Auteur:

De put dempen als het kalf verdronken is

  door

E-mailaanbieder en marketingbureau Epsilon is na de recente diefstal van miljoenen e-mailadressen weer begonnen met het versturen van marketing e-mails. Aanvallers wisten toegang tot de gegevens van meer dan 50 bedrijven te krijgen die bij Epsilon klant zijn…In een nieuwe verklaring laat Epsilon weten dat er alleen e-mailadressen en namen zijn gestolen, en er geen persoonlijke identificeerbare informatie, zoals social security nummers of creditcards, zijn buitgemaakt…Wel maakt het bedrijf zich zorgen dat vanwege het incident “grote klanten” zullen vertrekken. Het terugwinnen van het vertrouwen van de klanten heeft dan ook op zowel korte als lange termijn de hoogste prioriteit. Daarnaast maakt Epsilon nogmaals excuses voor het datalek (bron).

Excuses niet aanvaard…en nu? Als klant heb je natuurlijk niet zoveel keuze. Je kunt best weglopen bij het bedrijf, maar het leed is al geschied. De e-mailadressen en namen liggen op straat.

Natuurlijk kan ik je hier nogmaals vertellen dat het bij informatiebeveiliging eigenlijk maar om drie zaken gaat: omzet, kosten en imago. Maar dat gaan we niet doen, omdat Epsilon inmiddels ook wel weet dat, dat het echte probleem is.

Nee, laten we nu maar eens de keten aanhalen. Zoals we weten (althans, we zeggen dat we dat weten) is de keten zo zwak als de zwakste schakel. Dat is niet alleen zo in een ketting, maar bijvoorbeeld ook in een logistiek proces. Als de grondstofleverancier niet kan leveren, dan komt mijn eindproduct nooit bij de consument.

Maar trek nu eens de parallel naar informatiebeveiliging? Meer en meer organisaties beschikken over elkaars gegevens of kunnen bij elkaar in de systemen. Hartstikke prettig dat ik als organisatie dan ISO-gecertificeerd ben, maar hoe zit het met mijn leverancier en afnemers? Zijn die wel net zo bezorgd om beveiliging van de gegevens als dat wij dat zijn?

Uiteraard sluiten veel organisaties SLA’s af om zeker te kunnen zijn van een bepaalde mate van dienstverlening. Daarin nemen we ook graag de optie op om de leverancier te mogen auditen. Een goede beveiligingsparagraaf ontbreekt echter nog vaak in de SLA en controleren van de beveiliging doen we al helemaal niet, stel je voor.

Zolang de ketens steeds meer van elkaars systemen gebruik gaan maken is een eenzijdige aanpak van informatiebeveiliging niet voldoende meer. Nee, willen we de risico’s echt afdekken dan zullen we toch echt naar de hele keten moeten kijken.

Is dat dan zo makkelijk? Nee, natuurlijk niet maar het oplossen van je eerste Sudoku puzzel was dat ook niet, nu los je die puzzeltjes in een paar minuten op. Was je er toen nooit mee begonnen dan was het nu nog steeds zo ingewikkeld. Dat zelfde geldt net zo hard voor de controle van de keten: natuurlijk is het niet makkelijk, maar bedenk dat het over een jaar nog net zo ingewikkeld is als we niet nu al beginnen.

Wat ik voor je kan betekenen? Dat leg ik je graag uit, maar laten we eerst beginnen met het op orde brengen van de informatiebeveiliging binnen jouw organisatie voordat we naar de keten kijken…je wilt immers niet tot de conclusie komen dat jij de zwakste schakel bent.

Nederlander verkiest veiligheid boven privacy

  door

Driekwart van de Nederlanders vindt online veiligheid belangrijker dan snelheid en privacy tijdens het surfen, zo blijkt uit onderzoek van Microsoft (bron).

