Cybercriminelen kunnen naar schatting 93 procent van de bedrijfsnetwerken binnendringen. Oud-directeur van de FBI Robert S. Mueller III zei: “Ik ben ervan overtuigd dat er slechts twee soorten bedrijven zijn: bedrijven die gehackt zijn en bedrijven die gehackt zullen worden. En de twee beginnen in één categorie samen te komen: bedrijven die gehackt zijn, en weer gehackt zullen worden”. En als we kijken naar de trends in de wereld van Cybersecurity, is het niet moeilijk om te begrijpen waarom. Maar hoe kunnen we deze bedreigingen tegen gaan?
Het is belangrijk om te begrijpen dat beveiliging niet statisch is—er bestaat geen wondermiddel dat al uw netwerken, apparaten en gevoelige data tegen alle bedreigingen beschermt. En wanneer u een eindeloos kat-en-muisspel speelt met hackers kunnen omgevingen die gisteren nog veilig waren, morgen kwetsbaar zijn voor een aanval. Maar wat als we Cybersecurity met een meer proactieve aanpak benaderen? Waarom zouden we genoegen nemen met reageren als we ook kunnen anticiperen?
In de Aanval Tegen Aanvallers
De oplossing voor de Cybersecurity uitdagingen van vandaag en morgen ligt in innovatie, maar niet alleen wanneer het op technologieën aankomt—het gaat ook om een innovatie in mentaliteit. Om de bedreigingen in een digitaal landschap dat voortdurend verandert aan te pakken, is het niet meer voldoende om simpelweg als een verdediger te denken. In plaats daarvan moeten we de rollen omdraaien, en gaan denken als hackers.
Dit betekent dat u uw IT-landschap voortdurend en veilig moet aanvallen met de tactieken en technieken die uw digitale vijanden tegen u zullen inzetten. Natuurlijk weten we allemaal dat er beveiligingslekken in onze netwerken en apparaten kunnen zitten. Daarom moeten we ons richten op het vinden en dichten van deze gaten voordat iemand anders deze weet te misbruiken.
Het Arsenaal van een “Ethical Hacker”
De meest voorkomende methode voor het beoordelen van Cybersecurity is penetratietesten (pentesting), waarbij u een gespecialiseerde partij inhuurt om een aanval op uw netwerk te simuleren. Pentesting draait om het nabootsen van technieken die een hacker zou kunnen proberen om de systemen en toepassingen in uw organisatieomgeving te misbruiken.
Pentesting is het uitvoeren van een geautoriseerde aanval die wordt uitgevoerd om een systeem of toepassing te evalueren op kwetsbaarheden. Op deze manier kunnen Cybersecurity risico’s op proactieve wijze worden verholpen voordat incidenten zich kunnen voordoen. Het is belangrijk om te begrijpen dat pentesting continu moet worden uitgevoerd, dus niet eenmalig. Netwerken veranderen namelijk voortdurend, en de aanpak van een aanvaller kan drastisch veranderen op basis van kleine wijzingen en updates in uw omgeving.
Een ander veelgebruikt concept is Red Teaming. Hierbij past een team dat beter bekend is is met de doelomgeving de tactieken, technieken en procedures (TTP’s) van een hacker toe. Een Red Teaming test omvat doorgaans minder “out of the box”-technieken dan een pentest, en is over het algemeen uitgebreider.
Een Red Team assessment is een beoordeling van uw Cybersecurity waarbij uw organisatie als geheel wordt bekeken door de ogen van een kwaadwillende hacker. Daarbij wordt niet alleen getest op kwetsbaarheden in uw technologieën, maar ook op hoe uw personeel omgaat met een Cyberaanval. Dit betekent dat Social Engineering-technieken zoals Phishing en Mystery Guests ook aan bod komen. Bij een Red Teaming assessment worden dus niet alleen uw systemen getest, maar ook het bewustzijn van Cybersecurity binnen uw organisatie.
Pentesting Vs. Red Teaming – Wat is de Beste Keuze?
Geen van beide methoden is noodzakelijk beter dan de andere – ze zijn allebei nuttig op verschillende manieren, onder verschillende omstandigheden. De keuze tussen pentesting en Red Teaming ligt aan wat u precies wilt bereiken, en hoeveel tijd u bereid bent om te besteden. Een Cybersecurity beoordeling is voor de meeste bedrijven een aanzienlijke investering, daarom is het verstandig om van tevoren te onderzoeken welke methode het beste op uw organisatie en haar doelen aansluit.
Weet u nog niet zeker welke van de twee de opties het beste past bij uw organisatie/vraagstuk? Aarzel niet om vrijblijvend een gesprek met een van onze Cybersecurity experts in te plannen, wij vertellen u graag meer over de opties tot uw beschikking!