben en waarbij nogal eens aan de impact op de beveiliging voorbij wordt gegaan. Vooral in grotere en/of geografisch verspreide organisaties onttrekt een deel van dergelijke activiteiten zich aan het directe (toe)zicht van de terzake verantwoordelijke(n). Meestal beschikt dit management ook niet over voldoende competenties om zelfstandig vast te stellen welke externe koppelingen aanwezig zijn en in hoeverre ze worden gebruikt.

Een probleem hierbij is dat een aantal veelvoorkomende veiligheidsbepalingen tot op heden geen geautomatiseerde of tool-based controlemiddelen kende en dat het naleven van dergelijke bepalingen hierdoor soms geheel niet te controleren is, waardoor deze bepalingen moeilijk te handhaven zijn. Dit betreft onder meer bepalingen die te maken hebben met zelf geïnstalleerde software op desktop- en laptopcomputers, het gebruik van laptops in netwerkomgevingen anders dan het eigen kantoornetwerk en externe modem- en netwerkverbindingen vanaf het eigen kantoornetwerk. Wij zijn in de praktijk regelmatig geconfronteerd met de praktische vraag hoe dergelijke bepalingen te handhaven. Enige tijd geleden hebben we daarom een tool ontwikkeld voor de detectie van ongeautoriseerde internetkoppelingen.

Bedreiging van binnen uit

Tot op heden werden ongeautoriseerde internetkoppelingen niet als het meest acute probleem beschouwd. Immers, andere meer dringende zaken, zoals het creëren van een veilige internetkoppeling en e-mailinfrastructuur en het controleren en monitoren van internetgebruik, hadden een grotere prioriteit (figuur 1). Hiervoor zijn technieken en diensten ontwikkeld als wardials, penetratietests en configuratiereviews.

Echter, de tijd verandert, en daarmee ook de (beheersing van) risico’s die gepaard gaan met internetgebruik en mobiliteit van gebruikers. Een risico dat in toenemende mate aandacht verdient, is het risico van ongeautoriseerde externe koppelingen. Hierbij moet u denken aan:

  • gebruikers die naar internet uitbellen om de URL-blacklist[De door de firewall of proxyserver geblokkeerde websites.] te omzeilen, terwijl ze tegelijkertijd een koppeling met het interne netwerk hebben;
  • een afdeling die liever zelf een website host en daarom een eigen ADSL-lijn heeft genomen, maar ook aan het LAN gekoppeld is;
  • foutief geconfigureerde VPN-tunnels, waardoor ‘open uiteinden’ naar het internet ontstaan.

C-2004-1-Moonen-01

Figuur 1. Situatie zoals het hoort.

Soms zijn ongeautoriseerde externe koppelingen een erfenis van fusies of overnames. Het mag duidelijk zijn dat wanneer de voordeur goed op slot zit (firewall), de aandacht vervolgens gericht moet zijn op de achterdeuren (ongeautoriseerde externe koppelingen).

Zoals in figuur 2 wordt geïllustreerd, is het bestaan van dergelijke achterdeuren een aanzienlijk risico voor de beveiliging van het interne netwerk. Virussen, wormen, maar ook hackers kunnen via deze achterdeuren het interne netwerk binnendringen.

C-2004-1-Moonen-02

Figuur 2. Realiteit: achterdeuren bestaan!

Wanneer een ICT-auditor gevraagd wordt een oordeel te geven over de ICT-beveiliging zal hij dus ook rekening moeten houden met eventuele onbekende en potentieel onbeschermde externe koppelingen. In veel gevallen wordt impliciet aangenomen dat het interne netwerk veilig is en worden er op centrale servers geen (aanvullende) maatregelen getroffen die passen bij een systeem met een directe, onbeschermde internetkoppeling. Het bestaan van dergelijke koppelingen heeft dan ook een enorme impact op het beveiligingsniveau.

Detectie

Het TCP/IP-protocol wordt tegenwoordig in vrijwel alle netwerken toegepast. In dit protocol worden berichten uitgewisseld door ze als één of meer gegevenspakketten van zender naar ontvanger te transporteren. Hiertoe worden de gegevenspakketten voorzien van een bestemming en, onder meer ten behoeve van het eventuele antwoord, een afzender. Niets weerhoudt ons er echter van een valse afzender te vermelden!

C-2004-1-Moonen-03

Figuur 3. Stappen in de detectie van een internetverbinding met behulp van vervalste gegevenspakketten.

De genoemde achterdeuren blijken redelijk eenvoudig op te sporen, indien handig gebruik wordt gemaakt van het feit dat de TCP/IP-implementatie op de meeste computersystemen geprogrammeerd is om antwoord te geven op vervalste gegevenspakketten:

  • Stap 1. Luister op internet naar gegevenspakketten vanuit het interne netwerk.
  • Stap 2. Stuur vanaf het interne LAN een gegevenspakket met vervalst afzendadres (van de machine op internet, stap 1) naar de verdachte machine.
  • Stap 3. De verdachte machine antwoordt op het gegevenspakket via de ongeautoriseerde verbinding met de buitenwereld.
  • Stap 4. Als een antwoord wordt ontvangen, is een externe verbinding ontdekt.

Deze opzet werkt natuurlijk alleen onder bepaalde voorwaarden. Ten eerste dient het vervalste afzendadres het adres te zijn van de machine die op internet luistert, ten tweede dient het gegevenspakket er een te zijn dat inderdaad een antwoord genereert en ten derde moet de infrastructuur het verzenden van pakketten met vervalst afzendadres ondersteunen. Het blijkt in de meeste gevallen eenvoudig om aan deze voorwaarden te voldoen. Pakketten die hiervoor in aanmerking komen zijn:

  • UDP-pakketten naar een gesloten poort (het antwoord hierop is een ‘ICMP port unreachable’-pakket);
  • ICMP echo request (beter bekend als ‘ping’)-pakketten (het antwoord is een ‘ICMP echo reply’);
  • TCP SYN-pakketten naar een open poort (het antwoord hierop is een SYN/ACK-pakket);
  • TCP SYN-pakketten naar een gesloten poort (het antwoord hierop is een RST-pakket).

Het is altijd mogelijk dat het interne netwerk de vervalste pakketten tegenhoudt of dat een ongeautoriseerde verbinding geen directe netwerkverbinding met het internet toestaat. Wellicht biedt de ongeautoriseerde verbinding dan een proxy-dienst aan. Deze koppelingen zijn te ontdekken door te zoeken naar bekende proxy-diensten. Proxy-diensten zijn meestal geconfigureerd om gebruik te maken van standaard TCP-poorten en verkeer naar deze poorten wordt meestal vrij doorgelaten door het interne netwerk. Door nu te controleren of deze poorten openstaan, en zo ja deze te verzoeken om bijvoorbeeld www.cnn.com te sturen, kan worden nagegaan of inderdaad sprake is van een proxy-dienst. Op deze manier wordt dan langs een andere weg het bestaan van de koppeling vastgesteld.

Door deze twee technieken te combineren is het mogelijk om geautomatiseerd alle ‘hosts’ op een netwerk te testen op externe koppelingen. De beschikbaarheid van hulpmiddelen om er deze tests mee uit te voeren is een grote stimulans gebleken voor de controle op externe koppelingen.

Wij hebben de hier beschreven techniek gestalte gegeven in de door ons ontwikkelde CHILLI-software (Centralised Hidden Internet Link Locating Infrastructure). Deze software bestaat uit drie elementen, te weten de zender van de vervalste pakketten, de ontvanger op internet en de rapportagemodule. Door periodiek de zender het gehele netwerk te laten scannen, kan in kaart worden gebracht waar zich internetkoppelingen bevinden. Verder onderzoek kan dan uitwijzen of dit geautoriseerde dan wel ongeautoriseerde koppelingen zijn. Op deze manier is er een geautomatiseerd hulpmiddel beschikbaar voor een actief externe-koppelingenbeleid.

Tijdens een scan met CHILLI op het netwerk van een zakelijke dienstverlener werd naast een bewust aangebracht controlepunt (ter bevestiging van de correcte werking) een onverwachte externe verbinding aangetroffen. Nader onderzoek wees uit dat een senior medewerker buiten de geboden beveiligingsfuncties om een verbinding naar het internet had gelegd. De interne organisatie heeft het incident verder afgehandeld.

In een ander onderzoek werden alleen de toegestane externe koppelingen aangetroffen. Blijkbaar waren er op het moment van de test geen ongeautoriseerde koppelingen actief die met onze testmethode gedetecteerd kunnen worden. De toegestane koppelingen hadden zich echter uit veiligheidsoverwegingen niet kenbaar mogen maken in de TCP/IP-test en dat was een reden om de configuratie aan te passen.

Conclusie

We hebben binnen de eerste versie van CHILLI een eerste set van mogelijke detectiemethoden gerealiseerd. Zelfs met deze beperkte set is het al mogelijk gebleken ongeautoriseerde koppelingen te vinden. Daarmee is aangetoond dat het met de juiste tools mogelijk is een begin te maken met het daadwerkelijk handhaven van een externe-koppelingenbeleid. Ondertussen ontwikkelen de auteurs deze detectiemethoden verder, deels binnen CHILLI, deels in andere software.

Literatuur

[Wolf00] Ir. R. de Wolf, Infrastructure Services – Tool-based auditing in open heterogene ICT-infrastructuren, Compact 2000/4.

KPMG Security Explorer voor SAP R/3

De Security Explorer is een door KPMG Information Risk Management ontwikkeld tool. Dit tool ondersteunt de SAP-beveiligingsspecialisten van KPMG bij de uitvoering van implementatie- en reviewopdrachten. Daarnaast is de uitgebreide rapportagefunctionaliteit bij uitstek geschikt voor autorisatiebeheerders om op een efficiënte en gebruiksvriendelijke manier toezicht te kunnen uitoefenen op de kwaliteit van de geïmplementeerde autorisaties. De functionaliteiten van de Security Explorer worden in dit artikel behandeld.

