Waarom ook jij security by design principes wilt toepassen

Security by design is met recht een IT-security trend van de laatste jaren te noemen. Het wordt steeds vaker toegepast en gezien als onmisbaar voor digitale veiligheid, zo vindt ook Joris den Bruinen, directeur bij The Hague Security Delta. Hij zegt: “Veiligheid is een integraal onderdeel van alles wat een organisatie doet, zeker als het gaat om digitalisering. Security by design is daarom een randvoorwaarde van digitale veiligheid”. Maar wat is het precies? Wat levert het je op? En welke security by design principes moet je kennen om het zelf toe te passen? We leggen het je uit in deze blog.

Wat is security by design?

Security by design betekent dat beveiliging vanaf het begin wordt geïntegreerd in het ontwerpproces van een systeem of applicatie. In plaats van beveiligingsmaatregelen naderhand toe te voegen, worden risico’s en bedreigingen geïdentificeerd en aangepakt tijdens de ontwikkelingsfase. Het doel hiervan is om systemen of applicaties te bouwen die van nature bestand zijn tegen bedreigingen, in plaats van te vertrouwen externe beveiligingsmaatregelen of patches om gaten te dichten na de ontwikkeling.

Optimale digitale veiligheid

Het toepassen van security by design principes levert verschillende voordelen op. Het zorgt onder andere voor:

• Minder kwetsbaarheden: Door beveiliging vanaf het begin te integreren, worden potentiële kwetsbaarheden in een vroeg stadium geïdentificeerd en aangepakt. Hierdoor wordt het risico van toekomstige beveiligingsproblemen verkleind. Het levert je dus een sterkere digitale beveiliging op.
• Kostenbesparing: Hoewel het integreren van beveiliging in het ontwerpproces initieel meer inspanning vraagt, worden de kosten op de lange termijn van het oplossen van beveiligingsproblemen flink verminderd. Het is goedkoper om problemen in de ontwerpfase te voorkomen dan om ze na lancering te verhelpen.
• Vertrouwen: Klanten en stakeholders hebben meer vertrouwen in systemen en applicaties die zijn ontworpen met beveiliging in gedachten. Dit vertrouwen leidt tot hogere klanttevredenheid en meer zakelijke kansen.

Security by design principes

Zelf aan de slag met security by design? Pas deze security by design principes stap voor stap toe om het in jouw organisatie te implementeren.

Stap 1: Risicobeoordeling

Voer een gedetailleerde risicobeoordeling uit om potentiële dreigingen te identificeren. Dit helpt om prioriteiten te stellen en middelen efficiënt toe te wijzen.

Stap 2: Beveiligingsarchitectuur ontwerpen 

Ontwerp een beveiligingsarchitectuur die voldoet aan de geïdentificeerde beveiligingsvereisten en risico’s. Dit omvat het bepalen van de juiste beveiligingslagen, authenticatie- en autorisatiemechanismen, versleuteling en logging.

Stap 3: Secure coding

Secure coding is een specifieke aanpak binnen softwareontwikkeling waarbij ontwikkelaars code schrijven met beveiliging in gedachten. Dit betekent dat ze bekend zijn met veelvoorkomende beveiligingsfouten (zoals SQL-injecties of cross-site scripting) en technieken toepassen om deze fouten te voorkomen tijdens het coderingsproces.

Stap 4: Toegangsrechten toekennen

Geef gebruikers en systemen alleen de toegangsrechten die ze nodig hebben om hun taken uit te voeren. Dit doe je door na te denken over wat mensen moeten weten (need to know access) of waar mensen vanuit hun rol bij moeten kunnen (role based access). Hiermee wordt het risico van ongeautoriseerde toegang verminderd.

Stap 5: Automatiseer beveiligingstests

Implementeer geautomatiseerde beveiligingstests, waaronder penetratietests, code reviews en kwetsbaarheidsscans, om potentiële zwakke plekken te identificeren en te verhelpen.

Stap 6: Regelmatig audits en updates uitvoeren

Voer regelmatige audits en updates uit om ervoor te zorgen dat systemen en applicaties voldoen aan de beveiligingseisen en om nieuwe kwetsbaarheden te identificeren.

Stap 7: Kennis up to date houden

Het principe van security by design zorgt ervoor dat techniek op orde is en de gebruiker slechts de last line of defence. Toch zijn regelmatige trainingen voor ontwikkelaars en andere teamleden noodzakelijk om er voor te zorgen dat ze op de hoogte blijven van de nieuwste beveiligingsbedreigingen en -toepassingen.

Toepassingen in de IT security

Vernieuwers uit de Nederlandse beveiligingssector passen security by design principes regelmatig toe in hun werk. “Het beste voorbeeld van security by design vind ik de iPhone homeknop”, vertelt Fleur van Leusden, CISO bij de Kiesraad. “Die knop moet je sowieso indrukken, dus een gebruiker hoeft niets extra’s te doen ten opzichte van de normale handelingen. En de telefoon is wel veiliger. Dat is iets waar ik in mijn werk ook naar streef.”

Volgens Joris den Bruinen, directeur van The Hague Security Delta, is security by design een randvoorwaarde van veiligheid. “Dat geldt voor iedere digitale transformatie en IT-toepassing. Technisch gezien misschien complex, maar anderzijds zeker niet. Het gaat om je boerenverstand gebruiken, ook risico’s meenemen in de ontwikkeling en op het moment van gebruik. Veiligheid dient een integraal onderdeel te zijn van alles wat een organisatie doet, zeker als het gaat om digitalisering”, stelt hij.

Ook Anouk Vos, medeoprichter van Revnext, ziet het belang van security by design toenemen in de beveiligingssector: “We werken gelukkig steeds meer met concepten als security by design en privacy by design. Het heeft best lang geduurd voordat deze concepten aan de voorkant in innovatieprocessen werden geïmplementeerd.”

Conclusie: Niet zomaar een IT-security trend

Security by design is niet zomaar een buzzword of één van de zovelen trends in IT-security. Het is een essentiële strategie voor elke organisatie die serieus is over de digitale veiligheid van haar systemen en gegevens. Door security by design principes te integreren, verminderen organisaties hun risico’s, winnen ze het vertrouwen van klanten en zijn ze uiteindelijk succesvoller in het digitale tijdperk.