Over losgeld onderhandelen met hackers: 'Zij doen aardig, ik dus ook'

Onlangs was Cyber4Z in het nieuws bij Omroep Brabant met betrekking tot de cyberaanval op een tandartsenorganisatie. Dit artikel is geschreven doorSven de Laet.Verder is het ook besproken in een uitzending van Brabant Nieuws op donderdag 11 augustus (fragment start op 4:10).

Tandartsenorganisatie Colosseum Dental betaalde zo'n 2 miljoen euro losgeld om een eind te maken aan een cyberaanval. Klinkt heftig, maar het komt steeds vaker voor dat bedrijven overstag gaan. Ziet ook Rob Mellegers van het Eindhovense bedrijf Cyber4Z. Hij onderhandelt regelmatig met hackers. "Het is helaas een groeimarkt."

Met wie hij precies praat, dát weet Mellegers niet. Maar hij voert dus regelmatig gesprekken met hackers, die losgeld willen. "Bedrijven benaderen ons als ze aangevallen worden. Hoe ze weten dat ze gehackt zijn? Je merkt al gauw dat je geen programma's meer kunt gebruiken."

Op zo'n moment komen Mellegers en zijn collega's in actie. Die communicatie verloopt vaak soepel. "Je krijgt een linkje toegestuurd, waarmee je in een beveiligde portal komt. Soms kun je dan gewoon met elkaar praten, als door een soort cryptotelefoon."

De taak van Mellegers is helder. "In opdracht van het gehackte bedrijf afspraken maken met de hackers. Soms is er ruimte voor onderhandeling. Daar zijn ze heel open in. Die criminelen weten ook precies wat ze van je kunnen vragen. Ze hebben al lang opgezocht wat je omzet is, dus kunnen ze ook inschatten of afdingen nou echt nodig is."

Maar is het dan niet vreemd om te kletsen met zo'n hacker? "Ergens wel, omdat je weet dat ze iets hebben gedaan wat niet deugt. Maar ik ben vooral bezig de schade te beperken voor mijn opdrachtgever. Vaak verlopen die gesprekken heel vriendelijk. Zij doen aardig tegen mij, ik tegen hen. En er vallen ook best afspraken te maken. Over betalen in termijnen bijvoorbeeld, zodat je weet dat ze ook daadwerkelijk data teruggeven."

Want dat is het risico: geven de hackers die gegevens wel terug? "Het kan natuurlijk dat ze de data doorverkopen of toch publiek maken. Maar over het algemeen hebben ze er veel meer aan om betrouwbaar te zijn. Als ze één keer niet leveren, weet meteen iedereen dat. Dan heeft het voor het volgende gehackte bedrijf ook geen zin om te betalen."

Dat betalen gebeurt steeds vaker. "Ook omdat de maatregelen bij bedrijven steeds beter worden. Hackers weten daardoor minder data te stelen, waardoor het ook om kleinere bedragen gaat." En hoewel het overmaken van losgeld sterk wordt afgeraden, kan Mellegers het zich wel voorstellen. "Zo'n bedrijf kan als enige de impact, schade en gevolgen beoordelen, wanneer die data op straat belandt."

Overigens is het niet zo dat bedrijven het losgeld snel overmaken om negatieve publiciteit te vermijden. "Op het moment dat je gehackt wordt, ben je simpelweg verplicht om het te melden bij de Autoriteit Persoonsgegevens."

Het lijkt er niet op dat de agenda van Mellegers snel leger wordt. "Hacken is helaas een groeimarkt. Of ik dan mijn werk niet goed doe? Nou, helemaal veilig ben je nooit. Het is en blijft de schuld van de hackers zelf."

Nieuwe collega!

Op 18 juli heeft Harrie van den Boomen zich aangesloten bij Cyber4Z als account manager. Hij zal zich voornamelijk gaan bezig houden met het werven van klanten voor onze dochteronderneming Neoforce. Welkom Harrie!

Cyber4Z is verhuisd!

Vandaag was de grote dag aangebroken: onze verhuizing naar High Tech Campus 41.

Hier hebben we een groter kantoor met meer werkplekken en we hebben een eigen vergaderruimte waar we klanten kunnen ontmoeten. We kunnen niet wachten om op onze nieuwe plek aan de slag te gaan!

Ondernemen met een maatschappelijk tintje

Als Cyber4Z ondernemen we met een maatschappelijk tintje. Dit betekent dat we bij onze bedrijfsactiviteiten rekening houden met mens, milieu en met maatschappij. Zo dragen we ons steentje bij door geld te doneren en ons wagenpark in te zetten.

Elk personeelslid mag per jaar €100 schenken aan een maatschappelijk doel in naam van Cyber4Z. Denk hierbij aan een sportvereniging, een goed doel of iemand zich inzet voor een goed doel. Zo hebben de volgende doelen de afgelopen jaren een bijdrage gekregen: Justdiggit, giro 555 voor Oekraïne, Trees for all, Ronald McDonald Huis, Leev in samenwerking met stichting Pay it Forward, Veldhoven Zoo, Stichting Zevenhoek, stichting Sterk voor Dieren en Goodwill.

Auto's inzetten

We zijn ook bezig met het milieu en hoe we onze uitstoot kunnen verminderen. Zo is de helft van ons wagenpark elektrisch met merken zoals Kia, Jaguar, MG en Tesla. Daar stoppen we echter niet. We zetten onze auto’s ook in voor verschillende goede doelen. In 2018 zijn mensen opgehaald en thuisgebracht na een kerstdiner speciaal voor eenzame mensen, in 2021 is een van onze Tesla’s gebruikt om IC-verpleegkundigen gratis te vervoeren naar en van hun werk en in 2022 zijn mensen in een Tesla naar huis gebracht waarbij een bijdrage van €1.000 is gerealiseerd voor Oekraïne.

Wat is een disaster recovery plan?

