Als u wil weten hoe goed u beschermd bent en welke methoden u moet gebruiken om zich te beschermen, kunt u bijvoorbeeld uw eigen beveiligingsplan opstellen. In een dergelijk plan moet u nagaan over welk type informatie u in elektronische vorm beschikt en hoe u die wilt beschermen.
Definieer de activa die u wilt beschermen.
Beoordeel het risico om te begrijpen welk niveau van bescherming nodig is (beschikbaarheid, integriteit, vertrouwelijkheid).
Denk na over defence-in-depth en voeg beveiligingen toe.
De BIV-classificatie waarover we in het eerste hoofdstuk van de cursus hebben geleerd, biedt over het algemeen een goede benadering van beveiliging. Ze bestaat uit drie kanten van dezelfde zaak:
Beschikbaarheid
Integriteit
Vertrouwelijkheid
Om gevoel te krijgen voor beveiligingsbewust denken, nemen we er een voorbeeld bij:
Tina gebruikt Google Mail als haar belangrijkste e-maildienst. Ze gebruikt haar @gmail.com-adres om zich aan te melden bij de meeste andere diensten die ze gebruikt.
Laten we eerst eens bedenken wat het bezit eigenlijk is.
Het bevat al haar persoonlijke e-mail.
Het kan worden gebruikt voor identiteitsdiefstal en om zich online voor te doen als haar.
Het bevat persoonlijke informatie van allerlei diensten, adressen, telefoonnummers, misschien socialezekerheidsnummers en zelfs creditcardinformatie.
Het kan worden gebruikt als een herstel e-mail voor de meeste van de accounts die ze gebruikt.
Zoals u ziet, is het e-mailadres niet zomaar een e-mailadres, maar kan het nog veel meer zijn. Hoe zou u het risico voor dit account definiëren? Wat voor bescherming moet ervoor worden gebruikt?
U hebt waarschijnlijk geoordeeld dat het risico voor het verlies van het account hoog is. Goed, laten we nu eens nadenken over wat we kunnen doen om het account te beschermen tegen misbruik.
Het wachtwoord dat zij gebruikt moet veel entropie hebben, dus moet zij een lang wachtwoord gebruiken.
Het wachtwoord mag nergens in platte tekst worden opgeslagen.
Google-accounts maken het gebruik van multifactorauthenticatie mogelijk, wat een extra beveiligingslaag voor het account toevoegt.
Er zijn meerdere manieren om de beveiliging in Tina's geval te benaderen. Maar hoe kunnen we de beste balans vinden tussen veiligheid en bruikbaarheid? Hoe krijgt ze toegang tot de e-mail?
Een redelijk goede manier om het account te beveiligen is het gebruik van een lang wachtwoord van minstens 15 tekens. Het kan worden onthouden of opgeslagen in een wachtwoordmanager of op een stuk papier in een kluis. Multifactorauthenticatie kan worden ingeschakeld, en met de diensten van Google kunt u hun Google app gebruiken als een extra token. Dat is veiliger dan het gebruik van sms en vereist niets anders dan de Google-app voor authenticatie.
Als Tina echter de e-mailapplicatie van haar mobiele telefoon gebruikt, is de e-mail net zo veilig als de toegang tot haar telefoon. Dus als haar telefoon wordt gestolen en de aanvaller haar pincode kent, kan het account op meerdere manieren worden misbruikt. Om misbruik van haar e-mailaccount tegen te gaan, kan zij het account alleen via een browser gebruiken en logt ze altijd uit na gebruik van het account. Dit gaat ten koste van de gebruiksvriendelijkheid en het is misschien beter als ze haar pincode met niemand deelt. Het is aan u om te beslissen hoe u deze kwestie van gebruiksvriendelijkheid versus veiligheid benadert.
Als Tina haar telefoon gebruikt als een multifactortoken, moet ze echt back-ups voor haar telefoon inschakelen om snel haar toegang terug te krijgen in het geval dat haar telefoon kapot is of verloren gaat. Het is essentieel om naast uw telefoon nog andere manieren te hebben om toegang te krijgen tot uw account. De meeste sites die multifactorauthenticatie aanbieden, bieden u back-upcodes voor het geval uw token verloren gaat. Deze tokens voor eenmalig gebruik kunnen worden gebruikt om uw account te herstellen als u geen toegang meer hebt tot uw tokensoftware of -apparaat. Back-ups beschermen het beschikbaarheidsgedeelte van de BIV-classificatie. Als uw harde schijf kapot gaat en u geen actuele back-up hebt, is de beschikbaarheid van de gegevens onbestaande.
Google biedt een dienst genaamd Google Advanced Protection, waarmee u zich alleen kunt aanmelden bij uw Google-account met hardwarebeveiligingstokens of met de Google Smart Lock-app.
We zijn echter nog niet klaar, want we moeten ook nadenken over het systeem dat Tina gebruikt om toegang te krijgen tot het account. Alle software-updates moeten worden geïnstalleerd om er zeker van te zijn dat er geen bekende kwetsbaarheden zijn in het besturingssysteem of de software die Tina gebruikt. Ze moet er ook voor zorgen dat ze een virusscanner gebruikt met up-to-date virusdefinities.
Tina zou er ook een gewoonte van moeten maken om na te gaan welk soort netwerk ze gebruikt om toegang te krijgen tot haar e-mailaccount. Als ze verbinding maakt met een openbaar draadloos netwerk, kan ze het netwerkverkeer beschermen door VPN-software te gebruiken, waarover we meer zullen leren in het volgende hoofdstuk.
Nick Rosener schreef een heel goede blogpost over zijn eigen benadering van persoonlijke computerbeveiliging.
Als u geen Google-diensten gebruikt, hoeft u zich geen zorgen te maken. De meeste andere diensten bieden vergelijkbare beveiligingsopties voor u. Op dezelfde manier hebben de meeste software-oplossingen die in deze cursus worden genoemd alternatieven die misschien beter werken voor u.
Uiteindelijk is het aan u om te beslissen hoeveel beveiliging u wilt, maar de beslissing moet weloverwogen zijn, niet de eerste die zich aandient.
Tina's e-mailaccount is een zeer belangrijk bezit, omdat het een groot risico voor haar is als ze er geen toegang meer toe heeft of als een aanvaller zich toegang verschaft tot de inhoud ervan. Ze zou een benadering van ‘diepgaande verdediging’ moeten gebruiken om beveiligingsmaatregelen in lagen aan te brengen met behulp van de drie items in de BIV-classificatie:
Beschikbaarheid: Maak een back-up van de gegevens die toegang geven tot het account.
Integriteit: Alleen Tina mag toegang hebben tot het account en zij mag haar accountgegevens niet delen.
Vertrouwelijkheid: Sterke wachtwoorden, encryptie terwijl er gegevens worden overgedragen, multifactorauthenticatie.
Na het beëindigen van hoofdstuk 4 kun je:
een basisinzicht krijgen in hoe netwerken werken.
het belang begrijpen van een veilige verbinding en hoe encryptie hierin een belangrijke stap is.
begrijpen hoe apparaten en hardware interageren met netwerkbeveiligingsproblemen
de basisbeginselen van het beveiligen van uw apparaten en hardware kunnen uitleggen.
