Als we aan cyberrisico denken, denken we aan de buitenwereld: criminele groepen, statelijke actoren, ransomware. Die bestaan en ze zijn serieus. Maar in de incidenten die wij onderzoeken, is de eerste stap zelden spectaculair. Een account dat nooit is opgeruimd. Een beheerder met meer rechten dan hij nodig heeft. Een beveiligingstool die is gekocht maar nooit ingericht. De aanvaller hoeft niet slim te zijn als de deur al openstaat. Dit artikel gaat over de drie categorieën interne risico’s die we het vaakst tegenkomen, en wat je eraan doet.
Wat je niet weet
Het grootste risico is het risico dat je niet kent. Dat klinkt als een tegeltje, maar het is heel concreet. Bijna elke organisatie heeft accounts waarvan niemand meer weet waarvoor ze dienen, gastgebruikers die jaren geleden zijn uitgenodigd, applicaties die met een paar klikken toegang tot de mailbox hebben gekregen en verouderde inlogprotocollen die nog aanstaan omdat één oud systeem ze nodig had.
Elk van die dingen is een ingang. Een aanvaller zoekt niet de best beveiligde deur, maar de deur waar niemand naar kijkt. Het antwoord is inventariseren: welke identiteiten bestaan er, welke applicaties hebben toegang, welke apparaten melden zich aan, en welke daarvan zijn nog in gebruik. Alles wat je niet kunt verklaren, gaat uit. Dat is saai werk, en het levert meer op dan de meeste tools.
Je eigen IT-organisatie
Dit is een ongemakkelijk onderwerp, dus we zeggen er direct bij: het gaat niet om kwade wil en zelden om onkunde. Het gaat om tijdsdruk, om gemak en om keuzes die ooit logisch waren. Iedereen in het IT-team globale beheerder, omdat dat sneller werkt. Een uitzondering op MFA voor dat ene account, omdat een koppeling anders niet liep. Een noodaccount waarvan het wachtwoord in een gedeeld document staat.
Zulke keuzes stapelen zich op en samen vormen ze een aanvalsroute die geen enkele firewall tegenhoudt. De oplossing zit in ontwerp en proces, niet in wantrouwen. Beheerdersrechten worden tijdelijk en aangevraagd in plaats van permanent. Uitzonderingen krijgen een eigenaar en een einddatum. Wijzigingen aan beveiligingsinstellingen lopen via een tweede paar ogen. En het noodaccount ligt in een kluis, met een alarm erop als het wordt gebruikt.
A fool with a tool is still a fool
De derde categorie is de meest zichtbare: de tool die er wel is, maar niets doet. Licenties voor Defender die nooit zijn geactiveerd. Een SIEM die alerts verzamelt die niemand leest. Een back-up die draait, maar nog nooit is teruggezet. De aanschaf voelde als een maatregel, maar een maatregel is pas een maatregel als hij is ingericht, wordt bewaakt en tot actie leidt.
De vraag die je bij elke tool moet kunnen beantwoorden is simpel: wie kijkt ernaar, en wat doet die persoon als het rood wordt? Als het antwoord stil blijft, heb je geen beveiliging maar een abonnement.
Wat helpt
Meten. Een assessment dat de werkelijke stand laat zien, niet de bedoelde stand. Wat staat er echt aan, wie heeft echt welke rechten, wat wordt echt bewaakt.
Opruimen in volgorde van risico. Niet alles tegelijk, wel eerst de dingen die een aanvaller als eerste zou gebruiken: permanente beheerdersrechten, zwakke authenticatie, verouderde protocollen, vergeten accounts.
Bewaken. Signalen uit identiteit, apparaten en e-mail bij elkaar brengen en zorgen dat iemand ze beoordeelt. Dat kan intern, of uitbesteed als je daar geen team voor hebt.
Herhalen. Een omgeving die vandaag op orde is, is dat over een halfjaar niet meer. Toegangsreviews, periodieke controles en een vaste plek voor uitzonderingen houden het bij.
Kort samengevat
Aanvallers gebruiken wat er ligt. Wat er ligt, is meestal iets van jezelf: een account, een recht, een tool zonder eigenaar. Wie de eigen omgeving kent en opgeruimd houdt, haalt het grootste risico weg voordat er een aanvaller aan te pas komt.