Stel: er is een ransomware aanval geweest bij je organisatie. Wat doe je dan precies om zo efficiënt mogelijk te reageren en daarmee de impact zo klein mogelijk te houden? Een disaster recovery plan (DRP) kan hierbij helpen. Onze security consultant en interne security officer Yu-Mei Liebregt vertelt over de toegevoegde waarde van een DRP voor elke organisatie. “Je hebt van te voren nagedacht over hoe je een crisis kunt aanpakken.”

Wat is een DRP precies?

“In een DRP zet je de stappen die je wil en moet doorlopen in het geval van een calamiteit. Afhankelijk van de dienstverlening kan een DRP inhoudelijk verschillen. In principe gaat een DRP over hoe te reageren en de impact van een calamiteit te verkleinen. Dit gaat dan vaak over de infrastructuur van je organisatie, dus de servers en laptops die gehackt kunnen zijn.”

Wat staat er zoal in een DRP?

“Ik maak gebruik van een template waar onderdelen in staan die voor elk DRP gelden, zoals de samenstelling van een crisisteam, kritieke onderdelen, concrete herstelstappen, de crisiscommunicatie en contactgegevens van betrokken personen. De rest van de inhoud hangt af van de soort dienstverlening en de grootte van het bedrijf. Een bedrijf dat software aanbiedt moet andere maatregelen treffen dan een bedrijf dat machines maakt bijvoorbeeld.”

Wat is de toevoegde waarde van een DRP?

“De toegevoegde waarde is dat je bent voorbereid op een calamiteit. Je hebt namelijk van tevoren nagedacht over kritieke onderdelen en te nemen stappen. Met zo’n plan kun je eigenlijk zo efficiënt mogelijk reageren op een calamiteit en kan je de schade zoveel mogelijk beperken. Denk aan financiële schade of imagoschade. Daarbij is het wel belangrijk dat je het plan elk jaar test en aanpast waar nodig, zodat je altijd goed voorbereid bent.”

Ook toe aan een DRP? Neem dan contact met ons op voor de mogelijkheden.

AVG viert vierde verjaardag!

De AVG-wet is ingegaan op 25 mei 2018, wat betekent dat de algemene verordening gegevensbescherming zijn vierde verjaardag viert. Ter ere hiervan interviewen we onze cybersecurity consultant Andra Albisoru over haar mening over de AVG en haar toekomstvisie. “Ik hoop dat mensen snel zullen beseffen dat dingen op het internet nooit weggaan.”

Heb je in je dagelijkse werk vaak te maken met de AVG?

“Eigenlijk denk ik dat we allemaal te maken hebben met de AVG in onze dagelijkse online activiteiten. Vooral tijdens de pandemie verhuisden we ons sociale leven online. We brengen dus steeds meer tijd door op verschillende websites en online applicaties. We zien bijvoorbeeld de pop-up cookies op ons scherm verschijnen waar we mee akkoord moeten gaan of toestemming voor moeten geven. Het is heel breed, maar de AVG is altijd aanwezig.”

Wat vind je van de AVG?

“Ik denk dat de AVG eigenlijk het besef is dat het internet steeds belangrijker wordt in ons leven. Ik heb het gevoel dat men heeft begrepen dat we heel voorzichtig moeten zijn met wat we online delen. Ik denk dat mensen de waarde beginnen te beseffen, vooral als je het slachtoffer bent geweest van online oplichting. Dan besef je pas hoeveel je op internet zet en hoe belangrijk het is om te beschermen.”

Denk je dat de AVG de cyberbeveiliging de afgelopen vier jaar heeft verbeterd?

“Ja, dat denk ik wel omdat de AVG het voor steeds meer bedrijven verplicht stelt om te respecteren. Vóór de AVG hadden we een richtlijn (Richtlijn 95/46/EC) maar die richtlijn was niet zo duidelijk en werd niet zo belangrijk geacht als de AVG nu. Met de AVG zijn de regels niet nieuw, maar de noodzaak om compliant te zijn is dat wel.”

Wat is je toekomstvisie met betrekking tot de AVG?

“Ik hoop in ieder geval dat meer bedrijven compliant zullen zijn. Hoewel de AVG al vier jaar bestaat, moeten we ook begrijpen dat het een zeer grote verandering van bedrijven vraagt en dat het ook tijd kost om dat door te voeren. Op dit moment vind ik het belangrijk om die bedrijven te helpen veranderen en dan te kijken of er nieuwe regels nodig zijn. En ik hoop dat mensen snel zullen beseffen dat dingen op het internet nooit weggaan en we dat we daar net zo voorzichtig mee moeten zijn als met belangrijke fysieke zaken zoals een paspoort of ID-kaart.”

Rob Mellegers geeft presentatie op beroepenavond van het Eckartcollege

Afgelopen week heeft Rob Mellegers een presentatie en demonstratie gegeven op Eckartcollege Eindhoven vanwege de Beroepenavond. “Met een druk op de knop heb je al inzicht in de beveiliging,” zegt Rob.

Met zijn telefoon in zijn hand en een scherm op de muur liet Rob zien hoe vanuit de klas een paar kwetsbare plekjes in het netwerk zichtbaar worden die je zou kunnen proberen te hacken (natuurlijk mag dat nooit zonder toestemming). Het belangrijkste is volgens Rob om te laten zien dat cybersecurity helemaal niet ingewikkeld hoeft te zijn: “Met een druk op de knop heb je al inzicht in de beveiliging.” Verschillende leerlingen hingen aan zijn lippen. “Ik vond het mooi om te zien dat er een grote groep geïnteresseerd is in de vakgebieden van ethisch hacker en cybersecurity consultant. En dat de leerlingen die een beroepskeuze moeten maken het heel interessant vonden om te zien wat ik doe en hoe ik het doe.” Volgens Rob is het belangrijk om al vroeg met cybersecurity te beginnen. “Hoe eerder je begint, hoe eerder kinderen gevaren kunnen herkennen in hun eigen gedrag en dat van anderen. Dat kan later heel goed van pas komen.”

Vrijdagen zijn voor knowledge sessions

Bij Cyber4Z vinden we het belangrijk om onze kennis op peil te houden en uit te breiden. Daarom organiseren we elke 3 weken op vrijdagmiddag een knowledge session. Tijdens zulke sessies deelt een bedrijf of persoon zijn/haar expertise over een bepaald onderwerp. Deze week volgden we een presentatie over Corelight en haar product.

