De AVG was altijd al bedoeld om vaag te zijn. Door geen voorschrijvende technische beheersmaatregelen op te sommen – zoals bijvoorbeeld PCI DSS wel doet – blijft de regelgeving beter relevant in de loop der tijd. Het principe van "technologische neutraliteit" kan echter ook een bron van frustratie zijn voor compliance-teams. Voor meer pragmatische richtlijnen wenden velen zich tot best practice-normen zoals ISO 27001:2022, die een gestructureerde, risicogestuurde aanpak van cybersecurity bevordert.

Maar zoals datalekken bij LastPass en andere organisaties hebben aangetoond, is het geen wondermiddel – vooral niet als teams compliance niet benaderen met een mentaliteit van continue evaluatie en verbetering.

Wat is er met LastPass gebeurd?

De datalek bij LastPass in 2022 zou de gegevens van ongeveer 30 miljoen klanten wereldwijd hebben blootgelegd, waaronder 1.6 miljoen in het Verenigd Koninkrijk. Het was, naar alle maatstaven, een behoorlijk geavanceerde aanval, die uit twee verschillende fasen bestond:

  • Een cybercrimineel heeft de laptop van een softwareontwikkelaar gehackt, waardoor hij toegang kreeg tot een SSE-C-sleutel. Theoretisch gezien had hij deze sleutel kunnen gebruiken om toegang te krijgen tot back-ups van klantgegevens, inclusief versleutelde wachtwoordkluizen. De sleutel was echter versleuteld en voor volledige toegang tot de database was ook een tweede AWS-toegangssleutel nodig.
  • Een cybercrimineel wist een kwetsbaarheid in de Plex-videostreamingdienst te misbruiken. Deze was gedownload naar de persoonlijke laptop van een senior development operations engineer. Hierdoor konden ze een keylogger installeren en vervolgens de SSE-C-sleutel decoderen en de AWS-toegangssleutel bemachtigen. Dat gaf hen toegang tot de versleutelde wachtwoordkluizen.

Omdat de hoofdwachtwoorden voor deze kluizen lokaal op de apparaten van klanten werden opgeslagen en nooit met LastPass werden gedeeld, hadden ze veilig moeten zijn. Maar door een gebrekkige implementatie van het PBKDF2-algoritme werden in de jaren na het datalek talloze wachtwoorden met brute force gekraakt, wat leidde tot een geschat aantal gehackte wachtwoorden. $35 miljoen aan cryptovaluta gestolen.

Wat de ICO zei

Het Bureau van de Informatiecommissaris (ICO) LastPass kreeg een boete van £1.2 miljoen opgelegd. vanwege het “nalaten om passende technische en organisatorische maatregelen te implementeren en te gebruiken, in strijd met artikel 5(1)(f) van de Britse AVG en artikel 32(1)”. Concreet stond het bedrijf senior engineers toe om via persoonlijke laptops toegang te krijgen tot productiesleutels, stond het werknemers toe om persoonlijke en zakelijke kluizen te koppelen aan hetzelfde hoofdwachtwoord en verzuimde het om AWS-sleutels te roteren na het eerste incident.

De toezichthouder erkende echter dat naleving van ISO 27001:2022 had moeten betekenen dat het bedrijf de eigen richtlijnen van de ICO had moeten volgen met betrekking tot het beveiligen van apparaten voor thuiswerken en het scheiden van persoonlijke en zakelijke apparaten/accounts. Dat heeft het bedrijf duidelijk niet gedaan.

“LastPass is geen uitzondering. Uit ons recente onderzoek blijkt dat meer dan een kwart (26%) van de privacyprofessionals denkt dat hun organisatie binnen het komende jaar waarschijnlijk te maken krijgt met een aanzienlijke inbreuk op de privacy. Dit risiconiveau wordt snel de norm”, vertelt Chris Dimitriadis, Chief Global Strategy Officer van ISACA, aan IO (voorheen ISMS.online).

“Naleving van normen zoals ISO 27001 is essentieel, maar het is slechts het begin. Het datalek bij LastPass onderstreept een harde waarheid: privacy en gegevensbescherming kunnen niet worden gereduceerd tot een afvinklijstje. Organisaties moeten verder gaan dan minimale naleving en streven naar beoordelingen van de capaciteit en volwassenheid binnen de gehele organisatie.”

Met de tijd meegaan

LastPass is niet het eerste en zal zeker niet het laatste bedrijf zijn dat te maken krijgt met een ernstig datalek, ondanks dat het technisch gezien gecertificeerd is volgens de beste praktijkstandaarden. Andere bekende gevallen zijn onder meer:

  • 23andMeHet bedrijf dat DNA-testen aanbiedt, kreeg een boete van £2.3 miljoen van de ICO na een datalek dat miljoenen klanten trof. Het bedrijf had geen verplichte multifactorauthenticatie (MFA) voor gebruikers, had onvoldoende monitoring voor ongebruikelijke activiteiten en stelde cybercriminelen in staat om misbruik te maken van een interne functie (DNA Relatives) om toegang te krijgen tot meer accounts dan toegestaan.
  • Interserve GroepHet outsourcingbedrijf kreeg een boete van £4.4 miljoen na een datalek met werknemersgegevens. Hoewel de inbreuk werd gesignaleerd door de beveiligingssoftware van het bedrijf, werd er geen onderzoek ingesteld.

