Blog

Security by design in de praktijk

Alle deuren wel helemaal beveiligd met drie dikke sloten erop, maar vergeten dat de ramen gewoon opengeschoven kunnen worden? Een hele dikke kluis voor waardevolle bezittingen, maar geen goede inventaris van alle sleutels? Het zijn goedbedoelde beveiligingsmaatregelen, maar situaties waar helaas niet goed genoeg over het totaalplaatje is nagedacht.

In de IT heet dat totaalplaatje security by design. Wat betekent dat nu in de praktijk? Het is al jaren een begrip dat iedere provider en ontwikkelaar zou moeten gebruiken bij het ontwerpen van applicaties en platformen. Het zijn eveneens woorden die passen bij en gebruikt worden door partijen met een ISO 27001 certificering of een andere vorm van security bewustzijn in de dagelijkse bedrijfsvoering. Het klinkt daarnaast volstrekt logisch en voor de hand liggend. Maar hoe doe je dat precies?

Wil jij weten wat de best practices zijn op gebied van Cyber Security?

Wat houdt security by design in?

Security by design houdt in dat bij het ontwerp van de grond af aan is nagedacht over veiligheid. Pogingen tot misbruik worden als vanzelfsprekend beschouwd en er wordt voor gezorgd dat de gevolgen minimaal zijn als er kwetsbaarheden in de beveiliging worden ontdekt of er op malafide wijze van de dienst gebruik wordt geprobeerd te maken. Databeveiliging wordt traditioneel gedefinieerd door drie pilaren die de veiligheid bepalen: vertrouwelijkheid, integriteit en beschikbaarheid. Alle maatregelen die komen kijken bij security by design zijn terug te vertalen naar deze drie concepten. Security by design betekent dat er niet verschillende losse maatregelen worden genomen, maar een geheel aan design principes die samen de veiligheid verhogen.

Deze security design principes zijn onder meer door het Open Web Application Security Project (OWASP) op een rij gezet en dienen ter inspiratie bij het ontwerpen en inrichten van platformen, systemen en applicaties. Wij hanteren dezelfde concepten en vullen dit aan met eigen aandachtspunten en richtlijnen. Hieronder volgt een bloemlezing van door ons veel genomen maatregelen. Ieder platform en applicatie is echter uniek en vraagt om een aanpak op maat.

Verkleinen van de attack surface

Een van de design principes die vaak als eerste wordt genoemd en vooral dient ter preventie van security incidenten is het verkleinen van de attack surface van het platform en de applicatie. Hoe minder contactoppervlak er met het internet is, hoe minder er aangevallen kan worden en hoe kleiner de kans op misbruik. Cyso brengt dit ook in de praktijk door het nemen van verschillende maatregelen. Denk hierbij aan diensten en (beheer)interfaces die geen publieke toegang vereisen achter een (SSL) VPN te zetten of in een niet-publiek VLAN te plaatsen.

Firewalls dienen ook voor het verkleinen van de attack surface en zetten we zowel globaal als lokaal in om alleen noodzakelijke communicatiekanalen open te zetten. Een andere keuze die vaak gemaakt wordt is om een load balancer als reverse proxy in te zetten en daarmee een extra scheiding te creëren tussen de applicatie en het publieke internet.

Meer lezen over de attack surface: Het verkleinen van je attack surface

Access management

Een streng toegangsbeleid behoort eveneens tot de preventieve maatregelen die wij nemen. Hoe minder personen toegang hebben tot applicaties en systemen, hoe kleiner de kans dat via één van die gebruikers beveiligingsincidenten ontstaan; ofwel door menselijke fouten ofwel door misbruik door derden. Voor de eerdergenoemde VPN-verbindingen gebruiken we strenge access lists om alleen de noodzakelijke gebruikers en personen toegang te verlenen; het liefst met two-factor authentication. Niet iedereen mag uiteraard wijzigingen in die lijst gebruikers en hun rechten aanvragen; daar gelden nóg strengere criteria voor.

Wachtwoorden zetten wij nooit direct in een e-mailtje. Wij hebben intern een tool ontwikkeld om logingegevens eenmalig veilig te kunnen verstrekken aan onze klanten. Zelfs als een e-mailtje op een verkeerde plek terecht zou komen, is de informatie die erin staat ongevaarlijk.