De ontwikkelingen op het gebied van cybersecurity gaan razendsnel: bijna dagelijks zijn er wel nieuwe toepassingen beschikbaar of komen nieuwe kwetsbaarheden aan het licht. Het is als een trein die doorrijdt, waar je wel in wil zitten. Door met regelmaat knowledge sessions te organiseren zorgen we ervoor dat we up-to-date blijven en nieuwe dingen leren.

Wilt u ons ook iets nieuws leren? Neem dan contact op via 4z4u@cyber4z.com.

Cyber4Z verwelkomt nieuwe collega: Bart van der Wilt

Per 1 juni versterkt Bart van der Wilt ons team als Junior Consultant. Hij stelt zichzelf kort voor:

'Hallo! Mijn naam is Bart en ik ben een leergierige starter op het gebied van cybersecurity. Ik woon in 's-Hertogenbosch met mijn vriendin. Als ik niet aan het werk ben, houd ik ervan om buiten te sporten in de vorm van hardlopen of fietsen. Ik heb met betrekking tot veiligheid ervaring opgedaan tijdens mijn opleiding aan de koninklijke militaire academie. Mijn doel is om deze ervaring uit te breiden met kennis op het gebied van cybersecurity, zodat ik de klant kan gaan helpen met het oplossen van hun vraagstukken. ' Welkom Bart! We wensen je veel plezier!

Cyber4Z verwelkomt nieuwe collega: Ben Willems

Vandaag begint Ben Willems aan zijn eerste werkdag bij Cyber4z. Hij stelt zichzelf graag even voor:

'Ik ben een pragmatische security consultant met een sterke technische achtergrond. Mijn ervaring omvat diverse projecten op het gebied van hardware-software co-design, zoals veiligheidskritieke automotive software en veilige embedded systemen. Uiteindelijk is het mijn doel om mijn ervaring te gebruiken om de technische uitdagingen van onze klanten aan te pakken met op maat gemaakte beveiligingsoplossingen.' Welkom Ben!

Cyber4Z houdt jaarlijkse (verplichte) externe audit

Vorige week hadden we bij Cyber4Z onze jaarlijkse (verplichte) externe audit voor de ISO-norm 27001. Deze keer ging het om een surveillance audit inclusief ISO9001 (kwaliteitsmanagementsysteem). Onze security consultant en interne security officer Yu-Mei Liebregt vertelt alles over deze audit en wat het inhoudt. “Een audit is eigenlijk een controle op de naleving van de norm en controle op het feit of wij als organisatie continu verbetering doorvoeren aan het ISMS en dus aan informatiebeveiliging.”

Wat houdt de ISO-norm 27001 precies in?

“De ISO27001 norm is een standaard voor informatiebeveiliging. Je kunt hiermee een certificaat behalen wat aantoont dat je de informatiebeveiliging in jouw organisatie op orde hebt, dat je er continu aan werkt en verbeteringen doorvoert. Met de ISO27001 heb je een informatiebeveiligingsmanagementsysteem (ISMS). Als organisatie zijnde dien je er continu mee bezig te zijn en de organisatie hierin door te ontwikkelen. Elk jaar heb je hiervoor verplicht een interne en externe audit om te kijken of je nog voldoet aan de norm.”

Waar ging de audit van vorige week precies over?

“Dit jaar hadden wij een surveillance audit incl. ISO9001 (kwaliteitsmanagementsysteem). Een surveillance audit is beperkter dan een hercertificeringsaudit die 1x in de drie jaar voorkomt. Tijdens de audit neemt de auditor verschillende interviews af met verschillende functies waarin de auditor ons als organisatie gaat ‘controleren’. Het aantal interviews en duur van de audit hangt af van de organisatiegrootte en scope. Verschillende collega’s zijn betrokken bij de interviews, zoals ik als interne security officer voor ons ISMS/KMS, het management en developers. Bij ons ging het dit jaar bijvoorbeeld over ICT-security management, development, security development, management dynamics, de fysieke omgeving, customer delivery en sales. In elk interview/onderwerp wordt hierop ingegaan met betrekking tot de bijbehorende controls. De auditor kan hierin vragen naar beleidsstukken en voorbeelden uit de praktijk hoe wij ons beleid daadwerkelijk uitvoeren waarmee hij kan vergelijken of dit overeenkomt met hetgeen wat op papier staat.”

Wat vind jij van een audit?

“Een audit is zeker nodig om compliant te blijven en ook zeker interessant. Je moet er wel tijd in steken maar het heeft dan ook een goede toegevoegde waarde voor de organisatie. Je leert elke audit wat meer en gedetailleerder waardoor je het bij klanten ook steeds beter kan doorvoeren.”

Cyber4Z biedt ondersteuning bij interne audits en externe audits

Een organisatie moet voor ISO27001 (maar ook voor vergelijkbare normen) regelmatig interne audits uitvoeren. Tijdens zulke audits wordt bekeken hoe aan de controls invulling is gegeven door onder andere het houden van interviews, het beoordelen van records (bijv. informatiebeveiligingsincident register), het beoordelen van beleidsstukken, procedures en/of handleidingen en het meekijken in systemen en applicaties die draaien bij de klant. Bij Cyber4Z helpen we klanten bij dit proces door ondersteuning bij het opstellen van beleidsstukken, procedures en records. En ook het praktisch toetsen van de huidige getroffen maatregelen en controls en hoe deze passen binnen de norm en door de norm vereiste controls. Onze consultant Rob van den Heuvel vertelt er graag meer over. “Ik kan er wel de hele dag over praten!”