Achtergrond

De omvang en complexiteit van SAP R/3 en de veelheid van manieren waarop de applicatie kan worden ingebed binnen organisaties, vragen om een op maat toegesneden autorisatieconcept. Het autorisatieconcept binnen SAP R/3 is flexibel en biedt tal van mogelijkheden om bevoegdheden op een gewenst detailniveau in te richten. Deze rijke schakering aan functionaliteit heeft ook een schaduwzijde. Het inrichten en beheren van het autorisatieconcept is complex en mede daardoor een omvangrijke taak. De ervaring leert dat het inrichten van autorisaties gedurende een implementatieproject zonder additionele hulpmiddelen vaak een volledige dagtaak omvat. Ook het beheer van autorisaties inclusief het aanpassen van het concept als gevolg van releasewijzigingen is een veelomvattende en noodzakelijke taak. Ervaringen die zijn opgedaan met de inzet van de KPMG Security Explorer ten behoeve van het inrichten en het beheren van autorisaties wijzen op een aantoonbare tijdsbesparing. Tijdsbesparingen van twintig tot dertig procent zijn zeer realistisch. De investering in een gebruikerslicentie voor de KPMG Security Explorer verdient zich dan snel terug.

C-2004-1-Jonker-01

Figuur 1. KPMG Security Explorer voor SAP R/3.

Voordat wij in het kader van dit artikel aandacht besteden aan de functionaliteiten van de Security Explorer is het goed eerst stil te staan bij de issues die opkomen bij de inrichting en het beheer van autorisaties. Daarbij hebben wij de insteek gekozen van het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van de in de SAP-databases op te slane of opgeslagen gegevens. Niet zelden zijn deze kwaliteitsaspecten tevens van belang voor de financiële verslaglegging. Binnen vrijwel iedere organisatie met SAP R/3 bestaan de volgende issues rond het autorisatieconcept:

Waarborging van functiescheiding

Regels die binnen de organisatie gelden omtrent functiescheiding moeten door het informatiesysteem worden afgedwongen. In de praktijk komt het echter vaak voor dat gebruikers (direct na ingebruikname of in de loop van de tijd) een dusdanige set bevoegdheden toegewezen hebben gekregen dat zij ongewenste combinaties van transacties kunnen uitvoeren. SAP R/3 dwingt functiescheiding niet af en alarmeert zelf niet op doorbrekingen, terwijl toewijzing van bevoegdheden vrij eenvoudig is en functievermenging snel kan ontstaan.

Beheerste toewijzing, wijziging en verwijdering van gebruikersbevoegdheden

De complexiteit van SAP R/3 maakt het voor beheerders moeilijk in te schatten wat de gevolgen van toewijzing van nieuwe bevoegdheden of het verwijderen van bestaande bevoegdheden zijn voor de totale set van bevoegdheden die een gebruiker heeft. Indien vragen bij de beheerder binnenkomen omtrent onvoldoende bevoegdheden is het met de standaard-SAP-rapportages vrij moeilijk (tijdrovend en kennisintensief) om te bepalen waarom de huidige gebruikersbevoegdheden niet alle functionele benodigdheden afdekken.

Kwaliteitsbewaking met betrekking tot de autorisatie-inrichting

De juistheid en de volledigheid van de autorisatie-inrichting dienen voor langere tijd te worden gewaarborgd. Het is dan wel nodig dat de autorisaties beheersbaar zijn. Wanneer beheerders geen duidelijk beeld meer hebben van de status van de autorisaties, of wanneer onderhoud onvoldoende gestructureerd plaatsvindt, zal steeds meer vervuiling in het systeem ontstaan wat de continuïteit in gevaar brengt.

Monitoren van risico’s

Een organisatie dient continu op de hoogte te zijn van risico’s die ontstaan vanuit de inrichting van bevoegdheden, teneinde hierop te kunnen anticiperen.

De aanpak

De KPMG Security Explorer voor SAP R/3 biedt beheerders en (interne) auditors een breed scala aan rapportagemogelijkheden met betrekking tot bovenstaande aandachtspunten. Ondanks de complexe materie is de werking van de Security Explorer eenvoudig, wat de cliënt na de initiële installatie en een korte training in staat stelt snel, geautomatiseerd en efficiënt de genoemde issues aan te pakken. Doorbrekingen van functiescheidingen kunnen bijvoorbeeld eenvoudig worden opgespoord.

De Security Explorer is een ‘weergavetool’. Dat wil zeggen dat het tool geen wijzigingen aanbrengt in de brondata die in de SAP-database zijn opgeslagen. De data die noodzakelijk zijn om de analyses uit te voeren, worden gedownload. Voorts bevat het tool geen alarmen of andere signaalfunctionaliteiten, die automatisch waarschuwen voor afwijkingen en dergelijke. De gebruiker dient de uitkomsten van de data-analyses zelf te beoordelen en te interpreteren. Wél is het tool uitgerust met een aantal standaard-rapportagefuncties, waarmee een groot aantal veelvoorkomende autorisatie-issues kan worden beoordeeld.

De rapportages van de Security Explorer vallen in twee groepen uiteen: foutsignalerende rapportages, die risico’s als gevolg van onjuistheden of onvolledigheden binnen de autorisatie-implementatie rapporteren, en systeemrapportages, die door de gebruiker aangegeven informatie uit het SAP-systeem naar boven halen. Tabel 1 toont een greep uit deze twee groepen rapportages.

C-2004-1-Jonker-02

Tabel 1. Enkele Security Explorer-rapportages.

Aan de gebruiker kunnen de resultaten op twee manieren worden gepresenteerd: in de vorm van Excel-sheets en in de vorm van Access-rapporten (zie de figuren 2 en 3).

C-2004-1-Jonker-03

Figuur 2. ‘Aan gebruikers toegewezen rollen’ (systeemrapportage).

C-2004-1-Jonker-04

Figuur 3. ‘Functiescheidingsconflicten binnen het systeem’ (signalerende rapportage).

Vanzelfsprekend is het tool uitgerust met zoekcriteriamogelijkheden, die de gebruiker in staat stellen vanuit diverse invalshoeken de kwaliteit van de ingerichte autorisaties te beoordelen (zie figuur 4).

C-2004-1-Jonker-05

Figuur 4. Specifieke informatie uit SAP R/3 halen op basis van zoekcriteria.

Als beheertool kan de Security Explorer worden ingebed in beheerprocessen. De autorisatiebeheerder kan dan met vaste regelmaat de in het tool gedefinieerde rapportages, dan wel de eventueel op zijn verzoek in het tool aangelegde specifieke rapportages uitvoeren. Wanneer verzoeken om bevoegdheidstoewijzing of meldingen van onjuistheden in het systeem ontstaan, kan een SAP-beheerder op basis van de systeemrapportages een weloverwogen gepaste actie ondernemen.

De werking

De installatie van de Security Explorer stelt nauwelijks eisen aan de IT-infrastructuur. Er hoeven geen wijzigingen te worden aangebracht in het SAP-systeem en de software draait op iedere pc met Microsoft Windows, Microsoft Access 2000 (of een gratis beschikbare ‘runtime versie’ van Microsoft Access) en een installatie van de SAP GUI, de client software van SAP. Verbinding met SAP is slechts noodzakelijk om eenmalig de autorisatierelevante tabellen uit SAP in te lezen. Indien een verbinding met SAP niet mogelijk is kunnen de tabellen ook met de standaard-SAP-transactie SE16 worden opgeslagen en door de Security Explorer worden ingelezen.

Ten behoeve van het inzicht in de werking van de Security Explorer is in figuur 5 een schematisch overzicht opgenomen van de manier waarop autorisaties binnen SAP geregeld zijn.

In de onderste laag zijn de schermen van twee SAP-transacties afgebeeld. We zien dat de bevoegdheden voor het lezen of bewerken van gegevensvelden binnen die transacties verwijzen naar ‘autorisatieobjecten’. Deze autorisatieobjecten kunnen via profielen en rollen gekoppeld zijn aan gebruikers. Een gebruiker kan slechts een transactie opstarten of gegevensvelden wijzigen indien de daarvoor vereiste autorisatieobjecten aan hem toegewezen zijn.

C-2004-1-Jonker-06

Figuur 5. Autorisaties binnen SAP R/3.

Deze informatie is, zoals alles in SAP R/3, opgeslagen in tabellen die continu gewijzigd worden en daardoor altijd de geldende bevoegdheden binnen het systeem weergeven. Wanneer de Security Explorer deze tabellen uit SAP inleest, of wanneer ze geëxporteerd worden met behulp van de SE16-transactie, wordt een ‘snapshot’ gemaakt van de situatie op dat moment. Alle analyses die daarna over deze gegevens worden uitgevoerd, geven de situatie weer op het moment dat het snapshot gemaakt werd. Figuur 6 laat dit zien.

C-2004-1-Jonker-07

Figuur 6. Gegevenstransport tussen de Security Explorer en SAP.

Praktijkervaring

Op dit moment wordt de Security Explorer gebruikt zowel door KPMG IRM als door enkele van haar cliënten. Tegelijkertijd met het praktijkgebruik wordt de functionaliteit van het tool uitgebreid met ideeën en wensen van gebruikers. Onze ervaring is dat meestal al vanaf het begintraject (tijdens productpresentaties of met het gebruik van de proeflicenties die voor perioden van twee maanden verstrekt worden) suggesties vanuit de cliënt naar voren komen. Tegelijkertijd zijn wij zelf druk bezig om het tool verder uit te rusten met additionele functionaliteiten en het tool technisch verder te optimaliseren. Nieuwe versies van het tool worden dan tegen een vast percentage van de oorspronkelijke licentievergoeding aan onze cliënten aangeboden.

Conclusies

De KPMG Security Explorer maakt zowel het beheer als de audit van autorisaties binnen SAP R/3 efficiënter en doeltreffender door op een gebruiksvriendelijke en flexibele manier te rapporteren over belangrijke aspecten rond de autorisatie-inrichting. Dit gebeurt zonder hoge eisen te stellen aan de gebruikers en de IT-infrastructuur. De Security Explorer is geschikt voor gebruik door implementatiespecialisten, beheerders en auditors. Ervaringen met de Security Explorer wijzen uit dat tijdsbesparingen van twintig tot dertig procent zijn te realiseren bij implementatie- en beheerwerkzaamheden. Door de omvangrijke functionaliteit en de werking van het tool zijn de uitkomsten voorts nauwkeuriger dan bij inzet van standaard-SAP-tools en daardoor draagt het tool bij aan de doeltreffendheid van de inrichtings-, beheer- en auditwerkzaamheden.