Hoewel je je natuurlijk altijd af moet vragen wat de betrouwbaarheid en het nut van een bepaald onderzoek is, vind ik wel dat je alle beschikbare informatie kunt gebruiken in de beeldvorming. Graag dus nog meer onderzoeken, dan heb ik tenminste weer voer om over te schrijven.

Veiligheid wordt dus belangrijker gevonden dan snelheid en privacy? Ehm, oke, dat zou kunnen maar toch zal daar ook een optimum in te vinden zijn. Het meest veilige (voor dit soort risico’s) is natuurlijk om helemaal niet online te gaan, dan doet de snelheid er ook niet meer toe. Maar goed, laten we er vanuit gaan dat we inderdaad online willen zijn.

Als ik dan iets erg veilig wil doen, dan mag dat dus meer tijd kosten. Ik moet nog zien of dat ook echt werkt of dat we hier met een sociaal wenselijk antwoord te maken hebben. Als de bank nu besluit dat ze echt kiezen voor veilig internetbankieren. Je start je browser op en moet vervolgens een kwartier wachten voordat je in kunt loggen omdat allerlei systemen de veiligheid moeten borgen. Ben benieuwd of je het zo lang volhoudt of toch liever kiest voor een bank die het minder veilig maar wel sneller doet.

Juist als het gaat om veiligheid signaleert het onderzoek ook alarmerend gedrag bij consumenten: een op de drie consumenten geeft toe bestanden te downloaden waarvan zij weten dat ze verdacht zijn. Mensen weten dus dat iets mogelijk onveilig is en toch doen ze het? Dat is raar, zou je zeggen. Maar ook dat valt mee. Vergelijk het maar weer eens met het verkeer. Er zijn mensen die willens en weten door rood licht rijden (bijvoorbeeld omdat ze haast hebben of asociaal zijn). Ze weten dat het mogelijk gevaarlijk is, maar toch doen ze het. Waarom? Daarvoor moeten we terug naar de psyche van de mens: er zit persoonlijk gewin in (bijvoorbeeld omdat ze zo denken sneller thuis te zijn). Datzelfde geldt simpelweg voor het downloaden: men wil het gewoon hebben…althans, dat denken ze als ze de titel lezen…hup, klikken en kijken waarom iemand mij 3 maanden voor mijn verjaardag een kaartje via de mail stuurt.

Gelukkig is er, volgens dit onderzoek, een simpele manier om de risico’s te beperken.
Volgens de poll lopen kinderen in de leeftijd van 14 tot 17 jaar de grootste online risico’s. De meerderheid heeft geen probleem met downloaden van bestanden waarvan zij weten dat die verdacht zijn. Ouders doen er volgens Microsoft daarom verstandig aan om een oogje in het zeil te houden wanneer hun kinderen online zijn. Wakker worden, die kinderen van 14 tot 17 jaar verdienen enerzijds privacy (want die vinden de veiligheid echt minder belangrijk) en zijn anderzijds 10x handiger met de pc dan papa of mama. Kleine kans dat de ouders voor deze leeftijdscategorie nog iets kunnen betekenen.

Ik heb mezelf voorgenomen de blog vandaag niet te lang te maken en als ik eerlijk ben, is hij al veel te lang en is er nog erg veel over te schrijven…maar dat doe ik niet. Wil je er meer over weten dan hoor ik het wel van je.

Gucci sysadmin saboteert ex-werkgever via VPN

  door

Een ontslagen systeembeheerder van modeketen Gucci heeft een digitale ravage bij zijn voormalige werkgever aangericht, dat het bedrijf 140.000 euro kostte. De 34-jarige Sam Chihlung Yin werd vorig jaar mei ontslagen. Toen hij nog bij Gucci werkte maakte hij in naam van een niet bestaande werknemer een vals VPN-token aan. Na zijn ontslag stuurde de ex-systeembeheerder een e-mail naar het IT-personeel om de token te activeren, wat ook werd gedaan (bron).