Rob is vanwege zijn verleden als IT-auditor de aangewezen persoon om klanten te helpen met het uitvoeren van de interne audits en het voorbereiden op de externe audit. Hij weet als geen ander waar een accountant naar op zoek is. “Hierdoor kan ik klanten goed ondersteunen,” zegt Rob. “Tijdens zulke audits valt vaak op dat veel controlemaatregelen al zijn getroffen en ook volgens een vast stramien worden uitgevoerd. We zien alleen vaak ook dat voor veel van deze al uitgevoerde controls de vastlegging om de aantoonbaarheid te borgen nog ontbreekt. Vastlegging wordt vaak gezien als een extra werklast. Maar dat hoeft niet: je kunt op een hele efficiënte manier de aantoonbaarheid borgen door screenshots te maken en wat context erbij op te nemen. Hiermee kun je dus de daadwerkelijke uitvoering aantoonbaar gemaakt worden tijdens het uitvoeren van interne en externe audits.”

Informatiebeveiliging wordt belangrijker

Onze klantorganisaties krijgen vanuit hun eigen klanten steeds vaker de vraag hoe zij omgaan met informatiebeveiliging. Dit valt Rob ook op. “Het vastleggen van de stappen die je neemt bij het uitvoeren van een control speelt hier dan ook een grote rol in”, aldus Rob. De ISO27001 certificering en het daarbij behorende inrichten van het information security managementsysteem geeft onze klanten de mogelijkheid om aan te tonen dat ze bewust bezig zijn met informatiebeveiliging en de noodzakelijke processen en maatregelen zijn ingericht.

Blijven ontwikkelen

Daarnaast blijft Rob zich ook ontwikkelen als consultant. Zo heeft hij in februari de opleiding Certified ISO27001 Lead auditor gehaald. “De opleiding heeft me meer kennisgegeven over waar een ISO-auditor naar op zoek is en hoe ik dit binnen de beleidsstukken en procedures die ik in samenwerking met de organisatie opstel kan borgen.” Maar het belangrijkste is volgens Rob om samen met de klant te komen tot invulling aan de norm en bijbehorende controls welke past bij de organisatie, praktisch en efficiënt uitvoerbaar is en leidt tot zowel interne als externe tevredenheid.

Pentesten bij Cyber4Z

Bij Cyber4Z doen we ook zogeheten penetratietesten (ook wel pentesten genoemd). Deze testen helpen bedrijven bij het vinden van kwetsbaarheden op hun systemen. Een van onze testers is Raf Martino, die gespecialiseerd is als cybersecurity architect. Ongeveer 3 á 4 keer per maand doet hij een pentest voor een bedrijf samen met zijn collega Martijn Claes. Raf vertelt er ons graag meer over.

Wat houden pentesten in?

“Tijdens pentesten kijken we op verschillende manieren naar de beveiliging van een systeem. Dat kan een test zijn van een intern netwerk, waarbij we ook alle apparaten zoals laptops en printers testen. Daarnaast hebben we ook webapplicaties die we testen. Soms gebeurt dat extern waarbij we soms alleen de naam van het bedrijf krijgen en moeten kijken wat we kunnen vinden. Soms kijken we alleen naar een specifieke webapplicatie en hoe we daarbinnen kunnen komen.”

Ongeveer 4 keer per maand wordt een pentest afgenomen. Is dit veel?

“Ja, op dit moment is het wel veel. Iedere pentest duurt minimaal 2 dagen. Bij een pentest voor een webapplicatie hebben we twee dagen nodig, maar voor een test op locatie hebben we drie dagen nodig en dan maken we ook nog een rapport op. We bereiden onze pentesten ook goed voor door gesprekken met het technisch personeel en met het bedrijf. Zo weten we waar ze bang voor zijn en naar welke kwetsbaarheden we moeten kijken.”

Waar doe je zoal pentesten op?

“Op interne netwerken doen we vooral pentesten op Windows domeinen. De typische aanpak hiervoor is dat we gaan zoeken naar wachtwoorden van medewerkers en naar misconfiguraties van dat Windows domein. Als daar kwetsbaarheden of misconfiguraties in zitten, dan kunnen wij meestal zo ver komen dat we de inloggegevens van een administrator kunnen achterhalen. Als voorbeeld: we hebben laatst een pentest gehad op zo’n intern netwerk en toen hebben we het hele systeem kunnen overnemen binnen een halve dag.”

Hoe is het gesteld met de beveiliging van de bedrijven die worden getest?

“Het verschilt heel erg per bedrijf. We hebben dit jaar al klanten gehad die alles goed op orde hadden met sterke wachtwoorden en een goede awareness-campagne. Het varieert en dat maakt het leuk en uitdagend. We zien wel dat bedrijven bij een tweede test flinke verbetering hebben aangebracht in de cybersecurity. Natuurlijk checken we bij Cyber4Z ook geregeld hoe het met onze eigen cybersecurity gesteld is. Een tijdje terug hebben we nog een phishingtest intern gedaan. En we vragen aan onze eigen medewerkers om kwetsbaarheden op ons domein te melden, zodat deze verbeterd kunnen worden.”

Interesse gekregen in een penetratietest voor uw bedrijf? Neem dan contact met ons op via 4z4u@cyber4z.com.

Cyber4Z verwelkomt nieuwe collega: Rob van den Heuvel!

Cyber4Z is verheugd een nieuwe collega voor te stellen: Rob van den Heuvel! Hij start per 1 november als Security Consultant bij ons team en gaat zich onder meer richten op de implementatie van verschillende standaarden en frameworks.

Rob stelt zich graag voor: "De afgelopen vier jaar heb ik ervaring opgedaan bij BDO als IT-auditor. Hier heb ik bij verschillende klanten in diverse industrieën een groot aantal opdrachten uitgevoerd, waaronder ISO27001 internal audits, ISAE 3402 Type II , SOC 2 & 3 en security gerelateerde advies opdrachten. Bij Cyber4z wil ik me verder ontwikkelen en samen met de klant aan de slag gaan om verandering teweeg te brengen en resultaten te behalen.

Cyber4Z en Cyber4Z Solutions verwelkomen nieuwe collega: Jeffrey Dierckx!

