Wie is er klaar voor het Red Team?

Red Team testing, dat klinkt stoer. Ethische hackers die zich gedragen als echte tegenstanders en op die manier de digitale en fysieke weerbaarheid van je organisatie op de proef stellen, dat is de ultieme test. Een stap verder dan een gewone pen- en hacktest, want een Red Team kan alle strategieën aanwenden om hun doel te bereiken. Ja, ook phishing mail, of stiekem je kantoorpand binnendringen. Slaagt je organisatie voor de Red Team Test, dan weet je bijna zeker dat je beveiliging tiptop in orde is.

De vraag naar Red Team Tests met 2% tot 100% gestegen, schreef het FD in augustus. Dat heeft waarschijnlijk te maken met de groeiende dreiging van hacks vanuit China of Rusland, concludeert de krant, en natuurlijk met de nieuwe Cbw die op 15 augustus is ingevoerd.

Kroonjuwelen veiligstellen

Het begint met een risico-analyse, daar zijn de twee het over eens. Van Lierop adviseert om in kaart te brengen wat de meest kritieke processen in de organisatie zijn. Is dat de loonadministratie? Het systeem dat de bestellingen verwerkt? ‘Voor een groot vervoersbedrijf lijkt het simpel om het proces te vinden waar alles om gaat: natuurlijk moet het vervoer op tijd op de juiste plaats zijn. En de reizigers moeten de dienstregeling kunnen zien. Zulke kritieke systemen worden vaak ‘kroonjuwelen’ genoemd. Daar gaan we van vaststellen waar ze uit bestaan, welke applicaties en systemen er draaien, waar staan ze en welk team is daar eigenaar van.’ Op basis van die informatie wordt bekeken wat er mis kan gaan, en op welke manier dat kan worden voorkomen, het zogeheten ‘scenariodenken’.

Ook Benschop zoekt als eerste bij organisaties naar de kritieke processen. Stel dat je ERP-systeem uitvalt, wat gebeurt er dan? Wat zijn de gevolgen van verkeerde informatie op de website? Of storing bij de klantenservice? ‘Als een organisatie binnen een week out-of-business is als het ERP-systeem platligt, dan weten wij waar we moeten beginnen. Zo’n analyse helpt ons bovendien bij het proportioneel inrichten van de veiligheidsmaatregelen. Het is niet nodig om elk datacenter te synchroniseren naar nog een datacenter.’

Er zijn goedkopere manieren om te ontdekken waar je staat als organisatie. Van Lierop raadt organisaties aan eerst een droogzwemoefening te doen rond een securityincident. ‘Er komt een belletje binnen: we zijn gehackt. Wat ga je dan doen? Daar heb je geen heel Red Team voor nodig. Daar kun je intern in je organisatie al heel veel stappen mee zetten.’

'Weet wat de regels zijn'

Ook voor de maatregelen zelf hoef je niet meteen naar geavanceerde tests te grijpen. Hij begint bij governance: ‘Weten wat je regels intern zijn, waarom die regels er zijn, en zorgen dat je die aan mensen kunt leren, maar ook in je techniek kunt vastzetten.’ Daarna volgt security awareness. Medewerkers blijven volgens hem de zwakste schakel, en dat bewijst de hack bij Odido. ‘Dat begon gewoon met een telefoontje. Aan de technische kant kun je alles doen wat je wilt, maar als iemand bij data kan en onder druk wordt gezet of misleid wordt, helpt dat niet.’