Posted on

Enterprise Architecture, The Agile Way!

Agile Architecture; what is it and why is it the new way to help your business grow?

In the early 1990s, people felt the need to break with the traditional “waterfall method”. They began a search for more practice-oriented ways to deliver software, which over the years led to Agile development.

Agile spread around the world and has had a huge impact on how organizations are structured and how they transform towards the future. The big challenge now is to stay in control over your organization’s transformation in this rapidly changing and flexible environment.

 

EA Goes Agile


The mapping out of the entire organization and recording, maintaining, using and improving information to support transformation usually takes a long time. But organizations need to be able to change faster and in shorter cycles in order to keep up with the speed of innovation nowadays.

So how can we keep Enterprise Architecture (EA) relevant and valuable in this fast changing world?

By combining Agile and Architecture.

This allows you to change in a more structured and secured way. It reduces risk, as well as increases the business impact you make by better aligning the projects with strategy. You work towards a centralized repository in which the current situation has been completely worked out. From there, you can start working in a structured way on the future desired state, which is based on decentralized investment, and not yet fully determined, so it can change along the way.

The future state is separated into fragmented bits, created throughout the organization, and is orchestrated by the architect into a whole in the central Enterprise Architecture Management Repository.

This means that the stakeholders can directly contribute to the current state architecture. It also means the architecture has to be fully integrated with Project (Portfolio) Management, Change Management, and with Business Process Management, Application (Portfolio) Management and Data Management, resulting in operational stakeholders taking responsibility for their changes. It is important that this can be done easily and quickly in everybody’s own language.

 

The Architect Becomes A Director


The Enterprise Architect now orchestrates teams of specialists responsible for the operation and monitors if projects meet the requirements from the set frameworks of conditions, principles and guidelines that fit the organization. He/she orchestrates the progress of projects in multiple phases or sprints.

The Enterprise Architect is now responsible for making sure all projects deliver products that contribute to the organization’s objectives while being in harmony with each other (aligned operation & strategy). Projects are delivered in the short term, while always keeping the long-term objective in mind.

And this requires close collaboration with the executive teams of the organization: In what direction is our organization heading? How do the changes in both our internal and external environment influence our strategy? How can we constantly adapt to these changes?

In an Agile Architecture driven organization, the architect presents decision-ready scenarios to the executive board, so that strategy can be adapted not on a yearly basis, but on a weekly or monthly basis, while heading towards the projected goals for that year.

With Agile Architecture, the focus is much more on a strategic level; managing the details is distributed to the people familiar with and responsible for those details; mostly in the operation. The architect is more a director and is closer to the teams that implement the projects.

The architect will work together more with these teams in order to keep track of the situation and the transformation and to make sure that nobody deviates too far from the set principles and guidelines, while constantly being open to improvements and adaptations.

In order to be able to integrate all those project architectures with your Enterprise Architecture, you need the right tooling.

BlueDolphin is a collaboration platform in which the various stakeholders can easily work on different projects, all in their own way and in their own language, while constantly contributing to the central repository.

 

 

BlueDolphin helps map out the current situation and displays the road to the future by providing an understanding of the current situation.

The power of BlueDolphin is that you can facilitate all those different roles on the same knowledge platform. The information is aligned within one central repository, and can be dynamically visualized in such a way that it’s understood by every stakeholder in the organization, allowing everyone to work from one and the same up-to-date ‘reality’. This saves a great deal of time and reduces the need for endless communication.

This way, you can use Agile Architecture to make your organization much more flexible and resilient at the same time.

Posted on

SURVIVAL OF THE SMARTEST / CYBERCRIME EN VEILIGHEID

BCT_survival_of_the_smartest

Als kennisgedreven organisatie werkend voor kennisintensieve bedrijven, ligt onze focus doorgaans op de technologie. We faciliteren organisaties om vanuit data de juiste informatie boven te krijgen.

Vervolgens interpreteert de professional de informatie, waardoor deze transformeert in waardevolle kennis en relevante know-how. Daarvoor is het belangrijk dat de breinkracht van de professional adequaat, betrouwbaar en fit blijft. Het brein is immers de transformator van informatie naar kennis.