"Eigenlijk hoor ik al bij het meubilair" riep Jeffrey Dierckx bij de aankondiging dat hij in dienst komt. Dat klopt, want na 2 succesvolle stages begint Jeffrey op 1 september als ontwikkelaar voor ons prachtige product Neo4Z

Jeffrey stelt zich voor: Mijn naam is Jeffrey Dierckx. Ik heb kort geleden de opleiding Applicatie- en mediaontwikkelaar afgerond en tijdens deze opleiding ben ik bij Cyber4Z terechtgekomen als stagiair. Nu kijk ik er naar uit om bij Cyber4Z verder te werken in het solution development team! Hier zal hij zich onder meer richten op de ontwikkeling van Neo4Z en toekomstige producten!

Eerste landelijke advertentie voor Neo4Z is een feit!

Leuk nieuws: Neo4Z is te vinden op de frontpage van een bijlage van het Financieel Dagblad over Business, IT Security en e-Health! Neo4Z is goed bezig om steeds meer naamsbekendheid te krijgen. Daarnaast zorgen de ontwikkelaars bij Cyber4Z Solutions dat er elke week mooie updates komen en staan ze graag in contact met de klant om te zorgen dat alles naar wens is!

De gehele uitgave is hier te vinden. Interesse in Neo4Z? Klik hier om naar de Neo4z-website te gaan!

Cyber4Z Solutions is opgenomen bij de Cloud Security Alliance!

Neo4Z, het product dat wordt ontwikkeld door Cyber4Z Solutions, is sinds juli 2021 officieel opgenomen bij het internationale Cloud Security Alliance (CSA)! Het CSA is het bekend programma dat bijdraagt aan security assurance in de cloud. Cyber4Z en Cyber4Z Solutions zijn er trots op dat ons nieuwe product is geaccepteerd door CSA.

Neo4Z biedt SAAS-oplossingen voor assetregistratie, applicatiebeheer, datasets en heeft een eigen ticketingsysteem. Neo4Z is gebouwd voor kleine en grote bedrijven, heeft maandelijkse functie-updates en standaardintegraties met andere beveiligingsproducten. Neo4Z is gebouwd met beveiliging in het achterhoofd en gebouwd door beveiligingsexperts.

De registratie is hier te vinden, samen met het uitgevoerde assessment met toegelicht hoe ruim 300 controls aanwezig zijn.

Rob Mellegers aanwezig in webinar Centric!

Centric heeft onlangs een webinar uitgebracht waarin Rob Mellegers, eén van de oprichters van Cyber4Z, mocht vertellen over zijn werkzaamheden als CISO bij de gemeente Heerlen! Al onze collega's praten graag over hun werkzaamheden en ervaringen, dus we zijn trots dat Rob zijn verhaal mocht doen bij Centric.

Vanuit zijn functie heeft hij onder meer te maken met het gebruik van veilige wachtwoorden en oplossingen hiervoor. Eén van tooling die gebruikt wordt, is MindYourPass, een partner van Cyber4Z welke een revolutionaire wijze heeft ontwikkeld om op een veilige manier met wachtwoorden om te gaan.

Het webinar is hier te vinden. Veel plezier met kijken!

Cyber4Z verwelkomt een nieuwe collega: Andra-Elena Albisoru!

Op 1 mei sluit Andra-Elena Albisoru zich aan bij Cyber4Z en helpt ze bij het overbruggen van wetgeving en privacy met veiligheid bij onze klanten. We willen Andra van harte welkom heten!! Hieronder stelt ze zichzelf voor.

Na in 2017 van Roemenië naar Nederland te zijn verhuisd om mijn droom na te jagen en een diploma rechten te behalen, heb ik mijn bachelor Europees recht aan de Universiteit Maastricht afgerond. Verderop besloot ik om ook de master Ondernemings- en Handelsrecht aan de Universiteit Maastricht te gaan volgen.

Als resultaat van deze 2 graden ben ik nu afgestudeerd in Privacy en Data Protection. Om mezelf ook vertrouwd te maken met de technologische wereld, heb ik in 2020 ook een stage gelopen bij een webontwikkelingsbedrijf, waar ik de taak kreeg om cookie-wall-inhoud, privacybeleid en strategische IT-plannen te maken. Ik heb zin om deel uit te maken van de Cyber4Z-community en ben benieuwd wat de toekomst voor mij in petto heeft!

Cyber4Z verwelkomt een nieuwe collega: Rick van Leeuwen!

Op 1 april start Rick van Leeuwen als security consultant bij Cyber4Z. Rick zal met zijn technische achtergrond onze klanten gaan helpen met het verbeteren van hun beveiliging. Alvast welkom Rick en top dat je ons komt versterken! Rick stelt zich hieronder voor:

Mijn naam is Rick van Leeuwen en ik heb een achtergrond in ethisch hacken en securityconsulting. Na mijn studie software engineering & cyber security heb ik vijf jaar gewerkt als securityconsultant en ethisch hacker. Ik kijk er naar uit om bij Cyber4Z aan de slag te gaan met technische opdrachten en om klanten te ondersteunen bij hun security vraagstukken.

In mijn vrije tijd knutsel ik aan mijn hobby-servertjes en ontwerp en bouw ik allerlei nuttige maar zeker ook minder nuttige objecten met mijn 3D-printers. Daarnaast ben ik lid van scouting wat een mooie uitlaatklep is na een week op (thuis)kantoor.

Cyber4Z en FERM gaan samenwerken!

FERM helpt bedrijven rondom de Rotterdamse haven om digitaal weerbaarder te worden. Cyber4Z is blij om aan te kondigen dat wij met FERM mogen gaan samenwerken. Cyber4Z zal helpen met het opzetten en beheren van een communicatieplatform voor participanten en zal helpen met het verkrijgen van dreigingsinformatie van diverse bronnen.

Samen staan we sterk!

Cyber4Z bestaat vijf jaar!

In 2015 is Cyber4Z opgericht door Rob Mellegers en Mathé Grippeling. Intussen is Matthijs Nelissen ook toegetreden als co-owner. In de tussentijd hebben wij mooie dingen weten te bereiken! Hierbij een overzicht van de laatste vijf jaar.

