Gevoelige data + security

[Verwijderd]

Beste mede-tweakeraars,

Op dit moment ben ik bezig met een afstudeerstage waarbij ik een thesis aan het maken ben over de onderwerpen wachtwoorden en certificaten. Hierbij wordt er ingegaan op hoe wachtwoorden en certificaten beheerd kunnen worden, welke hackingsmethodes er zijn en hoe je jezelf hiertegen kunt verweren zodat je je dataverlies kunt verminderen. Vervolgens wordt er ingegaan of deze beheersmethodes ook toepasbaar zijn op andere gevoelige data zoals patiëntenrecords en ordergegevens.

De hoofdvraag van mijn thesis is het volgende:
Hoe kan een bedrijf het beste wachtwoorden en certificaten beveiligen om het risico van dataverlies te verminderen?

Natuurlijk pak ik hier een deel van gevoelige data aan, maar in de thesis zal ook beschrijven of deze data ook in relatie staat met andere gevoelige data en of deze op dezelfde manier (moeten) worden beveiligd.

De reden van dit onderwerp is dat security een steeds belangrijkere rol gaat spelen en eigenlijk iedereen ervan op de hoogte moet zijn, zowel in het bedrijfsleven als privê. Er wordt bijvoorbeeld steeds meer gehackt, misbruik gemaakt van openbare hotspots, bedrijven die achterlopen op security en/of mensen die simpelweg geen kennis van zaken hebben. Een mooi voorbeeld is Henk Krol, waar hij bij patiënteninformatie kon komen.
http://tweakers.net/nieuw...nden-patientgegevens.html

Voor mijn scriptie ben ik praktijkinformatie aan het verzamelen over hoe systeem- en netwerkbeheerders met deze (gevoelige) informatie omgaan en beschermen.

Het invullen van de enquête duurt ongeveer 10 minuten en mag je daarna jezelf een held noemen voor het invullen ervan. Het zou mij erg helpen om te kunnen afstuderen!

Voor het afnemen van de enquête heb ik toestemming gekregen van de moderators.
Link naar de enquête: http://www.instant.ly/s/GrbyF

Ik vraag niet specifiek naar gevoelige informatie, zoals wachtwoorden, zelf. Alle gegevens worden vertrouwelijk verwerkt.

Ik ben benieuwd naar jullie reacties. Graag zou ik ook een discussie starten betreft dit topic over wat het meest effectieve manier is om dataverlies te verminderen voor en tijdens hackaanvallen, zowel privé als in het bedrijfsleven zelf. Is er bijvoorbeeld wel een ideaal doel van beveiliging te bereiken waardoor hackers kansloos zijn?

Nadat mijn onderzoek afgerond is zal ik de resultaten hier posten. Tevens zal mijn thesis ook hier gepost worden voor mensen die deze willen lezen.

Alvast bedankt voor het invullen van de enquête.

Met vriendelijke groet,

Erik

Modbreak:

Er is toestemming door de moderators verleent voor het plaatsen van deze enquete

[ Voor 1% gewijzigd door iisschots op 21-01-2015 17:57 ]

[robbierzz]

Hoi Erik,

Ik heb 'm ingevuld, ik moet wel zeggen dat ik een aantal vragen niet geheel naar waarheid heb ingevuld, om zodoende de daadwerkelijke maatregelen niet direct te tonen , maar de generieke zaken natuurlijk wel!

Succes met het onderzoek en de verwerking ervan!

[Verwijderd]

robbierzz schreef op woensdag 21 januari 2015 @ 13:01:
Hoi Erik,

Ik heb 'm ingevuld, ik moet wel zeggen dat ik een aantal vragen niet geheel naar waarheid heb ingevuld, om zodoende de daadwerkelijke maatregelen niet direct te tonen , maar de generieke zaken natuurlijk wel!

Succes met het onderzoek en de verwerking ervan!

Ik snap hem, aangezien je toch altijd op je hoede moet zijn waar je bepaalde gegevens achterlaat. Dat is ook een probleem wat hedendaags ook speelt.
Toch bedankt voor het invullen van de enquête!

Heb je nog eventuele toevoegingen aan dit onderwerp?

[da_PSI]

een beetje een rare enquête;
- Zijn uw serverwachtwoorden per server verschillend?
volgende vraag;
- Waarom zijn deze verschillend?

Deze vraag en wedervraag komen iets van 3x voor.

Ook de vragen/vraag over de certificaten vind ik wat "raar". Maarja, heb hem ingevuld zover ik het kon doen (ivm werk kan niet alles vrijgeven)

[Ultimation]

Wij werken met SSH-keys ipv wachtwoorden. Heb je dat ook onderzocht?

[Verwijderd]

da_PSI schreef op woensdag 21 januari 2015 @ 14:14:
een beetje een rare enquête;
- Zijn uw serverwachtwoorden per server verschillend?
volgende vraag;
- Waarom zijn deze verschillend?

Deze vraag en wedervraag komen iets van 3x voor.

Ook de vragen/vraag over de certificaten vind ik wat "raar". Maarja, heb hem ingevuld zover ik het kon doen (ivm werk kan niet alles vrijgeven)

Bedankt voor je feedback! Ik heb de vragen zo gesteld dat ik de "waarom" uit een bepaalde keuze kan halen. Misschien had die vragen anders opgesteld kunnen worden, maar zodoende leert men natuurlijk

Tevens bedankt voor het invullen van deze enquête. Ik begrijp het dat je niet alles kan vrijgeven vanwege je werk, zolang er maar een algemeen beeld ontstaat

Ultimation schreef op woensdag 21 januari 2015 @ 14:15:
Wij werken met SSH-keys ipv wachtwoorden. Heb je dat ook onderzocht?