Om als organisatie mee te gaan in het snel veranderende IT-landschap, hebben we het brein dus hard nodig. We spreken niet langer meer over survival of the fittest, maar over survival of the smartest. Vanuit onze corebusiness dragen wij zorg voor de IT-kant van dit verhaal, maar we zijn van mening dat de andere component, het brein, minstens zo belangrijk is.

We vertellen dan ook graag het verhaal van de technologie en koppelen dit aan het brein middels een achttal trendpapers. Van intelligente devices tot big data, managed services, cloud en nog veel meer – alles komt aan bod.

We wensen u veel leesplezier!

Cybercrime…

Het is een onderwerp waar de gemiddelde persoon het Spaans benauwd van krijgt. We kunnen ons allemaal het worstcasescenario voorstellen, weten dat hacks en phishing aan de orde van de dag zijn. En toch laten we met z’n allen de achterdeur openstaan – zowel zakelijk als privé.

Het is niet voor niets dat volgens het CBS afgelopen jaar ruim 1.2 miljoen Nederlanders slachtoffer zijn geweest van cybercrime. Willen we dit digitale gevaar het hoofd bieden, dan is bewustzijn een must.

Bewustzijn rondom de technologische kant: hoe ontwerp je veilige software? Moet je daarvoor naar de cloud? Is blockchain de oplossing? Maar ook de humane kant: wat kunnen wij hier als mens mee en wat gebeurt er in ons brein als het aankomt op veiligheid? Dit trendpaper behandelt de belangrijkste facetten rondom de technologietrend cybercrime en exploreert de bijbehorende state of mind.

CYBERCRIME EN VEILIGHEID

Een kleine inventarisatie in IT-land leert ons dat er onder de noemer veiligheid een drietal sub-trends hangen. De eerste betreft de Algemene Verordening Gegevensbescherming (AVG) die geldt sinds 25 mei 2018 en een grote impact heeft op het organiseren van informatiebeheer.

Privacy is waar het hier om draait. Een ander domein gaat over archiefwetgeving: hoe wordt informatie bewaard? Tot slot spelen dataveiligheid en datazekerheid een grote rol. Deze trends zijn niet allemaal even eenvoudig te waarborgen en dat wordt pijnlijk duidelijk uit de regelmatige berichtgeving over bedrijven die last hebben van cybercrime. Het laat zien dat beveiliging nog te vaak een ondergeschoven kindje is.

De eeuwige ratrace tussen aanval en verdediging

Dat beveiliging niet de aandacht krijgt die het verdient, betekent niet dat er geen bewustzijn bestaat rondom het onderwerp. Iedere organisatie is ervan op de hoogte dat het cyberdomein voor criminelen dé ingang is naar gevoelige bedrijfsgegevens.

Zo werden er in 2018 welgeteld 20.881 datalekken gemeld aan de Autoriteit Persoonsgegevens. In 2017 waren dat er nog 10.009. Gedegen beveiligingsmiddelen hebben voor de IT-afdeling daarom de hoogste prioriteit. Helaas is het niet zo eenvoudig als het bouwen van een hoge muur. De mens is ontzettend vindingrijk en laat zich niet zomaar tegenhouden. Dit vertaalt zich in de wereld van cybersecurity naar steeds complexere aanvallen, die op hun beurt vragen om een steeds complexere verdediging. Daarnaast is het ontzettend lastig om aanvallen tijdig te signaleren en de benodigde maatregelen te treffen. Hierdoor wordt in veel gevallen pas gehandeld als de problemen al bestaan.

Het inregelen van cybersecurity draait daarom ofwel om het voorkomen ofwel om het beperken van de impact van aanvallen. Het is een continu proces, een voortdurende ratrace tussen aanval en verdediging.