Als een gebruiker eenmaal toegang heeft gekregen, werken we ook met een zo klein mogelijke lijst met rechten. Dit betreft het concept van ‘least privilege’; de basisrechten zijn nul en op verzoek worden specifieke rechten verleend. Zowel voor de protocollen en applicaties die gebruikt worden voor de toegang als de specifieke functionaliteit die beschikbaar wordt gemaakt, is dit van toepassing. Indien mogelijk, worden gebruikers ook per applicatie of dienst aangemaakt; mocht iemand zich toch ongeautoriseerd toegang tot het account verschaffen, kan deze alleen kwaad doen op die ene plaats.

Meer lezen: De implementatie van Identity & Access Management

Alleen veilige software

Goede afscherming is natuurlijk een belangrijke vereiste voor de beveiliging, maar als de software zelf onveilig is, heeft dat allemaal bar weinig zin. Beveiligingslekken in de software zelf kunnen ervoor zorgen dat alle andere maatregelen direct omzeild kunnen worden. Wij letten daarom extra streng op welke software er gebruikt wordt.

  • Wij werken alleen met operating systems en packages met langdurige ondersteuning en waarvoor actief bugfixes en beveiligingsupdates beschikbaar worden gemaakt;
  • Door ons gebruikte server images worden uitvoerig getest en van een zo veilig mogelijke basisinstallatie en -configuratie voorzien;
  • Software en services die niet noodzakelijk zijn voor de rol en het functioneren van servers worden verwijderd of uitgezet;
  • Voor software die niet via het operating of distributie wordt geleverd, zijn we extra kritisch op robuustheid, veiligheid en ondersteuning van de leverancier. Als een klant specifieke wensen of eisen heeft op dit gebied, bespreken we dit met elkaar.

Geen security by obscurity

Hier kunnen we kort over zijn. Ga ervan uit dat aanvallers volledige kennis hebben. Het verstoppen van zwakke plekken in de beveiliging is geen goede oplossing omdat ze op een gegeven moment toch wel gevonden worden. Dicht het gat gewoon en los het probleem echt op.

Fail securely

Hoe goed je de preventieve maatregelen ook zijn, je zal er evengoed rekening mee moeten houden dat er iemand een gaatje vindt. Soms zal direct duidelijk zijn wanneer dat het geval is geweest, maar soms wordt dit pas later (of helemaal niet duidelijk). Maar je wilt het wel weten. We zorgen daarom voor goede, veilige en liefst centrale logging zodat verdachte activiteiten gedetecteerd kunnen worden en erop kan worden ingegrepen.

Security monitoring

Het monitoren van systemen en services is niet alleen een manier om de beschikbaarheid en performance te controleren, maar kan ook breder ingezet worden. Zo controleren wij onder meer de status van SSL-certificaten en doen wij inhoudelijke checks op de inhoud van een website om zo bijvoorbeeld eventuele defacements of andere hacks automatisch te kunnen detecteren. Bij het ontwerp en implementatie van een platform bespreken onze architecten de mogelijkheden om specifieke security monitoring voor uw dienstverlening in te richten.

Welke set beveiligingsmaatregelen past bij u?

Zoals gezegd: dit is slechts een selectie uit de manieren waarop wij kijken naar security by design. Zeker naarmate platformen en applicaties groter worden, wordt de set maatregelen uitgebreid. Bij iedere case die wij onder ogen kijken, zoeken wij de juiste oplossing. Wilt u weten hoe wij naar de veiligheid van uw applicatie en platform zouden kijken, neem dan gerust contact op om van gedachten te wisselen.

Wil je op de hoogte blijven van de laatste ontwikkelingen op IT gebied. Meld je dan hier aan voor de nieuwsbrief.

Benieuwd naar de mogelijkheden? Let’s talk!

Cyso stories

30/03/2021

Vijf cloudinfrastructuur trends voor 2021

Wat gaat 2021 ons brengen op het gebied van de cloud? Vijf cloud infrastructuur trends op een rij.
19/02/2024

Wat is het verschil tussen uptime en availability?

23/11/2023

De kracht van certificering in de IT

Certificeringen verkrijgen kan behoorlijk ingewikkeld zijn, maar we zijn er om onze klanten bij elke stap te helpen met onze uitgebreide expertise.

Interesse in een van onze diensten?

Wat is je vraag? Neem nu contact met ons op.

Wil je dat wij contact met jou opnemen? Laat je gegevens achter en wij bellen je terug.

Cyso contact