Literatuur

[Vree01] A. Vreeke en D.M. Hallemeesch, Richt jij de autorisaties even in? De complexiteit van het SAP R/3-autorisatieconcept, Compact 2001/6.

Tool-gebaseerde beveiligingsscans van besturingssystemen

De beveiliging in organisatie, applicatie en databasemanagementsysteem kan eenvoudig worden ondermijnd door beveiligingslekken in het besturingssysteem. Interne en externe hackers proberen met zo min mogelijk inspanning ongeautoriseerde toegang te bewerkstelligen en pas als de geijkte wegen niet begaanbaar zijn, zal verder worden gezocht naar andere ingangen. Waarom zouden we het hackers makkelijk maken, als het ook moeilijk kan? Ofwel, op welke manier kan een organisatie de risico’s van de veelal onveilige configuratie van haar besturingssystemen beperken?

Klik op het pdf-symbool om het volledige artikel te bekijken.

Benchmarking op basis van standaarden als CobIT en Code voor Informatiebeveiliging

Managers en auditors worden in toenemende mate geconfronteerd met de beheersing van ICT binnen organisaties. De IT Risk Management Benchmarking-methode verschaft u het benodigde inzicht in de beheersing van ICT in uw organisatie. Het is hierbij mogelijk volgens internationaal geaccepteerde standaarden, zoals CobIT en ISO 17799, te rapporteren.

Inleiding

Enige jaren geleden hebben we in Compact de mogelijkheid om benchmarking te gebruiken bij het beoordelen van de General IT Controls ([Somm97]) uiteengezet. Mede door het opkomen van ICT-governance, de strengere regelgeving en de daarmee samenhangende ontwikkeling dat stakeholders meer grip willen hebben op ICT, is het gebruik van dit hulpmiddel de afgelopen jaren sterk toegenomen. IT Risk Management Benchmarking wordt niet alleen ingezet in het kader van jaarrekeningcontroles en quick scans op de ICT-organisatie, maar ook bij uitgebreide doorlichtingen van ICT-organisaties die in opdracht van het management en de toezichthouders worden uitgevoerd.

Een andere ontwikkeling is dat een framework als CobIT en de maatregelen zoals deze zijn weergegeven in de Code voor Informatiebeveiliging (BS7799 en ISO 17799), steeds vaker door organisaties worden geaccepteerd en geadopteerd als standaard.

De toenemende vraag die wij wereldwijd in onze praktijk zien naar benchmarks, het inzichtelijk willen hebben van ICT-risico’s en de acceptatie van diverse standaarden zijn de aanleiding geweest om het KPMG-product IT Risk Management Benchmarking uit te breiden. Het resultaat hiervan is een verbeterde en geactualiseerde vragenlijst, aanvullende rapportagemogelijkheden en mogelijkheden om het product als self-control assessment in te zetten in grotere of sterk gedecentraliseerde organisaties. Met dit product worden organisaties in staat gesteld ICT-processen, bijbehorende risico’s en beheersingsmaatregelen in kaart te brengen en te toetsen met vergelijkbare organisaties en aan breed geaccepteerde standaarden zoals CobIT en de Code voor Informatiebeveiliging. De informatie uit de vergelijking stelt organisaties in staat de beheersingsmaatregelen rond de ICT-toepassingen te verbeteren en tot een kosteneffectieve balans te komen tussen risico’s en beheersingsmaatregelen.

Inmiddels is een groot aantal benchmarkingonderzoeken uitgevoerd. Zo beschikt KPMG momenteel over een internationale database met ongeveer 1900 organisaties. Deze gegevens zijn afkomstig uit 29 verschillende landen, waardoor zowel nationale als internationale vergelijking mogelijk is.

In dit artikel wordt ingegaan op de recente ontwikkelingen ten aanzien van IT Risk Management Benchmarking (ITRMB).

Aanpak ITRMB-onderzoek

Het benchmarkingonderzoek bestaat uit het systematisch verzamelen van gegevens over de ICT-risico’s en de getroffen beheersingsmaatregelen. Om te komen tot een zinvolle vergelijking van organisaties is in de benchmarkingmethode een driedeling aangebracht. Afhankelijk van de diepgang van het onderzoek beoordelen wij de betreffende organisatie op de volgende aspecten:

  • ICT-risico’s: wat is het risicoprofiel van de informatievoorziening binnen de organisatie die wordt onderzocht?
  • ICT-controls: welke beheersingsmaatregelen zijn door de organisatie getroffen om de risico’s te beheersen ten aanzien van de ICT-processen?
  • effectiviteit van beheersingsmaatregelen: hoe effectief zijn de getroffen maatregelen? Loopt de organisatie in de huidige situatie een onverantwoord groot risico, of investeert zij wellicht te veel in bepaalde maatregelen?

ICT-risico’s

Het eerste deel van een onderzoek bestaat uit een inventarisatie van de inherente ICT-risico’s. Op een schaal van 1 tot 5 wordt een risico-inschatting gemaakt van de situatie waarin de organisatie zich bevindt (laag, gemiddeld, aanzienlijk, hoog, extreem hoog). Bij het vaststellen van het risicoprofiel worden de volgende acht aandachtsgebieden onderkend:

Business Focus

De organisatie en haar bedrijfsprocessen worden ondersteund door ICT-toepassingen. Er is een risico dat de wensen en eisen ten aanzien van informatievoorziening niet gerealiseerd worden of dat ICT niet op een passende manier is geïntegreerd in de organisatie, de organisatiestrategie en haar toekomstige plannen. Verliezen kunnen onder andere ontstaan door inefficiënte toepassing van ICT-systemen, inadequaat management van ICT-risico’s en het investeren in ICT-toepassingen die de bedrijfsstrategie en -plannen niet ondersteunen.

Information Assets

De informatie (information assets) die een organisatie bezit, kan resulteren in verliezen. Dergelijk verlies kan zijn: direct financieel (fraude, diefstal) of indirect financieel (bijvoorbeeld imagoschade of verlies van bedrijfsgevoelige informatie of intellectuele eigendommen).

Dependence on IT

Dit risico beschrijft de impact van verlies (van delen) van de ICT-infrastructuur. Hoe meer de organisatie afhankelijk is van ICT-systemen, des te groter is het potentiële verlies (financieel of reputatie). Het verlies kan het resultaat zijn van: het niet kunnen uitvoeren van bedrijfsprocessen tot het systeem is hersteld, elektronische beheersingsmaatregelen die niet langer efficiënt zijn en ontevreden gebruikers die deadlines niet hebben gehaald.

Dependence on Internal IT Staff

Dit is het risico dat de aard en de mate van afhankelijkheid van intern ICT-personeel kan leiden tot verliezen. Deze kunnen het gevolg zijn van verlies van specifieke kennis of expertise van individuen of van extra kosten om kennis op te bouwen.

Dependence on 3rd parties

Het risico bestaat dat de organisatie verliezen leidt als gevolg van afhankelijkheid van derde partijen als outsourcers/co-sourcers, leveranciers, contractanten en consultants. Verliezen kunnen het resultaat zijn van verlies of reductie van belangrijke expertise, gebrek aan begrip van de bedrijfsprocessen door derden en excessieve kosten in vergelijking met de mogelijkheid tot een eigen ICT-afdeling.

Reliability of IT systems

Het risico bestaat dat gebrek aan betrouwbaarheid leidt tot verliezen. Deze kunnen voortkomen uit inconsistente of inaccurate verwerking van gegevens, benodigde herstelwerkzaamheden voor verwerkingsproblemen of het gebruik van inefficiënte processen, of schaduwadministraties, veroorzaakt door een gebrek aan vertrouwen in ICT-systemen.

Changes to IT

Het risico bestaat dat verliezen ontstaan door de mate van verandering in de ICT-omgeving. Zij kunnen worden veroorzaakt door inefficiënte projecten die niet voldoen aan de bedrijfsbehoeften, fouten en verlies aan betrouwbaarheid in applicaties door continu onderhoud en kleine veranderingen, of doordat de impact van veranderingen niet volledig wordt begrepen.

Legislative & regulatory environment

Het risico bestaat dat het niet voldoen aan wet- en regelgeving ten aanzien van verwerking, opslag en gebruik van informatie leidt tot imago- en financiële schade. Voorbeelden van regulering waaraan dient te worden voldaan, zijn de Wet bescherming persoonsgegevens, de Wet computercriminaliteit, de Sarbanes-Oxley Act 2002 en de International Financial Reporting Standards.

Het resultaat van de risico-inschatting wordt grafisch weergegeven (zie figuur 1). De zwarte lijn in de grafiek geeft het inherente risico weer van de organisatie voordat rekening gehouden is met de ingerichte beheersingsmaatregelen. De verschillende kwartielen geven de verdeling weer van het risicoprofiel van de organisaties waarmee vergeleken is. In dit voorbeeld heeft de organisatie een lager risico voor het aandachtsgebied Dependence on IT Internal Staff dan de gehele populatie waarmee vergeleken is. Voor het aandachtsgebied Business Focus heeft driekwart van de populatie een hoger risicoprofiel.

C-2004-1-Boer-01

Figuur 1. Inherent risicoprofiel van een organisatie.

Praktijkvoorbeeld 1

De kracht van productieorganisatie X is dat zij innovatief is in het produceren van nieuwe kunststoffen. De recepturen van deze producten en de productiewijze zijn vastgelegd in het centrale ERP-systeem. De waarde van deze informatie is van strategisch belang voor deze organisatie. Indien de gegevens over recepturen bekend worden bij concurrenten heeft dat direct effect op het concurrentievoordeel. De risico-inschatting voor het onderdeel Information Assets is derhalve hoog.

Deze productieorganisatie heeft een standaard-ERP-systeem in gebruik binnen een relatief eenvoudige netwerkomgeving. Er is geen grote afhankelijkheid van interne ICT-medewerkers doordat kennis van het ERP-systeem en de netwerkomgeving ruimschoots buiten de eigen organisatie voorhanden is. Risico-inschatting voor het aandachtsgebied Dependence on IT Internal Staff is daarom laag.

ICT-beheersingsmaatregelen

Het tweede deel van het onderzoek heeft betrekking op het vaststellen van de mate waarin er beheersingsmaatregelen zijn genomen. Op een schaal van 1 tot 5 wordt een inschatting gemaakt op welk niveau de organisatie zich bevindt waar het gaat om het nemen van maatregelen.

