In het Digital Identity Compass wijzen we je op ontwikkelingen in de wereld van Digital Identity, oftewel Identity & Access Management.
Inhoudsopgave
Workforce Identity
Privileged Access Management
Customer Identity and Access Management
Overheid
Overige ontwikkelingen
Podcast tip van de maand
Control Third Party Access Risk
Security Boulevard, 9 juni 2023
Veel organisaties zijn voor de levering van bedrijfskritieke producten en diensten in toenemende mate afhankelijk van externe leveranciers, contractanten en partners. Hoewel externe gebruikers vaak een cruciale rol spelen in de bedrijfsvoering, kunnen ze ook risico's met zich meebrengen als ze niet goed worden beheerd. Denk hierbij aan ongeautoriseerde toegang, datalekken, misbruik of het niet naleven van het beleid. Deze risico’s nemen alleen maar toe door een grotere afhankelijkheid van outsourcing, complexe supply chains, de ‘ver-SaaSing’ van het IT-landschap, cyberdreigingen en toegenomen onderlinge verbondenheid. Om de risico’s te beperken moeten organisaties passende beveiligingsmaatregelen nemen. In dit artikel zet SafePaaS zes beveiligingsmaatregelen, zoals Policy Based Access Control, het automatiseren van (de-)provisioning, periodieke reviews en monitoring, uiteen. Dit moet onboarding, offboarding en beheer van toegang door derden vereenvoudigen, risico's beheersen en bedreigingen minimaliseren.
Cybers Security News, 29 juni 2023
Cybers Security News, 29 juni 2023
Cyber Security News zet de 20 beste IAM-oplossingen uiteen. Per oplossing wordt gekeken of ze IAM-functionaliteiten, zoals user provisioning, lifecycle management, Single Sign On, MFA, Role Based Access Control, ondersteunen en worden de voor- en nadelen geschetst.
| De 20 beste IAM-oplossingen volgens Cyber Security News | |
|
|
2023 Thales Data Threat Report
Uit het Thales Global Data Threat Report, uitgevoerd onder bijna 3000 respondenten in 18 landen, blijkt dat organisaties in 2022 bleven investeren in digitale transformatie en beveiliging. Enkele bevindingen:
Datalekken worden het vaakst veroorzaakt door een menselijke fout.
-
28% van de respondenten geeft aan dat IAM de beste manier is om datalekken te voorkomen.
-
Sterke Multifactor Authenticatie is gestegen naar 65%.
Digitale soevereiniteit is een opkomend strategisch initiatief .
-
Volgens 96% is het aanwijzen of wijzigen van de locatie en jurisdictie of volledige encryptie een goede maatregel om verschillende niveaus van digitale soevereiniteit te bereiken.
-
Sterke Multifactor Authenticatie is gestegen naar 65%.
49% van de organisaties heeft geen ransomware-responsplan.
-
In 2022 was dit nog 48%.
HashiCorp introduceert PAM- en secretsbeheer-oplossingen
HashiCorp heeft twee nieuwe oplossingen geïntroduceerd:
HashiCorp Boundary Enterprise:
Een PAM-oplossing waarmee organisaties remote access kunnen realiseren. Met behulp van ‘Just in Time’ credentials krijgen medewerkers eenvoudig en flexibel toegang tot cloudomgevingen. De oplossing biedt daarnaast ook functionaliteiten als least-privilege en session recording.
HashiCorp Cloud Platform (HCP) Vault Secrets:
Deze SaaS-dienst maakt identiteit gebaseerd secretsbeheer mogelijk. Secrets kunnen eenvoudig beheerd worden terwijl ontwikkelaars tegelijkertijd in het HCP cloud gebaseerde ontwikkel workflows gebruiken. HashiCorp Vault Secrets Operator for Kubernetes maakt het daarnaast mogelijk om automatisch secrets van Vault naar Kubernetes-clusters te migreren.