Beveiliging first

Gelukkig zit er ook een positieve kant aan het kat-en-muisspel tussen aanval en verdediging. Binnen software-ontwikkeling is nu namelijk een veel grotere focus op beveiliging. Deze focus was er in het verleden uiteraard ook, maar vormde toen nog een separaat onderdeel in de ontwikkeling van software.

Nu is het vrijwel ondenkbaar om niet uit te gaan van het zogenaamde security by design, wat betekent dat de software vanaf de basis is ontworpen om veilig te zijn. Hetzelfde geldt voor privacy by design. Deze principes vormen de grondbeginselen van goede software.

Ook de opkomst van nieuwe technologieën zoals mobiele technologie en de cloud, heeft eraan bijgedragen dat beveiliging steeds meer een randvoorwaarde vormt in het ontwerpen van software. Nu informatie altijd en overal beschikbaar is voor iedereen, praten we niet meer alleen over een veilige IT-omgeving met een firewall en beheerder.

Organisaties komen in aanraking met hele andere beveiligingsoverwegingen en kunnen het zich niet meer permitteren hun data op één plek achter één firewall weg te zetten. Het antwoord daarop in de markt is blockchain, oftewel het versnipperd opslaan van informatie.

Het inzetten van blockchain gaat echter niet met één druk op de knop. Ook in dit geval moet software vanaf de basis gebouwd zijn om hiermee te kunnen dealen. Beveiliging first dus.

Kennisborgen in het organisatiegeheugen

Wanneer de basis is gelegd en bewustzijn rondom het belang van ‘beveiliging first’ bestaat, is de vraag wat je als organisatie op technisch vlak kunt doen. Informatie veilig en compliant opslaan is stap één, zeker in het geval van informatie waarover de organisatie zich moet kunnen verantwoorden. Ervoor zorgen dat alleen de juiste personen toegang hebben tot de juiste informatie is stap twee.

Om dit te realiseren is het verstandig gebruik te maken van bewezen informatiemanagementtechnologieën die garant staan voor informatieveiligheid. Hiermee ben je al een heel eind, maar wil je écht inzetten op veiligheid dan is het belangrijk de organisatieprocessen zo in te richten dat je er lering uit kunt trekken.

Wanneer er zich een veiligheidsbreuk voordoet, bestaat er dan een geheugen waarin je terug kunt kijken om te zien hoe er eerder gehandeld is? De mens heeft de neiging vervelende ervaringen snel te vergeten. Des te belangrijker is het om hier als organisatie streng op te zijn en alle kennis goed te borgen.

Zet die extra stap en zorg niet alleen dat informatie veilig is opgeslagen, maar haal er ook waarde uit. Met andere woorden: zorg voor verantwoord, duurzaam en veilig informatiemanagement waardoor informatie direct en in de juiste context beschikbaar is op een transparant, compliant en toekomstgericht platform.

Zo kun je de regie blijven voeren over je professie en de kansen benutten die de digitale wereld biedt.

HET BREIN & VEILIGHEID

Wat gebeurt er in ons brein als het gaat om (digitale) veiligheid? We maken een kleine uitstap. Om te begrijpen hoe ons brein handelt als het gaat om veiligheid vallen we terug op het “drie-enige brein” model van Paul MacLean.

Dit model, dat MacLean ontwikkelde in de jaren 60, is gebaseerd op de verdeling van het menselijke brein in drie afzonderlijke regio’s: het reptielenbrein, het limbisch systeem en de neocortex. MacLean suggereert dat deze regio’s hiërarchisch zijn georganiseerd, gebaseerd op een evolutionaire kijk op de ontwikkeling van het brein.

Hoewel dit model een sterk vereenvoudigde opvatting van de werking van het brein is, biedt het een gemakkelijk te begrijpen benadering van de hiërarchie van breinfuncties.

Het reptielenbrein is, zoals de naam doet vermoeden, het deel van ons brein dat afstamt van de reptielen. Dit brein is verantwoordelijk voor onze basis overlevingsinstincten zoals de hartslag, ademhaling en lichaamstemperatuur.

