Beveiligingscommunity's: samen werken aan beveiliging en privacy

In de SCIPR-community werken we samen aan het verbeteren van professionele informatiebeveiliging en privacy. Wij zijn een community of practice en helpen je informatiebeveiliging verder te professionaliseren door:

• Gemeenschappelijk kennis te verbeteren.
• Beleid en procedures over informatiebeveiliging te ontwikkelen,
• Beleid, procedures en best practices via leidraden beschikbaar te stellen.
• Mee te werken aan de ontwikkeling van SURFaudit. Dit is het meetinstrument voor het Normenkader Informatiebeveiliging HO.
• Mee te werken aan de ontwikkeling van leidraden en adviezen die je helpen om aan de veranderende privacywetgeving te voldoen.

Leidraden en starterkits

We hebben verschillende best practices vastgelegd in modellen, leidraden en starterkits.

• Leidraden en starterkits informatiebeveiliging.
• Documenten over de nieuwe Europese privacywetgeving. 

Wil je lid worden van SCIPR? Stuur dan een mail naar lidmaatschap@scipr.nl.

Contactpersonen

• voorzitter SCIPR: Anita Polderdijk (Hogeschool Windesheim)
• secretaris SCIPR: Menno Nonhebel (KNAW)

We wisselen op verschillende manieren kennis met elkaar uit:

• digitaal, bijvoorbeeld via e-mail, een eigen wiki en secure messaging
• op bijeenkomsten waar je elkaar leert kennen en op een laagdrempelige en vertrouwde manier kennis uitwisselt
• tijdens workshops, bijvoorbeeld op het vlak van nieuwe cybersecurity-technieken of -tools
• op de jaarlijkse tweedaagse Security- en Privacyconferentie. Deze organiseren SCIRT, de SCIPR-community en SURFcert gezamenlijk.

De bijeenkomsten en workshops worden minimaal 3 keer per jaar georganiseerd.

Hoe vertrouwelijk is een de informatie? Zeg het met kleuren

Het Traffic Light Protocol (TLP) is een eenvoudig protocol dat door cybersecurityprofessionals wordt gebruikt om met kleuren aan te geven hoe vertrouwelijk een specifieke informatieuitwisseling is. Iedereen weet dan vervolgens hoe die informatie behandeld moet worden. Het is cruciaal dat iedereen binnen de community dezelfde betekenis hecht aan de 4 TLP-kleuren: TLP:RED, TLP:AMBER, TLP:GREEN en TLP:WHITE.

Betekenis van de TLP-kleuren

Een basisprincipes van het gebruik van TLP is dat alleen de verstrekker van informatie de "baas" is over wat de ontvangers ermee mogen doen. Ontvangers die twijfelen of breder willen verspreiden, moeten dus altijd eerst toestemming vragen aan de verstrekker.

TLP:RED

• "For your eyes and ears only"
• De informatie wordt uitgewisseld op strikt vertrouwelijke basis en is alleen bedoeld voor de rechtstreekse ontvangers ervan.
• De ontvanger mag TLP:RED-informatie niet verder verspreiden.
• Alleen de verstrekker van de informatie kan bepalen wanneer, en onder welke voorwaarden, de informatie verder verspreid kan worden.

TLP:AMBER

• De informatie wordt uitgewisseld op vertrouwelijke basis en is bedoeld voor de ontvangers ervan, maar deze mogen dit ook delen met collega's binnen de eigen organisatie als daar een goede reden voor is (need to know), bijvoorbeeld om een beveiligingsprobleem te kunnen oplossen.
• Een ontvanger van TLP:AMBER-informatie die deze doorgeeft aan collega’s, moet aan deze collega’s uitleggen dat zij de informatie niet verder mogen verspreiden (in feite wordt de informatie voor hen dan TLP:RED).

TLP:GREEN

• De informatie is niet publiek maar mag wel, in redelijkheid, worden gedeeld binnen de eigen community.
• TLP:GREEN-informatie mag dus bijvoorbeeld gedeeld worden binnen de eigen instelling, zolang het niet publiek wordt.

TLP:WHITE

• Dit is in beginsel publieke informatie die vrij gedeeld mag worden.
• Let wel, oorspronkelijke rechten en plichten, zoals auteursrechten, blijven natuurlijk van toepassing.

Het belangrijkste doel van SCIRT is om kennis van alle beveiligingsexperts van de bij SURF aangesloten instellingen bij elkaar te brengen. Wij zijn een werkgroep voor, maar ook door de community. Je kunt je al bij SCIRT aansluiten als je CSIRT-gerelateerd werk doet binnen je instelling. Ook al heb je dat nog niet georganiseerd in een CSIRT.

Lees meer over het zelf opzetten van een CSIRT op de SURFcert-wiki

Lid worden van SCIRT kan alleen met een e-mailadres van een bij SURF aangesloten instelling en als je werkt als een operationeel security-expert. Omdat er regelmatig gevoelige informatie gedeeld wordt binnen de SCIRT-community, hebben we een code of conduct en een aanmeldingsprocedure. Heb je belangstelling, dan informeren we je hier graag verder over. Stuur een e-mail naar: lidmaatschap@scirt.nl .

Organisatie van de SCIRT-community

De huidige, gekozen voorzitter is Ewald Beekman (voorzitter@scirt.nl), hij is IT Security Officer bij het Amsterdam UMC. Don Stikvoort (secretaris@scirt.nl) is de secretaris. Rogier Spoor (surf@scirt.nl) begeleidt en ondersteunt de SCIRT-community vanuit SURF.

Een programmagroep bereidt de inhoudelijke programma-onderdelen voor. Deze bestaat uit:

• Ewald Beekman - Amsterdam UMC
• Bauke Gehem - Summa College
• Lars Hameeteman - ErasmusMC
• Remon Klein Tank - WUR
• Rogier Spoor - SURF
• Don Stikvoort - Open CSIRT Foundation (extern)

Elke security officer bij een instelling kent het probleem: wanneer is een nieuwe dienst of software veilig? Met ISO27001 kijk je vooral naar de procedurele en organisatorische veiligheid. Maar je wil ook de technische beveiliging praktisch testen. En kan dat niet eenvoudiger? Heeft een collega-instelling niet al hetzelfde gedaan? Om bij dit soort vragen beter inzicht te geven, maakte SCIRT een simpele checklist: de STITCH.

Uitgangspunten STITCH

Het principe van STITCH is eenvoudig: het is een grondregel met een beperkt aantal eisen. Deze eisen meet je eenvoudig, en de resultaten worden binnen SCIRT gedeeld. Security officers bepalen met deze uitgangspunten veel sneller en eenvoudiger de veiligheid van een dienst of software. STITCH bestaat uit 8 uitgangspunten, met uitgewerkte voorbeelden.

Bekijk de STITCH

De  gedetailleerde testresultaten worden vertrouwelijk en alleen binnen de SCIRT-community gedeeld. Bekijk voor meer informatie de wiki van SCIRT (inloggen verplicht).