Pelle Aardewerk is de cyber advisory lead EMEA bij HPinc en kan bogen op ruim 25 jaar IT en OT security ervaring. In een uitgebreid interview spreekt hij over de noodzaak endpoint security serieus te nemen. Hij staat verder stil bij de wetgeving en de gevolgen daarvan.
Het gesprek opent hij met de opmerking: “Endpoint security is het grootste risico door de verschuiving naar cloud, AI en remote werken.” Die uitspraak zal velen bekend voorkomen. Het is al jaren bekend dat cloud en remote werken elk voor zich, en helemaal in combinatie, zorgen voor een fundamentele breuk met het verleden. Ooit waren alle devices en personeel op een fysieke plek aanwezig. Ze hingen in een netwerk en achter een centraal gemonitord systeem van beveiligingen.
“De werknemer logt nu ook en vooral in via hun laptop (waar het internet, data, applicatie en gebruiker samenkomen) vanaf zijn woning, flexplek, klantlocatie, of ergens onderweg,” stelt Pelle. “Dat levert risico’s op want een beheerder kan niet verder kijken dan zijn eigen infra en dan heb ik nog niet eens het zelfstandig installeren van apps door medewerkers genoemd of gebruik maken van shadow IT. Dit alles is een gruwel voor iedereen die verantwoordelijk is voor de security van een kantoornetwerk, de applicaties en natuurlijk de data.”
Meer veiligheid door samenwerking
Voor wie denkt dat dit nooit onder controle te krijgen is heeft Pelle goed nieuws. “Het is wel terdege mogelijk devices beter onder controle te brengen, 100 procent veiligheid bestaat niet, maar de huidige niveaus kunnen aanzienlijk verhoogd worden. De moderne werkplek betekent dat security van de endpoints net zo series genomen moet worden als de bescherming van het eigen kantoornetwerk, misschien zelfs wel nog serieuzer.”
Een gevolg daarvan is volgens hem dat in organisaties door verschillende afdelingen en functionarissen beter samengewerkt moet worden. “Hybride werken vraagt gedeeld risicomanagement. Dat is trouwens een proces dat niet alleen binnen organisaties speelt, ook daarbuiten. Een van de gevolgen van de Europese wetgeving is dat sectoren en hele ketens moeten samenwerken, maar daar komen we straks nog over te praten.”
Endpoints zoals printers
Na die cliffhanger gaat het gesprek terug naar de situatie binnen bedrijven. “Bijna elk gesprek dat ik heb, start met de bekende risico’s en hoe kwaadwillenden toegang tot uiteenlopende endpoints verkrijgen,” begint Pelle en somt vervolgens alle mogelijke endpoints op die aan te vallen zijn of als steppingstone kunnen fungeren. Daarbij noemt hij ook printers en vervolgens gaat het gesprek kortstondig over dat soort endpoints.
Dit soort details maken het interview extra interessant. Het voert echter te ver om elk daarvan de benoemen. Genoteerd is dat men bij HPinc van alle markten thuis is als het om endpoints, ook de meer exotische, gaat. Wat verder meermaals opvalt is de kennis over sectoren met specifieke eisen, bijvoorbeeld omdat ze gereguleerd zijn en met eigen toezichthouders te maken hebben.
Firmware
“Hoe verschillend de organisaties ook mogen zijn, laptops of desktops hebben ze allemaal. Om die endpoints te beschermen moet je verder gaan dan toegangsbeveiliging, encrypten van de data en het dichtzetten van USB poorten. Het valt me regelmatig op dat gebruikers over het hoofd zien de firmware-lagen te beschermen.”
HPinc biedt die mogelijkheid al jaren, maar dat wil niet zeggen dat alle secure by design ingebouwde security functies aan staan. Concreet bedoelt Pelle de Enterprise Security chip die op HP devices aanwezig is. Die controleert de signature van de firmware nog voor de BIOS opstart. Bij afwijkingen vindt een automatisch herstel plaats terug naar een clean BIOS situatie. Andere functionaliteiten voor klanten zijn multi factor toegang tot de BIOS, bescherming tegen ongeautoriseerde sabotage, en ingebouwde zelf-recovery.
Pelle: “Aanvallers zijn uit op langdurige aanwezigheid in de netwerken zonder op te vallen. Daarom proberen ze zich steeds vaker te nestelen op firmware niveau. Die route snijden we met de Enterprise Security chip af. Die chip is nu al quantum-proof gemaakt met geavanceerde cryptografie en voorbereid op bedreigingen in komende 5-6 jaar. Dit biedt klanten duurzame bescherming, dus ook tegen toekomstige aanvallen zoals quantum computing.”