Functies die onder dit deel van de hersenen vallen hebben voorrang op andere hersen activiteit. Wanneer we ons in een levensbedreigende situatie bevinden, zal het reptielenbrein als eerste reageren. Hier houden onze oerdriften zich namelijk ook schuil. Als we in gevaar zijn en snel moeten reageren wordt het reptielenbrein actief en bereidt het ons voor op actie door stofjes in het hele lichaam vrij te laten komen. Dit onderdeel van ons brein kent geen emotie en handelt puur reflexmatig.

In een later stadium van de evolutie heeft het limbisch systeem zich ontwikkeld, waarin emoties een grote rol spelen. Dit is het reactieve deel van het brein dat de ‘vecht, vlucht, of verstijf’ reactie initieert. Belangrijk hierin zijn de hippocampus, de amygdala en de hypothalamus die samen een snel, onderbewust evaluatie- en reactiesysteem vormen dat is ontworpen om ons veilig te houden.

De amygdala fungeert hierin als een vroegtijdig waarschuwingssysteem dat het motto ‘safety first’ hanteert. Het zorgt ervoor dat we eerst onszelf in veiligheid brengen, alvorens de neocortex (het uitvoerende brein) te raadplegen.

De amygdala evalueert dus heel snel, zij het niet altijd nauwkeurig, en zet inkomende informatie van de thalamus snel door naar de hypothalamus die een reactie initieert. De hippocampus speelt ook een belangrijke rol bij het vastleggen van gebeurtenissen en bij het verplaatsen hiervan van het korte- naar het langetermijngeheugen.

Tot slot is er de neocortex, het uitvoerende deel van ons brein dat verantwoordelijk is voor alle ‘intelligente’ activiteiten zoals taal, abstract denken, verbeelding en creativiteit.

Het herbergt ook veel van ons geheugen – niet alleen situaties die we meemaken, maar ook alle herinneringen die essentieel zijn om te kunnen praten, schrijven, wandelen en talloze andere activiteiten. In de neocortex bevindt zich de prefrontale cortex, dat trager reageert op binnenkomende informatie dan het limbische systeem, maar veel geavanceerder is in de verwerking ervan.

Complex denken op technisch, emotioneel, sociaal en logisch vlak vindt hier plaats. Maar is er sprake van een waargenomen dreiging, dan kan de prefrontale cortex ‘gekaapt’ worden door het limbische systeem en ‘offline’ gaan om ons veilig te houden.

Posted on

Das Zusammenwirken von Technologien, Prozessen und Menschen verbessert die IT-Sicherheit

cyberark_IT_sicherheit

Autor: Michael Kleist*

Viele Unternehmen halten ihre Daten in Silos, und genauso fragmentiert betreiben sie auch ihre IT-Sicherheit: räumlich oder nach Applikationen getrennt. Vor allem die IT-Sicherheit braucht aber ein integriertes Konzept, das Technologien, Prozesse, Mitarbeiter und sogar die Schatten-IT berücksichtigt. signing out team. dont stay on too late chr

Zuverlässige IT-Sicherheit beginnt bei der Architektur. Erste Sicherheitsmaßnahmen umfassen etwa den Perimeter-Schutz mit Antiviren-Lösungen und Firewalls, aber auch Privileged Access Management sollte State-of-the-Art sein, um Angriffsvektoren abzuwehren. Entscheidend ist, dass solche Lösungen nicht isoliert betrieben, sondern miteinander verzahnt werden: Beim Privileged Access Management etwa sollte auch eine Integration mit SIEM (Security Information and Event Management)-Systemen und SOC (Security Operations Center)-Services vorhanden sein.

Diese Integration ist wichtig, denn eine einzelne, als Silo implementierte Lösung kann durchaus zusätzliche Sicherheitsgefahren mit sich bringen, wie das Schwachstellen-Scanning zeigt, das unter anderem auch Marktforscher Gartner empfiehlt. Das Problem dabei ist, dass Cyberkriminelle auf Systeme mit hochprivilegierten Accounts zugreifen, um etwa den aktuellen Patch-Stand oder die Konfiguration zu überprüfen. Eliminiert werden kann ein solches Risiko nur mit einer ergänzenden Lösung, die ein Passwort für den Schwachstellen-Scanner nur für kurze Zeit bereitstellt – mit einer anschließenden Passwort-Rotation; damit wird ein Angriffsvektor geschlossen.