De achterliggende gedachte van de scores 1 tot en met 5 is:

  1. De organisatie heeft geen maatregelen getroffen.
  2. De organisatie heeft informele maatregelen getroffen.
  3. De organisatie heeft formele maatregelen getroffen.
  4. De organisatie beheerst de maatregelen en stuurt.
  5. Er is een evaluatiecyclus om de maatregelen bij en af te stellen op de wensen uit de organisatie (proactief).

De inventarisatie van de beheersingsmaatregelen wordt gegroepeerd rondom de volgende zes aandachtsgebieden:

Management of IT

Dit aandachtsgebied betreft de beheersingsmaatregelen rondom de ICT-managementvraagstukken, zoals managementbetrokkenheid, informatieplanning, aansturing en inrichting ICT-organisatie, naleving wet- en regelgeving, leveranciersmanagement, rapportage over kwaliteit van dienstverlening en ICT-kostenbeheersing.

Project and Change Management

Het aandachtsgebied Project and Change Management bevat de beheersingsmaatregelen gericht op het waarborgen dat de veranderingen in de ICT-omgeving beheerst en succesvol zijn. Hierbij kan worden gedacht aan: projectmanagement en systeemontwikkelmethoden en -technieken, organisatorisch verandermanagement, gebruikersbetrokkenheid en documentatie.

IT Operations

IT Operations is het aandachtsgebied dat betrekking heeft op de beheersingsmaatregelen voor het waarborgen dat de dagelijkse ICT-beheeractiviteiten adequaat worden uitgevoerd. Denk hierbij aan: incidentenbeheer, configuratiebeheer, service level management, capaciteitsbeheer.

Security of Information and Systems

Security of Information and Systems betreft het aandachtsgebied met beheersingsmaatregelen voor het waarborgen van de beveiliging van de informatiesystemen. Onderdelen zijn beveiligingsbeleid, beveiligingsfunctie, logische toegangsbeveiliging en beveiliging van externe toegang.

Continuity of Systems

Het aandachtsgebied Continuity of Systems bevat de beheersingsmaatregelen voor het waarborgen van de beschikbaarheid van de systemen. Onderdelen zijn: back-up en recovery, fysieke beveiliging, voorzieningen in de computerruimte en contingency planning.

Control Assurance

Het aandachtsgebied Control Assurance betreft de beheersingsmaatregelen voor het waarborgen dat voldaan wordt aan de binnen de organisatie gestelde richtlijnen en standaarden, en maatregelen voor het adequaat beheersen van de aan ICT gerelateerde risico’s. Onderdelen zijn project en quality assurance, audit of IT en risk management.

De inventarisatie van de beheersingsmaatregelen wordt grafisch weergegeven (zie de figuren 2 en 3) in zogenaamde spinnenwebgrafieken. De grafiek geeft de mate van volwassenheid van de beheersingsmaatregelen weer. Hierbij wordt een vergelijking gemaakt met het volwassenheidsniveau van de onderzochte populatie.

C-2004-1-Boer-02

Figuur 2. Samenvattend overzicht van beheersingsmaatregelen.

C-2004-1-Boer-03

Figuur 3. Detailoverzicht van beheersingsmaatregelen voor het onderdeel IT Operations.

Praktijkvoorbeeld 2

Productieorganisatie Y is gestart met het professionaliseren van de ICT-beheerorganisatie. De aandacht is hierbij in eerste instantie gericht geweest op het beheersen van de externe relaties. Hiertoe zijn in een jaar tijd voor alle externe ICT-dienstverleners de contracten geëvalueerd en opnieuw vastgesteld. Belangrijke verbetering in de contracten is een periodieke evaluatie van de dienstverlening. De afdeling Inkoop is betrokken bij het leveranciersmanagement. De organisatie krijgt voor het onderdeel Manage Third Party Services een score 3 (zie figuur 3). Het beheren van de externe relaties is geformaliseerd en wordt consistent toegepast voor alle ICT-leveranciers.

De Incident en Problem Management-processen zijn op dit moment nog informeel ingericht. Er is geen heldere en eenduidige procedure voor het melden van incidenten. De gebruikers moeten voor verschillende systemen contact opnemen met verschillende medewerkers. Lang niet alle gemelde problemen worden geregistreerd. Het Problem Management-proces maakt nog maar beperkt gebruik van de mogelijkheden uit het configuratiebeheertool. De organisatie krijgt voor het onderdeel Incident en Problem Management een score 2.

Effectiviteit van beheersingsmaatregelen

De effectiviteit van de beheersingsmaatregelen kan worden vastgesteld door te evalueren of de geïnventariseerde inherente risico’s voldoende worden beheerst door de ingerichte beheersingsmaatregelen. De ICT-beheersingsmaatregelen kunnen één of meer ICT-risico’s beheersen. Het resultaat van deze evaluatie, het restrisico, wordt weergegeven met behulp van (de kleuren van) een verkeerslicht.

De evaluatie maakt direct inzichtelijk of de getroffen maatregelen toereikend zijn, en hoe hoog het restrisico is. De context van de auditomgeving wordt op deze wijze bewust meegenomen in de beoordeling van de kwaliteit van de beheersing. Een hoge score qua beheersingsmaatregelen zegt op zichzelf niet alles. Een score 3, ‘de organisatie heeft formele maatregelen getroffen’, voor de beheersingsmaatregelen kan in de situatie met een laag risicoprofiel meer dan toereikend zijn; in een situatie met een hoog risicoprofiel kan een score 3 niet voldoende zijn.

Figuur 4 laat zien dat het hoge risicoprofiel voor het aandachtsgebied Changes to IT hogere eisen stelt aan de huidige beheersingsmaatregelen voor Project and Change Management.

C-2004-1-Boer-04

Figuur 4. Effectiviteit van beheersingsmaatregelen. [Klik hier voor grotere afbeelding]

Deze evaluatie van de ingerichte beheersingsmaatregelen versus de inherente risico’s geeft belangrijke aanknopingspunten voor het management en de auditor welke punten te verbeteren. Door een risicoanalyse uit te voeren en deze vervolgens grafisch af te zetten tegen de uitkomsten van de evaluatie van de beheersingsprocessen wordt een meerwaarde bereikt ten aanzien van gangbare standaarden als CobIT en ISO 17799.

Rapportagemogelijkheden op basis van standaarden

CobIT

De door KPMG gehanteerde beheersingsmaatregelen binnen IT Risk Management Benchmarking sluiten aan bij de beheersingsmaatregelen binnen CobIT (Control Objectives for Information and related Technology). CobIT is een niet-technisch, internationaal bekend referentiekader voor ICT-gerelateerde beheersingsprocessen. Het CobIT-framework is een raamwerk dat bestaat uit drie verschillende onderdelen:

  • IT Processes;
  • Information Criteria;
  • IT Resources.
IT Processes

CobIT onderscheidt een aantal processen die de IT-resources beheren. Deze beheersingsprocessen zijn gegroepeerd in vier domeinen. De vier domeinen geven de managementcyclus van Plan-Do-Check-Act weer:

  • Planning & Organisation. Dit domein bevat de strategische en tactische beheersingsprocessen gericht op aansturing van de informatievoorziening binnen de organisatie.
  • Acquisition & Implementation. Dit domein bevat de beheersingsprocessen gericht op het beheerst ontwikkelen en implementeren van nieuwe systemen of systeemaanpassingen.
  • Delivery & Support. Dit domein bevat de beheersingsprocessen gericht op het exploiteren en beheren van de in gebruik zijnde systemen en infrastructuren.
  • Monitoring. Dit domein bevat de beheersingsprocessen gericht op het periodiek evalueren van de kwaliteit van de ICT-dienstverlening.
Information Criteria

De toepassingen en mogelijkheden van informatievoorziening worden ingezet om een bijdrage te leveren aan de organisatiedoelstellingen. Om na te kunnen gaan of deze bijdrage geleverd wordt, is er een aantal criteria gedefinieerd om de informatievoorziening te kunnen beoordelen. De volgende zeven criteria worden onderscheiden: effectiviteit, efficiëntie, integriteit, vertrouwelijkheid, beschikbaarheid, naleving standaarden en betrouwbaarheid.

IT Resources

IT-resources worden door beheerprocessen ingezet voor het leveren van een bijdrage aan de informatievoorziening binnen een organisatie. De volgende IT-resources worden onderkend: mensen, applicatiesystemen, technologie, faciliteiten en gegevens.

De nieuwste versie van het product IT Risk Management Benchmarking beschikt over mogelijkheden om volgens bovengenoemde indeling van ICT-processen te rapporteren. In de figuren 5 en 6 zijn enkele voorbeelden van de rapportages opgenomen.

C-2004-1-Boer-05

Figuur 5. Samenvattend overzicht van beheersingsmaatregelen volgens CobIT.

In figuur 6 wordt een voorbeeld gegeven waarin het domein Planning & Organisation in detail is uitgewerkt. Ook hierbij worden de resultaten van de betreffende cliënt uitgezet tegen de benchmarkpopulatie in de database.

C-2004-1-Boer-06

Figuur 6. Detailoverzicht van beheersingsmaatregelen Planning & Organisation.

Code voor Informatiebeveiliging (ISO 17799)

In de praktijk zien wij een toenemende behoefte van organisaties om zich te conformeren aan de Code voor Informatiebeveiliging. De gehanteerde beheersingsmaatregelen binnen IT Risk Management Benchmarking sluiten aan op deze ontwikkeling. De nieuwste versie van het product IT Risk Management Benchmarking beschikt dan ook over mogelijkheden om volgens deze indeling van beheersingsmaatregelen te rapporteren. In figuur 7 is een voorbeeld van een rapportage opgenomen.

C-2004-1-Boer-07

Figuur 7. Score beheersingsmaatregelen volgens ISO 17799.

Deze rapportage laat een overzicht zien van de mate waarin een organisatie voldoet aan de beveiligingsstandaarden uit de Code voor Informatiebeveiliging. Zij is bedoeld om een overallbeeld te geven en niet geschikt voor een certificeringstraject.