We zijn in vijf jaar behoorlijk gegroeid en hebben dat met eigen middelen kunnen realiseren. Daarbij zijn we actief op internationaal gebied, waarbij we een aantal succesvolle samenwerkingsverbanden hebben kunnen creëren die voor alle partijen succesvol bleken. En dat is belangrijk, want in deze roerige tijden hebben we elkaar harder nodig dan anders en het is belangrijk dat we daarbij succes niet alleen bij onszelf houden, maar delen met onze strategische partners. We hebben een groot aantal certificeringen succesvol weten af te ronden en niet alleen ISO27001, maar ook TISAX en BIO inrichtingen. Zo hebben we de eerste gemeentelijke organisatie helpen voorzien in de eerste officiële verklaring dat ze in opzet en bestaan voldoen aan de BIO. Daarnaast zijn we een nieuw avontuur aangegaan door ons te storten in de ontwikkeling van een IT Service Management oplossing dat zich echt onderscheid van andere producten doordat security ingebed is in de oplossing. Grote namen als SSH en KPN hebben hun producten gekoppeld aan de oplossing, omdat ook zij het belangrijk vinden om beveiliging hoog in het vaandel te hebben.

We zijn blij met deze ontwikkelingen maar blijven scherp op de eisen en wensen van onze klanten. Daarvoor hebben we continu input nodig en versterken we ons team met 'continuous learning' zodat we onze klanten kunnen blijven voorzien van gedegen advies op basis van kennis en kunde. We kijken vol vertrouwen uit naar de volgende vijf jaar met nieuwe uitdagingen, ontwikkelingen, kleine en grote successen en vooral een hecht en sterk team dat passie heeft voor hun vak en vooral vol overgave en plezier werkt aan hun opdrachten.

Cyber4Z stelt onze nieuwe collega voor: Yu-Mei Liebregt!

Cyber4z is wederom verheugd om een nieuwe collega voor te stellen. Yu-Mei is tijdens haar studie in aanraking gekomen met cybersecurity en start bij Cyber4Z met haar carrière. Wij willen haar van harte welkom heten bij het team! Hieronder stelt zij zichzelf voor.

Mijn naam is Yu-Mei Liebregt. Sinds kort ben ik afgestudeerd vanuit de opleiding Integrale Veiligheidskunde. Tijdens deze opleiding ben ik meer te weten gekomen over cybersecurity en cybercrime. In Utrecht heb ik de minor Privacy- en Informatieveiligheid gevolgd, wat mijn interesse richting de cybersecurity vergrootte. Voor mijn scriptie heb ik een bedrijfscontinuïteitsplan gemaakt, waarna ik in aanraking gekomen ben met Cyber4Z. Cyber4Z biedt een mooie combinatie tussen het beleidsmatige/ISO gedeelte en de technische kant, wat mij enorm interesseert. Ik heb dan ook heel veel zin om aan de slag te gaan en veel te leren!

Cyber4Z stelt onze nieuwe collega voor: Don Mulders

Cyber4z is wederom verheugd om een nieuwe collega voor te stellen. Don heeft ervaring als software engineer, pentester en security analyst en zal deze mooie skillset bij onze klanten gaan inzetten. Welkom bij het team! Hieronder stelt hij zichzelf voor.

Mijn naam is Don Mulders en ik heb een achtergrond in IT en IT Security. Specifiek heb ik een bachelor in Game Technology, waarna ik een master in Information Security Technology heb behaald. Daarnaast heb ik vele jaren ervaring in verschillende programmeertalen. Ik hou ervan om 'out-of-the-box' te denken en een brug te slaan tussen techniek en mens. Cyber4Z bied mij een breed aantal kansen, om zowel mijn technische achtergrond in te zetten en om mijzelf verder te ontwikkelen in de beleidsmatige kant van informatiebeveiliging. In mijn vrije tijd speel ik van allerlei spellen; borspellen, Pathfinder, en ook online games.

Cyber4Z werkt samen met het Cyber Weerbaarheids Centrum aan de ontwikkeling van een threat intelligence platform

Cyber4Z is een vaste partner van het Cyber Weerbaarheidscentrum Brainport (CWB). Samen met het CWB heeft Cyber4Z een Malware Information Sharing Platform (MISP) opgezet. Middels dit platform ontvangen de participanten van het CWB, veelal bedrijven in de hightech- en maakindustrie, zogenaamde events vanuit het Nationaal Cyber Security Center. Hiermee worden participanten actief geïnformeerd over eventuele kwetsbaarheden en dreigingen. Daarvoor leveren participanten hun ip-adressen en een lijst van gebruikte hard- en software bij het NCSC aan, deze participanten krijgen nu actuele en voor hen relevante informatie.. Inmiddels is dit nieuws opgepikt door verschillende media. Cyber4Z is trots dat zij deze dienst hebben mogen opzetten voor het CWB en de vele participanten!

Bezoek hier de website van het CWB en bezoek hier het artikel van Computable.

Cyber4Z stelt onze nieuwe collega voor: Martijn Claes!

Cyber4Z is verheugd een nieuwe collega voor te stellen: Martijn Claes zal eind augustus beginnen en gaat zich focussen op de technische aspecten binnen cyber security en penetratietesten. Welkom bij het team, Martijn! Hieronder stelt hij zich voor.

Tijdens het behalen van mijn Master of Electronics and ICT engineering ontdekte ik het cybersecurity-domein. Ik werk al 5 jaar in de IT met een specialisatie in beveiliging, meer specifiek binnen de infrastructuurbeveiliging. Vanuit mijn pentesting-achtergrond heb ik met succes de penetratietests voor beveiliging beheerd en uitgevoerd en heb ik klanten duidelijk advies en ondersteuning gegeven over het toepassen van fixes. Mijn grootste tevredenheidsfactor is het helpen van organisaties bij het vinden van de zwakke punten die hen kwetsbaar maakt en het geven van aanbevelingen voor het oplossen hiervan.

Cyber4Z verwelkomt onze nieuwe collega Brandon!

