Iedere organisatie heeft kwetsbaarheden die een aanvaller toegang kunnen geven tot systemen of gevoelige gegevens. Een kwetsbaarheid is een zwakke plek die misbruikt kan worden met mogelijk ernstige gevolgen. Iedereen in je organisatie krijgt ermee te maken, op het werk en privé. In dit artikel leggen we uit wat die zwakke plekken zijn, hoe aanvallers ze misbruiken en welke maatregelen je kunt nemen om dit te voorkomen.
Dit artikel is bedoeld voor iedere organisatie die weerbaarder wil worden tegen kwetsbaarheden.
Een kwetsbaarheid is een zwakke plek in een systeem, apparaat, softwareprogramma, account of proces. Door die zwakke plek kan een aanvaller iets doen wat normaal gesproken niet mogelijk zou moeten zijn. Bij een zwakke plek kan je denken aan:
Een kwetsbaarheid betekent niet automatisch dat een organisatie is gehackt. Wel kan een kwetsbaarheid een ingang bieden voor een aanval.
Kwetsbaarheden kunnen op verschillende manieren ontstaan. Soms zit de oorzaak in de techniek zelf. Een softwareleverancier kan bijvoorbeeld een fout maken bij het ontwikkelen van een programma. Pas later wordt er bijvoorbeeld ontdekt dat een aanvaller deze fout kan misbruiken.
Kwetsbaarheden kunnen ook ontstaan binnen de organisatie zelf. Bijvoorbeeld als
Ook het gebruik van oude systemen (legacy) kan een risico vormen. Als er geen beveiligingsupdates meer worden uitgebracht, dan kunnen kwetsbaarheden in dergelijke systemen meestal niet meer worden opgelost.
Een aanvaller zoekt naar manieren om toegang te krijgen tot een systeem of deze toegang uit te breiden. Een kwetsbaarheid kan daarbij een belangrijke rol spelen.
Een aanval kan bijvoorbeeld beginnen met een kwetsbaarheid in een internetgerichte applicatie zoals een router of een firewall. De aanvaller ontdekt dat een bepaald systeem een beveiligingsfout bevat en probeert deze uit te buiten. Als dat lukt dan kan de aanvaller bijvoorbeeld:
De gevolgen van een misbruikte kwetsbaarheid verschillen per situatie. Soms blijft de impact beperkt tot één systeem. In andere gevallen heeft een aanvaller toegang tot belangrijke bedrijfsprocessen of vertrouwelijke gegevens.
Denk ook aan:
De impact hangt onder andere af van welk systeem kwetsbaar is, welke toegang een aanvaller krijgt en hoe snel de organisatie de aanval ontdekt en stopt.
Zoals eerder genoemd heeft iedere organisatie kwetsbaarheden. Een organisatie zonder kwetsbaarheden is simpelweg niet realistisch. Vrijwel iedere organisatie gebruikt meerdere systemen, applicaties, apparaten en/of externe diensten. Al deze onderdelen bevatten waarschijnlijk kwetsbaarheden.
Daarbij komen voortdurend nieuwe kwetsbaarheden aan het licht. Leveranciers brengen daarom regelmatig beveiligingsupdates uit. Een organisatie is zelf eindverantwoordelijk om op de hoogte te blijven van nieuwe beveiligingsupdates. Deze moeten worden beoordeeld om ze daarna wel of niet te installeren. Een IT-dienstverlener zou hierbij kunnen helpen.
Ook verandert de omgeving van een organisatie voortdurend. Er komen nieuwe systemen en medewerkers bij, medewerkers krijgen geregeld andere of nieuwe rechten, terwijl hun oude rechten niet ontnomen worden. Bestaande systemen worden bijvoorbeeld door andere teams gebruikt. Daardoor kunnen ook nieuwe risico's ontstaan.
Het doel is daarom niet om iedere kwetsbaarheid uit te sluiten, maar om zo snel mogelijk:
Voor organisaties die nog weinig ervaring hebben met kwetsbaarheden, kan het lastig zijn om te bepalen waar te beginnen. Begin daarom niet met alles tegelijk.
Een kwetsbaarheid is niets meer dan een zwakke plek die misbruikt kan worden. Die zwakke plek kan zich dus bevinden in software, systemen, accounts, instellingen of processen.
Helemaal voorkomen dat er kwetsbaarheden ontstaan is niet realistisch. Wel kun je als organisatie de kans op misbruik aanzienlijk verkleinen. Zorg voor inzicht in je systemen, installeer tijdig beveiligingsupdate, beperk en detecteer de toegang.
Daarbij is het belangrijk om niet alleen naar techniek te kijken. Duidelijke verantwoordelijkheden, goede procedures en een organisatie die weet wat zij moet doen bij een incident zijn minstens zo belangrijk.
Kwetsbaarheden zijn geen technisch probleem van alleen de IT-afdeling. Ze zijn onderdeel van de bredere cyberweerbaarheid van de organisatie. Weet je zelf niet hoe en waar te beginnen, neem dan contact op met je IT-dienstverlener.
Dan kan het NCSC mogelijk ondersteuning bieden. We bieden mogelijk ook deskundig advies bij cyberincidenten. Samen kijken we wat er is gebeurd en wat dat betekent. Zo zet je snel de juiste stappen om de schade te beperken.
Resultaten laden...