Toepassing

Het IT Risk Management Benchmarking-product bestaat uit een elektronische vragenlijst en een centrale database inclusief rapportgenerator. Om de kwaliteit van de gegevens te waarborgen zijn er verschillende beveiligings- en reviewfunctionaliteiten ingebouwd. Het product is ontwikkeld door gebruik te maken van het tool WebQubus.

Voor de auditors zijn er verschillende mogelijkheden het product te gebruiken. Zo zijn er een pc-applicatie en een webapplicatie. Met de pc-applicatie kunnen auditors die op locatie bij een cliënt werken, de vragenlijst off line invullen en verwerken. De webapplicatie biedt de medewerkers de mogelijkheid de vragenlijst direct vast te leggen in de centrale database.

Nadat de beantwoording van de vragenlijst door een KPMG-medewerker is vastgelegd in het WebQubus-tool, wordt de opdrachtmanager uitgenodigd de beantwoording te reviewen. Kwaliteitsbewaking van de ingevulde antwoorden is belangrijk opdat de database niet vervuild raakt met onjuiste antwoorden of onvolledige antwoordensets. De opdrachtmanager geeft na een beoordeling van de vastlegging van de antwoorden een akkoord. De vastgelegde antwoordenset wordt gevalideerd op volledigheid van een aantal onderwerpen en vastgelegd in de centrale database. De invuller en de opdrachtmanager worden automatisch op de hoogte gebracht van het resultaat van deze validatie.

Het is mogelijk een benchmarkrapport op te laten stellen nadat de validatie succesvol is verlopen. De medewerker geeft aan welke criteria (bijvoorbeeld branchecode of omvang ICT-organisatie) gehanteerd dienen te worden bij het selecteren van de populatie waarmee vergeleken wordt. Het aangevraagde rapport wordt binnen vijf minuten door de rapportgenerator via e-mail verstuurd.

Self-control assessment

De ontwikkelde structuur van een centrale database en een elektronische vragenlijst die via het web ingevuld kan worden, biedt vele mogelijkheden om gebruikt te worden bij self-control assessments of auditopdrachten binnen grotere organisaties.

Denk bijvoorbeeld aan een organisatie met een groot aantal organisatie-eenheden al dan niet verspreid over de gehele wereld. In toenemende mate wordt in dergelijke organisaties aan de verantwoordelijke directieleden van werkmaatschappijen gevraagd te verklaren dat zij voldoen aan de organisatiebrede richtlijnen. Deze verklaringen zijn ook wel bekend onder de term Letter of Representation. Verantwoording over de beheersing van de informatievoorziening en het voldoen aan de organisatiebrede ICT-richtlijnen is hierin vaak opgenomen.

De ontwikkelde tooling maakt het mogelijk dat het management van iedere organisatie-eenheid op een uniforme manier on line kan verklaren of de eenheid daadwerkelijk voldoet aan het verwachte niveau van beheersing van de informatievoorziening en de organisatiebrede richtlijnen. Het management beantwoordt de vragen uit het IT Risk Management Benchmarking-tool en wordt via de rapportage op de hoogte gebracht van de mate van compliance aan de organisatiebrede richtlijnen. De centrale en uniforme vastlegging van de verschillende beantwoordingen biedt voor bijvoorbeeld de interne accountantsdienst en eventuele andere controlerende instanties een uitstekend startpunt voor hun reviewwerkzaamheden. Tevens kan zij een kostenbesparing opleveren (bijvoorbeeld: reiskosten, kosten van uniformering van verzamelde gegevens en interpretatie van de resultaten, rapportagekosten).

C-2004-1-Boer-08

Figuur 8. Het tool WebQubus.

Conclusie

In dit artikel is een overzicht gegeven van de mogelijkheid van benchmarking en rapportering op basis van algemeen aanvaarde standaarden. Een methodiek als IT Risk Management Benchmarking speelt in op de behoefte van organisaties om zich te spiegelen aan andere organisaties. Tevens sluit zij aan op algemene referentiekaders als CobIT en de Code voor Informatiebeveiliging. Afhankelijk van de diepgang van het onderzoek wordt inzicht gegeven in:

  • de ICT-risico’s: het risicoprofiel van de informatievoorziening;
  • de ICT-controls: de mate waarin beheersingsmaatregelen zijn genomen om de risico’s te beheersen ten aanzien van de ICT-processen;
  • de effectiviteit van beheersingsmaatregelen: de effectiviteit van de maatregelen die zijn getroffen.

Benchmarks leveren organisaties een aanzienlijke hoeveelheid marktinformatie op waardoor het gebruik ervan in zijn algemeenheid als een toegevoegde waarde kan worden gezien.

De toenemende wet- en regelgeving op het gebied van Corporate Governance (zoals de Sarbanes-Oxley Act 2002) vraagt om verantwoording van beheersing van de bedrijfsprocessen. Beheersing van de informatievoorziening is een integraal onderdeel van de beheersing binnen een organisatie. We zien dan ook in toenemende mate een vraag naar verantwoording over de beheersing van de informatievoorziening. IT Risk Management Benchmarking verschaft het benodigde inzicht in de kwaliteit van de beheersing van de informatievoorziening binnen een organisatie. Tevens is de ontwikkelde tooling dusdanig opgezet dat zij eenvoudig kan worden aangepast voor andere doeleinden, waaronder (self-)control assessments.

Literatuur

[ISAC00] CobIT, Control Objectives, third edition, ISACA/IT Governance Institute, 2000.

[NEN00] Code voor informatiebeveiliging, Een leidraad voor beleid en implementatie, Nederlands Normalisatie-instituut, 2000.

[Somm97] E.R van Sommeren, J.C. Boer en J.A.M. Donkers, Benchmarking van Informatietechnologie, Automatisering Gids, oktober 1997.

Bescherming met minimale middelen en maximaal resultaat

Het management van organisaties staat in het huidige economische klimaat onder druk om kosten te beperken en concrete financiële resultaten te behalen. Investeringen in voorzieningen voor de bedrijfscontinuïteit worden in dat licht gesteld, of zelfs afgesteld. Wat vaak onderbelicht blijft is het feit dat continuïteitsvoorzieningen ook veel financiële en non-financiële voordelen kunnen opleveren. In dit artikel wordt ingegaan op het benutten van deze voordelen, en op het minimaliseren van de kosten bij investeren in bedrijfscontinuïteit.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Efficiënt beveiligingsmanagement

Werken onder beveiligingsarchitectuur kan, mits met verstand toegepast, een bijdrage leveren aan het snel en flexibel reageren op veranderende klantbehoeften en bedrijfsdoelen. Door het werken onder beveiligingsarchitectuur procesmatig in te richten kunnen bovendien positieve kosteneffecten worden gerealiseerd. In een tijd van snelle technologische ontwikkelingen, een markt die voortdurend in beweging is en veranderende wet- en regelgeving is een beveiligingsarchitectuur een belangrijk hulpmiddel om beveiligingsmanagement effectief en efficiënt in te richten. In dit artikel worden de contouren geschetst van een pragmatische aanpak om de voordelen van een beveiligingsarchitectuur te realiseren.

Inleiding

Denkt u zich eens in dat u een auto heeft met dertien verschillende sleutels. Eén voor het licht, één voor de claxon, één voor de rem, … Onvoorstelbaar? Toch is dat precies hoe we vandaag de dag onze beveiliging hebben ‘opgelost’: per applicatie eigen beveiligingsoplossingen. De ‘business’ heeft daar last van. Beveiliging wordt dan een last in de ontwikkeling van nieuwe diensten. Ook voor het beheer is dit een last vanwege de enorme en nog steeds toenemende complexiteit.

Daar komt bij dat de eisen aan flexibiliteit van de IT-systemen, en dus aan de beveiliging, toenemen. Immers, veel organisaties zijn aan het kantelen van product- of service- naar een klantgerichte benadering, zijn bezig met shared service centers, of zijn simpelweg aan het onderzoeken waar het goedkoper kan met gelijkblijvende kwaliteit. Dat vraagt om een aanpassing van de informatiearchitectuur en de daaruit volgende architectuur voor de technische infrastructuur.

Nu laten de kosten voor informatiebeveiliging zich moeilijk kwantificeren. Toch is evident dat er keuzen zijn in de inrichting van de beveiliging die sterke invloed hebben op die kosten of op de kwaliteit van de beveiliging. In het verleden ontwikkelde zich de informatiebeveiliging binnen een organisatie echter zelden aan de hand van bewuste keuzen, maar doorgaans op ad-hocbasis, en veelal reactief naar aanleiding van een (te) laat onderkende behoefte aan beveiliging. De meeste organisaties zitten nu met een lappendeken aan beveiligingsproducten die maar matig samenhangen met de rest van de (IT-)omgeving, en die veelal een grote beheerinspanning vragen. Zo is het niet ongebruikelijk dat autorisaties op tientallen plaatsen worden bijgehouden, en dat voor de identificatie van gebruikers diverse registraties en middelen worden gebruikt.

In de beveiligingsarchitectuur worden de keuzen voor de inrichting van de informatiebeveiliging expliciet gemaakt. De voordelen van het werken onder een beveiligingsarchitectuur zijn evident. Zo’n architectuur leidt tot een consistente, samenhangende en toekomstvaste verzameling beveiligingsfuncties en bijbehorende technische beveiligingsmaatregelen die een optimale bijdrage leveren aan de doelstellingen van een organisatie. Doelen van een architectuur zijn richting te geven aan toekomstige organisatie-inrichting, investeringen en migratiemogelijkheden. Ook beoogt een architectuur de complexiteit hanteerbaar te maken door het aanbieden van structuur in beveiligingsfunctionaliteit. Een architectuur geeft daarmee richting voor de toekomst: de koers als een punt op de horizon. In de praktijk worden de voordelen van ‘werken onder architectuur’ niet altijd ten volle gerealiseerd. Bijvoorbeeld wanneer de architectuur een doel op zich wordt, waarbij de impact op de organisatie en de complexiteit worden onderschat. Het omgekeerde wordt dan bereikt: een inflexibele en kostenverhogende beveiligingsarchitectuur die de beveiliging zwakker maakt.

In dit artikel worden de contouren van een pragmatische aanpak geschetst om de voordelen van een beveiligingsarchitectuur te realiseren.

