Datalekken gebeuren aan de lopende band en krijgen regelmatig de nodige media aandacht. Op de website datalekt.nl vind je een overzicht van cyberincidenten in Nederland (waaronder ook datalekken) die sinds 2016 in de media zijn verschenen. Maar de grote vraag is eigenlijk: hoe erg is dat nu, zo’n datalek? Ik merk tijdens gesprekken met mensen in mijn omgeving dat ze vaak niet goed begrijpen wat de persoonlijke impact kan zijn wanneer jouw data wordt gelekt. Vaak heerst er een (in mijn ogen) bepaalde naïviteit: “dan hebben ze mijn gegevens, nou en?” of “wat kun je nou met een BSN nummer?” en de klassieker “ik heb niks te verbergen, van mij mogen ze alles weten”. Denk jij dit ook wel eens? Lees dan vooral even verder. Lees meer

Regelmatig wordt mij gevraagd hoe ik aankijk tegen het afsluiten van een cyberverzekering. De dooddoener “dat het nut van een cyberverzekering in sterke mate afhankelijk is van de omstandigheden” is uiteraard waar, maar niet erg behulpzaam. Daar zijn de vragenstellers doorgaans niet mee geholpen. Wat vaak wel helpt is om even een stapje terug te zetten en het verzekeringsvraagstuk te benaderen vanuit een risicomanagement perspectief. Lees meer

Enkele maanden geleden vroeg ik mijn LinkedIN netwerk om hulp inzake BitLocker. Ik wilde graag weten of een UEFI / BIOS boot wachtwoord, vergeleken met een TPM pre-boot PIN, ook bescherming biedt tegen het zogenaamde ‘running state’ risico. Microsoft lijkt namelijk te impliceren dat dit zo is, maar ik had moeite om in deze interpretatie mee te gaan. Hoewel ik niet direct een antwoord kreeg, werd ik wel in de juiste richting gestuurd. Na het nodige speurwerk ben ik eruit: alleen een TPM pre-boot PIN biedt bescherming tegen het running state risico. Lees meer

Wanneer je zaken doet met een leverancier van ICT diensten, dan maak je passende afspraken met elkaar. Niet alleen over prijzen en algemene voorwaarden, maar ook over privacy en informatiebeveiliging. Ik wil vooral even stilstaan bij deze laatste categorie: de afspraken op het gebied van informatiebeveiliging. Lees meer

Sinds er een embedded Chrome browser beschikbaar is in Burp Suite (vanaf versie 2020.7) maak ik hier regelmatig gebruik van als vervanger van Firefox met een separaat profiel. Toen ik eerder deze week bezig was met het uitvoeren van een pentest tegen een Lotus Domino webapplicatie, werkte een CSRF aanval niet terwijl ik dit wel had verwacht. Lees meer