Cyber4Z is verheugd aan te kondigen dat per 1 juli onze nieuwe collega Brandon deel uitmaakt van ons team! Hij zal zich gaan focussen op software development. Hieronder stelt hij zich voor.

Mijn naam is Brandon Kleijnen en ik heb vorig jaar mijn HBO ICT studie afgerond met specialisatie in Software Development. Tijdens mijn HBO studie heb ik een aantal jaren gewerkt bij een computer service dienstverlener. Ik sta aan de start van mijn carrière en wil hierdoor zoveel mogelijk kennis op doen. Klant- en oplossingsgericht werken is voor mij een belangrijke kracht en dit wil ik graag inzetten bij Cyber4Z. Op het moment dat ik mensen help met hun vraagstukken en deze succesvol beantwoord, dan krijg ik hier voldoening van.

Interview met Arissa d'Fonseca - Consultant bij Cyber4Z

Arissa is sinds 1 oktober 2019 werkzaam bij Cyber4Z waarbij ze leren en werken combineert. Wij waren benieuwd naar haar ervaringen en tips als startende security consultant.

Wat doe je bij Cyber4Z?

Ik word op dit moment ingezet bij een grote klant als Risk Manager, waar ik me voornamelijk bezighoud met het beheer van het risico register. Hierbij zit ik maandelijks met de verschillende Risk Managers samen om de voortgang te bespreken en hier rapporteer ik op. Daarnaast doe ik applicatie intakes waarbij we meer inzicht krijgen in de risico's bij het gebruik van deze applicaties en welke informatie er op welk systeem staat.

Dan spreek je best wel veel mensen!

Jazeker, ik sta ervan versteld hoeveel collega's er rondlopen en hoe veel verschillende mensen er in dienst zijn. Ik vind het heel belangrijk en voel me ook beter bij de sfeer van een groot bedrijf.

Wat vind je het leukste aan je werk?

Het werken met collega's en mensen vind ik het allerleukst. Ik kan goed levellen met iedereen waardoor het gesprek altijd prettig wordt.

Is er iets over werken als consultant dat je van tevoren had verwacht maar heel anders blijkt?

Het klinkt misschien heel raar maar dan ben ik wel eerlijk, ik had verwacht dat er in het eerste jaar wat minder vertrouwen was, ik krijg heel veel vrijheid en vertrouwen om mijn werk te kunnen doen en dat helpt enorm.

Heb je een gouden tip aan mensen die nu studeren voor het werk later?

Ik zou echt zeggen, knal dat eerste jaar erdoor, haal je propedeuse en ga solliciteren. Als je de opleiding start, is het heel belangrijk om de ervaring in het werkveld op te gaan doen. Verdiep je alvast in het werkveld, want school is een heel ander gebied.

Heb je dan nog een tip voor opleidingen over hoe ze lessen aanbieden?

Dat een opleiding zich in eerste instantie meer in het werkveld moet verdiepen, ik zie bij opleidingen als voorbeeld 5 vakken die eigenlijk allemaal om hetzelfde draaien maar net een andere beschrijving. Ik zou meer ingaan op specifieke onderwerpen en de verschillende kanten en mogelijkheden. De opleidingen zouden nu te generiek zijn. We trainen te veel globalisten. Als je iets met het werkveld doet, heb je er al meteen meer aspecten van.

Artikel: wat is ransomware en hoe werkt het?

Wat is ransomware?

Ransomware, ook wel gijzelsoftware genoemd, is een type malware dat gegevens, maar ook systemen en een heel netwerk versleutelt, waarbij het slachtoffer geld moet betalen om weer toegang te krijgen. Dit wordt meestal door criminele organisaties gedaan om geld te verdienen. Ransomware is de afgelopen jaren flink in populariteit toegenomen onder kwaadwillenden. Zo is het aantal bij toonaangevende verzekeraar Chubb geregistreerde ransomware-aanvallen de afgelopen jaren gemiddeld 12% per jaar gestegen ten opzichte van het voorgaande jaar, waarbij het aantal aanvallen in 2019 met zelfs 18% is gestegen. Eén van de bekendste ransomware is WannaCry, waarbij internationaal verschillende organisaties werden getroffen.

Wijzen en methodes

Er zijn meerdere manieren waarop een ransomware een computer of netwerk kan infecteren. De meest voorkomende manier is via spam: e-mails die worden verstuurd om de ontvanger te verleiden op een link te klikken of een bestand te openen. Een andere manier is door het bezoeken van geïnfecteerde websites, waarbij bezoekers automatisch malware downloaden. Dit kunnen websites zijn die speciaal zijn ontworpen om ransomware te verspreiden, maar ook websites die zelf geïnfecteerd zijn zonder dit te weten.

Aanbeveling

Wanneer uw organisatie te maken heeft met ransomware, wordt altijd aanbevolen om geen bedrag te betalen om uw bestanden, systemen en netwerken te ontgrendelen. De reden hiervoor is dat de kwaadwillende vaker bij je terug zal komen en bovendien is deze persoon niet te vertrouwen, waardoor geen zekerheid wordt geboden dat je bestanden worden vrijgegeven. Cyber4Z ondersteunt u en uw organisatie bij het helpen voorkomen van ransomware aanvallen. Hierbij gebruiken wij onder meer bewezen technologieën en organisatorische maatregelen om uw organisatie beter voor te bereiden op eventuele ransomware aanvallen. Neem vrijblijvend contact met ons op voor meer informatie, wij helpen u graag verder!

Cyber4Z & Cyber4Z-GCC succesvol in de Golfregio tijdens de Cyber Security Conference in Koeweit-stad

Cyber4Z-GCC was succesvol aanwezig tijdens de 2e Cyber Security Conference in Koeweit-stad. Prof. Dr. Safaa Zaman, hoogleraar aan de Universiteit van Koeweit en algemeen directeur van Cyber4Z-GCC, organiseerde dit tweede evenement met steun van zijne Hoogheid, de premier Sheikh Jaber Almubarak Alhamad Alsabah. Rob Mellegers werd uitgenodigd om te praten over de risico's van open bronnen. Hij had 4 bedrijven in Koeweit beoordeeld uit open bronnen, zonder een scan of penetratietest uit te voeren. De resultaten zijn naderhand gepresenteerd en besproken. Mede dankzij de oplossing van Cyber4Z partner SecurityScoreCard konden we veel interessante resultaten vinden. Deze oplossing zal verder worden toegepast voor Third party Management. Sommige andere Nederlandse producten zijn ook gepresenteerd, zoals de Ubikey. Een uitvinding van NXP om authenticatie zonder wachtwoorden te verwerken.