Ein weiteres Risiko, das in Unternehmen lauert, ist die Schatten-IT. Will ein Unternehmen bei der Sicherheit integriert vorgehen, ist es wichtig, alle Aspekte, Applikationen und Systeme der Schatten-IT zu ermitteln, schließlich gilt: Was ich nicht kenne, kann ich auch nicht sichern. Dabei müssen sowohl vergessene Systeme als auch Anwendungen, die bewusst unter dem Radar der IT betrieben werden, Berücksichtigung finden.

cyberark_IT_sicherheit

Gleiches gilt für die OT (Operational Technology)-Sicherheit. Oft behaupten Unternehmen, eine strikte Trennung zwischen IT und OT sei vorhanden, in etlichen Projekten hat sich aber gezeigt: Es gibt oft Schnittstellen und Hintertürchen, die keiner kennt. Eine hohe OT-Sicherheit kann aber nur gewährleistet werden, wenn solche Nahtstellen ermittelt und für alle relevanten Geräte, Ports oder Verbindungen adäquate Sicherheitsmaßnahmen ergriffen werden – etwa mit der Überwachung vor allem privilegierter Zugriffe von IT-Clients auf kritische OT-Ressourcen und einer Unterbindung des Zugangs bei verdächtigen Aktivitäten.

Technologie ist aber nur ein Aspekt der IT-Sicherheit: sie umfasst auch organisatorischer Belange, also unternehmerische Prozesse, die ebenfalls geschützt werden müssen – selbstredend. Und in diesem Fall gilt ebenso die Maßgabe für Unternehmen, einen integrierten Ansatz zu wählen. Wiederum bezogen auf das Privileged Access Management sollte auch eine Vernetzung mit Lösungen von Identity-Management-Anbietern gegeben sein. Für Unternehmen ergeben sich dadurch mehrere Vorteile: von einer harmonisierten Definition von Workflows oder Prozesslogiken, etwa für Rollenfreigaben, bis hin zur optimierten Umsetzung von Governance- und Compliance-Vorgaben in Prozessen. Außerdem ist die Integration aus zwei weiteren Aspekten von Nutzen: Die Eliminierung von Doppeltätigkeiten reduziert sowohl Fehleranfälligkeit als auch Betriebskosten.

Gefördert wird das Silodenken in der IT-Sicherheit oft durch Compliance-Themen: Das ist aber nicht der richtige Weg. Eine Compliance-Vorgabe kann etwa lauten, dass PCs mit Antiviren-Software ausgestattet sind. Ebenso wichtige Maßnahmen wie die Auswertung der Daten oder ihre Weiterleitung an ein SOC sind aber in den seltensten Fällen Anforderungsbestandteile. Man könnte sagen: Gute Compliance führt nicht zwingend zu mehr Sicherheit, gute Sicherheit hingegen führt zwangsläufig zur Compliance.

Nicht zuletzt muss auch der Faktor Mensch ins Kalkül gezogen werden. Regelmäßige Sicherheitsschulungen sind Pflicht: Es muss deutlich gemacht, dass Sicherheitsmaßnahmen keine Gängelung darstellen, sondern der Risikominimierung dienen, auch wenn sie vereinzelt den Benutzerkomfort einschränken mögen. Voraussetzung für eine breite Akzeptanz ist, dass klar gemacht wird, warum welche Maßnahmen konkret ergriffen werden.

Insgesamt kann eine hohe Sicherheit nur durch einen ganzheitlichen, durchgängigen Security-Ansatz erreicht werden. Das heißt, ein Unternehmen muss unter Nutzung verschiedenster Technologien eine sicherheitstechnische und organisatorisch-prozessuale Integration vornehmen – und darf dabei den Faktor Mensch nicht vergessen.