Al vele jaren zijn we het over eens: systeembeheerders zijn een apart slag…nee, niet zozeer als mens, maar wel als beveiligingsrisico voor organisaties. Waarom? Omdat zij nu eenmaal vanuit hun functie meer rechten (moeten) hebben dan de gemiddelde gebruiker.

Veel organisaties zijn zich daar wel van bewust, maar wat doe je er aan? Hoe ga je controleren of de systeembeheerder zich wel netjes aan de regels houdt? Ga je daarvoor mooie tooling installeren die al het gedrag monitort? Ja, dat is lastig, want daarvoor heb je toch die systeembeheerder nodig en die zal dat niet waarderen. Hij weet exact hoe het zo ingesteld moet worden dat al het verkeer gemonitord wordt, behalve zijn verkeer.

Als je dan ook nog een systeembeheerder hebt die naast de techniek exact weet hoe de processen in de organisatie lopen, dan heb je misschien nog wel een groter risico.

Gelukkig zijn de meeste organisaties druk met het implementeren van “uitloopbriefjes”. Vertrekt een medewerker dan zorgen we ervoor dat hij zijn laptop en token netjes inlevert. Toch? Ehm, waarschijnlijk valt het aantal organisaties dat dit echt goed geregeld heeft nog tegen…maar goed, dat geldt natuurlijk niet voor jouw organisatie.

Zo, de systeembeheerder is vertrokken en hij heeft netjes zijn laptop en token ingeleverd. Probleem opgelost, toch? Ja, misschien heeft hij wel de “assets” die op zijn naam stonden ingeleverd, maar hoe weten we zeker dat hij geen fictief persoon heeft aangemaakt? Hoe weten we nu echt zeker dat hij straks niet meer op ons netwerk kan?

Helaas is er geen simpele oplossing voor dit risico te noemen omdat het hier toch echt om een passende set aan technische, procedurele en organisatorische maatregelen gaat. Het beste advies dat ik je nu kan geven? Ehm, wellicht toch nog maar even je systeembeheerder niet ontslaan, totdat we zeker weten dat het risico echt is afgedekt.

Wat je natuurlijk ook kunt doen is mij even bellen, dan lopen we samen door de reeds getroffen maatregelen heen en kijken we hoe we dit risico echt af kunnen dekken. Ik hoor, zoals altijd, graag van je.

Lunchpauze overslaan kost bedrijfsleven miljoenen

  door

Dat is nog eens een opmerkelijke titel en het bij behorende bericht is misschien wel net zo opmerkelijk. Tenminste: als je leest zonder er verder bij na te denken.

Werknemers die hun lunchpauze overslaan om hun manager te plezieren of sneller door te kunnen werken, zorgen juist voor miljoenen aan kosten voor het bedrijfsleven…Personeel dat niet luncht of snel achter het bureau eet, blijkt echter later op de dag veel minder productief. Bijna de helft (48 procent) zegt dat hun productiviteit om deze reden flink daalt rond 15.00 uur. Volgens BUPA zorgt dit voor 40 minuten verloren werktijd, wat neerkomt op een verlies van 50 miljoen pond per dag (bron).

Ik vraag me af of dit bericht nu ook echt de waarheid goed weergeeft met een verlies van 50 miljoen pond per dag. Laat ik het anders omschrijven: stel je hebt 30 minuten lunchpauze waarbij je even naar de kantine (of tegenwoordig: bedrijfsrestaurant, vandaar ook die hoge prijzen) loopt. Dan zou je de rest van de dag productief moeten kunnen zijn en mis je dus maar 30 minuten.

Neem je die lunchpauze niet, dan ben je aan het eind van de dag 40 minuten minder productief. Maar volgens mij nog altijd productiever dan dat je een half uur echt van je plek bent. Maar goed eigenlijk gaat het niet om die 40 of 30 minuten, maar om het verschil daartussen. En dat is dus slechts 10 minuten en dan laat ik voor het gemak even achterwege dat de after-not-lunch dip geldt voor 48% van de respondenten (die overige 52% is dus gewoon 30 minuten per dag meer productief).

