Geen enkel systeem is 100% veilig te maken. Maar met een beetje aandacht zijn de meeste systemen wel veel veiliger te maken.

Menselijke kant

Beveiliging van systemen kan je uitsplitsen in een menselijke kant en een technische kant.
We zullen eerst de menselijke kant bekijken.
Een stevig wachtwoordbeleid is van groot belang. 80% van de wachtwoorden is te kraken aan de hand van een lijst van 10.000 meest voorkomende wachtwoorden zoals “12345” en “welkom2012”. Het is zelfs beter om toe te staan om wachtwoorden op een papiertje onder het toetsenbord te bewaren dan te accepteren dat medewerkers 5 jaar lang de naam van hun partner als wachtwoord hebben.
Maar ook het bewustmaken van de risico’s van lekken van informatie via onbeveiligde printers, losslingerende usb-sticks en het mailen met gevoelige attachments dient onderdeel van het beleid te zijn.

Social Engineering

Tot slot is het van zeer groot belang dat iedereen op de hoogte is van de gevaren van Social Engineering. Dit is de kunst om middels een gesprek (meestal via de telefoon, van buiten) te doen alsof je een te vertrouwen relatie bent en daarmee informatie of wachtwoorden los te peuteren.

Technische kant

De technische kant is iets moeilijker. En soms is het lastig om vanuit de contentkant dit goed te regelen. Maar het helpt vaak al als je met enige kennis van zaken op het juiste moment de lastige vragen weet te stellen aan de uitvoerende IT-partij.
Het allerbelangrijkste is om bij het ontwerpen van nieuwe systemen veiligheid van de start integraal te benaderen. Een analyse van alle gekoppelde systemen en de potentiële veiligheidsrisico’s moet minimaal uitgevoerd worden.

Vervang desnoods de bouwer

Bij de bouw van systemen is het belangrijk de juiste en meest actuele tools te gebruiken. En het systeem te laten testen op gebruikelijke hacks zoals SQL Injection en path traversal. Als de bouwers deze begrippen niet kennen, vervang ze dan onmiddellijk.
Gebruik ook daar waar mogelijk is encryptie en/of certificaten om extra drempels voor misbruik op te werpen.

Hacktest

Laat bij belangrijke of gevoelige systemen ook een hacktest uitvoeren door een derde partij. Die zijn heel leerzaam.
Als een systeem eenmaal operationeel is, is het zaak alle software up-to-date te houden. Zo blijft u hackers altijd net een stapje voor. Veel hacks vinden plaats op basis van zwaktes die na enige tijd gevonden worden in oudere versie van de software.

Sporen in error- en logfiles

Neem ook regelmatig de zogenaamde error- en logfiles door. Daar zijn vaak sporen in te lezen van pogingen tot hacken. Die kennis kan helpen bij het voorkomen van toekomstige incidenten.

Een niet onbelangrijk moment is wanneer een systeem niet meer gebruikt wordt. Een goede uitfasering, liefst met verwijderen van alle data, is essentieel. Vergeten systemen worden in de loop der tijd alleen maar zwakkere plekken in de beveiliging van de volledige omgeving.

Tot slot een algemene aanbeveling: doe geen aannames, maar check, check, check.
Dit alles helpt u mogelijk onaangename incidenten te vermijden en uit het nieuws te blijven.

Stephan  Okhuijsen, Bits of Freedom (bof.nl)

http://nl.wikipedia.org/wiki/SQL-injectie
http://www.securelist.com/en/threats/vulnerabilities?chapter=35
http://nl.wikipedia.org/wiki/Social_engineering_(informatica))
http://www.govcert.nl/dienstverlening/Kennis+en+publicaties/factsheets/checklist-webapplicatie-beveiliging.html
https://www.certifiedsecure.com
http://nl.wikipedia.org/wiki/Black_hat
http://www.cvedetails.com/

Steeds meer websites richten zich op de kerntaken van de bezoekers, in plaats van dat ze heel aanbodgericht alle informatie maar een beetje rangschikken, om vervolgens de bezoeker het zelf maar uit te laten zoeken.

Heeft u gov.uk al bekeken? Het is nog maar een beta-versie, en persoonlijk hoop ik dat men daar aan de andere kant van het Kanaal nog bereid is er een vormgever naar te laten kijken, maar dit is toch echt wel hoe ik de toekomst van overheidswebsites zie!
Wat mij betreft is dit het dan: DE site voor echt ALLE overheden. Zoekt, en gij zult vinden. Want nu ben je je bij voorbaat al af aan het vragen waar je moet zijn: bij overheid.nl, mijn.overheid.nl, rijksoverheid.nl, of bij je provinciale of lokale overheid. De waterschappen nog niet eens meegerekend, maar ik vraag me ook wel een beetje af welke burger daar iets op zoekt.

Heel mooi vind ik ook de optie ‘settings’. Dat is volgens mij over komen waaien uit de smartphonewereld. Probeer de site eens in het font voor dyslectici (easy reading).

Wie heeft er nog meer voorbeelden van taakgerichte websites? En moeten we hiernaartoe? Deel je mening!

M. Hollman

Ondanks het ontregelende weer waren er dan ook veel Cascadianen afgereisd naar Nijmegen. In centrale keynotes en decentrale lezingen waren er veel interessante verhalen te horen. Toch was het aantal verhalen over ontwikkelingen en (on)mogelijkheden van CMS-sen ondanks de titel van het congres beperkt.

En moeten we niet eens kijken naar een andere opzet van gemeentesites en een segmentering maken in informatie, transactie (eLoket) en participatie, waarbij het complexe en technische transactiedeel in zijn geheel naar de centrale overheid verhuist? Trends zoals cloud computing, open data, het nieuwe werken, monitoring (behalve benchlearning) hebben we helaas ook moeten missen.

De presentaties van bijvoorbeeld Wiep Hamstra en Erik Hartman en de afsluitende keynote van Jan Willem Alphenaar over de mogelijkheden van crowdsourcing waren desalniettemin heel inspirerend. En vooral die inspiratie is hét criterium voor een geslaagd congres.

De opleiding bevat de volgende componenten:

• Modules: Strategie, Project, Governance, Publicatie en Evaluatie, Techniek en Mens
• Trainingen: Introductie Presentatievaardigheden, Adviseren.

Wat maakt deze opleiding bijzonder?

• De opleiding is breed, samenhangend en allesomvattend en draagt daardoor bij aan de professionalisering van het vakgebied.
• E-learning is een belangrijke component.
• Studenten ontvangen een landelijk erkend SPHBO-diploma.
• Studenten krijgen coaching en intervisie van professionals uit het vakgebied.
• De opleiding is direct (praktisch) toepasbaar. Door middel van scans van uw eigen organisatie discussieert u met de docent en medestudenten waar uw organisatie nu staat, heen wil en welke weg er gevolgd moet worden om tot die nieuwe resultaten te komen.

Start : september 2012 (bij voldoende deelname)
Duur : 10 maanden
Contacturen : 3 uur per week van 18:30 tot 21:30
Zelfstudie : 6- 8 uur per week

Wilt u de laatste ontwikkelingen in uw mailbox ontvangen? Meldt u aan bij boukje.postma@han.nl.

Deze opleiding is een initiatief van Cascadis, Hogeschool van Arnhem en Nijmegen (HAN) en Parantion.

Gemeente Oud-Beijerland is een van de eersten waar naast de raad ook het college officieel is overstapt op deze nieuwe manier van vergaderen. Lees meer over de introductie op de site van de gemeente. Wilt u meer weten over NotuBox of over onze andere digitale diensten? Neem dan contact op via sales@notubiz.nl.