De Amerikaanse cyberbeveiligingsinstantie CISA lanceert een website waar je tips en gratis tools kan vinden om de beveiliging van je bedrijf op te krikken. Sommige oplossingen zijn exclusief voor de VS, maar de meeste gelden ook voor bij ons.
De Cybersecurity and Infrastructure Security Agency (CISA) in de VS heeft een gids gepubliceerd met daarin tips en links naar gratis tools en diensten die bedrijven kunnen gebruiken om hun beveiligingsniveau op te krikken. In navolging van enkele grote cyberincidenten zoals het Kaseya-hack hebben de VS van cyberveiligheid een nieuwe prioriteit gemaakt. De publicatie van de gids kadert in de ambitie van het land om de beveiliging van organisaties in de privésector op te krikken. Europa en België lopen wat dat betreft wat achter, waardoor de gids ook voor onze bedrijven het bekijken waard is.
Basisprincipes
Bovenaan de gids zet CISA enkele basisprincipes in de verf die het herhalen waard zijn:
- Fix gekende beveiligingsproblemen in software: dat zou voor zich moeten spreken, maar we weten allemaal hoe moeizaam patchen soms verloopt. CISA deelt een link met een lijst van kwetsbaarheden die actief worden uitgebuit, zodat organisaties hun prioriteiten kunnen kiezen.
- Implementeer multifactor-authenticatie: ook deze tip spreekt in theorie voor zich, maar dat vertaalt zich niet naar voldoende enthousiasme voor MFA in de praktijk. Gestolen inloggegevens zijn echter de hoeksteen van de overgrote meerderheid van alle cyberaanvallen. Door tweestapsverificatie te implementeren, sluit je de deur voor meer dan 90 procent van de traditionele aanvallen.
- Stop bad practices: hier heeft CISA het over het gebruik van onder andere end-of-life producten en systemen die gekende en onveranderbare wachtwoorden gebruiken. MFA niet implementeren voor belangrijke accounts ziet de instantie eveneens als een gevaarlijke bad practice. In de gids vind je de link naar extra voorbeelden.
- Zoek naar kwetsbaarheden: de Amerikaanse overheidsdienst voorziet links naar gespecialiseerde zoekmachines die je kan gebruiken om populaire kwetsbaarheden op te sporen. Het gaat daarbij om onder andere Shodan, Censys en Thingful.
Naast de basistips vind je een heleboel links naar gidsen van onder andere Microsoft en Google over onderwerpen zoals intrusiedetectie, bescherming en respons, opgedeeld in niveaus. Zo kan je zelfs met beperkte kennis aan de slag met basisprincipes.
Veel documentatie
Alle onderwerpen zijn voorzien van links naar documentatie met meer uitleg. Over het algemeen krijgt ieder onderwerp een introductie die ook voor niet-experts behapbaar is. De website is zo een handig startpunt voor ieder bedrijf dat een beveiligingsstrategie wil opzetten of bijwerken.
Natuurlijk is de Amerikaanse gids niet volledig van toepassing op Europa, al gelden de meeste zaken wel los van waar je bedrijf gevestigd is. De Amerikanen kunnen bijkomend beroep doen op gratis scans op kwetsbaarheden uitgevoerd door CISA en van eventuele GDPR-zaken is natuurlijk geen sprake. Op termijn hoopt CISA de website uit te breiden met diensten en tools van steeds meer bedrijven. Raadpleeg de volledige gids hier.