IAPP article: 4 GDPR-certification myths dispelled (EN)
GDPR docs: https://edpb.europa.eu/node/28
Interplay between standardisation and the General Data Protection Regulation: https://www.enisa.europa.eu/events/enisa-cscg-2017/presentations/kamara
Recommendations on European Data Protection Certification
Few days ago I got a question from a security officer for guidance on event and system logging.
What I can recommend: a good guideline and indication is this from OWASP.
You know OWASP is THE reference for software security …. with their OWASP top 10 etc.
Check this: https://owasp.org/www-project-cheat-sheets/cheatsheets/Logging_Cheat_Sheet
Another reference from NIST see below, very handy.
These are fairly complete in terms of guideline.
What you should pay special attention to from a policy point of view is
Regarding the classification of accounts, check these:
For the users you also have to think carefully about events
Make sure you have a data, user and system classification policy.
Define roles and / or categories.
Which objects are “not important”, “not sensitive”, sensitive, important, critical.
The protection must be tailored to the category type.
In addition, you should also write a policy on saving data.
This often poses a logistical problem with disk space.
If you know that sometimes attacks are only detected after 200-300 days, you should be able to do a forensic investigation in that period.
But that does not have to be on live data, if it is in backup, that is also good.
In terms of operational data you have to decide how much should be available immediately, for immediate consultation.
For example, that can be 1 month. (if the system can save so much)
Ensure that a backup can be guaranteed for a year (combination of full / differential and / or incremental backups or virtual snapshots …)
This is not a fixed period, but depending on risk management this may be more or less.
Also make sure that you require NTP time synchronization, so that the clocks are exactly matched to each other on all systems.
Log analysis is impossible without correct timing.
Ensure that logs on source systems cannot be deleted by administrators.
Ensure that the logs following are shielded from system owners;
Ideally, you are obliged to store logs centrally (for example in a SIEM system).
Consider managed encryption of data and backups (not ransomware or malware).
Make sure to test backups and restores!
Check the logs and backup for malware.
Store logs centrally with sufficient storage capacity, security and backup.
A good management process and regular inspection must become mandatory.
Ensure monitoring for special events or special trends (sudden growth or sudden decrease or disappearance of logs)
Arrange forensic surveillance / detention if a burglary or data breach may need to be reported to the government / DPA / police.
The NIST documentation below provides useful hints and tips about the type of systems, routers, switches, firewalls, servers …
Take into account legislation such as GDPR or ePrivacy or others that impose your obligations (legal, judicial, international, fed gov, …)
View and learn from past incidents and known use cases or accidents, which give a clear hint of what protect first.
Require a regular review of the policy and the rules, ensure that the guidelines are updated to the requirements and changing situations.
It is difficult if you find out after the facts that your log is not working properly.
And this is also a reference (NIST)
Many InfoSec and data protection or privacy courses reference 3 authoritative yearly reports that show interesting numbers, statistics and trends about breaches year over year.
And these are extremely useful to talk about to your management…
Interesting to know they all have been updated for 2019.
(The Verizon Data breach Investigations Report, DBIR)
https://enterprise.verizon.com/resources/reports/2019-data-breach-investigations-report.pdf (click the view only option)
https://www.ibm.com/downloads/cas/ZBZLY7KL
(You can always use the official link and give away your privacy…at https://www.ibm.com/security/data-breach)
(IAPP members get it for free)
Hint: the IAPP link below also shows reports of previous years.
https://iapp.org/resources/article/iapp-ey-annual-governance-report-2019/
V2018 also available from the EY website: https://assets.ey.com/content/dam/ey-sites/ey-com/en_gl/topics/financial-services/ey-iapp-ey-annual-privacy-gov-report-2018.pdf
Wanneer was jouw laatste download van een “gratis” paper, een “gratis” eBook, of een “gratis” aangeboden document… terwijl in feite deze download werd verborgen achter een “privacy wall” of “registratie wall”?
Het is een veel voorkomende praktijk van commerciële bedrijven om jouw contactgegevens te verzamelen voor het opbouwen van hun prospectendatabase of erger (alleen de verkoop van jouw gegevens).
Met de term “Privacy Wall” , “Free Registration Wall” of “consent wall”, verwijs ik naar het equivalent van een “pay wall” wanneer je moet betalen voor toegang tot inhoud. Met een “Privacy Wall“, in plaats van geld te moeten betalen, vereist de provider dat jij je ‘gratis’ registreert om toegang te krijgen tot hun inhoud.
In dat opzicht betaal je in feite met jouw persoonsgegevens.
