MFA Vermoeidheid?

by SecurityTraining

Kenny Van Campenhout

MFA-fatigue, MFA bombing, MFA spamming… what’s in a name?

Onlangs zijn zowel Uber, Microsoft als Cisco slachtoffer geworden van een gelijkaardig type Cyberaanval, een zogenaamde MFA-bombing.
Wat is zo kenmerkend aan dit soort aanval?
Door middel van een nieuwe Social Engineering techniek maakt de aanvaller misbruik van de frustratie bij de gebruikers. Deze techniek bestaat in het uitoefenen van een ‘vermoeidheidsaanval’ – namelijk het onophoudelijk sturen van goedkeuringsverzoeken tot aanmelding op het apparaat van het slachtoffer. Dit gebeurt uiteraard met gestolen credentials en steeds op accounts die geconfigureerd zijn met multifactor authenticatie.

“Maar deze MFA is toch super veilig?”, zult u ongetwijfeld opwerpen… Dat is inderdaad zo, doch wanneer een op de lange duur onoplettend geworden gebruiker zo’n spam goedkeuringsverzoek tóch accepteert, geeft hij de hacker daarmee toegang tot de interne infrastructuur van het bedrijf.

Hoe kunt u zo een aanval dan voorkomen?
In eerste instantie door uw personeel te trainen, een user-awareness training is vaak geen overbodige luxe. Maar ook uw IT-partner kan door middel van enkele eenvoudige aanpassingen dit soort dreiging afweren.

  1. Benieuwd naar onze oplossing? Neem contact met onze Support Staff, die helpt u graag verder via [email protected]
    … of het algemene nummer 016 609 709.
  2. Implementeer “Number Matching” in de Microsoft Authenticator App, waarbij de gebruiker een extra controlenummer zal moeten ingeven om effectief in te loggen. (Zie afbeelding)
  3. Een derde optie is het implementeren van “Additional Context” waarbij de gebruiker extra informatie te zien krijgt over de locatie van login en informatie over het gebruikte toestel.
NUMBER MATCHING

GDPR: is uw KMO klaar?

by SecurityTraining

Is uw KMO klaar voor de wetgeving inzake de verwerking van persoonsgegevens?

Waarom is GDPR zo belangrijk?

Algemene Verordening Gegevensbescherming

AVG of in het Engels beter bekend als GDPR, General Data Protection Regulation.

Deze verordening werd door de Europese Unie opgesteld en is op 25 mei 2018 in werking getreden. De EU legt strenge boetes op aan degenen die de privacy- en veiligheidsnormen van de verordening schenden.

Is uw bedrijf GDPR proof?

Diverse domeinen

  • Data Transparency: De toegankelijkheid van informatie, duidelijke en begrijpelijke taal
  • Data Management: Het proces van datavergaring, validatie, opslag, bescherming en verwerking.
  • Data Governance: Overkoepelende strategie inzake zowel technische processen als menselijke
    interventies bij de bescherming en het beheer van gegevens.

Uw organisatie kan enkel GDPR-Compliant zijn als de werknemers in overeenstemming handelen bij alle klantencontacten waarbij de gegevensbescherming een rol speelt.
Dit is een continu proces.

De modaliteiten van de GDPR

Soorten gegevens

Persoonsgegevens zijn alle gegevens die verwijzen naar een natuurlijk persoon.

  • Direct: herkenbare foto, video- of geluidsopnamen
  • Indirect: autokentekens, telefoonnummers, IP-adressen
  1. Gewone persoonsgegevens, zoals naam, adres, nationaliteit
  2. Gevoelige gegevens, zoals wachtwoorden, financieel inkomen, bezittingen, relaties
  3. Bijzondere gegevens, zoals ras, religie, geaardheid, medische gegevens: steeds met uitdrukkelijke toestemming!

De motivatie

De verwerking van persoonsgegevens mag niet zonder reden gebeuren:

  • Wegens uitvoering van een opdracht voor de klant, beroepsmatig
  • Met uitdrukkelijke toestemming voor een ander bepaald doel dan beroepsmatig, zoals een Newsletter
  • Gerechtvaardigd belang, zoals IT- en netwerkbeveiliging, toegangscontrole van de kantoren

Wie zijn de spelers?

  • De verantwoordelijke: de inrichter, zaakvoerder
  • De bewerker: een derde partij, leverancier, werknemer (beheerder van databank)
  • De betrokkene: de klant of leverancier

De betrokkene heeft op elk ogenblik het recht om de verzamelde gegevens

  1. In te zien
  2. Te (laten) wijzigen, corrigeren
  3. Te (laten) verwijderen

De bouwstenen van AVG

  1. Opstelling van de Privacyverklaring, gebeurt spontaan en niet op verzoek van de klant
  2. Cookiestatement bij eventuele website
  3. Verwerkersovereenkomst tussen inrichter en bewerker
  4. Register van de verwerkerscriteria

Wat in geval van een datalek?

We kunnen spreken van een datalek van zodra klantgegevens kunnen gelezen worden, in het bezit komen van onbevoegde derden of met kwaadwillig opzet ontvreemd worden uit uw organisatie.
Denk daarbij bijvoorbeeld aan diefstal van een laptop of bedrijfstelefoon, een verkeerd geadresseerde email met een gevoelige bijlage, een vergeten usb-stick bij een klant enz.

Hier begrijpt u de noodzaak aan awareness training van uw werknemers. Nonchalance op vlak van gegevensbescherming kan leiden tot geldverslindend tijdverlies en in ergere gevallen loopt uw bedrijf het risico in gerechtelijke procedures te verzeilen, met mogelijk betaling van schadevergoedingen als gevolg.

Meldplicht

Behalve dat bedrijven verplicht zijn een register van hun verwerkingen van persoonsgegevens bij te houden, dienen ze ook hun data breaches vast te leggen in een ‘Register van datalekken’ en hebben ze in bepaalde gevallen een meldplicht, zowel aan de betrokken klanten als aan de Gegevens Bescherming Autoriteit, GBA.

Conclusie

GDPR geschiktheid is een dagelijkse opdracht, een bedrijfshouding naar klanten en leveranciers toe. Hoe duidelijk blijkt hier het verband tussen gegevensbescherming van je klanten en leveranciers enerzijds, en de beveiliging van je eigen bedrijfsomgeving anderzijds!

En opdat al deze bekommernissen u geen dagelijkse kopzorgen zouden baren, staat SerSo klaar om uw bedrijf bij te staan met de implementatie van GDPR, de begeleiding en training van uw medewerkers. Wij checken de diverse veiligheidsniveaus van uw dataverwerking en geven u advies voor de verbetering ervan.

Neem gerust contact op met onze Support Staff om een afspraak te maken via [email protected] of het algemene nummer 016 609 709.