Infosheet ‘Volwassen authenticeren’
Het NCSC heeft een infosheet en factsheet ‘Volwassen authenticeren’ gepubliceerd. Het biedt organisaties een stappenplan dat helpt bij het implementeren van volwassen authenticatietechnieken:
Aan de hand van een volwassenheidsmodel kunnen organisaties bepalen hoe zij ervoor staan. Het NCSC raadt aan om phishing-bestendige authenticatie (WebAuthn) te gebruiken. Dit zijn authenticatiemiddelen die de FIDO2 standaard ondersteunen.
Kabinet steekt 123 miljoen in aanpak personeelstekort ICT en techniek
Het kabinet maakt € 123 miljoen uit het Nationaal groeifonds vrij om het structurele personeelstekort binnen techniek en ICT op te lossen. Het bedrag wordt verdeeld over 15 consortia van bestaande publiek-private samenwerkingsverbanden. De consortia hebben de ambitie om 31.000 mkb’ers te bedienen met de inzet van 152.000 studenten en 16.000 docenten. Het is de ambitie van de Rijksoverheid dat er in 2030 meer dan 1 miljoen ICT-geschoolden zijn – dat zijn er nu nog 552.000.
Internationale Cyberstrategie 2023- 2028
De Nederlandse overheid streeft naar een open, vrij en veilig cyberdomein. Voortdurende cyberaanvallen en de gevolgen van de Russische oorlog in Oekraïne en China’s assertiviteit zetten dit onder druk. In de internationale cyberstrategie (CIS) beschrijft het kabinet hoe het wil inspelen op internationale ontwikkelingen:
- Om de cyberdreiging van staten en criminelen tegen te gaan, zal Nederland middelen proactiever, meer geïntegreerd en strategischer inzetten, waar mogelijk met EU-partners en NAVO-bondgenoten.
- Om democratische en mensenrechtelijke principes online te versterken, zal Nederland met verhoogde inzet en in een brede coalitie uitwerken hoe internationaal erkende principes in de digitale ruimte worden toegepast ter bevordering van de mondiale cyberveiligheid.
- Om een wereldwijd open, vrij en veilig internet te behouden, zal Nederland de publieke kern van het internet beschermen onder andere om fragmentatie tegen te gaan.
SMS-authenticatie gaat er nog niet uit voor Nederlandse burgers
Burgers hoeven zich geen zorgen te maken dat zij per 1 juli – de dag waarop de wet Digitale Overheid gefaseerd in werking treedt – niet meer bij de overheid kunnen inloggen met SMS. Omdat er nog onduidelijkheid bestaat over (de toelating van) toekomstige inlogmiddelen, blijft de oudere, relatief onveilige inlogmethode voor onbepaalde tijd in stand.
Nieuwe cybersecuritywet bezorgt gemeenten slapeloze nachten
Uit onderzoek onder 80 gemeenten blijkt dat gemeenten zich zorgen maken over de invoering van de NIS2. Volgens hen geeft de Rijksoverheid geen duidelijkheid over de eisen. Als gevolg zet maar een klein deel van de gemeenten concrete stappen om zich voor te bereiden op de wet en zijn slechts 3 gemeenten overtuigd dat zij op tijd aan de NIS2 voldoen. Maar liefst 70 van de 80 gemeenten vinden het onduidelijk welke investeringen zij precies moeten doen. Overigens is de consultatie van de NIS2, die deze zomer zou plaatsvinden, uitgesteld tot het najaar. Dit zou echter geen belemmering moeten vormen voor de inwerkingtreding van de wet.