Verderop in het bericht wordt aangegeven dat het “Het beste is om gedurende de dag verschillende korte pauzes te nemen”. Stel dat je netjes het advies van de onderzoekers aanhoudt en 2 keer 5 minuten pauze neemt. Dat is bij elkaar weer 10 minuten die je niet productief bent. Tel die bij de 30 minuten lunch op en je bent 40 minuten niet productief.

Theoretisch allemaal leuk (maar lood om oud ijzer), zeker in een kenniseconomie waarbij productiviteit per dag nauwelijks meetbaar is. Dit waren misschien interessante gegevens geweest voor Henri Ford, maar inmiddels kun je er niet zoveel meer mee. Ben heel benieuwd wie dit onderzoek gesponsord heeft, misschien de voedselindustrie of de bedrijfscateraars?

Nog even en je kunt voor vandaag ook weer aan de lunch, kijk maar wat je doet, uiteindelijk maakt het weinig verschil. Tenzij 13.00 je deadline verloopt, dan kun je die lunch vandaag beter even over slaan.

Najaardepressie, Facebookdepressie, je zou er depressief van worden

  door

Denk je dat je inmiddels de najaarsdepressie wel achter je kunt laten wordt je geconfronteerd met de nieuwste depressie op dit gebied.

Een vooraanstaande groep artsen uit de Verenigde Staten waarschuwt voor een zogenaamde Facebookdepressie. Volgens de artsen heeft het sociale netwerk een negatief effect op onzekere tieners…Facebook zou onzekere tieners nog meer het gevoel geven dat zij niet bij de rest horen omdat de tieners alleen maar vrolijke berichten en foto’s zien. De informatie zou een vertekend beeld geven van de realiteit (bron).

Ik kan me nog de tijd herinneren dat RSI zijn intrede deed. Nauwelijks vast te stellen voor de artsen en een ziekte die ineens wel erg veel voor kwam. Met name bij die mensen die toch al niet zo’n zin hebben in werken. “Een trekkende pijn in de rechterarm die doortrekt naar mijn schouder”, oh, dat zal dan wel RSI zijn, blijf jij maar mooi een aantal weken thuis en als je weer aan de slag gaat moet dat op therapeutische basis met een aangepaste stoel.

Het is natuurlijk lullig voor die mensen die er ook echt last van hadden (want ik geloof best dat het bestaat), maar helaas werd er ook veelvuldig misbruik van gemaakt.

De laatste jaren is de RSI-hype wel een beetje over, ik hoor er in ieder geval niet zoveel meer van. Het zal wel niet sexy genoeg meer zijn. Maar geen nood, er is nu een heel nieuwe depressie waar we 10 jaar geleden niet eens van hadden kunnen dromen.

Een Facebookdepressie. Onderzoekers zijn het er nog niet over eens of het om een uitbreiding van een depressie gaat of een op zichzelf staande aandoening is. Zelf heb ik geen Facebook, dus daar kan ik alvast geen last van krijgen. Hyves heb ik ook niet dus van de Nederlandse variant heb ik ook weinig te vrezen.

Nu maar hopen dat er straks geen LinkedIn depressie wordt ontdekt, want dan kan ik mijn account beter sluiten.

Gestolen kluis na 22 jaar boven water

  door

Twee zogenoemde metaalvissers hebben zondagmiddag in de vijver bij kasteel Hoensbroek in Heerlen een kluis boven water gehaald…Die bleek 22 jaar geleden te zijn gestolen, maakte de politie bekend. In de kluis lagen papieren die de politie op het spoor brachten van het adres van de inmiddels 77-jarige eigenaresse uit Heerlen. Ze was erg blij met de vondst (bron).