Beveiligingsarchitectuur – principes

Voor het opzetten van een beveiligingsarchitectuur bestaat een aantal ontwerpcriteria of beveiligingsprincipes. Een aantal hiervan is al in het begin van de jaren zeventig van de vorige eeuw beschreven ([Salt75]). Ook in de Trusted Computer System Security Evaluation Criteria (TCSEC, beter bekend als het Orange Book) en zo’n dertig jaar later in de Common Criteria for IT Security Evaluation worden deze principes gehanteerd. Dat zijn:

1. Isolatie

Dit houdt in dat hardware en software die relevant zijn voor de beveiliging – de ‘Trusted Computing Base’ of TCB – altijd zo klein en compact mogelijk gehouden moeten worden. Hoe groter de TCB, hoe moeilijker het zal zijn om te verifiëren of de beveiliging van de TCB voldoende gewaarborgd is. Dit principe wordt onder meer toegepast in reference monitors, security kernels en firewalls.

2. Veilige defaults

Toegang mag alleen door het systeem worden verleend na expliciete permissie; alles wat niet expliciet is toegestaan, is verboden.

3. Volledigheid

Elke vorm van toegang mag pas plaatsvinden na autorisatie door het systeem. Gebruikers en processen dienen zich daartoe altijd eerst te legitimeren.

4. Open ontwerp

Een goede beveiligingsarchitectuur is niet gebaseerd op het geheimhouden van de gebruikte interne mechanismen (‘security by obscurity’), maar gaat juist uit van een open ontwerp. Bij een gesloten ontwerp bestaat het risico dat de werking van interne mechanismen op den duur toch aan het licht komt, bijvoorbeeld door het toepassen van ‘reverse engineering’ en het uitlekken van ontwerpdocumenten. Het voordeel van een open ontwerp is dat het intensiever kan worden getest en eenvoudiger kan worden verbeterd. De Europese overheden hebben momenteel een uitgesproken belangstelling voor open systemen.

5. Functiescheiding

Kritische functies in het systeem moeten zodanig worden gesplitst dat de onderscheiden deelfuncties aan verschillende functionarissen worden toegewezen. Gevoelige handelingen mogen alleen door meerdere functionarissen tegelijk worden uitgevoerd (het vierogenprincipe).

6. Beperking

Het systeem moet zo opgezet zijn dat gebruikers en processen niet meer functies mogen uitvoeren dan strikt noodzakelijk is. Dit principe staat ook bekend onder de namen ‘least privilege’ en ‘need to know’.

7. Compartimenten

Het systeem moet bestaan uit verschillende compartimenten, segmenten of modules, zodat een mogelijk veiligheidsprobleem tot het specifieke compartiment, etc. beperkt blijft. De koppelingen tussen de compartimenten moeten omwille van de controleerbaarheid zo slank mogelijk worden gehouden. Hierdoor neemt de robuustheid en daarmee ook de veiligheid van het systeem toe.

8. Ergonomie

Het systeem moet zo ontworpen zijn dat de kans op menselijke fouten zo klein mogelijk is. Een voorbeeld hiervan is het aanbieden van een intuïtieve, consistente en mensvriendelijke gebruikersinterface.

Daarnaast is het volgende criterium van belang:

9. Redundantie

De beveiligingsarchitectuur moet bestaan uit een combinatie van maatregelen, zodat de beveiliging niet afhankelijk is van één enkele maatregel.

Omdat we bij informatiebeveiliging niet alleen te maken hebben met onopzettelijke bedreigingen, maar ook met tegenstanders die beveiligingsmaatregelen willens en wetens proberen te omzeilen, kan dit criterium nog verder worden aangescherpt door eisen te stellen aan de diversiteit van de getroffen beveiligingsmaatregelen:

10. Diversiteit

De beveiligingsarchitectuur moet bestaan uit meerdere maatregelen die wezenlijk van elkaar verschillen, zodat het doorbreken van één beveiligingsmaatregel niet automatisch leidt tot de val van het gehele systeem.

11. Transparantie en beheersbaarheid

De getroffen beveiliging en de werking van de maatregelen dienen zodanig inzichtelijk te zijn dat de status van de beveiliging goed is te volgen, en dat bijsturing efficiënt en effectief kan worden uitgevoerd.

Deze beveiligingsprincipes zijn overigens allerminst specifiek voor informatie of ICT en worden al sinds mensenheugenis toegepast.

Beveiligingsarchitectuur – services

Bovengenoemde principes worden geïmplementeerd in beveiligingsservices, ook genoemd functies. Deze beveiligingsarchitectuur beschrijft de services die worden aangeboden aan de applicaties en IT-infrastructuur in het algemeen.

Hierna worden de bouwstenen van de architectuur beschreven (zie figuur 1).

C-2003-4-Overbeek-01

Figuur 1. Beveiligingsservices.

Repository

Om de beveiliging van de objecten die binnen de architectuur vallen te kunnen onderhouden, worden alle gegevens met betrekking tot de beveiliging door middel van een centrale service opgeslagen en onderhouden. Deze dataverzameling wordt de repository genoemd. Typische elementen van de repository zijn: domaingegevens, gebruikersgegevens en -rollen, die op de systemen uitgevoerd mogen worden, maar ook gegevens van richtlijnen en policies, die onder andere betrekking hebben op de beveiliging en gegevens van de fysieke elementen die binnen de architectuur vallen. De bedoeling is dat via de repository enkelvoudige administratie van gegevens mogelijk wordt.

Gebruikersmanagement

Het beheer van gebruikersgegevens is één gemeenschappelijke service. Deze service maakt gebruik van en wijzigt gegevens over gebruikers in de repository.

Identificatie en authenticatie

Identificatie en authenticatie van gebruikers, applicaties, servers en andere intelligente componenten in de ICT-omgeving vormen een integraal deel van het beveiligingsraamwerk. Voor de service is er daarbij geen noodzakelijk onderscheid tussen authenticatie van, bijvoorbeeld, eigen medewerkers of van klanten of van beheerders. Het gaat om de I&A-service die met een bepaalde kwaliteit, of zekerheid, moet worden geboden. Die gewenste kwaliteit kan gebaseerd zijn op een analyse van de risico’s. De I&A-service maakt gebruik van informatie uit de repository.

Autorisatie

Aan gebruikers kunnen verschillende privileges worden verleend, afhankelijk van de rol/functie van de gebruiker. Een gebruiker kan zowel een persoon als een automatisch proces zijn. De privileges worden opgeslagen in de repository, hetgeen definitie en administratie vereenvoudigt. Er is een sterke relatie met de I&A-service.

Single Sign-On

Een Single Sign-On-service zorgt ervoor dat de omgeving voor de gebruiker transparanter wordt. Een gebruiker hoeft maar één keer langs de I&A-service. Hij hoeft bijvoorbeeld maar één keer in te loggen. Afhankelijk van de autorisatie krijgt deze gebruiker door de Single Sign On-service ogenschijnlijk direct toegang tot de platforms, applicaties en andere componenten waar hij rechten toe heeft. Een gebruiker kan een persoon zijn, maar ook een applicatie of een andere component. De SSO-service maakt gebruik van de repository en de I&A-service.

Veilige communicatie

Wanneer informatie of applicaties buiten hun fysiek beschermde omgeving worden gebracht, ontstaan doorgaans risico’s die om aanvullende maatregelen vragen teneinde ongewenste toegang tijdens het transport te voorkomen of te kunnen ontdekken. Deze service, die een vorm van toegangsbeheersing biedt, wordt veilige communicatie genoemd omdat juist tijdens communicatie risico’s bestaan.

Grensbewaking

De eigen infrastructuur wordt in compartimenten verdeeld, waarbij overdracht tussen de compartimenten alleen beheerst plaats kan vinden. De bekendste vorm van compartimentering is die in netwerken. Denk daarbij aan bridges, firewalls, intrusion detection en application gateways. Een andere vorm is compartimentering in applicaties, zodanig dat informatie alleen voor specifieke (bedrijfs)toepassingen beschikbaar is, en voor andere juist niet. Zo hoeft de financiële administratie van uw ziekenhuis geen toegang te hebben tot uw medische gegevens. Deze techniek wordt dan ook tevens gebruikt ter ondersteuning van privacy.

Alarmering en registratie

Alarmering en registratie vindt niet alleen plaats op de grenzen, maar ook binnen de infrastructuur. Deze service biedt ook alarmering bij andere bijzondere gebeurtenissen, en registratie van activiteiten vindt plaats conform de richtlijnen.

Wijzigingsbeheer

Om de integriteit van de infrastructuur te kunnen waarborgen is het gewenst dat wijzigingen alleen op een beheerste manier totstandkomen. In het beheer wordt daarom vaak gewerkt op basis van (ITIL) Change Management (wijzigingsbeheer). Zodra alle acceptatie- en testprocedures zijn doorlopen, kan een wijziging in productie worden genomen. Wijzigingsbeheer zorgt ervoor dat de integriteitskenmerken van het gewijzigde object bekend zijn, en dat het object wordt opgenomen als geautoriseerde component in de repository.

Beheer van richtlijnen en beleid

Alle regels die voor de gehele infrastructuur gelden, worden door deze service bewaard en bewaakt.

Integriteit

Deze service bewaakt de integriteit van de componenten en informatie. Dat kan bijvoorbeeld door echtheidskenmerken te berekenen en deze veilig te laten bewaren in de repository.

Grensbewaking leidt tot een beheerste overdracht tussen de compartimenten.

Cryptografie

Op tal van momenten in de informatieverwerking en plaatsen in de IT-infrastructuur is er behoefte aan de inzet van cryptografie. Bijvoorbeeld om de integriteit van informatie te bewaken, om de identiteit van de bijbehorende eigenaar vast te stellen (authenticiteit dus), om informatie tijdens transport te beveiligen (vertrouwelijkheid, privacy) en ook om de beschikbaarheid te bewaken door een sessie cryptografisch af te schermen.

Beschikbaarheid

Deze service bewaakt of de prestaties nog voldoen aan de eisen en of componenten nog (voldoende) functioneren. Deze service leent zich bij uitstek om performancecriteria en drempelwaarden op te stellen zodat bij een overschrijding of storing al acties ondernomen kunnen worden om echte problemen te voorkomen. Zodra de prestaties onder een zekere waarde komen, of zodra een storing wordt gedetecteerd, kan deze service alternatieve resources inschakelen.

