Op 27 februari 2020 noteren we een geslaagde kennisdag cyber security. De opkomst was alvast mooi: een 120-tal mensen vanuit diverse uitvalshoeken en expertises (bedrijven, Vlaamse overheid, lokale overheid, intercommunales ...). Een korte samenvatting van de dag:
Minister Pieter de Crem wees ons erop dat het digitale hoe langer hoe meer ingang vindt in onze leefwereld. We kopen bv. online en we handelen online onze belastingen af (Tax on Web). Met meer online activiteit komen er ook meer misdrijven. Cyber crime breidt zich uit en wordt steeds ingenieuzer. In 2017 werd er een cyber noodplan opgericht, met als key spelers het CCB, de militaire inlichtingendienst en de federale politie. Minister de Crem roept op om daar verder op te borduren en moedigt het initiatief van V-ICT-OR en Exello aan.
Eddy Van Der Stock, voorzitter van V-ICT-OR, en Luc Jolie, Algemeen Directeur van Aalter en voorzitter van Exello, lanceerden een oproep om een quick response unit op te zetten. Nu vernemen lokale besturen cyberincidenten vooral via de pers. Dat moet sneller, en laat de communicatie dan vooral uit eerste hand komen. Een dergelijke unit kan een publiek-privaat samenwerkingsverband zijn, waarbij we middelen en kennis van verschillende partijen bundelen. Cyber crime is een misdrijf als een ander, alleen zien we het niet altijd zo. We waren tevreden met de beleidsmensen in de zaal; een teken dat ook ons beleid bewust is van de gevaren en vooruit wil.
Miguel de Bruycker liet in de kaarten van het CCB kijken: men wil van België een veilig land maken op vlak van cybersecurity. Toch zijn er nog heel wat uitdagingen. Zwakke wachtwoorden, een veelvoud aan cyber crime spelers, een zwarte markt voor illegale tools en adressenlijsten ... Het CCB kan dankzij de veelvuldige incidentmeldingen wel steeds sneller phishingsites blokkeren, en blijft via bewustmakingscampagnes de materie belichten.
Ivan Stuer en Johan Smekens van de Vlaamse overheid gaven ons een duopresentatie, waarin ze de voor lokale besturen interessante initiatieven hebben aangekaart. Zo hebben ze een informatieclassificatiemodel ontwikkeld, is er een mogelijkheid om pentesten af te nemen, kun je de Vlaamse tool voor certificatenbeheer gebruiken, kun je key management as a service afnemen, kun je PaMaas afnemen (gateway identificatie), ACM gebruiken, de tool voor gebruikersbeheer aanwenden ...
Uit het panelgesprek (Ivo Depoorter, Miguel Debruijker, Ivan Stuer, Pascal D'Eer, Johan Smekens) volgden finaal nog '5 gouden tips' rond continuïteitsbeheer (BCP).
- Communiceer als IT-medewerker richting de beleidsmensen, en kom met resultaten af om de waarde van je dienst te bewijzen
bv. lanceer initiatieven intern, geef in cijfers mee waarom je bepaalde zaken vanuit IT wil doorduwen ... - 1 dag opleiding kan je als IT-medewerker de nodige expertise meegeven rond informatieveiligheid en gegevensbescherming! Onderschat de kracht van regelmatige bijscholing niet.
Tip: via V-ICT-OR kun je een handleiding voor een self-audit bekomen! - Zorg voor permanente evaluatie van je werking via apps, en dit t.a.v. de rest van de sector.
bv. op welke 5 punten scoren we slecht ivm anderen? - IT draagt niet de enige verantwoordelijkheid in cyber security, het is en blijft een verhaal van iedereen! Zorg dat de hele organisatie begrijpt waar het om draait, en dat iedereen zijn steentje bijdraagt.
- Meer dan 90% van de aanvallen zijn te wijten aan acties van interne gebruikers, en aan de intern gebruikte software. Denk ook aan je kantooromgeving: is deze veilig ingericht? (sloten, badgesysteem, kasten ...)
Conclusie: deze kennisdag was het ideale moment om te testen hoe het gesteld is met de beveiliging bij lokale besturen. De cijfers van de polls liegen er niet om: meer dan de helft van de aanwezige organisaties heeft geen back-upbeleid dat een volledige bescherming biedt tegen cyberaanvallen. De verklaring vinden wij in het feit dat slechts 3% over een getest noodplan beschikt. Een op vier heeft zelfs geen plan van aanpak.
Een analyse naar kwetsbaarheden is verder ook zeker een werkpunt: het gebeurt te weinig. Zo moet je jaarlijks een pentest uitvoeren. Pentesten ouder dan 12 maand bieden geen representatief beeld meer van de actuele situatie. Positief is dat de aandacht en het belang voor dit thema stijgen, al is het vaak omwille van recente gebeurtenissen. V-ICT-OR kan je hiermee helpen! Ontdek hoe wij dat doen via onze site.