Onthoud: niets is gratis. Zoals ze in het Engels zeggen “There ain’t no such thing as a free lunch” (eh… Download).
Voordat ik in detail inga op het omzeilen van “Privacy Walls“, zijn er toch een paar opmerkingen over de legitimiteit van deze “Privacy Walls“.
Als je niet geïnteresseerd bent in de achtergrondinformatie, kan je direct naar de privacy life-hack sectie beneden kijken.
In het kort, technisch gezien heb je geen persoonlijke gegevens nodig om een gratis download te laten werken. Geen! Publiceer het gewoon online en geef de URL aan iedereen.
Maar, wat als…
…dan is het volkomen zinvol om het e-mailadres te registreren of op te vragen…
(Maar nog steeds onder AVG Art. 13 of soortgelijke wetgeving).
… veel commerciële of marketing bedrijven vereisen (of dwingen) je om een uitgebreide of volledige set van persoonlijke gegevens in te vullen als voorwaarde om te downloaden… dat is absoluut niet relevant voor de download zelf. Maar het kan zinvol zijn om hun commerciële redenen en dat vertellen ze je (niet) … (Opnieuw: AVG Art. 13)
Allereerst is het belangrijk om te begrijpen dat in de meeste gevallen wel het legitiem is om contactgegevens te vragen, maar met een grote dubbele als voorwaarde…
Je zou legitiem belang kunnen overwegen om persoonlijke gegevens te verzamelen of de gebruikelijke toestemming van de downloader. (Ik laat de andere 4 AVG opties buiten het bereik voor dit artikel, om het simpel te houden.)
Als AVG van toepassing is (je weet: mensen in de EU,.. enzovoort) en als een verwerker persoonlijke gegevens op vraagt, moet deze voldoen aan AVG Art. 13 die bepaalt dat “informatie moet worden verstrekt wanneer persoonsgegevens worden verzameld van betrokkene “. Dit betekent dat de verwerkingsverantwoordelijke moet uitleggen welke gegevens zij verzamelen, doeleinden van verwerking, contactgegevens van de verwerkingsverantwoordelijke,…en meer.
Dat is waar het in de praktijk vaak fout gaat, de GDPR wordt (nog steeds) niet correct toegepast.
Als je bijvoorbeeld niet de vereiste privacyverklaring opgeeft op het moment van verzamelen, geraak je in de problemen, zoals bijvoorbeeld:
Als AVG niet van toepassing is, controleer dan best ook andere wetgeving die van toepassing is zoals e-commerce of eCommunication bescherming. Er is een grote kans dat andere soortgelijke wettelijke regels van toepassing zijn, vergelijkbaar met de eerder genoemde AVG-vereisten.
Wat het geval ook is, je kan jouw persoonlijke gegevens beter zelf beschermen.
Hoe kan je jouw persoonsgegevens beschermen met betrekking tot gratis downloads? Voordat ik die vraag kan beantwoorden, moet je de volgende vraag beantwoorden.
Sta mij toe om Matthias Dobbelaere-welvaert te citeren uit een televisie-uitzending van VIER (trafiek Axel- aflevering 6, Axel Estate een identiteit),
Korte versie via Matthias’ tweet:
“/.. /Wat je eigenlijk moet denken, elke keer dat je een stukje van je privacy afgeeft,… moet je eigenlijk denken dat je 50 euro afgeeft, … Daar kan geld mee verdiend worden . /.. /”
Belangrijke opmerking: deze uitzending op vier, zit ook achter een registratie wall (!) …
Wil je betalen met persoonsgegevens (€50 €… KA-CHING!) voor een gratis download?
Wil je betalen met persoonsgegevens (… nog eens €50) voor bijna 50′ van hoge kwaliteit televisie over diefstal van persoonlijke gegevens…? Het is aan jou om te beslissen. Ik weet het al.
Maar… gelieve te beseffen dat in veel gevallen deze verplichte registratie (“privacy Wall”) voor gratis downloads gewoon NEP is.
Ik bedoel, alleen bedoeld om jouw persoonlijke gegevens te verzamelen, en na registratie krijg je toegang tot een openbaar, daadwerkelijk gratis download.
Als je het op voorhand wist, zou je niet registreren om toegang te krijgen. Omdat het ook niet hoeft, in de meeste gevallen.
Ik wil de voorbeelden hier niet noemen en de schuld geven, maar het kost weinig tijd om de voorbeelden op mijn LinkedIn-tijdlijn te vinden… het is heel gemakkelijk om deze voorbeelden elders op het Internet te vinden.