Bedankt voor je toevoeging, de mogelijkheid die jij voorstelt heb ik nog niet onderzocht inderdaad. Toch handig om mijzelf daarin te verdiepen. Chapeau Ik begrijp dat via SSH-keys als wachtwoord veiliger is. Werk je dan met een tweestaps-verificatie of is de SSH-key de enige dat gebruikt wordt?

[iisschots]

Voor alle duidelijkheid. Er is toestemming voor het plaatsen van deze enquete

[robbierzz]

Verwijderd schreef op woensdag 21 januari 2015 @ 14:03:
[...]


Ik snap hem, aangezien je toch altijd op je hoede moet zijn waar je bepaalde gegevens achterlaat. Dat is ook een probleem wat hedendaags ook speelt.
Toch bedankt voor het invullen van de enquête!

Heb je nog eventuele toevoegingen aan dit onderwerp?

We willen toch echt de kroonjuwelen beschermen he :-) ?

Wachtwoorden en certificaten als middel om objecten te beschermen zijn erg zinvol, maar er zijn vaak meerdere wegen die naar Rome leiden. Vaak moet er ook een afweging gemaakt worden tussen de verschillende resources over welke maatregelen je daar neemt. Voor de ene resource neem je een enkele maatregel (gebruikersnaam/wachtwoord), voor de andere stel je er weer totaal andere eisen aan.

De 'beste' oplossing is dus altijd afhankelijk van het object/ de resource / de data die je wilt beschermen. Voorbeeld in de privé sfeer, ik vind het niet zo erg als iemand toegang verkrijgt tot mijn T.net account, maar vindt het veel erger dat men toegang krijgt tot mijn Google-account, omdat ik dat voor velerlei zaken gebruik (e-mail, contactpersonen, bestanden, betaalmogelijkheden, toegang tot nog veel meer accounts buiten Google). Ik neem dus meer maatregelen (sterker en periodiek wijzigend wachtwoord zodat bruteforce moeilijker word, two-factor authenticaton ingeschakeld) om mijn Google-account te beschermen dan mijn T.net account.

[Verwijderd]

robbierzz schreef op donderdag 22 januari 2015 @ 10:28:
[...]


We willen toch echt de kroonjuwelen beschermen he :-) ?

Wachtwoorden en certificaten als middel om objecten te beschermen zijn erg zinvol, maar er zijn vaak meerdere wegen die naar Rome leiden. Vaak moet er ook een afweging gemaakt worden tussen de verschillende resources over welke maatregelen je daar neemt. Voor de ene resource neem je een enkele maatregel (gebruikersnaam/wachtwoord), voor de andere stel je er weer totaal andere eisen aan.

De 'beste' oplossing is dus altijd afhankelijk van het object/ de resource / de data die je wilt beschermen. Voorbeeld in de privé sfeer, ik vind het niet zo erg als iemand toegang verkrijgt tot mijn T.net account, maar vindt het veel erger dat men toegang krijgt tot mijn Google-account, omdat ik dat voor velerlei zaken gebruik (e-mail, contactpersonen, bestanden, betaalmogelijkheden, toegang tot nog veel meer accounts buiten Google). Ik neem dus meer maatregelen (sterker en periodiek wijzigend wachtwoord zodat bruteforce moeilijker word, two-factor authenticaton ingeschakeld) om mijn Google-account te beschermen dan mijn T.net account.

Ja inderdaad. Zo kan dit ook vertaald worden naar het bedrijfsleven, bijvoorbeeld bij een kerncentrale. Je wilt natuurlijk niet dat er zomaar mensen in het systeem kunnen komen dus verhoog je de beveiliging op diverse factoren, zoals moeilijkheidsgraad van wachtwoorden, gebruik maken van ssh-keys (wat er hierboven al gezegd is) of biometrie e.d. Op een kinderdagverblijf hoeft de beveiliging niet zo streng te zijn als op een kerncentrale.

Het is net welke gegevens je meer wilt beveiligen dan andere en daarbij komt het neer op personal preference als het in een privé omgeving is. Voor bedrijven kan dit weer anders zijn op basis van hun diensten of missie en wat ze zelf willen beschermen aan data.

[robbierzz]

Verwijderd schreef op donderdag 22 januari 2015 @ 13:26:
[...]


Ja inderdaad. Zo kan dit ook vertaald worden naar het bedrijfsleven, bijvoorbeeld bij een kerncentrale. Je wilt natuurlijk niet dat er zomaar mensen in het systeem kunnen komen dus verhoog je de beveiliging op diverse factoren, zoals moeilijkheidsgraad van wachtwoorden, gebruik maken van ssh-keys (wat er hierboven al gezegd is) of biometrie e.d. Op een kinderdagverblijf hoeft de beveiliging niet zo streng te zijn als op een kerncentrale.

Het is net welke gegevens je meer wilt beveiligen dan andere en daarbij komt het neer op personal preference als het in een privé omgeving is. Voor bedrijven kan dit weer anders zijn op basis van hun diensten of missie en wat ze zelf willen beschermen aan data.

En zelfs binnen die kerncentrale kan weer onderscheid worden gemaakt tussen de data , juist dat probeerde ik duidelijk te maken dat niet álle data van een bedrijf dezelfde beveiligingsmaatregelen nodig heeft, maar dat je de beveiligingsmaatregelen afstemt op de risico's die voor bepaalde data van toepassing zijn .

[Verwijderd]

Beste mede-tweakeraars,

Hierbij sluit ik de enquête vanwege er genoeg mensen zijn die de enquête hebben ingevuld, bedankt hiervoor!

De komende dagen zal ik de data analyseren en hier plaatsen. Mijn scriptie zal wel wat langer duren aangezien daar nog veel werk verricht moet worden.