Ik ben Bart Pieters van CIO Rijk en ik hou me bezig met informatiebeveiliging en privacy.
En vandaag heb ik een gesprek met Vera.
Ja, goeiedag. Ik ben Vera Voogd en ik werk ook voor CIO Rijk...
en ook adviseur informatiebeveiliging en privacy. -Waar gaan we het vandaag over hebben?
Zeker. We gaan het over pentesten en red-teaming hebben.
Dus de eerste vraag meteen maar: Wat is het eigenlijk?
Pentesten of penetratietesten is eigenlijk een technische test...
die je uitvoert op je netwerk en systemen...
om zeker te zijn dat de beveiliging goed op orde is.
Ja, en red-teaming lijkt daar een beetje op, hè? Dat is een stuk breder.
Dan hou je je bezig met mensen, processen en de techniek...
om te kijken waar je kwetsbaar bent in je organisatie.
Dan natuurlijk de volgende vraag: Waarom doen we dat eigenlijk?
Dat is eigenlijk heel simpel, want meten is weten.
Je wil echt zeker weten dat die veiligheid goed op orde is...
en daarom voer je een pentest uit.
Ja, en ondanks het feit dat je zo je best kan doen om het systeem veilig te maken...
kan er altijd wat gebeuren, dus daarom is het goed om het toch altijd te testen.
Want de praktijk is weerbarstig, je zet zomaar een verkeerd vinkje...
of je voert een patch uit en dat wat eerst op slot stond, staat dan open.
Dus het kan gemakkelijk misgaan.
Ja, het is eigenlijk een voorbeeld van het kopen van een huis.
Bij een huis kopen, wil je eigenlijk ook weten of er toch nog niet een verborgen gebrek is.
Dus daarom doe je ook een technische keuring. Wanneer laat je een pentest eigenlijk uitvoeren?
Nou, dat doe je in ieder geval voordat je een nieuw systeem in productie laat gaan.
Voordat je het nieuwe systeem in gebruik neemt, wil je echt zeker weten dat het veilig is.
Voordat je in een huis gaat wonen, test je ook even of alle deuren goed op slot zitten.
En vervolgens ga je dat ook periodiek herhalen...
want in de loop van de tijd gaan er dingen veranderen.
Je voert patches uit, je gaat nieuwe releases uitbrengen. Dus dat herhaal je ook periodiek.
En je kan ook zien dat het resultaat op het ene systeem misschien ook wel bruikbaar is...
voor het resultaat op een ander systeem.
Dus in de breedte van je systemen zou je eigenlijk kunnen kijken wat de inzichten zijn die het je biedt.
Jazeker, zeker. En hoe werkt dat dan met red-teaming?
Want wanneer ga je beginnen met red-teaming? -Nou, red-teaming gaat echt de diepte in.
Dus red-teaming doe je wel meestal als je als organisatie al wat volwassener bent.
Bijvoorbeeld als je al je SOC-dienst hebt ingericht, dus je monitoring en detectie hebt ingericht.
En als je bijvoorbeeld wat minder volwassen bent als organisatie...
kun je altijd kijken naar andere mogelijkheden voor het testen.
En daar geldt natuurlijk hetzelfde.
Ook de resultaten uit de red-teaming kan je over de volle breedte gebruiken...
want als het bij één systeem misgaat, kan je er niet van uitgaan...
dat het bij andere systemen vast wel goed gaat. -Ja.
En wat zijn zoal de resultaten die uit red-teaming komen?
Nou, ga er sowieso van uit dat je resultaten hebt, want er komt vaak heel veel uit.
Soms blijkt dat je dat ene vinkje niet hebt aanstaan...
en dat het voor aanvallers vrij makkelijk is om in je systemen te komen.
En je komt er soms achter dat je je monitoring niet voldoende hebt ingericht.
Dus ga er in ieder geval van uit dat je wat vindt.
Echt een wake-upcall voor de organisatie, die eerste red-teamingoefening.
Ja, zeker. Het is echt een wake-upcall en ook...
Vaak ben je er misschien van overtuigd dat je alles op orde hebt, maar dan vind je toch dingen.
Je moet ook altijd oppassen dat... Juist als je denkt dat je het goed hebt ingericht...
en het toch een soort routine wordt, dan moet je oppassen.
Dus ja, zeker. -Ja, want routine is de vijand van alert blijven.
Zeker de experts moeten af en toe even wakker geschud worden, dat ze scherp moeten blijven.
Ja, zeker. Dus het creëert echt bewustzijn op dat vlak.
Ja, waarbij een aanvaller vaak maar één deurtje hoeft te gebruiken om binnen te komen.
En het biedt een leuke manier, red-teaming, om te achterhalen wat er aan de hand is...
zonder dat een aanvaller dat voor je doet.
Ja, dat klopt. Red-teaming is gewoon een hele leuke manier om zulke dingen te vinden...
en om scherp te blijven. Maar is het voldoende of moet je nog meer doen?
Je kan altijd meer doen, zeker. En er zijn ook verschillende mogelijkheden om meer te doen.
Dus kijk wat past voor jouw organisatie.
Een van de voorbeelden is continu monitoring inrichten.
Er zijn bijvoorbeeld ook scantools beschikbaar waarbij je kunt kijken...
bijvoorbeeld naar bestaande kwetsbaarheden, waar je kwetsbaar bent binnen je netwerk.
Dus er zijn zeker meer mogelijkheden. -Ja, dat wordt vaak door het SOC gedaan.
En dergelijke scans hebben vaak net iets minder diepgang...
maar ze zijn wel veel breder, zodat je inderdaad een goed beeld hebt van waar je kwetsbaar bent.
En zo zijn er nog veel meer dingen die je kan en ook zou moeten doen...
maar dat is misschien iets voor een volgend filmpje.