Ransomware Readiness Assessment Gepost op augustus 26, 2022maart 8, 2023 door Tom Deze laagdrempelige, gratis Ransomware Readiness Assessment (RRA) stelt een set aan vragen om inzicht te krijgen of een organisatie voldoende weerbaar- of veilig is tegen ransomware aanvallen. Daarnaast geeft de uitkomst van deze assessment een concreet beeld waar verbeteringen noodzakelijk zijn. Hierbij wordt rekening gehouden met de mate van 'security volwassenheid'. Dit betekent dat de uitkomst van het assessment handvatten biedt om éérst basiszaken te regelen wanneer deze nog ontbreken. Vanuit de basis kunnen additionele maatregelen worden genomen met als doel voldoende weerbaar en uiteindelijk veilig te zijn. Let op! 1. Bij het invullen is het makkelijk wanneer een IT (technisch) onderlegd persoon met kennis van de organisatie en IT-infrastructuur helpt bij het invullen. Dit is echter niet randvoorwaardelijk, maar geeft wél een betere uitkomst! 2. Wanneer een vraag onduidelijk is, of twijfel: vul dan 'Nee' in. Contact Na het invullen van de assessment wordt er vrijblijvend contact opgenomen! Zijn de vragen te onduidelijk of te lastig (vanwege vaktermen) om te beantwoorden? Neem dan direct contact op voor hulp! 1. Vindt er backup plaats voor kritieke systemen naar een off-site locatie met de mogelijkheid om verschillende versies te herstellen tot minstens 30 dagen terug in de tijd? Ja Nee Geen 2. Vindt er periodiek een restore test plaats vanuit opgeslagen backups? Ja Nee Geen 3. Wordt malafide (netwerk)verkeer geblokkeerd door het toepassen van DNS filtering via bijvoorbeeld DNS resolvers of DNS firewalls? Ja Nee Geen 4. Zijn de veiligheid instellingen van web browsers voldoende veilig ingesteld voor de gehele organisatie? Ja Nee Geen 5. Wordt er met regelmaat in de organisatie gewezen op phishing mails én hoe hiermee moet worden omgegaan? Ja Nee Geen 6. Worden gebruikers getraind op het herkennen van cyber dreigingen zoals phishing? Ja Nee Geen 7. Wordt e-mail gefilterd op malafide berichten en/of phishing? Ja Nee Geen 8. Is het bedrijfsnetwerk gesegmenteerd om business kritieke systemen of applicaties te beveiligen? Ja Nee Geen 9. Wordt het DMZ netwerk, ofwel het netwerk wat via het internet publiek bereikbaar is, gemonitored door een security oplossing? Ja Nee Geen 10. Wordt intern netwerk verkeer gemonitored (door een security oplossing)? Ja Nee Geen 11. Heeft de organisatie een baseline gedefinieerd voor 'normaal' netwerk verkeer en wordt dit gebruikt om afwijkend verkeer te identificeren en hierop te alarmeren? Ja Nee Geen 12. Heeft de organisatie een acuraat overzicht van hardware en software apparatuur? Ja Nee Geen 13. Wordt verouderde hardware of software geweerd uit de infrastructuur? Ja Nee Geen 14. Wordt hardware die mogelijk malafide is, of niet toebehoord aan de infrastructuur, herkend middels alarmering? Ja Nee Geen 15. Wordt hardware die niet toebehoord aan de organisatie in quarantaine geplaatst of direct geweerd (middels technologie)? Ja Nee Geen 16. Worden veilige configuraties voor de hardware en software opgesteld, gedocumenteerd en actief toegepast? Ja Nee Geen 17. Worden er standaard -veilige- baseline images gebruikt voor hard en software configuraties? Ja Nee Geen 18. Worden er voor systeemconfiguraties 'hardening guidelines' toegepast? Ja Nee Geen 19. Wordt soft- of hardware, die publiek bereikbaar zijn, en waarvoor 'kritische' kwetsbaarheden gevonden zijn gepatched binnen 3 dagen en 'high' kwetsbaarheden binnen 30 dagen? Ja Nee Geen 20. Worden interne soft- of hardware die kwetsbaar is voor 'critical' of 'high' vulnerabilities gepatched binnen 30 dagen? Ja Nee Geen 21. Is er een beleid toegepast voor sterke en unieke wachtwoorden voor de gehele organisatie? Ja Nee Geen 22. Is 2-Factor authenticatie geïmplementeerd voor werknemers die remote werken en priviliged accounts (bijv. administrators)? Ja Nee Geen 23. Is 2-Factor authenticatie toegepast voor alle gebruikers? Ja Nee Geen 24. Is er een principe toegepast dat gebruikers in de basis minimale rechten hebben (evt. ook middels processen en procedures)? Ja Nee Geen 25. Is het principe om gebruikers minimale rechten te geven toegepast middels een geautomatiseerde technologische oplossing? Ja Nee Geen 26. Worden er (audit) logs bewaard voor priviliged accounts (bijv. administrators)? Ja Nee Geen Hint 27. Gaan werknemers op security training? Ja Nee Geen 28. Vindt er detectie plaats wanneer er hardware wordt gebruikt in het netwerk wat niet wordt toegestaan? Ja Nee Geen 29. Wanneer er hardware wordt gebruikt wat niet is toegestaan conform het IT beleid, wordt de gebruiker hier dan op geattendeerd? Ja Nee Geen 30. Is er een lijst met software die ongewenste software weigert voor installatie (een blocklist)? Ja Nee Geen 31. Heeft de organisatie documentatie beschikbaar die toegestane software omvat? Ja Nee Geen 32. Heeft de organisatie een gedocumenteerde lijst van toegestane software met versie nummers? En wordt hiervoor beleid toegepast dat enkel deze software is toegstaan? Ja Nee Geen 33. Heeft de organisatie een 'Incident Response plan' beschikbaar? Ja Nee Geen 34. Worden cybersecurity incidenten gerapporteerd en geëscaleerd naar de juiste verantwoordelijken in de organisatie? Ja Nee Geen Hint 35. Heeft de organisatie 'Disaster Recovery' procedures beschikbaar? Ja Nee Geen 36. Vindt er periodiek een oefening plaats voor cybersecurity incidenten waarbij Ransomware response hiervan onderdeel is? Ja Nee Geen 37. Heeft de organisatie alle (kritische) systemen en data dubbel/redundant uitgevoerd? Ja Nee Geen 38. Voert de organisatie risico en/of business impact assessments uit? Ja Nee Geen 39. Heeft de organisatie (cyber) risico's geïnventariseerd en inzichtelijk? Ja Nee Geen 40. Heeft de organisatie risico's inzichtelijk ten aanzien van koppelingen met externe (3e) partijen? Ja Nee Geen 41. Voer de organisatie risicoanalyses uit die onderhouden worden zodat deze beheerst en gemonitored blijven? Ja Nee Geen Voeg eventuele vragen- of opmerkingen toe Naam Email Telefoonnummer Time's up