Blik op Tech: Deze Europese cyberwetten komen eraan
De EU heeft zich de afgelopen tijd laten gelden op IT-gebied met een grote hoeveelheid nieuwe en bijgewerkte wet- en regelgeving. In een overzicht geeft AG Connect een beeld van wat er op ons afkomt:
-
NIS2 (cybersecurity)
-
Digital Services Act (online diensten)
-
Digital Markets Act (digitale markten)
-
AI Act (kunstmatige intelligentie
-
Machinery Directive (veiligheid van apparatuur)
-
Cyber Resilience Act (cyberweerbaarheid)
-
Digital Operational Resilience Act (cybersecurity financiële sector)
Ambtenaar vervalste beveiligingsrapporten DigiD
Binnenlands Bestuur, 17 juni 2023
Een ambtenaar van Justis heeft tussen 2018 en 2022 meerdere rapporten over de beveiliging van DigiD-aansluitingen vervalst. Naar aanleiding van signalen die Logius kreeg, heeft Fox-IT een forensisch digitaal onderzoek uitgevoerd. Daaruit blijkt dat er 11 rapporten zijn vervalst, waarvan sommigen zijn aangepast en anderen zijn nagemaakt. De ambtenaar is niet meer werkzaam bij de Rijksoverheid.
Centraal securityloket overheid pas in 2026 klaar
De samenvoeging van het NCSC, DTC en het CSIRT-DSP duurt nog tot 1 januari 2026. De overgang naar het centraal securityloket verloopt in twee fasen zodat er rekening wordt gehouden met aankomende wet- en regelgeving en lopende trajecten uit de Nederlandse Cybersecurity Strategie. In de eerste fase tot 1 oktober 2024 moeten de organisaties samenwerken. In de tweede fase worden taken en processen ‘geïntegreerd en geoptimaliseerd’.
Privacy-onderzoek: AWS-diensten veilig voor Nederlandse overheid
Uit een DPIA van Privacy Company blijkt dat Amazon Web Services (AWS) veilig genoeg is voor gebruik door de Nederlandse overheid. Er zijn geen ‘hoge risico’s’ als overheidsorganisaties de aanbevolen mitigerende maatregelen, zoals versleuteling, pseudonimisering en support vanuit de EU, opvolgen. Met deze maatregelen wordt het risico op doorgifte van gegevens naar de VS bijvoorbeeld beperkt.
AP wil deel van cybersecurity-miljoenen hebben
De Autoriteit Persoonsgegevens wil een deel van de € 111 miljoen die het kabinet gereserveerd heeft voor cybersecurity. Volgens de AP is er sprake van een ‘witte vlek’ voor persoonsgegevens in de aanpak van cybersecurity. Er is volgens de AP te weinig aandacht voor terwijl “goede beveiliging van persoonsgegevens essentieel is voor digitale veiligheid en privacy”.
'Eigenaar Fox-IT wil beveiligingsbedrijf opsplitsen en deel verkopen'
Het Nederlandse cybersecuritybedrijf Fox-IT wordt volgens bronnen van de Volkskrant opgesplitst en gedeeltelijk verkocht. Dit zou eigenaar NCC Group hebben besloten, vanwege zijn eigen slechte resultaten. 'Waarschijnlijk' verdwijnt de Fox-IT-naam op termijn. Bij de opsplitsing worden Fox Crypto en DetAct losgetrokken van Fox-IT. De rest van het bedrijf wordt geïntegreerd in de NCC Group. NCC Group heeft bekendgemaakt dat Fox-IT's directeur Inge Bryan per direct stopt. Er is geen reden gegeven voor haar vertrek.
In vijf jaar tijd zijn bijna alle Nederlanders al getroffen door een datalek
In vijf jaar tijd heeft de AP al meer dan 114.000 meldingen van datalekken ontvangen. Volgens de AP is daardoor bijna iedere Nederlander al één of meerdere keren slachtoffer geworden van een datalek. Vorig jaar ontving de AP 21.151 meldingen van datalekken, waarvan 1826 cyberaanvallen. Dit zijn minder meldingen dan een jaar eerder, toen het er bijna 25.000 waren. Van een dalende trend durft de AP echter niet te spreken: het aantal meldingen ligt gemiddeld tussen de 20.000 en 25.000 per jaar.
.png?width=750&height=378&name=WI%20elemenet%20(1).png)
Let's Talk About Digital Identity
Identity Management Podcast: In deze podcast van Ubisecure gaat Oscar Santolalla in gesprek met een leider op het gebied van Digital Identity over actuele onderwerpen, trends en ontwikkelingen.
