Iedereen is heden ten dage lyrisch over ChatGPT, een algoritme dat op een sublieme manier doet wat je zoekfunctie in Outlook niet kan namelijk logica verzamelen. Wat velen ondertussen vergeten is dat ChatGPT geen eigen digitale bronnen heeft of zelf conclusies maakt. Ideeën en inspiratie uit de miljarden posts op het www oogsten dat doet ChatGPT. Geen enkele vorm van Ai zal ooit het menselijk handelen en denken kunnen evenaren . De mens bedacht ChatGPT en niet ChatGPT de mens. Heb je een bewijs nodig dat eenvoudige logica werkt?

Dure raketten met springtuig lok je best…

Met kapotte tanks waar een gasvuurtje in staat met een kokende pot water. Miljoenen dollars zijn al beland op zulke tanks in een oorlog waar zulke logica het won van zogeheten slimme raketten met hittesensoren. Wat heeft dit nu met NIS2 te maken denkt u? Meer dan u zult beseffen. Hackers moet je niet uit je systemen proberen te houden maar lokken naar waar jij ze wilt hebben. Zelfs hackers zien tijdens een aanval het verschil niet tussen een slecht onderhouden Windows 7 machine en een HPT4U droid (een honeypot ja). Het verschil is dat de machine op de receptie stiekem zijn geheimen begint  te delen en HPT4U digitale veiligheidsagenten alarmeert en een bedrijf in digitale alertheid brengt.

IBM en Quantum zullen NIS2 een safeshield bezorgen

Op dit moment hebben we dus een inbraakpoging die gemeld wordt. De interactie en snelheid van de incident response teams zullen niet in iedere organisatie van gelijke aard zijn. Dat geeft een consortium elite hackers een voordeel. Ze beginnen cryptobommetjes te droppen en leggen een digitaal rookgordijn in de endpoints van het netwerk. Aanval mislukt en sporen gewist. “I’ll be back” zegt de hacker.  Een team digitale experts is ermee bezig de EDR tools die zulke aanvallen in kaart brengen te trainen om de bronnen van zulke aanvallen op te sporen. In digitale Quantum labs gaan we een stap verder. Algoritmes die van ChatGPT een telmachine maken zullen bij toekomstige aanvallen het hackers consortium duizend maal sneller opsporen dan ze hun rookbommetjes kunnen achterlaten. De lessons learned uit zulke extended MITRE ATT&CK data zal vervolgens via digitale sonars het bedrijf bij een volgend bezoek beschermen. De gebruikers merken hier niets van. De digitale kluizen met kroonjuwelen ook niet. De hacker die afgeleid wordt naar tanks met kookpotten veel te laat.

ZERO TRUST, ook jezelf niet!

Murphy zei terecht dat als iedereen van ICT zegt dat het goed gaat met de cybersecurity je je juist heel veel zorgen moet maken. In de NIS2 mindset is géén plaats voor EGO’s. Alle divisies worden betrokken in de certificatie. Als ik met mijn team een framework start is mijn eerste vraag toon me de DPIA van het bedrijf. Een DPIA is een blauwdruk die een inspecteur van de GBA (gegevens beschermings Autoriteit) eenvoudig inzicht moet geven hoe het bedrijf gegevens van privé personen beschermt.

Welke data verzamelt men? Is dit men een gerechtvaardigd belang? Waar bevindt de data zich in verwerking en in rust. Het is heel vreemd maar deze oefening zag ik nog maar zelden opgelijst zoals de wetgever het vraagt. Wat is mijn punt? Als deze oefening al niet naar behoren wordt uitgevoerd, hoe kun je dan als bedrijf voorkomen dat zulke gegevens naar het dark web lekken? U weet het antwoord op deze retorische vraag even goed als ik. Het punt waar het om draait is dat het verzamelen en beschermen van zulke gegevens heden niet volgens de zeer heldere regels van de GDPR kunst gebeuren. Alweer denkt de CEO onterecht dat alles onder controle is. Pas de zero trust regel hier toe en je bent begonnen met de NIS2 mindset te omarmen. Kanttekening. Alle gegevens van brave burgers in Antwerpen kun je ondertussen voor 25 € kopen.

NIS2 en zijn 5 lagen

Een organisatie of bedrijf dat door onze audtors gescreend wordt bestaat altijd uit 5 semi transparante blauwdrukken die we op elkaar leggen. Net als de DPIA is er een uitgebreidere eerste plan van de organisatie opgebouwd rond de 93 ISO 27001 A-controls, die zorgen dat alles wat een invloed heeft op het digitale bestaan van het bedrijf in kaart wordt gebracht.

