Een threat model op zaterdag: hoe een kennispartner zijn eigen beveiliging doorlicht

Zaterdag. Eén vraag aan het begin: hoe ver kunnen we over cyber security praten voordat de AI dichtklapt?

Het antwoord bleek: heel ver, zolang het over je eigen systeem gaat. Dus deden we het meteen.

Eerst een inventaris: wat wordt er nu eigenlijk bewaakt? (Beschikbaarheid en integriteit prima. Wie er aan de deur rammelt: niemand die kijkt.) Dan een threat model: tien bezittingen, zeven soorten aanvallers, achtentwintig routes, elk met wat er al tegen staat en wat niet. Dan de zeven vragen die alleen de beheerder kan beantwoorden, samen doorgelopen, met de antwoorden direct in het document. Dan twee verbeteringen gebouwd, getest, uitgerold en nagecontroleerd. De grootste vondst van de dag kwam niet uit de code maar uit het live kijken op de server.

De les: een threat model is geen rapport dat je laat schrijven. Het is een gesprek met de persoon die de sleutels heeft, met de feiten uit het systeem erbij. En de AI is daarin niet de beslisser, maar de collega die alles opschrijft, naleest en de volgende stap klaarzet.

#Leja