Waarom een ISO-certificaat je niet uit de krant houdt

De reflex om als organisatie om direct aan de slag te gaan met certificeren klinkt logisch. Klanten vragen hun leveranciers om bewijs en dat bewijs moet zo snel mogelijk op tafel liggen. Een certificaat lijkt dan de snelste route, maar het zegt niet alles.

Met een certificaat zit het wel goed

Een van de meest gehoorde zinnen is ‘mijn leverancier heeft een ISO 27001-certificaat, dus dat zit wel goed’. Op de Cybersec Netherlands in de Jaarbeurs verzorgde Kiwa als kennispartner twee theatersessies, waar Rutger deze aanname samen met ethical hacker René Bisperink van Hudson Cybertec ter discussie stelde. Voor veel specialisten in de zaal was dat de grootste eyeopener.

Een ISO 27001-certificering is heel waardevol, want het dwingt organisaties ertoe om na te denken over risico’s, beleid en processen. Een audit beoordeelt of een organisatie haar informatiebeveiligingsrisico's beheerst en of de gekozen maatregelen aantoonbaar worden toegepast en onderhouden. Als de toetsing niet scherp genoeg is, dan zit er een zwakte in de organisatie waar niemand iets van weet.

Een huis is pas af na de eerste storm

Rutger vergelijkt een ISO 270001-certificering met het bouwen van een huis. Maatregelen als firewalls, multi-factor authenticatie, end-point detection en hardening zijn de muren en het dak. Dit is alles wat je nodig hebt om een huis te bouwen, maar is het sterk genoeg om een storm te overleven? Het is belangrijk om de stormtest, oftewel de penetratietest (pentest), niet over te slaan. Een ethical hacker kan in gecontroleerde omstandigheden doen wat een aanvaller doet, om zo een storm na te bootsen en te checken waar er zwakheden zitten.

Vaak is zo’n test minder spectaculair dan het lijkt. Veel hackers zien bijvoorbeeld een zwakke authenticatie, medewerkers die te veel rechten hebben, software die al jaren toe is aan een update of een verkeerd ingesteld systeem. Los van elkaar stelt dat weinig voor, maar een aanvaller komt binnen, vindt ergens inloggegevens, verhoogt zijn rechten en laat een flinke wind door het huis waaien. Meerdere afzonderlijk beperkte kwetsbaarheden kunnen in combinatie leiden tot een serieus beveiligingsrisico. In security is één plus één soms drie.

Maar dan is de volgende vraag: welke storm test je? Een regenbui is iets anders dan een orkaan. Een pentest vindt alleen wat binnen de afgesproken scope valt, dus hij is zo goed als de vraag die je stelt aan de hacker in kwestie. Wees daarom transparant en begin eerlijk. Wil je een vinkje en vervolgens een geruststellend rapport of wil je weten waar je écht kwetsbaar bent?

Begin bij je risico’s

Dat de nieuwe wet er is, is goed nieuws, want de overheid en Europa worden eindelijk wakker. Maar het heeft ook een keerzijde, want Fugers ziet ook onwetendheid en paniek ontstaan. Organisaties oriënteren zich op certificering en kiezen snel voor een ISO 27001-certificering, omdat dat bij iedereen bekend is. Voor kleinere organisaties zijn niet alle beheersmaatregelen even relevant. De inrichting van het managementsysteem moet aansluiten bij de omvang, complexiteit en risico’s van de organisatie. Begin daarom bij dat laatste. Wat zijn je kroonjuwelen? Welke systemen mogen nooit uitvallen? Hoe veilig zijn je leveranciers? Dan kom je er misschien achter dat 27001 een brug te ver is en dat eerst de basis op orde moet zijn. Denk dan bijvoorbeeld aan de autorisaties en of back-ups daadwerkelijk werken.

Daarbij maakt het wel degelijk uit bij wie je je laat toetsen. Nu security hot is, ziet Fugers steeds meer partijen die zich consultant of pentester noemen zonder de echte kennis te hebben. De waarde van een certificaat hangt mede af van de kwaliteit en diepgang van de uitgevoerde audits. Voor technische toetsing geldt hetzelfde als voor pentesten en andere security-assessments.

De hamvraag is dan: gaat het dan nooit mis? Daar is Rutger duidelijk over. Geen enkele beveiliging biedt volledige garantie. Het doel is om de kans op een succesvolle aanval zo klein mogelijk te maken en de impact ervan te beperken. Security is in de kern een uitstelspel en het doel is om het aanvallers zo lastig mogelijk te maken dat het de moeite niet waard is om het te proberen. Dat lukt niet met een certificaat aan de muur en achteroverleunen. Organisaties die hun risico's kennen en hun beveiliging continu toetsen, zijn beter voorbereid op incidenten. Dat verkleint de kans op vervelende verrassingen aanzienlijk, maar garanties bestaan niet. Een certificaat is daarmee geen eindpunt, maar het begin van continu verbeteren.