In veel gevallen kan je de gratis download uitvoeren zonder jouw persoonlijke gegevens te gebruiken. Het probleem: je weet dat alleen na registratie. Dus…
Zoek op internet naar ‘temporary email‘ of ‘ anonymous email ‘, er zijn veel diensten die je toelaten om een wegwerp mailadres te gebruiken (zoals temp, getnada,… en mijn favoriete mailinator).
Geef ook dummy persoonlijke gegevens in, zoals voornaam, achternaam en adres…
Voordeel: snel, eenvoudig, geen gedoe, geen spam. “Hit and run”, klaar.
Nadeel (beperkt): veel gratis download providers blokkeren deze gekende anonieme mails. Anonieme mail is niet altijd bruikbaar.
Alternatief: Probeer een andere temp mailprovider of schakel over naar optie 2.
Registreer je eigen internetdomein, voor een paar dollar per jaar. Vervolgens beheert je je eigen e-mail aliassen of e-mail doorstuurservers.
Je maakt gewoon een download alias zoals Download@yourveryshortdomain.root, Activeer het voor download, Download en deactiveer het na het downloaden. Gedaan.
Voordeel: snel, eenvoudig, geen spam, je hebt de controle.
Nadeel: je moet een paar dollar per jaar doorbrengen. (ongeveer 10 EUR/yr)
Alternatief: vast gratis e-mailadres…
Hotmail, Outlook.com, Gmail,… noem het gewoon.
Voordeel: gescheiden van jouw reguliere post
NADEEL (MAJOR): je krijgt nog steeds de spam en marketing die je niet wil. Je moet jouw registratie annuleren. Ze misbruiken nog steeds jouw persoonlijke gegevens.
Houd er rekening mee: 50 EUR voor een “gratis” Download??!! (Standaardantwoord is Nee!)
Just for easy, future reference… the difference between CSA CCSK and (ISC)² CCSP, quickly explained:
https://blog.cloudsecurityalliance.org/2018/04/24/ccsk-vs-ccsp-unbiased-comparison/
http://www.confidis.co/cloud-security-certifications-ccsk-vs-ccsp/
Just a few hours ago, I got the confirmation that I was awarded the 2019-2020 Microsoft Most Valuable Professional (MVP) award.
It’s a yearly award granted by Microsoft to community leaders and influencers who passionately share their knowledge and drive the MS community.
For some it’s the ultimate goal to get in the MVP program, but as the reward is granted year after year again, based on your impact of last year, it’s never sure you’re in for the next round.
It’s not about the award, but about the drive and mindset to build community. You can’t simply keep up if you don’t have the drive.
But more important, you simply can’t keep up without support.
So I’m proud to receive this award.
And I’m utterly grateful that lots of people around support me in this, very close and very far.
Thank you, my dearest wife and kids to keep me alive.
Thank you, dearest Microsoft TechNet Wiki Geeks (TOO MANY to list here), you keep me going.
Thank you, Ed Price, the greatest Wiki Wizz Kid,
Thank you Tina for supporting the MVP BeNelux and Nordic Community manager.
And many many others, … without you I could not do this!
I dedicate this award to you.
Thank you.
Preparation tool kit (with registration): https://cloudsecurityalliance.org/artifacts/ccskv4_exam_prep_kit
Separate downloads:
ISC2-Belux-Chapter-20190404-Event
Documentation library: https://www.pcisecuritystandards.org/document_library
https://www.aicpa.org/interestareas/frc/assuranceadvisoryservices/sorhome.html
https://www.microsoft.com/en-us/trustcenter/compliance/compliance-overview
Documents download: https://servicetrust.microsoft.com/ViewPage/MSComplianceGuideV3
https://servicetrust.microsoft.com/ViewPage/MSComplianceGuide
Regional & country compliance: https://www.microsoft.com/en-us/trustcenter/compliance/regional-country-compliance
Google Cloud security compliance – general
ISO27001: https://cloud.google.com/security/compliance/iso-27001/
ISO27032 (Cybersecurity)
https://cloudsecurityalliance.org/star/#_overview
Interesting collection of documents & references on compliance and standards: here, including, HIPAA, PCI-DSS, ISO27001/27002, …
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
Moving organisations to the cloud
All About Identity And Security On-Premises And In The Cloud - It's Just Like An Addiction, The More You Have, The More You Want To Have!
Event driven identity management on the ILM/FIM platform
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
Thoughts and opinions on and around the subject of hybrid identity in the Microsoft cloud
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
My connector space to the internet metaverse (also my external memory, so I can easily share what I learn)