.

Cyber4Z gaat het Cyber Weerbaarheidscentrum Brainport ondersteunen met het uitvoeren van security healthchecks bij een deel van de aangesloten organisaties

Cyber Weerbaarheidscentrum Brainport heeft als eerste in Nederland een Cyber Weerbaarheidscentrum om bedrijven binnen de kennisintensieve industrie te helpen met weerbaarheid tegen digitale spionage en sabotage. Daarmee is de hightech regio de koploper in Nederland die – naast de door het Rijk aangewezen vitale sectoren (zoals gezondheidszorg, energie, haven, etc.) – serieus werk maakt van cyberweerbaarheid.

Voor meer informatie over CWC Brainport, kijk op LinkedIn of op de website van Brainport.

Cyber4z verwelkomt twee nieuwe collega's: Arissa en Burak!

Cyber4Z is blij met de komst van 2 nieuwe consultants die ons team per 1 oktober komen versterken, hieronder stellen ze zich voor. Welkom Arissa en Burak en heel veel succes en plezier!

Ik ben Arissa D’Fonseca en op dit moment zit ik in het 3e jaar van de opleiding HBO ICT en specialiseer ik mezelf in Cyber Security. Ik ben erg nieuwsgierig naar het werkveld in de Cyber Security branche. Cyber4Z geeft mij de kans om studeren, werken en ervaring opdoen, te combineren. Er is nog veel dat ik wil leren en ik verwacht stukje bij beetje mijn kennis en expertises uit te breiden en dit uiteindelijk zorgvuldig toe te passen bij Cyber4Z en haar klanten.

Mijn naam is Burak Agyel en ik heb een achtergrond in zowel IT als informatiebeveiliging. Ik heb altijd werken en leren gecombineerd en daarom zowel werkervaring opgedaan als beheerder als mijn MBO ICT beheer en HBO ICT Management & Security succesvol afgerond. Ik heb de afgelopen jaren als security consultant bij klanten gewerkt en ga dit bij Cyber4Z voortzetten, met een focus op technische/IT beveiliging.

Cyber4Z positief beoordeeld op ISO 27001 en 9001 surveillance audit

Cyber4Z is inmiddels al een aantal jaren gecertificeerd tegen de ISO27001 en ISO9001. Certificatie is een manier om formeel te bewijzen dat we op een verantwoordelijke manier omgaan met vertrouwelijke informatie doordat we op een gestructureerde wijze een informatiebeveiligingsmanagementsysteem hebben opgezet. In de eerste drie jaar worden we jaarlijks getoetst door middel van een surveillance audit. Als er zich wijzigingen in het managementsysteem hebben voorgedaan, wordt onafhankelijk getoetst of we deze wijzigingen op een verantwoorde wijze hebben ingericht. Omdat we onze klanten helpen met verschillende certificeringstrajecten, vinden we dat we zelf ook moeten voldoen aan de security richtlijnen en standaarden uit de norm. Daarom zijn we verheugd dat DEKRA wederom heeft erkend dat wij ons certificaat mogen blijven handhaven. Complimenten voor het gehele team dat in een continu verbetertraject de activiteiten heeft geborgd en ons management systeem en de daarbij ingerichte maatregelen beheersen, en dus de risico’s adequaat managen!

Strategisch partnership tussen Foreach-IT & Cyber4Z

Cyber4Z is trots om te mogen aankondigen dat Foreach-IT en Cyber4Z een contract hebben getekend voor een strategisch partnership. Daarin worden we in staat om naast consultancy ook security software te kunnen leveren. De focus van deze software is gericht op risk en compliance en dan met name technische compliance conform de BIO (Baseline Informatiebeveiliging voor de Overheid), welke is afgeleid van ISO 27001:2017 en ISO 27002:2017. Daarnaast worden in de software, in een partnership met SSH, toegangsmechanismen verwerkt zodat beheerders gecontroleerd toegang krijgen tot de door hen beheerde systemen waarbij de sleutelwoorden beheersbaarheid, controleerbaarheid en onweerlegbaarheid worden toegepast.

Mooie samenwerking tussen Brunel en Cyber4Z!

Brunel organiseert het exclusieve 'Meet & Inspire event: Ethical Hacking' op donderdag 6 juni '19 in Van der Valk Hotel Brussels Airport voor professionals binnen cybersecurity en informationsecurity. Vanuit Cyber4Z zullen Rob Mellegers en Raf Martino die avond met u hun expertise delen met ethicalhacking. Wil u aanwezig zijn als onze gast? Meldt u dan aan via EventsBE@brunel.net. Wees er snel bij, want de plaatsen zijn beperkt. .

Frank van Hooft, onze nieuwe collega in de rol van Senior Security Consultant

Mijn naam is Frank van Hooft, per 1 maart treed ik in dienst bij Cyber4Z als Senior Security Consultant. Met een achtergrond in proces en project management ben ik twaalf jaar geleden in aanraking gekomen met informatiebeveiliging. De breedte en diepte van de informatiebeveiliging heeft mij gegrepen. De veelheid van onderwerpen zoals risico's en mitigerende maatregelen, de lastige communicatie tussen "de business" en "IT" zijn enkele voorbeelden van de wereld waarin ik me thuis voel. Mijn energie krijg ik door "business" te ondersteunen hierin.

Ik woon in Almkerk, samen met mijn vrouw en zoon van 22. Mijn hobbies zijn muziek, lezen, Schotland verkennen en erop uit gaan op m'n motor.

Cyber4Z wenst u een succesvol 2019 toe!