Security Assessment

Retail

Hoe secure is uw bedrijf?

Zijn de financiële gegevens van uw klanten zo opgeslagen dat deze niet bruikbaar/leesbaar zijn als deze gelekt worden?

Databases zijn één van de grootste doelwitten voor aanvallers die zicht richten tot de retail markt. In deze databases zijn vooral financiële en persoonlijke klantgegevens opgeslagen. Wanneer dit niet veilig wordt opgeslagen kan dit tot grote problemen lijden bij een datalek.

Om dit op te lossen zullen deze gegevens zoveel mogelijk versleuteld, geanonimiseerd of gehashed (een versleuteling die niet terug te draaien is) moeten worden. Op deze manier zijn de gegevens niet meer leesbaar, maar nog wel bruikbaar voor de applicaties die deze gegevens moeten verwerken.

Heeft u uw website al eens laten testen op mogelijke digitale beveiligingsproblemen?

De meeste websites worden voor oplevering vooral getest op functionaliteit en ontwerp, maar de meest belangrijke stap wordt vaak vergeten en dat is security. Bij een webshop is het vooral van belang dat er niks fout kan gaan tijdens het kopen van een product, maar wat als het een aanvaller lukt uw producten te kopen voor een prijs die zij zelf kunnen bepalen of de producten van een andere gebruiker naar hun adres te laten sturen? Dit alles zou tijdens een Pentest kunnen worden gevonden.

Een gespecialiseerd securityteam kan doormiddel van een Pentest uw software testen op mogelijke beveiligingsproblemen. Deze tests kunnen op verschillenden manieren worden uitgevoerd, waar bij de ene test het team alle informatie heeft voordat de test begint (white box) en de andere manier is waar het team geen enkele informatie heeft over de software (black box).

Zier meer op onze pagina pentesten over deze dienst.

Hoe is uw incident response plan ingeregeld?

Het is niet de vraag of, maar wanneer wordt uw doelwit van een cyber aanval en hoe gaat u om met dit incident. Wanneer er geen incident response plan is ingeregeld zal tijdens een incident niet duidelijk zijn welke stappen er gevolgd moeten worden en in welke volgorde deze afwerkt worden. Waardoor een incident veel grotere impact heeft dan nodig.

Doormiddel van een incident response plan kunt u uw organisatie voorbereiden op een mogelijk cyber incident. In dit plan wordt stap voor stap aangegeven welke acties er door welke personen binnen uw organisatie moeten worden uitgevoerd om zo snel mogelijk alle operaties weer draaiende te hebben. Het is verstandig deze stappen ook fysieke op papier te hebben staan in geval van een ransomware aanval of verlies van data.

Hebben uw medewerkers een cyber security awareness training gevolgd?

De mens blijft de zwakste schakel als het gaat over cyber security en is dan ook een gewild doelwit voor aanvallers. Zij richting zich vooral doormiddel van Phishing e-mails op uw medewerkers, wanneer deze e-mails niet via een detectiesysteem worden geweerd kunnen ze grote schade aanrichten binnen uw bedrijf. Een niet getrainde medewerker kan phishing e-mails niet goed genoeg herkennen en deze interpreteren als veilig. In deze mails staat vaak een “Call to action” waarop gevraagd wordt te klikken. Na het klikken kan er Malware worden gedownload op de machine, of de medewerker wordt doorverwezen naar de website van een aanvaller waar getracht wordt informatie te ontfutselen van het slachtoffer.

Om uw medewerkers hiertegen te beschermen kunnen zij een cyber security awareness training volgen. Tijdens deze training(en) komen verschillende onderwerpen aanbod om uw medewerkers attenter te maken voor cyber security. Denk hierbij aan: het detecteren van phishing e-mails, het veilig opslaan van wachtwoorden, het delen van gevoelige informatie en remote werken vanuit huis.

Salt kan deze awareness trainingen verzorgen voor uw medewerkers, kijk voor meer informatie op onze trainingen pagina.

Is er een data back-up proces en wordt deze periodiek getest om mogelijk verlies van data tegen te gaan?

Het is tegenwoordig vaak in het nieuws, bedrijven die worden getroffen door een ransomware aanval. Bij zo’n aanval worden alle gegevens versleuteld door een aanvaller en kan dit alleen teruggezet worden door een betaling te doen. Wanneer u geen backups maakt van de gegevens zit er in zo’n scenario maar één ding op en dat de aanvaller betalen of het verliezen van alle data.

Maar ook door andere factoren kan data verloren gaan, een database server die stuk gaat of een ontevreden medewerker die gegevens weg gooit.

Dit alles kan tegen worden gegaan door het periodiek maken van een backup van alle gegevens, zodat deze tijdens een incident altijd beschikbaar blijven en terug kunnen worden gezet na het incident. Het is wel van belang dat deze backups niet op dezelfde plaats worden opgeslagen om buiten het incident te blijven.