Beschikbaarheid van data

De beschikbaarheid van gegevens is de kern van alle informatiesystemen. Deze service beperkt het maximale gegevensverlies in geval van calamiteiten, en biedt de mogelijkheid om terug te gaan naar een stabiele situatie door activiteiten ‘terug te kunnen spoelen’. Het maken van een back-up is een traditioneel voorbeeld, maar tegenwoordig is het niet ongebruikelijk om data parallel weg te schrijven naar verschillende locaties.

Veilig herstel

Deze service zorgt voor het weer operationeel maken van een systeem, op een gecontroleerde en veilige wijze. Juist tijdens de opstartfase blijken systemen kwetsbaar, niet alleen voor ongeautoriseerde toegang, maar ook wordt de beschikbaarheid van het systeem sterk beïnvloed door de wijze van opstarten.

Technische beveiligingsarchitectuur

De beveiligingsarchitectuur voorziet ook in de beschrijving van de samenhang tussen de verschillende beveiligingsservices en mechanismen, de gebruikte standaarden en interfaces, en de wijze waarop deze geïmplementeerd dienen te worden.

Beveiligingsservices worden via een selectie van beveiligingsmechanismen geïmplementeerd. Beveiligingsmechanismen zijn in feite technische beveiligingsmaatregelen. In tabel 1 worden voorbeelden gegevens van beveiligingsfuncties met daarbij voorbeelden van mogelijke beveiligingsmechanismen.

C-2003-4-Overbeek-02

Tabel 1. Voorbeelden van beveiligingsfuncties en mogelijke beveiligingsmechanismen.

Een beveiligingsarchitectuur is geen doel op zichzelf, maar een middel om gestructureerd en op efficiënte en flexibele wijze de minimaal noodzakelijke beveiligingsfuncties (services) en maatregelen (mechanismen) te bepalen. Ten aanzien van een beveiligingsarchitectuur geldt dat de beveiligingseisen, zoals impliciet of expliciet vastgelegd in het beveiligingsbeleid, leidend zijn. Direct of indirect zijn diverse interne en externe factoren van invloed op een beveiligingsarchitectuur. Schematisch wordt het voorgaande in figuur 2 weergegeven.

C-2003-4-Overbeek-03

Figuur 2. Relatie tussen beveiligingsbeleid en beveiligingsarchitectuur.

Bij het opzetten van een beveiligingsarchitectuur kunnen de volgende modellen behulpzaam zijn:

Pragmatische aanpak voor een beveiligingsarchitectuur

Op basis van praktijkervaringen hebben wij een aanpak ontwikkeld waarmee op eenvoudige en pragmatische wijze een start kan worden gemaakt met het werken onder beveiligingsarchitectuur. De aanpak bestaat uit de volgende stappen:

1. Classificeren en groeperen van informatiesystemen

Met behulp van een impactanalyse worden informatiesystemen (en diensten) geclassificeerd en gegroepeerd. Dit kan bijvoorbeeld worden gedaan met behulp van de impactanalyse uit SPRINT. SPRINT is een methode voor risicoanalyse die is ontwikkeld door het Information Security Forum. Tijdens de impactanalyse wordt per systeem/dienst een inschatting gemaakt – de impact – van het niet beschikbaar (B), integer (I) of vertrouwelijk (V) zijn van informatie. Ofwel, er wordt een zogenaamde BIV-classificatie toegekend. Op basis van de BIV-classificatie (in het Engels CIA) en de aard van de systemen (bijvoorbeeld internet, intranet of extranet) kunnen de informatiesystemen vervolgens gegroepeerd worden naar verschillende beveiligingsniveaus en/of verschillende domeinen.

C-2003-4-Overbeek-04

Tabel 2. Classificatie en groepering van informatiesystemen.

2. Bepalen gewenste situatie

Bij het bepalen van de gewenste situatie dient rekening te worden gehouden met de bedrijfsdoelstellingen. Indirect betekent dit dat relevante bedreigingen en kwetsbaarheden medebepalend zijn voor de te kiezen beveiligingsservices en mechanismen. Het spreekt voor zich dat het beveiligingsbeleid de kaders voor de beveiligingsservices en mechanismen stelt. Hiernaast is het van belang om rekening te houden met de eisen/wensen van gebruikers, technologische ontwikkelingen en wet- en regelgeving (bijvoorbeeld Wet bescherming persoonsgegevens).

In deze stap worden eerst (a.) de generieke beveiligingsservices per domein (over alle applicaties heen) bepaald en vervolgens (b.) de specifieke beveiligingsmechanismen.

Bij het bepalen van de gewenste situatie is het van belang de samenhang en integratie van de verschillende beveiligingsservices en mechanismen te bewaken.

3. Vaststellen huidige situatie

Tijdens deze stap wordt per systeem/dienst de huidige situatie (o.a. reeds geïmplementeerde beveiligingsservices en mechanismen) in kaart gebracht.

4. Evaluatie en transitie

Uitgaande van de huidige situatie zal moeten worden aangegeven op welke wijze en op welk moment de gewenste situatie bereikt moet worden. Op basis van de beschikbare financiële middelen, de vanuit de organisatie te betrekken expertise en de gewenste doorlooptijd wordt in een plan van aanpak een transitieschema opgesteld.

Het verdient aanbeveling het werken onder beveiligingsarchitectuur procesmatig in te richten (zie figuur 3).

C-2003-4-Overbeek-05

Figuur 3. Architectuurproces. [Klik hier voor grotere afbeelding]

Ten slotte is het van belang dat aan de volgende randvoorwaarden wordt voldaan:

  • De organisatie heeft een (impliciet of expliciet) beveiligingsbeleid.
  • Bij het management is voldoende draagvlak voor de beveiligingsarchitectuur (nut, noodzaak, kosten).
  • Er is voldoende gebruikersbetrokkenheid.

Voordelen van een beveiligingsarchitectuur

De voordelen van het werken onder beveiligingsarchitectuur zijn in het algemeen:

  • Het vermindert de ontwikkel- en implementatietijd van beveiligingsmaatregelen.
  • Het vergroot de effectiviteit en consistentie van beveiligingsmaatregelen.
  • Het vergroot de flexibiliteit van de organisatie bij veranderende omstandigheden.
  • Het definieert gestandaardiseerde interfaces.

Samenvattend kunnen we zeggen dat het werken onder beveiligingsarchitectuur leidt tot positieve kosteneffecten en een positieve bijdrage aan het realiseren van de doelstellingen van een organisatie.

C-2003-4-Overbeek-06

Figuur 4. Relatie beveiligingsarchitectuur met andere architecturen.

Aandachtspunten

Het werken onder beveiligingsarchitectuur betekent niet automatisch dat de in de vorige paragraaf genoemde voordelen zonder meer behaald worden. Het is van belang dat organisaties zich bewust zijn van de volgende aandachtspunten:

  • Een beveiligingsarchitectuur is geen doel op zich.
  • Een slechte architectuur vermindert de flexibiliteit, verhoogt de kosten en maakt de beveiliging zwakker.
  • Bewaak de relatie met andere architecturen (zie figuur 4). Elke architectuur maakt gebruik van eigen concepten, methoden en technieken. Als de architecturen onvoldoende zijn geïntegreerd, worden de gevolgen van veranderingen binnen de ene architectuur niet zichtbaar in de andere.
  • Zorg ervoor dat het beveiligingsniveau tijdens de transitieperiode gehandhaafd blijft.

C-2003-4-Overbeek-07

Figuur 5. Typische infrastructuur. [Klik hier voor grotere afbeelding]

Conclusie

Een servicegerichte beveiligingsarchitectuur, die aansluit bij de behoeften van ‘de business’, geeft houvast. Essentieel is dat beveiliging als verzameling services in de algemene IT-infrastructuur wordt aangeboden. Na implementatie van deze services hoeft u of uw klant bijvoorbeeld nog maar eenmaal in te loggen, worden autorisaties enkelvoudig geadministreerd, en kunnen alle applicaties gebruikmaken van dezelfde set beveiligingsfuncties. Voor uw business betekent dit: ‘klantvriendelijke beveiliging, die snel te realiseren is, tegen lagere kosten’.

De services in de security-architectuur bestaan uit de functies zelf, een besturingsgedeelte en een beheergedeelte. De fysieke realisatie kan gedistribueerd zijn, maar de service manifesteert zich en is beheersbaar als één geheel.

Een architectuur wordt doorgaans stapsgewijs ingevoerd. In de eerste fase worden bijvoorbeeld een single point of administration (enkelvoudig beheer van gebruikers), Single Sign-On en een autorisatieservice geïntroduceerd. De directe winst voor de business is: lagere kosten door vereenvoudiging van het beheer, en gebruiksgemak voor klanten en personeel door vereenvoudiging van het autorisatieproces en het ‘inloggen’.

Werken onder beveiligingsarchitectuur kan, mits met verstand toegepast, een bijdrage leveren aan het snel en flexibel reageren op zich wijzigende klantbehoeften en bedrijfsdoelen. Door het werken onder beveiligingsarchitectuur procesmatig in te richten kunnen bovendien positieve kosteneffecten worden gerealiseerd. In een tijd van snelle technologische ontwikkelingen, een markt die voortdurend in beweging is en veranderende wet- en regelgeving is een beveiligingsarchitectuur een belangrijk hulpmiddel om beveiligingsmanagement effectief en efficiënt in te richten.

Literatuur

Dit artikel is geïnspireerd door onze klanten en de volgende bronnen:

http://archimate.telin.nl/

[IBM95] IBM redbook, Enterprise-wide security architecture and solution presentation guide, november 1995.

[ISF00] Information Security Forum, Security Architecture (workshop report), maart 2000.

[ISO] ISO 7498-2 Open Systems Interconnection – Security Architecture.

[ISO] ISO 15408 Common Criteria for Information Technology Security Evaluation.

[Nola00] Nolan, Norton & Co, Architectuur als managementinstrument, Ten Hagen & Stam, 2000.

[Over99] P.L. Overbeek en W.H.M. Sipman, Informatiebeveiliging, Tutein Nolthenius, 1999.

[Over00] P.L. Overbeek, E. Roos Lindgreen en M. Spruit, Informatiebeveiliging onder controle, Pearson Education, Financial Times/Prentice Hall imprint, 2000.

