Zo komt u tot een actieplan voor security
Ook in de cloud is uw klant zelf verantwoordelijk voor de beveiliging van zijn data, en die beveiliging kan altijd beter. Verwerkt uw klant persoonsgegevens? Dan moet de security zijn afgestemd op de risico’s. Maar hoe komt u tot een actieplan voor het aanscherpen van de beveiliging?
Artikel 32 van de Algemene verordening gegevensbescherming (AVG) verplicht organisaties om persoonsgegevens te beschermen met ‘passende technische en organisatorische maatregelen’. De wetgever laat in het midden hoe die maatregelen er precies uitzien, maar denk aan encryptie van data, het gebruik van antivirussoftware en multifactorauthenticatie.
Maar hoe zien die maatregelen eruit als uw klant (deels) in de public cloud van bijvoorbeeld Microsoft opereert? En welke technologische en procedurele maatregelen kunt u nemen om de security te verbeteren? Voor het beantwoorden van deze laatste vraag, moet u eerst inzicht hebben in de huidige securitystatus. Kijk daarvoor onder andere naar deze componenten:
1. De endpoints
Het huidige securityniveau is onder andere afhankelijk van de staat van de laptops, desktops en servers in het netwerk. Door deze endpoints te scannen, ontstaat er een beter beeld van bijvoorbeeld de accounts die op deze apparaten in gebruik zijn, de firewall-rules, de geïnstalleerde applicaties, het besturingssysteem inclusief de geïnstalleerde Service Packs, shares en de registry.
2. Microsoft 365
Microsoft 365 is veel meer dan alleen e-mail. Het biedt bijvoorbeeld met OneDrive een veilige plaats voor de online opslag van documenten. Een ook SharePoint en Teams kunnen gevoelige informatie waaronder personally identifiable information (PII) herbergen. Dan moet wel inzichtelijk zijn waar welke informatie staat.
3. Active Directory & Azure AD
Active Directory is zowel on-premises als in de cloud de plaats waar u gebruikers en groepen gebruikers beheert. Maar weet u zeker dat alle gebruikers in beeld zijn? Een verdacht account met te veel rechten kan voor grote problemen zorgen.
4. Organisatorische processen
Om een goed beeld van de stand van zaken te krijgen, is het ook belangrijk om de organisatorische processen en het beleid onder de loep te nemen. Wie hebben er bijvoorbeeld toegang tot data, en met welke rechten? Is er sprake van een toereikend wachtwoordbeleid? En wat is het beleid als het gaat om de omgang met vertrouwelijke gegevens?
Cyber Security Assessment Tool
Bij het in kaart brengen van de huidige securitystatus komt met andere woorden veel kijken. Assessmenttools kunnen deze ‘inventarisatie’ aanzienlijk versnellen en helpen bij het verbeteren van de security. Zo laat de Cyber Security Assessment Tool (CSAT) zien welke technologische en procedurele maatregelen u kunt nemen om de security te verbeteren en presenteert daarvoor een ‘actieplan’.
De CSAT scant bijvoorbeeld Active Directory en Azure AD op verdachte accounts, doorzoekt de content in Microsoft 365 en kijkt welk beleid wordt toegepast op de in Microsoft Intune geregistreerde apparaten. Deze endpoints worden ook gescand. Voor de beoordeling van de organisatorische processen biedt CSAT een uitgebreide vragenlijst. Zo heeft uw klant snel inzicht in kwetsbaarheden, gebaseerd op gegevens uit het bedrijfsnetwerk en Microsoft 365.
Meer weten over hoe u de CSAT inzet voor uw klanten? Wij vertellen u er graag meer over.