* Michael Kleist ist Regional Director DACH bei CyberArk in Düsseldorf

Posted on

Vulnerability Magnitude, Exploitation Velocity, Blast Radius… No, Not Rocket Science

Qualys_IoT

One of the tangible effects of digital transformation is the impact on security teams, processes, and roadmap.

Organizations are realizing that the technology landscape is rich in a very varied digital biodiversity – with species living in the cloud or in containers, in mobility or in the IoT/IIoT parallel universes, and in space-temporal tunnels called CI/CD pipelines.

And this digital biodiversity should be continuously qualified, assessed, and remediated in case anything is too anomalous… all these being responsibilities of Security teams.

The complexity that these actions imply is remarkable, often requiring augmentation of capabilities to avoid a devastating impact on specialized resources.

But capabilities need to be grounded on solid processes, and here is where an issue often surfaces: lack of operational efficiency.

Swiveling chairs, multiple consoles, poorly implemented APIs, manual operations are still common causes of long processes, human errors, and repetitive operations. Some solutions started to appear, to try automating the steps and accelerating the process.

Data about discovered assets are made available to other platforms, which try to transform these data into more refined information that can be processed by algorithms to understand the vulnerabilities detected; then the data about the vulnerable surface is propagated to other solutions which overlay other data to detect the exploitability, to enrich the context provided and enable prioritization; eventually, reports are produced for the infrastructure team to proceed with patching or remediation.

Again, this orchestration does little to improve the operational efficiency, because all the phases are processed by different platforms and different teams with varying objectives; hence these data lack consistency, normalization, and require adaptation to be properly ingested and processed by the subsequent consumer.

In short, there is a lack of a unified workflow.

Qualys invented VMDR, acronym for Vulnerability Management – Detection and Response.

A new app running within the Qualys Cloud Platform, processing the same consistent source of data across the products that implement the entire process through a single and integrated workflow:

  • asset discovery, categorization, and dynamic tagging;
  • detection of the vulnerable surface by identifying OS, network vulnerabilities and configuration errors
  • cyber threat intel based context enrichment, augmented by a machine learning engine to help prioritization
  • refined prioritization based on exposure, business impact and other unique distinctive traits of the digital landscape where the solution is deployed
  • Vulnerability-patch correlation, tailored on the assets and perimeters for the considered tags and for the prioritized vulnerable surfaces to be remediated
  • support the remediation with patch deployment
  • continuous validation of the security posture according to CIS benchmarks

All this without limits to the sensors you may need to properly observe your IT estate and collect data: software agents conceived to minimize the footprint on the servers/workstations/mobile devices where they are installed, virtual scanners to actively probe the networks, passive sensor listening to traffic and exposing every device visible, cloud APIs to have instant visibility on PaaS/IaaS deployments, container sensors to monitor images in registries or hosts and running containers.

All this in a unified application, where data are collected once and processed efficiently to support the whole workflow. All this with customizable dashboards and reports to keeping critical KPIs under control, and with an API to flow the refined information to other workflows – such as CI/CD pipelines. Besides the operational efficiency, the quality and accuracy of the information produced by this unified workflow using Qualys VMDR effectively support the risk mitigation.

From a more pragmatic standpoint, this boils down to have a clear perception of three important things.

First, the Vulnerability magnitude: this is the synthesis of your vulnerable surface enriched with important contextual information such as the patch availability for a given perimeter, considering supersedence and severity information, and the ability to summarize this information based on the observational needs.

Second, the exploitation velocity: crucially relevant to prioritize and plan the remediation, this data concerning the availability of an exploit. Including details about the ease of exploitation, the potential collateral damages coming from a wormable weaponization of vulnerability or from the potential lateral movement following the possible compromise of a system.

Third, the blast radius: the combination of the network context enriched with the business criticality of assets, the automatic validation of CIS benchmarks, and the ML-assisted risk scoring of the vulnerable and exploitable surface provide a tangible help to estimate the potential harm of a security incident, providing the needed refined information to measure and track the Time To Remediate.