[Perd01] M. Perdeck, Kritieke succesfactoren voor het werken onder architectuur, A&I, nr. 3, 2001.

[Salt75] J.H. Saltzer and M.D. Schroeder, The Protection of Information in Computer Systems, Proceedings of the IEEE, Vol. 63, No. 9, 1975.

[TCSE85] TCSEC, Trusted Computer Systems Evaluation Criteria (TCSEC), US DoD, 5200.28-STD, 1985.

[Viss02/3] N. Visser en R. Kuiper, drieluik Beveiliging en architectuur, Informatiebeveiliging nr. 7 en 8, 2002 en nr. 1, 2003.

Zuinig beveiligen?

In dit artikel worden handvatten aangereikt waarmee een organisatie de beveiliging naar een hoger niveau kan brengen. Hierbij wordt het belang van specifieke maatregelen aangeduid op basis van opgedane ervaringen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Productcatalogus

Sinds het Amerikaanse AICPA in 1982 Statement on Auditing Standards No.44, Special-Purpose Reports on Internal Accounting Controls at Service Organizations uitbracht, zijn er door diverse beroepsregelgevende instanties en standaardisatielichamen regels en protocollen gepubliceerd voor de uitvoering van TPM-onderzoeken. Een aantal hiervan wordt in deze reeks artikelen behandeld.

Klik hier voor een inleiding op de reeks artikelen en een overzicht van de artikelen.

Certificatie van informatiebeveiliging – vertrouwen voor de organisatie zelf én haar partners

Er zijn organisaties die de informatiebeveiliging goed op peil hebben, en dat ook willen tonen aan relaties, klanten of de buitenwereld. Bij andere organisaties is informatiebeveiliging bijna op het gewenste niveau, maar is net een zetje extra nodig.

Voor deze situaties is certificatie van informatiebeveiliging een goed middel. Ter versterking van het vertrouwen tussen handelspartners onderling of tussen serviceproviders en hun klanten is het mogelijk een uitspraak over de informatiebeveiliging te onderbouwen met een certificaat. Dit certificaat is gebaseerd op de breed geaccepteerde standaard ‘de Code voor Informatiebeveiliging’ (ISO 17799 / BS 7799). Dit certificaat wordt door certificatie-instellingen afgegeven na uitvoering van een audit van het managementsysteem voor informatiebeveiliging door IT-auditors. Deze certificatie-instellingen zijn hiervoor erkend door de Raad voor Accreditatie. Hierdoor zijn de certificaten ook internationaal erkend.

De Code voor Informatiebeveiliging als basis voor certificatie

Waarom certificatie op basis van de Code

De Code voor Informatiebeveiliging is breed geaccepteerd als de leidraad voor het opzetten en implementeren van informatiebeveiliging. Deze acceptatie geldt zowel binnen het bedrijfsleven als binnen de overheid, en zowel in Nederland als in de rest van de wereld.

Een certificaat geeft zowel binnen een organisatie als tussen organisaties meer vertrouwen in de opzet en het bestaan van het managementsysteem voor de informatiebeveiliging en het daadwerkelijk getroffen stelsel van maatregelen. Aangezien de Code uitgaat van een managementcyclus en het certificaat steunt op periodieke controleaudits kan men ook meer vertrouwen hebben dat het beoogde niveau van beveiliging ook blijvend wordt geboden.

De voordelen van certificatie tegen de Code

Met certificatie worden verschillende doelen gediend. In de eerste plaats kan door middel van certificatie op basis van de Code in eigen huis orde op zaken worden gesteld. Immers, ‘opgaan’ voor een certificaat creëert een objectieve interne doelstelling, met een duidelijk eindpunt: het certificaat. In de tweede plaats kan certificatie helpen bij het maken van afspraken tussen (handels)partners. Deze afspraken hebben vaak de vorm van service level agreements of interchange agreements bij electronic commerce. Een belangrijk onderdeel hiervan vormen de afspraken over informatiebeveiliging. Met een certificaat kan, bijvoorbeeld, een serviceprovider laten zien dat hij zich aan de gemaakte afspraken houdt. Certificatie biedt zo een vertrouwensbasis tussen partners, waarbij één certificaat vertrouwen kan bieden aan meerdere relaties.

Voor een serviceprovider kan het bijvoorbeeld zeer aantrekkelijk zijn om in een service level agreement de Code als uitgangspunt te nemen en, om aan te tonen dat dit uitgangspunt wordt gehaald, een certificaat tegen de Code te halen. Ook in andere overeenkomsten kunnen partijen afspreken dat ze zich aan de Code zullen houden en deze afspraak wederom onderbouwen met een certificaat.

Certificatie op basis van de Code voor Informatiebeveiliging is ook internationaal mogelijk. De certificaten zijn breed erkend. In de Angelsaksische landen is certificatie zelfs zeer gebruikelijk en veelal wordt een certificaat verwacht. In Amerika zijn de certificaten wel erkend, maar helaas nog niet zo ingeburgerd.

Certificatie van informatiebeveiliging: proces en betrokken partijen

De belangrijkste partij bij certificatie is de organisatie zelf! Deze zorgt ervoor dat er een beveiligingsplan ligt en is geïmplementeerd dat voldoet aan de Code. Indien de organisatie besluit ‘op te gaan’ voor het certificaat is de eerste stap in het certificatieproces de aanvraag tot certificatie. De organisatie stelt dan de ‘Verklaring van Toepassing’ op. De certificatie-instelling, die moet zijn erkend door de Raad voor Accreditatie, stelt een auditteam samen met auditors die ten minste vier jaar IT-ervaring hebben en ten minste twee jaar ervaring met informatiebeveiliging. Bovendien moeten de auditors aantoonbare auditervaring hebben. Hoewel de audit sterk leunt op de kennis en ervaring van de auditors, is de post-doctorale EDP-auditopleiding niet verplicht.

Dan volgt de documentatiebeoordeling. In dit onderzoek wordt vastgesteld of de verklaring en de bijbehorende documentatie voldoen aan de gestelde eisen uit deel 2 van de Code, met name de selectie van categorieën uit de Code met een verantwoording, doorgaans in de vorm van een risicoanalyse. Indien kritische afwijkingen worden vastgesteld, wordt de audit niet eerder voortgezet dan nadat deze zijn verholpen.

De volgende stap is de implementatiebeoordeling. Zoals gezegd zijn op dat punt door de organisatie en de certificatie-instelling in onderling overleg verschillende benaderingen te kiezen. Indien de organisatie een goede interne managementstructuur kent met goede interne controles, audits of zelfbeoordelingen, bestaat het grootste deel van het werk van de certificatie-instelling uit het beoordelen van deze werkzaamheden. Daarnaast zal de certificatie-instelling ook onafhankelijke waarnemingen uitvoeren (interviews en verwerven van ‘evidence’). De verdeling van werkzaamheden tussen de organisatie en de certificatie-instelling is dus niet in beton gegoten, er zijn hier de nodige vrijheidsgraden. De laatste stap is de beslissing tot certificatie. Indien geen kritische afwijkingen zijn blijven bestaan en de onvermijdelijke tekortkomingen niet te ernstig zijn, kan het certificaat worden verleend. Bij de jaarlijkse controleaudit worden uiteraard met name de geconstateerde tekortkomingen opnieuw onder de loep genomen.

Tot slot: kosten en baten

Certificatie van informatiebeveiliging beoogt een stimulans te zijn voor de betreffende organisatie en haar medewerkers. Het inrichten van informatiebeveiliging vraagt vaak een ruime doorlooptijd. Maar zodra de organisatie het management rond informatiebeveiliging goed heeft ingericht, is de feitelijke certificatie laagdrempelig: eerder een kwestie van weken dan van maanden.

Op voorhand kan certificatie helpen ‘orde in eigen huis’ te scheppen: door te streven naar een certificaat wordt een duidelijk en meetbaar einddoel gesteld. Voor de partners en klanten van de organisatie wordt met een certificaat meer vertrouwen geboden dat de organisatie aan haar zorgplicht voldoet.

Bouwkundige maatregelen als integraal onderdeel van informatiebeveiliging

Alvorens een organisatie zich met haar activiteiten op een bepaalde locatie vestigt, zal goed moeten worden overwogen op welke wijze het gewenste niveau van informatiebeveiliging bereikt zal worden. Chronologisch ingedeeld kunnen de volgende categorieën van maatregelen getroffen worden: keuze van een (bouw)locatie op basis van beveiligingscriteria, maatregelen die in het bouwkundig ontwerp zijn verwerkt, maatregelen tijdens de bouwfase en maatregelen tijdens de exploitatie. De mate waarin de individuele maatregelen doeltreffend en doelmatig zijn hangt af van de implementatie van de overige maatregelen. De ideale mix van maatregelen uit diverse categorieën is dus in het beste geval de oplossing van een dynamisch optimaliseringsmodel. In dit model worden niet de kosten van individuele of categorieën maatregelen geminimaliseerd, maar de totale kosten. Een uitgebreide planning van maatregelen in een prematuur stadium zal zich in het algemeen gemakkelijk terugverdienen.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Modern Business Continuity Management

Door de toegenomen afhankelijkheid van geautomatiseerde informatievoorziening in combinatie met steeds hoger wordende beschikbaarheidseisen van interne en externe klanten, zien we de continuïteitsbehoeften van organisaties verschuiven van de lange naar de korte termijn. De continuïteitsstrategie van Business Continuity Management (BCM) komt hieraan tegemoet, doordat het ervoor zorg draagt dat de beschikbaarheid van kritische bedrijfsactiviteiten onder normale omstandigheden geoptimaliseerd wordt. Bovendien worden met behulp van deze methode continuïteitsplannen opgesteld, die bij calamiteiten een snel herstel van de bedrijfsactiviteiten helpen bewerkstelligen. Het BCM-onderdeel bedrijfszekerheid ten slotte tracht de continuïteitsregelingen zo goed mogelijk te beheersen. In dit artikel wordt beschreven hoe met behulp van de gestructureerde BCM-methode de continuïteit van kritische bedrijfsprocessen onder alle omstandigheden wordt gewaarborgd en beheerst conform de eisen van de klanten.

Klik op het pdf-symbool om het volledige artikel te bekijken.

Older posts
Newer posts
Verified by MonsterInsights