Below is a short overview of the #Hexnode webinar, presented 2022-04-07 about data compliance.
The webinar recording is published at the Hexnode website (and embedded below). And the PDF version of the slide deck is published in full color and B/W print version on Slideshare, see links below.
Company and user data, and personal data is an important target and leverage in cybercrime lik
Phishing
Ransomware
not only encryption
data leak extortion
Reconnaissance & Hacking
Data breaches
Biometric data
Digital & Economical war
…
Now the question is… How do YOU get in control?
You can’t simply lock up your data… because data needs to flow. (You want to use it…)
Data management essentials to get grip
Ask yourself: how much €$ can you spend to protect your data? To answer that question, you’ll need to get grip of some basic data management principles, in relation to security:
You can only protect what you know you have
Without an owner there is no protection
Nothing is stable, everything has a lifecycle
Data lifecycle
Data lifecycle
The start of the cycle is mostly
short,
easy to manage,
low security risk. (if the creation fails… you have no data to keep under control)
The end of the cycle is mostly
long, (there are various reasons why you need to keep the data for a while, eg in archive before you dispose of it..)
difficult to manage (if the process fails, it’s difficult to track or keep under control)
high security risk. (risk of losing ownership, risk of leakages, …)
What is risk?
Assets have
Vulnerabilities (weaknesses/properties)
that can be exploited by
Threats (activities)
with impact ($$ cost).
You need to balance the protection against the impact. You don’t want to over-spend or under-protect.
Your boss (or insurance, of CFO ) needs a budget, spreading cost over a year, or 2..3..4..5.
[Risk management is calculating impact over the rate of occurrence/frequency…]
How to get started
Know the external context
International regulations (GDPR, …)
National regulations (SOC, …)
Sector regulations (PCI-DSS, ..)
Contractual obligations
Enterprise vs PII/personal data requirements
Know the internal context
Know your business (what)
Know your organization (organigram)
Make an inventory of processes and interfaces
Assign business ownership
For each process
For each asset
Know the processes
Know the data flow
Know your sources (IN)
Know the data processing
Know your receivers (OUT)
Know the data in the processes
Categorize your data – data types
Enterprise data
PII / Personal data (GDPR !)
Other ?
Categorization (define data classes)
Sensitivity = linked to business impact
Ask the owner : “What if data is …”
unavailable,
changed,
destroyed,
leaked,
accessed unauthorized, illegally, unlawfully,
…
Categorize your data sensitivity
Enterprise data, for example
Unclassified, Official, Restricted, Confidential, Secret, Top Secret (NATO)
Public, Company internal, Confidential, Strictly confidential
TLP RED, TLP Amber, TLB Green, TLP White (public)
Classification (apply the labels)
Responsibility of owner
Label all data
Label containers if you can’t label the data
Folder or File share
Database
mailbox
…
Mind the lifecycle
Get started
Keep going
Start over again
Think about security when
creating new processes
changing processes
removing processes
recheck on a regular schedule (even when nothing changes)
Set a default label for archived data that doesn’t change
DO NOT set “public” as default
Think about the support processes
Incident management (ISO 27035 & NIST)
Data breach management (GDPR & other …)
Business continuity (ISO22301)
Disaster recovery
Questions
How to identify regulations you should follow?
know and analyse the services you’re offering,
where is your data stored?
what kind of data you have (enterprise data, personal data, financial, …)
identify the local, national, regional, international regulations of sector legislations that apply to your business (check partners/competition, sector representatives, …)
…
Is there difference in regulation for small or large business?
very limited impact of size of company…
very likely some impact on financial and tax reporting,
some legislation only apply in large scale operations (eg GDPR only requires a DPO for certain type of operations, …)
In the midst of the #COVID19 corona pandemic, the ISO (International Organization for Standardization) has unlocked free reading access to a bunch of relevant standards, including
ISO 22301:2019, Security and resilience – Business continuity management systems –Requirements
ISO 22316:2017, Security and resilience – Organizational resilience – Principles and attributes
ISO 22320:2018, Security and resilience – Emergency management – Guidelines for incident management
ISO 13485:2016, Medical devices — Quality management systems – Requirements for regulatory purposes
The general access page with all online, fully accessible standards can be found here: https://www.iso.org/covid19.