Op een gegeven moment heb je de moed toch opgegeven dat ze je spullen nog terug vinden. Gelukkig voor deze mevrouw werden de spullen, die voor haar van grote emotionele waarde zijn, 22 jaar na dato alsnog terug gevonden.

Persoonlijk ben ik dan weer heel benieuwd wat voor spullen er zoal in deze kluis lagen en wat de staat daarvan is na 22 jaar in het water te hebben gelegen. Volgens mij zijn daar maar weinig spullen tegen bestand en de kluis beschermd tegen inbraak (een brandkast tegen brand) maar niet tegen waterschade.

Nu maar hopen dat haar verzekering dit bericht niet leest, anders kan ze straks ook nog de door de verzekering uitgekeerde bedragen terug gaan storten…met rente en dan zal dat al snel vele malen meer zijn dan de daadwerkelijke waarde van de spullen.

Anti-virusbedrijf infecteert opzettelijk smartphones

  door

We horen vaak dat we in economisch opzicht nog weinig te vrezen hebben van de Chinezen. Ze zouden immers alleen nog maar in staat zijn om te kopiëren wat door anderen is uitgevonden. Een mening waar ik het overigens niet mee eens ben. Volgens mij onderschatten we de vindingrijkheid van de Chinezen. En om mijn mening maar eens kracht bij te zetten een mooi voorbeeld van die vindingrijkheid:

Een Chinees anti-virusbedrijf zou smartphone-gebruikers opzettelijk met malware infecteren om ze vervolgens voor het verwijderen ervan te laten betalen. Volgens de Chinese staatstelevisie verspreidde het bedrijf NetQin een app voor smartphones, die stiekem een geïnfecteerde app installeert genaamd Feiliu. De NetQin app waarschuwt vervolgens voor een virus op de telefoon en vraagt zo’n twintig cent voor een update om de malware te kunnen verwijderen (bron).

Of het bericht waar is? Geen flauw idee. Of het verdienen van geld op deze wijze integer is? Nou, zeker niet.

Toch kunnen we hier met zijn allen over vallen. Maar feit is dat er natuurlijk al jaren een discussie gaande is over de macht en kracht van de virusschrijvers aan de ene en de anti-virusbedrijven aan de andere kant.

De een zijn dood is de ander zijn brood, toch? Zonder virussen geen anti-viruspakketten. Een raar idee misschien, maar wel de waarheid.

En nu wil ik de anti-virusbedrijven niet in een slecht daglicht plaatsen want het geldt voor veel meer branches en organisaties. Zonder criminaliteit geen politie, zonder oorlogen geen militairen, zonder warm weer geen ijscoman, zonder regen geen paraplu.

Kortom: de markt en de omgeving van die markt beïnvloeden elkaar. Erg? Ehm, in sommige gevallen wel, maar je er druk om maken heeft weinig zin, je er tegen wapenen kan wel handig zijn.

Softwarekraak kost bedrijven miljoenen

  door

Vakgenoten hebben het er al veel langer over. Bedrijven nemen security & risk management niet serieus genoeg en lopen daardoor (onnodig) grote risico’s.

Onderzoek van Monique Otten, bedrijfsadviseur bij Ernst& Young, bevestigt dit beeld maar weer eens en somt de feiten voor ons op:
Bedrijven lopen steeds meer financiële schade op door computercriminaliteit, maar doen zelden aangifte. De diefstal van geld, gegevens en het plaatsen van virussen neemt volgens 43% van de bedrijven toe. Zeker 74.000 Nederlandse bedrijven lijden financiële schade, bij 13% was dat vorig jaar meer dan een €1 miljoen (bron).

Aan het eind van het artikel worden nog meer feiten weergegeven:
De helft van de onderzochte ondernemingen die financieel geraakt is boekt schade in van €10.000 tot €500.000. Otten: ,,Verbazingwekkend is dan dat ruim 30% van de bedrijven zelfs de meest eenvoudige firewall-software niet heeft.” Verzekeraars zullen bij cyberinbraken dan ook niets uitkeren.

