14 aandachtspunten uit het normenkader Informatiebeveiliging en Privacy (IBP) en periodieke taken voor de Microsoft security specialist

Checklijst investeringen voor Informatiebeveiliging en Privacy (IBP)

Het onderwijs loopt niet alleen een groot risico op financiële schade maar ook de continuïteit van lesgeven loopt gevaar. In het andere blogartikel staan naast de risico's ook de bestuurlijke verantwoording genoemd voor het nemen van maatregelen.

In dit artikel staan de onderwerpen genoemd die een bepalen welke jaarlijkse investeringen nodig zijn.

1. Anti-DDOS internet (bv 1k/school)
2. SIVON lidmaatschap (2k5;bv voor verplichte DPIA’s en anti-DDOS internet)
3. Dubbel internet (bv 5k/school)
4. AVG-leermodule/risicoanalyse
5. Risico mgmt tool (bv Risk Changer 5k/1000lln)
6. Lesmodule Digitale Geletterdheid, bv phishing, MFA, ww uniek & ww-manager
7. Unmutable backup (bv 8k/300mdw)
8. Netwerksegmentering (lln gescheiden van mdw, BYOD en gasten)
9. NAC: (Clientless) honeypots per segment en automatische isolatie van besmette/scannende apparaten (bv 5k/1000lln)
10. WiFi eduroam-certificaten ipv inlognaam/ww (zodat namen en wachtwoorden niet via een man-in-the-middle-aanval gestolen kunnen worden)
11. Optionele Cybersecurityverzekering (bv 10-20k)
12. Microsoft A5-licenties (+ ong 5k/100 mdw) incl anti-malware (Defender)
13. Pen-test inclusief A5-inrichtingscheck (bv 4k), bv CSAT met adviesrapport voor de security specialist
14. IT-security specialist (bv 15k)

Wat kan de periodieke Microsoft security specialist doen?

Eén van de gevolgen van het invoeren van de Microsoft A5-licenties is bijvoorbeeld het inzetten van een security specialist op het gebied van Microsoft 365 of het netwerk. Wat zijn de implementatiepunten als gevolg van het normenkader van de specialist:

1. Blokkering Azure servers (bv tegen de 2 miljoen bitcoin mining schade OSG Hengelo)
2. Email-headerwaarschuwing voor externe mail + bijlage en verdachte woorden
3. Einde van wachtwoorden en MFA (multifactor-authenticatie) door invoering van toegangssleutels
4. Phishingtrainingssimulatie en rapportage
5. Intune: updates; LAPS (beperkte local admins); evt USB-drives blokkeren; veilige software repository
6. Mailbeveiliging DMARC naar reject status
7. Microsoft logon op internet-apps met SSO (Single Sign On) via controle en centrale toestemming
8. PIM (Priviliged Identity Management): Beheertaken op aanvraag (max 8 uren)
9. DLP-policies voor mailblokkering of waarschuwing (Data Loss Prevention), zodra bijvoorbeeld BSN-nummers gemaild worden
10. DLP-policies voor dataclassificatie (information protection)
11. DRP (Disaster Recovery Plan - bv een reserve server)
12. IRP (Incident Response Plan vergelijkbaar met BHV bij brand)
13. WiFi: eduroam-certificaten om wachtwoordkapen te voorkomen die via SSO naam/wachtwoord toegang geven tot Magister/Somtoday, M365, Google, etc
14. Firewall: VPN’s blokkeren; lln niet streamen, en bv geen TikTok
15. Bezoekrapporten (periodieke gezondheidsrapportage, overleg met de FG)
16. De adviezen van de periodiek verplichte cybersecurity tool (bv CSAT) uitvoeren.

Hoe kunnen we elkaar helpen?

CIOforum.nl moet het voor bijna 100% hebben van referenties. U kunt CIOforum helpen door te kijken in uw netwerk naar directeuren, eigenaars en bestuurders van organisaties vanaf ongeveer 100 personen met AVG-vraagstukken of IT-audits.

U wordt van harte uitgenodigd om dit artikel met hen te delen.

Robert Zondervan
Gecertificeerde Functionaris voor de Gegevensbescherming
met diensten voor de kinderopvang en scholen
​rzondervan@cioforum.nl
CIOforum
Onafhankelijk IT-advies
ICT Quick Scans - Beoordelen van IT-investeringen