Important note:
these standards are available online, but not downloadable (for legitimate downloads you need to purchase your copy in the ISO shop or with your national standards organisation)
there is no guarantee for continued free access once the Covid pandemic is over, if ever. That’s the sole discretion of the ISO, of course.
De nieuwe editie pakt opnieuw uit met interessante bijdragen van Ruben De Smet (met co-auteurs Thibaut Vandervelden, Kris Steenhaut en An Braeken), Koen Vervloesem, Arthur Zeeuw, Olivier Sustronck,Arno Jansen, Liesbet Demasure en mezelf.
In totaal 36 pagina’s artikels met volgende onderwerpen:
Voorwoord door Matthias Dobbelaere-Welvaert
End-to-end encryptie is niet het einde – Ruben De Smet
De Tandeloze Identiteit – Arthur Zeeuw
Hoe GDPR-conform is ‘The Squid Game’? – Olivier Sustronck
Voorstelling board member: Redona Ukshinaj
Pegasus in Europa. Een blijver? – Arno Jansen
Kort privacynieuws
GDPR killed the direct-marketing star- Peter Geelen
“Datamacht en tegenkracht” – Koen Vervloesem
Voorstelling board member: William Leemans
2022, het jaar van cybersecurity. Niet? – Liesbet Demasure
Het magazine sluit af met een echte gloednieuwe cartoon van privacymakker Lectrr!
At the end of this article, you can also find the download link for an offline version of this article.
Als je echt om privacy geeft en het is van het grootste belang…
Zoals hieronder uitgelegd, kun je WhatsApp zeker beveiligen, maar ze hebben nog steeds je gegevens en metadata en ze definiëren de regels waarmee WhatsApp de show uitvoert. En dat kan veranderen, wanneer ze maar willen.
En je moet weten dat WhatsApp eigendom is van en wordt beheerd door Facebook. En Facebook heeft al bewezen dat ze een echt slechte reputatie hebben als het gaat om privacy …
Als je echt niet wilt toegeven qua privacy, kijk dan eens naar alternatieven die niet zijn gebouwd door bedrijven die geld verdienen met je persoonlijke gegevens… (zie einde van dit artikel).
Het is aan jou om te beslissen welk risico je wilt nemen. Als je het gebruik van WhatsApp en je privacy wilt afwegen tegen de best mogelijke beveiliging, lees dan verder.
Als je om privacy geeft en toch Whatsapp wilt gebruiken
End-to-end encryptie
Het goede nieuws is dat WhatsApp een end-to-end encryptie gebruikt.
En hoewel Facebook of andere partijen mogelijk niet meeluisteren met uw gesprekken, kunnen de contactgegevens, de metagegevens (de gegevens over uw gesprekken) worden onderschept en eigendom zijn van / worden beheerd door Facebook / WhatsApp.
Verder is het belangrijk om te weten dat encryptie NIET van toepassing is op de WhatsApp back-ups.
Zoals hieronder wordt uitgelegd, kunt u dus overwegen whatsApp-back-up uit te schakelen om uw gegevens te beschermen.
En als je er toch voor wilt kiezen om WhatsApp te gebruiken, kun je de privacy en beveiliging in alle lagen van de applicatie beter vergrendelen.
Algemene beveiligingsregels
Minimaliseer uw gegevens
Over het algemeen is het altijd slim om uw gegevens in de applicatie te minimaliseren.
Geef geen persoonsgegevens weg
houd uw profielgegevens tot het minimum dat nodig is
Ga naar het WhatsApp status tabblad (rechts naast chats)
en klik vervolgens op “Instellingen” (Settings)
Ook, heel belangrijk, beperk het delen van persoonlijke gegevens, er is een specifieke set opties in het gedeelte Privacy.
uw profiel alleen delen met vertrouwde contactpersonen
De publicatie van
“laatst gezien” tijdstempel
profielfoto
status
groepen
live locatie
…
Stel voor elk van deze opties de juiste keuze in om delen uit te schakelen.
Kies “Alleen delen met…” (Only Share with…) > geen contactpersonen selecteren (of enkel een beperkte set vertrouwde contactpersonen)
Resultaat
Zorg er ook voor dat u het “Vingerafdrukslot” (Fingerprint lock) inschakelt, indien beschikbaar op uw smartphone.
Koperstip: voor de volgende smartphoneaankoop moet u rekening houden met de beschikbaarheid van een vingerafdrukscanner op uw telefoon.
