Figuur 1 - Stappenplan om uw organisatie voor te bereiden op een redteam-test à la ART en TIBER
Gebaseerd op ervaringen zoals die in het TIBER-programma zijn opgedaan
Bestuur
Voor het uitvoeren van de stappen heeft u in uw functie als CISO (stap 1) allereerst draagvlak nodig op bestuursniveau. Het vrijmaken van capaciteit en inplannen van benodigde resources vraagt in de praktijk relatief lange doorlooptijd. Tijdens de uitvoer van de ART-test is minimaal één bestuurder actief betrokken, in tegenstelling tot mensen die verantwoordelijk zijn voor de verdediging. Zij mogen niets van de test weten.
Volwassenheid
We adviseren u eerst om de volwassenheid van de security-organisatie op orde te brengen (stap 2-4). Zorg dat de basis-hygiëne (stap 2) op orde is door te certificeren voor bijvoorbeeld ISO27001 of een vergelijkbare norm. De Good Practise IB van DNB kan daarbij ook helpen. Een security operating center (SOC) (stap 3) is noodzakelijk om een cyberaanval te kunnen detecteren. De Threat Intelligence functie (stap 4) kan deels worden ingekocht bij een externe security provider.
Cyberweerbaarheid
Parallel aan het op orde brengen van de security-organisatie, kunt u ter voorbereiding op redteam-testen (stap 10) verschillende type security-testen met regelmaat uit laten voeren (stap 5-9). Security-testen verhogen de weerbaarheid van uw organisatie, mits opvolging wordt gegeven aan de verbeterpunten die uit de testen voortkomen.
Meer inhoudelijke toelichting op de stappen is te vinden op: Bereid je voor op een cyberaanval (dnb.nl)
De ART-test
Startpunt voor het ontwikkelen van een aanvalsscenario voor een ART-test (stap 10) is het generiek cyber dreigingslandschap dat jaarlijks door DNB wordt opgesteld voor voor de TIBER-community. Dit document wordt ook gedeeld met elke instelling die een ART-test doet.
Een redteam-test à la ART (of TIBER) wordt uitgevoerd door ethical hackers in dienst van een externe security-provider. Na de ART-test zal duidelijk zijn of de genoemde security-processen en beheersmaatregelen binnen uw organisatie een coherent geheel vormen, en wat de verbeterpunten zijn.
Tarief DNB
Om een redteam-test als ART-test te laten kwalificeren is het nodig dat een Test-manager van DNB de test begeleidt en dat de verplichte stappen uit het ART-framework worden doorlopen. DNB rekent voor het delen van het generiek cyber dreigingslandschap en de begeleiding een kostendekkend tarief. Dit staat los van de kosten die uw instelling betaalt aan de security-provider die de ART-test uitvoert. Na de test kan de instelling een attestatie ontvangen van DNB als is voldaan aan de vereisten van het ART-framework.
Meer weten?
Voor vragen neemt u contact op met art@dnb.nl