Uw organisatie voorbereiden op een cyberaanval met een ART-test

Dit artikel is voor CISO’s of hoger management functies die zich afvragen of hun organisatie wel toe is aan een ART-test en hoe ze zich daar het best op kunnen voorbereiden.

Stappen ter voorbereiding

Tijdens een ART-test kunnen alle aspecten van informatiebeveiliging van uw instelling op de proef worden gesteld. In onderstaand stappenplan (figuur 1) is te zien welke aspecten dat zijn, en welke voorbereidende stappen we u adviseren om van een ART-test een optimale leerervaring te maken. Als deze stappen doorlopen zijn, biedt het modulair opgebouwde ART-framework een efficiënte en realistische manier om de cyberweerbaarheid te toetsen.

Figuur 1 - Stappenplan om uw organisatie voor te bereiden op een redteam-test à la ART en TIBER
Gebaseerd op ervaringen zoals die in het TIBER-programma zijn opgedaan

Bestuur

Voor het uitvoeren van de stappen heeft u in uw functie als CISO (stap 1) allereerst draagvlak nodig op bestuursniveau. Het vrijmaken van capaciteit en inplannen van benodigde resources vraagt in de praktijk relatief lange doorlooptijd. Tijdens de uitvoer van de ART-test is minimaal één bestuurder actief betrokken, in tegenstelling tot mensen die verantwoordelijk zijn voor de verdediging. Zij mogen niets van de test weten.

Volwassenheid

We adviseren u eerst om de volwassenheid van de security-organisatie op orde te brengen (stap 2-4). Zorg dat de basis-hygiëne (stap 2) op orde is door te certificeren voor bijvoorbeeld ISO27001 of een vergelijkbare norm. De Good Practise IB van DNB kan daarbij ook helpen. Een security operating center (SOC) (stap 3) is noodzakelijk om een cyberaanval te kunnen detecteren. De Threat Intelligence functie (stap 4) kan deels worden ingekocht bij een externe security provider.

Cyberweerbaarheid

Parallel aan het op orde brengen van de security-organisatie, kunt u ter voorbereiding op redteam-testen (stap 10) verschillende type security-testen met regelmaat uit laten voeren (stap 5-9). Security-testen verhogen de weerbaarheid van uw organisatie, mits opvolging wordt gegeven aan de verbeterpunten die uit de testen voortkomen.

Meer inhoudelijke toelichting op de stappen is te vinden op: Bereid je voor op een cyberaanval (dnb.nl) 

De ART-test

Startpunt voor het ontwikkelen van een aanvalsscenario voor een ART-test (stap 10) is het generiek cyber dreigingslandschap dat jaarlijks door DNB wordt opgesteld voor voor de TIBER-community. Dit document wordt ook gedeeld met elke instelling die een ART-test doet.

Een redteam-test à la ART (of TIBER) wordt uitgevoerd door ethical hackers in dienst van een externe security-provider. Na de ART-test zal duidelijk zijn of de genoemde security-processen en beheersmaatregelen binnen uw organisatie een coherent geheel vormen, en wat de verbeterpunten zijn. 

Tarief DNB

Om een redteam-test als ART-test te laten kwalificeren is het nodig dat een Test-manager van DNB de test begeleidt en dat de verplichte stappen uit het ART-framework worden doorlopen. DNB rekent voor het delen van het generiek cyber dreigingslandschap en de begeleiding een kostendekkend tarief. Dit staat los van de kosten die uw instelling betaalt aan de security-provider die de ART-test uitvoert. Na de test kan de instelling een attestatie ontvangen van DNB als is voldaan aan de vereisten van het ART-framework.

Meer weten?
Voor vragen neemt u contact op met art@dnb.nl