Houd de app up-to-date
Werk uw apps continu bij, incl. WhatsApp, naar de nieuwste versie, om ervoor te zorgen dat alle beveiligingsfouten of beveiligingsproblemen meteen worden opgelost.
De meeste beveiligingsinbreuken of hacks richten zich specifiek op verouderde software.
Hoe u uw WhatsApp-beveiliging kunt vergrendelen, de controlelijst
Zonder beveiligingsconfiguratie is het vrij eenvoudig om een WhatsApp-account te kapen, omdat de eerste registratie alleen is gebaseerd op mobiele nummerregistratie en / of sms (kort bericht).
Dit maakt de eerste WhatsApp-gebruiker extreem gevoelig voor accountovername. Wees niet het volgende slachtoffer en vergrendel WhatsApp vanaf het eerste gebruik.
Whatsapp tweestapsverificatie (2FA) of multifactorauthenticatie (MFA) inschakelen
Allereerst moet je MFA inschakelen, het is een must.
Wanneer je 2FA / MFA inschakelt op de WhatsApp-instellingen, voorkom je dat iemand anders gewoon je telefoonnummer of WhatsApp-account kan overnemen.
Gebruik de sterke authenticatie van je telefoon
E-mailadres registreren voor je account
Een pincode instellen
Houd er rekening mee dat de pincode in WhatsApp geen inlogmethode is, maar een herstel- / herinstallatiefunctie.
Maar u kunt de smartphonebeveiliging gebruiken om toegang tot toepassingen in te schakelen.
Het wordt sterk aangeraden om 2FA of MFA (multifactorauthenticatie, zoals uitgelegd in eerdere paragrafen) in te schakelen.
Whatsapp-tweestaps- of multifactorauthenticatie inschakelen
Gebruik telefoon sterke authenticatie
Vingerafdruk
Binnen de privacy-instellingen vindt u de optie “Vingerafdrukvergrendeling” (als uw smartphone de vingerafdrukscanner aan boord heeft).
Ga naar Instellingen > Account > Privacy om de vingerafdrukvergrendeling in te schakelen
Selecteer vervolgens de laatste optie (Vingerafdrukvergrendeling)
In dit vingerafdrukvergrendelingsmenu kunt u de ontgrendeling inschakelen en de time-outperiode kiezen. Hou het kort.
(Misschien is “meteen”/”immediately” een beetje lastig, zet ‘m dan op 1 minuut bijvoorbeeld…)
De beveiligingsmeldingen inschakelen
In de account settings
er is een beveiligingsoptie
Zorg ervoor dat u de optie “Beveiligingsmeldingen weergeven” inschakelt.
Dit zorgt ervoor dat u meldingen ontvangt wanneer de beveiligingscode van uw contacten verandert.
De privacy-instellingen vergrendelen
Verwijder overbodige persoonsgegevens uit uw profiel
Er is niet veel informatie die u zelf aan uw profiel kunt toevoegen.
Houd het tot het strikte minimum, en ik stel ook voor om geen persoonlijke foto toe te voegen, maar eerder een algemene foto.
Schakel in de privacyinstellingen alle publicatie van uw profielgegevens uit.
Locatietracking stoppen
Een belangrijke optie in de vorige lijst is ook het uitschakelen van locatietracking (“Live locatie”).
Back-up uitschakelen
Hoewel WhatsApp end-to-end-codering gebruikt voor zijn berichten, wordt de codering niet gehandhaafd wanneer de gegevens in de back-up worden opgeslagen
Als u zich echt zorgen maakt over privacy en beveiliging, schakelt u de back-up uit.
Trouwens, als u het verlopen van het bericht activeert, is de back-up toch overbodig…
Select de “Chats” optie
Kies in de chatoptie de optie “Chat back-up”
In de Google drive settings (tenminste voor Android devices), selecteer “Backup to Google Drive” en selecteer dan “Nooit/Never”.
It’s highly suggested to enable these group options, and make sure information is not kept longer as needed.
Andere operationele beveiligingstaken
Verouderde leden uit groepen verwijderen
Het is heel belangrijk om groepen die u beheert te bewaken en overbodige leden zo snel mogelijk te verwijderen.
Zo voorkom je dat er gegevens ‘lekken’ naar deelnemers die die informatie niet nodig hebben.