Dergelijke gevallen tonen niet de tekortkomingen van normen zoals ISO 27001 aan. Ze bewijzen juist dat veel organisaties complianceprogramma's nog steeds niet met de juiste instelling benaderen.

"Hoewel ISO 27001, SOC 2 en andere standaarden een uitstekende en beproefde basis vormen voor het beoordelen van de informatiebeveiliging van bedrijven, zijn ze niet – en zijn ze nooit geweest – bedoeld als garantie dat een bedrijf onhackbaar is of dat 100% van het beleid en de procedures correct worden nageleefd", legt Ilia Kolochenko, CEO van ImmuniWeb, uit.

"Bovendien betekent het feit dat alle beleidsregels en procedures nauwgezet worden gevolgd, niet dat de onderliggende processen technisch foutloos zijn."

Dennis Martin, specialist in crisismanagement en bedrijfscontinuïteit bij technologiebedrijf Axians UK, voegt daaraan toe dat op standaarden gebaseerde naleving alleen nuttig is als leiders erop aandringen dat de controles in de praktijk werken.

“Beveiligingsmaatregelen moeten regelmatig worden getest, gevalideerd en ter discussie gesteld. Aannames en gedocumenteerde processen zijn geen vervanging voor bewijs. Een ‘niet vertrouwen, maar testen’-mentaliteit is essentieel als organisaties vertrouwen willen hebben in hun beveiligingspositie”, vertelt hij aan IO (voorheen ISMS.online).

“Effectieve naleving is een continu proces. Bedreigingen evolueren, bedrijfsvoering verandert en controles verslechteren in de loop der tijd. Regelmatige evaluatie en verbetering zijn noodzakelijk om ervoor te zorgen dat wat is vastgelegd nog steeds de realiteit weerspiegelt.”

CONTINUE VERBETERING

Sterker nog, ISO 27001:2022 "erkent expliciet" dat beveiliging niet stil mag staan, vertelt Didier Vandenbroeck, vicepresident beveiliging bij Oleria, aan IO.

"Een kernprincipe van de standaard is continue verbetering, waarbij van auditors wordt verwacht dat ze verbeterpunten signaleren wanneer controles technisch gezien weliswaar voldoen aan de eisen, maar niet langer geschikt zijn voor het veranderende dreigingslandschap", legt hij uit.

“Wanneer certificering een afvinklijstje wordt, gaat dat principe verloren. Certificaten zijn uiteindelijk betekenisloos als organisaties ze niet in de praktijk naleven of niet kritisch kijken naar de vraag of de bestaande controles nog wel zinvol zijn, gezien de manier waarop mensen daadwerkelijk werken en hoe aanvallers te werk gaan.”

IO CPO, Sam Peters, is het daarmee eens.

"Daarom zijn raamwerken en standaarden het meest effectief wanneer ze worden beschouwd als levende beheersystemen, als daadwerkelijke werkmodellen voor het beheersen van cyberrisico's, in plaats van statische mijlpalen voor naleving," vertelt hij aan IO.

“Het principe van continue verbetering, ingebed in regelmatige evaluatie, kritische analyse en aanpassing, staat vanaf het begin centraal in onze aanpak bij IO en weerspiegelt wat toezichthouders steeds vaker in de praktijk verwachten. Op deze manier toegepast, bieden frameworks een duurzame basis voor organisaties om cyberrisico's te beheren in een constant veranderende omgeving, in plaats van een momentopname van de naleving op één specifiek tijdstip.”

Een dergelijke aanpak is met name belangrijk voor het beheersen van GDPR-risico's in een tijd waarin toezichthouders steeds meer nadruk leggen op de context.

“Toezichthouders geven heel duidelijk aan dat ‘passende technische en organisatorische maatregelen’ contextueel en evoluerend moeten worden beschouwd, in plaats van vaststaand of statisch. Wat als passend wordt beschouwd, hangt af van factoren zoals risicoblootstelling, gegevensgevoeligheid en het dreigingslandschap, en wordt steeds vaker pas beoordeeld nadat een incident heeft plaatsgevonden”, concludeert hij.

"In de praktijk betekent dit dat toezichthouders minder geïnteresseerd zijn in de vraag of een raamwerk is aangenomen, en zich meer richten op hoe effectief het wordt gebruikt om informatiebeveiligingsrisico's in de loop der tijd te identificeren, te beoordelen en te beheren."