Vervolgens brengen we op een copie van deze blauwdruk met pentesten , vulnerability scanners en SIEM logs de zwakheden van de organisatie, menselijke cyberweerbaarheid, infrastructuur en technische oplossingen in kaart. Niet toevallig de 4 domeinen waar de 93 A-controls in zijn onderverdeeld.

De derde blauwdruk ontstaat uit incident beheer, risico analyses en het hieruitvolgende plan van aanpak. De rode zones vormen we om naar oftewel gemonitorde oranje zones of groene zones.

Door de Zero trust mindset aanvaarden we geen compromis. We bedenken met de interne teams een strategie die recht evenredig is met het belang van de processen van het bedrijf.

Bij de vierde blauwdruk aangekomen implementeren we vervolgens samen met experten uit de industrie oplossingen. Blauwdruk 1 bezorgde ons een inventaris van gebruikte software. In blauwdruk 4 plaatsen we deze software in een IAM oplossing zoals bijvoorbeeld IAM Verify van IBM (Geloof me de oplossing heeft zijn naam niet gestolen). Deze IAM zorgt niet alleen voor driedubbel gecontroleerde toegang maar ook voor een centraal beheer van wie wat mag in de applicaties. Blauwdruk 1 leerde dat het inloggen een kans gaf omgeleid en bekend te worden bij hackers. Experten zetten vervolgens multifactor login op dat niet hinderlijk is voor de gebruiker en toch verzekert dat user x user x is. We zorgen ervoor dat alle technologie de mens en de bedrijfsprocessen dient en niet andersom.

De vijfde blauwdruk die als toplaag boven de vier andere komt is die van ‘monitoring’. Iedere auto heeft een reservewiel of een noodkit die zorgt dat bij een lekke band voortgereden kan worden. Stel je voor dat je naar een feest rijdt en knal ‘band kapot’. Oef je hebt een reservewiel. Als je het op de wagen wilt plaatsen zie je dat er geen lucht inzit. Je staat even ver met of zonder reserve wiel. Je vraagt je af waarom je bij het laatste onderhoud over de duizend euro betaalde voor alles en nog wat maar de bandendruk van je reservewiel niet werd nagekeken. Waar wil ik naartoe? ICT teams kunnen evenzeer hun eigen werk NIET monitoren. Rode lampjes worden genegeerd. De schijf waarvan men op vrijdagmiddag ziet dat ze op 85 % gebruik staat moet maar wachten tot maandag. Ondertussen gaat de hacker verder met encrypteren en andere duistere dingen. Gelukkig voor ICT support ziet men op maandag het lampje niet meer. Er zijn andere dingen en zorgen prioriteit. Waar is de backup? Is hij geslaagd?

Samen met vendoren van A-merken werken we in deze blauwdruk NIS2 MXDR uit. Dit staat  voor gemonitorde uitgebreide ramp en herstelbeheer (Monitored Extended Disaster Recovery) De monitoring van deze indicatoren kunnen niet intern in het bedrijf bewaakt worden. De digitale securitas zorgt voor red alerts. Zij kijken op digitale radars 24/24 7/7.

Dit is een opportuniteit voor alle Ict resellers. Omarm het systeem. Het is verplicht voor NIS2 bedrijven. Je medewerkers moeten met andere tools leren omgaan. Ik zie het als een grote liga van digitale SWAT bewakers geholpen door de zus van ChatGPT namelijk MA4U (monitoring Alert 4 You).

Er is al heel wat werk gebeurd en er zijn al bedrijven bezig met het integreren van deze blauwdrukken. Hou de evenementen hier op nis2.news in het oog. De gewaarschuwde man is er …waard weet u. NIS2 is de mooiste hulp die Europa maar kon bedenken voor de ICT industrie en onze succesvolle bedrijven (die onmisbaar zijn voor het functioneren van het land) . Bent u klaar….

Oh ja ik vroeg ChatGPT even om NIS2 in simple terms uit te leggen:

Antwoord: NIS2 stands for “Nano Improvement Proposal 2” and is a proposal to improve the Nano cryptocurrency. It aims to improve the scalability and security of the Nano network by introducing a new type of node called a “Representative Node” which will be responsible for processing transactions and voting on network changes. The goal of NIS2 is to make the Nano network more efficient and faster for users.

Gelukkiger hebben we hier ons huiswerk beter gedaan…..of de Amerikanen liggen niet wakker van onze cyberbeveiliging…maar in beide gevallen blijf ik jullie voorlopig op de hoogte houden.