Groepen verlaten die u niet meer gebruikt
Controleer groepen waarvan u lid bent en sluit deze groepen af/afsluit deze groepen als u ze niet meer nodig hebt, als u geen informatie meer wilt delen of als u niet wilt dat leden uw informatie/berichten zien.
Zo voorkomt u dat u gegevens ‘lekt’ naar deelnemers om u te zien of te volgen.
Verzoek om toegang tot gegevens
Als je de informatie wilt controleren die WhatsApp over je weet, kun je een kopie van die infromation aanvragen
Ga naar je accountinstellingen
En klik vervolgens op de optie “Informatie aanvragen”
Overweeg om andere tools te gebruiken, enkele alternatieven
Als je echt niet wilt toegeven aan privacy, kijk dan eens naar alternatieven die niet zijn gebouwd door bedrijven die geld verdienen met je persoonlijke gegevens…
At the end of this article, you can also find the download link for an offline version of this article.
If you really care about privacy and it’s paramount…
As explained below you surely can lockdown WhatsApp, but they still have your data and metadata and they define the rules by which WhatsApp runs the show. And that can change, whenever they want.
And you should know that WhatsApp is owned and managed by Facebook. And Facebook already has proven to maintain a really bad reputation when it comes down to privacy…
If you really do not want to give in on privacy, better check for alternatives that are not built by companies that make money with your personal data… (see end of this article).
It’s up to you to decide what risk you want to take. If you want to balance the use of WhatsApp and your privacy with the best possible security, continue to read.
If you care about privacy and still want to use Whatsapp
End-to-end encryption
The good news is, WhatsApp is using an end-to-end encryption.
And although Facebook or other parties might not listen in on your conversations, the contact data, the meta data (the data about your conversations) might be intercepted, and is owned/managed by Facebook/WhatsApp.
Furthermore it’s important to know that encryption DOES NOT apply to the WhatsApp backups.
So, as explained below, you might consider disabling WhatsApp backup to protect your data.
And if you still want to choose to use WhatsApp, better lock down the privacy and security in all layers of the application.
General security rules
Minimize your data
In general it’s always smart, to minimize your data in the application.
Don’t give away personal data
keep your profile data to the minimum needed
Go to the WhatsApp status tab
then click “Settings”
Also, very important, limit personal data sharing, there is a specific set of options in the Privacy section.
only share your profile with trusted contacts
Disable the publication of
“last seen” time stamp
profile photo
status
groups
live location
…
For each of these options set the right choice to disable sharing.
Choose “Only Share with…” > do not select any contacts (or a limited set of trusted contacts)
Result
Also make sure to enable the “Fingerprint lock” if available on your smartphone.
Buyers tip: for next smartphone purchase you must consider the availability of a fingerprint scanner on your phone.
Keep the app up to date
Continuously update your apps, incl. WhatsApp, to the latest version, to make sure that all security bugs or security issues are fixed right away.
Most of security breaches or hacks do specifically target outdated software.
How to lock down your WhatsApp security, the check list
Without security configuration it’s fairly easy to hijack a WhatsApp account, as the initial registration is only based on mobile number registration and/or SMS (short message).
This makes the initial WhatsApp user extremely sensitive to account take over. Don’t be the next victim, and lock down WhatsApp from the first use.
Enable Whatsapp Two-step (2FA) or multifactor authentication (MFA)
First of all you need to enable MFA, it’s a must.
When you enable 2FA/MFA on the WhatsApp settings, you avoid that someone else simply can take over your phone number or WhatsApp account.
Use phone strong authentication
Register email address to the account
Set a pin/password
Be aware that the PIN in WhatsApp is not a login method but a recovery/reinstallation feature.
It’s highly suggested to enable these group options, and make sure information is not kept longer as needed.
Other operational security tasks
Remove obsolete members from groups
It’s quite important to monitor groups you manage and remove redundant members as soon as possible.
This way you avoid ‘leaking’ data to participants who do not need that information.
Leave groups you don’t use anymore
Monitor groups you are member of, and you should quit/exit these groups if you do not need them anymore, or you do not want to share information anymore, or if you don’t want members to see your information/messages.
This way you avoid ‘leaking’ data to participants to see you or track you.
Data access request
If you want to check the information that WhatsApp knows about you, you can request a copy of that infromation
If you really do not want to give in on privacy, better check for alternatives that are not built by companies that make money with your personal data…, like
Identity Underground 
You must be logged in to post a comment.