Penetration testing contributes to the continuous improvement of cyber- and informationsecurity measures

Testen van maatregelen draagt bij aan continue verbeteren

Een zo realistisch mogelijk uitgevoerde test geeft een instelling inzicht in de genomen maatregelen en kan zich richten op verschillende aspecten van de bedrijfsvoering van de instelling. In onderzoek van DNB is specifiek aandacht besteed aan het testen van het gehele stelsel van genomen informatiebeveiliging en cybersecurity maatregelen, door middel van scenario testen. Zie daartoe ook figuur 4 met betrekking tot beheersingsmaatregel #22: Testing. Een scenario test kan bijvoorbeeld zijn gericht op zwakheden in de IT-infrastructuur of op menselijk gedrag en menselijk handelen, maar ook op het testen van continu.teitsmaatregelen van IT-systemen (Testing of the IT continuity plan). Effectief testen hangt nauw samen met het selecteren van de meest geschikte testmethode. DNB ziet testmethodes vari.ren van simpele desk-based oefeningen tot zo realistisch mogelijk gesimuleerde aanvallen. Een aantal instellingen heeft al een zo realistisch mogelijke test uitgevoerd,

bijvoorbeeld door mitigerende maatregelen rondom DDoS aanvallen te simuleren. DNB onderschrijft het belang van testen om de werking van mitigerende maatregelen op gecontroleerde wijze vast te stellen.

Instellingen kunnen het structureel (laten) uitvoeren van testen in een terugkerende periodieke cyclus beter borgen, bijvoorbeeld als onderdeel van een groter testprogramma binnen de gehele keten. DNB ziet dat het structureel inbedden van informatiebeveiliging en cybersecurity testen binnen de (keten) organisatie van instellingen niet altijd optimaal wordt benut. DNB ziet veel ruimte voor verbetering om scenario testen effectiever (en in de gehele keten) uit te voeren om zo een meer realistische situatie na te bootsen. De integrale continu.teit van de bedrijfsvoering van instellingen is steeds vaker afhankelijk van een grote groep dienstverleners en onderaannemers. Instellingen kunnen hun ketenpartners meer betrekken bij de opzet en uitvoering van de eerder genoemde testen.

Uit DNB onderzoek komen naast het bovenstaande twee andere risico’s naar voren:

▪ De kwaliteit van uitgevoerde penetratietesten wisselt sterk ten aanzien van onder andere de onderzoeksverantwoording, scope, diepgang en rapportage. DNB heeft het beeld dat in de markt van aanbieders van penetratietesten nog veel verschil in kwaliteit is en het voor de instellingen niet altijd eenvoudig is de markt voldoende te doorgronden. Het is belangrijk dat instellingen extra aandacht besteden aan de selectie van gekwalificeerde externe partijen indien zij deze wenst in te schakelen voor het uitvoeren van penetratietesten.

▪ Business Continuity Management richt zich nog te veel op klassieke scenario’s zoals bijvoorbeeld gebouwencalamiteiten en brand. Het BCM beleid en diens tests zouden zich meer kunnen richten op locatie, mensen (key persons), ICT en uitbestedingspartijen. Waarbij men ook voorbereid is op andere eigentijdse dreigingen. Denk hierbij bijvoorbeeld aan de impact van malware, ransomware en ook een pandemie op de continu.teit van de bedrijfsvoering.

Een aantal instellingen communiceert haar concrete verwachtingen rondom het uitvoeren van penetratietesten (onderzoeksverantwoording, scope, diepgang, etc.) richting dienstverleners ter bevordering van de consistentie en kwaliteit van uitgevoerde beveiligingstesten. Kwalitatief goed uitgevoerde penetratietesten dragen in de praktijk sterk bij aan het verbeteren van (technische) maatregelen en het reduceren van informatiebeveiligings- en cybersecurityrisico’s. Door heldere

communicatie en verwachtingsmanagement richting dienstverleners wordt de uitvoering van penetratietesten op een consistente wijze geborgd en is de door instellingen gewenste kwaliteit van penetratietesten in lijn met de daadwerkelijke

kwaliteit. Daar waar dienstverleners beschikken over beleid op het gebied van penetratietesten kan een vertaalslag plaatsvinden naar de verwachtingen van de instellingen zelf. Hierbij valt te denken aan: het vaststellen van kwaliteitscriteria

voor de penetratietesten, vertaling van deze criteria naar afspraken met de dienstverleners en (mogelijk nog) aanvullende eigen testwerkzaamheden door instellingen.