Knop omzetten
Waarom ingebouwde endpoint security functies niet door elke beheerder wordt geactiveerd legt hij ook uit. Het blijkt dat veel beheerders in het verre verleden hebben meegemaakt of gehoord dat extra security lagen kunnen leiden tot merkbare performance vermindering en verhoogde kans op complicaties bij software updates. “Een van de hoofdredenen daarvan was dat de grens van de rekenkracht werd bereikt. Dat is echt een gepasseerd station. CPU’s en werkgeheugen zijn geen horde meer. Het is echt verleden tijd, maar de knop is nog niet bij elke systeembeheerder omgezet.” Zonde want secure by design endpoints met ingebouwde beveiliging tegen malware, firmware, sabotage, toegangsbeveiliging en digitale weerbaarheid is belangrijker dan ooit geworden.
Wat ook een rol speelt is dat de systeembeheerder wil dat medewerkers geen reden tot klagen hebben over de devices waarmee gewerkt wordt. Pelle:” Wij zien is dat ook op dat vlak een knop moet worden omgezet. Dat gebeurt trouwens vaak als een CIO, CISO of externe deskundige komt aankloppen met de melding dat elk device extra en blijvend beveiligd moet worden omdat de wet dat verplicht stelt.”
Kernbegrippen wet- en regelgeving
Daarmee komt het gesprek toe aan het punt wet- en regelgeving. NIS2 en DORA zijn genoemd, de AVG kwam ter sprake en de wetgeving die onderweg is zoals de CRA. Wat zijn voor hem de kernbegrippen om die wetten te kunnen plaatsen?
“In ieder geval zijn deze twee begrippen belangrijk: samenwerking en keten,” zegt Pelle. “De eerste hebben we al kort besproken, maar toen draaide het om interne processen. Een afdeling IT beheer, een CIO, CISO en audit/risk managers gaan vaker overleggen om de juiste beslissingen te nemen en te controleren of getroffen maatregelen volstaan. Dat verhaal geldt ook voor de manier waarop een bedrijf richting leveranciers en afnemers functioneert. Meer samenwerking i.p.v. slechts een contractuele afspraak, is een voorwaarde om de keten, dat is het tweede centrale begrip, veiliger te maken. Keten betekent ook, en dat wil ik benadrukken, dat kleinere organisaties in hun rol als toeleverancier hiermee te maken krijgen.”
Nadruk op de keten
De nadruk op de keten is door NIS2 duidelijk zichtbaar geworden en daarbij kan het volgens hem heel ver gaan. “We zien vaker bij aanbestedingen dat HPinc wordt gevraagd de eigen keten inzichtelijk te maken en te vertellen hoe we alle schakels in de supply chain onder controle houden. Ik merk het ook in gesprekken met klanten. Die stellen ons terecht meer vragen omdat ze een goed beeld willen krijgen en omdat ze die vragen zelf ook moeten beantwoorden.”
Mindset veranderen
Het gaat volgens hem veel verder dan het afvinken van een vragenlijst. Of hierdoor de mindset en procedures van inkopers veranderen kan hij minder goed inschatten. “Je kunt van mij een warm pleidooi horen waarom cybersecurity onderdeel moet zijn van inkoopbeleid en leveranciersrelaties. Ik kan je vertellen dat HPinc nauw samenwerkt met CISO’s om hybride werk en endpoint security policies aan te passen en inkoopvereisten te verbeteren. Ik durf zelfs te vertellen dat bij bepaalde ministeries ketenaansprakelijkheid en veiligheid zwaar wegen bij inkoopbeslissingen, dat is allemaal goed nieuws. Echter, er zijn nog tal van sectoren en situaties zijn waar dit niet of te weinig speelt.”
Op termijn moet veiligheid over de volle breedte op een hoger niveau getild zijn. Het zal volgens Pelle daarbij helpen als sommige uitgangspunten die nu gelden bij aanbestedingen naar de achtergrond verdwijnen.
De toekomst
Ter afsluiting van het interview geeft hij nog aan dat de toekomst van cybersecurity en digitale veerkracht zal bestaan uit adaptieve, gezamenlijke beveiligingsstrategieën en anticipatie op nieuwe technologische dreigingen.
“Snelle digitale herstelprocessen worden essentieel en staan in de DORA en CRA wetgeving al expliciet genoemd. HPinc maakt dat reeds mogelijk met ingebouwde technology, maar met alleen technische oplossingen zijn we er niet. Training van de beheerders, partners en gebruikers van endpoints is geen bijzaak. Als we daar te kort schieten blijft de kans op onveilige endpoints onacceptabel hoog. Nodig is een geïntegreerde aanpak op basis van beleid, mensen en technologie. Wetgeving als stok achter de deur kan daar helpen het verschil te maken”
(dit artikel verscheen eerder bij Infosecuritymagazine.nl)