Als de helft van die 74.000 bedrijven een schade inboekt van minimaal € 10.000 dan hebben we het dus al over een bedrag van € 370.000.000. Dan hebben we het nog niet eens gehad over de gevolgschade en de imagoschade waardoor nog vele malen meer omzet wordt misgelopen.

Ik ben heel benieuwd wanneer organisaties dit soort incidenten serieus gaan nemen. Als zelfs de eenvoudigste maatregelen al niet genomen worden, dan vraag je er ook een beetje om. Ik hou mijn hart vast en ben graag bereid die organisaties die wel serieus er mee aan de slag willen verder te helpen.

1 april, kikker in je bil

  door

Niks van wat ik vandaag op mijn blog zou schrijven wordt geloofd (tenminste: als jij al door had dat het vandaag 1 april is en als dat niet zo is heb je de titel dus niet gelezen). Ik ga er dan ook geen moeite voor doen vandaag en je bent gewaarschuwd.

Wees eerlijk, ben jij vandaag al voor de gek gehouden? Nee? Ehm, jammer. Ja? Leuk, oppassen voor de volgende grap.

Maar even serieus (ja ja, 1 april, nee, niet dus). Hoeveel 1 april grappen haal jij nog uit de laatste paar jaar? Niet zoveel meer zeker? Waar is toch die goeie ouwe tijd gebleven waarbij je je als kind nog gewoon simpel kon vermaken met een portemonnee en een touwtje? Veel te serieus geweest de laatste paar jaar? Daar kun ook jij vandaag verandering in brengen. Alles wat je nodig hebt is een Euro en een beetje Bisonkit. De simpelste grappen blijven het leukst, geef het maar toe. Het is dat ik vandaag aan het werk ben, anders wist ik het wel.

Gelukkig voor jou is 1 april ook weer zo voorbij en kun je aan het weekend beginnen. En omdat ik graag onze Neerlandse producten onder de aandacht breng hier (op speciaal verzoek) de nieuwste uitvinding om het weekend goed door te komen: de Bierpad. Zo krijgt de Senseo steeds meer functies…nog een aantal functies erbij en ik koop ook zo’n ding, alleen niet vandaag.

Nou, mij kun je niks verwijten, je bent gewaarschuwd…oppassen dus vandaag want er zijn ook minder leuke grappen.

Hoewel het misschien lijkt of ik vandaag aanspoor om allerlei grapjes uit te halen, sta ik niet in voor de gevolgen. Het is maar dat je het weet.

Jaar cel voor porno op billboard in Moskou

  door

Een 40-jarige Moskoviet moet een jaar de cel in, omdat hij een elektronisch billboard langs een drukke weg in Moskou had gehackt en er porno op te zien was (bron).

Dobroe utro (goeiemorgen)…1 jaar gevangenisstraf in een Russische cel voor het hacken van een billboard…of is het omdat hij het auteursrecht van de filmmaatschappij geschonden heeft? De Russische rechtbank kon er in ieder geval niet om lachen, terwijl je toch zou zeggen dat er in Rusland wel ergere dingen gebeurd zijn de afgelopen decennia.

IKEA mag wel oppassen trouwens met hun reclame voor de koffietafel die ze in Rusland verkopen:

Een slechte 1 april grap? Nee, dat kan niet…dat is morgen pas.

Overigens moet de beste man langer de cel in: zes jaar om precies te zijn, omdat hij ook schuldig werd gevonden aan poging tot drugshandel. Poging tot drugshandel? Niet gewoon drugshandel maar poging daartoe. Blijkbaar is het hem dus niet gelukt om de drugs ook daadwerkelijk te verkopen.

In ieder geval een opmerkelijk verhaal en mocht je ooit in Rusland komen…hou je dan een beetje aan de regels, dat kan je een hoop ellende schelen.