Weerbaarheid

Een applicatie kan jarenlang probleemloos draaien. Medewerkers vertrouwen erop, processen zijn erop ingericht en er lijkt geen reden om iets aan te passen. Tot er plotseling een beveiligingsrisico ontstaat, zonder dat er ook maar één regel aan de applicatie is veranderd.

Deze week zagen we dat opnieuw. Het PHP Security Team waarschuwde voor twee kritieke kwetsbaarheden in PHP, een programmeertaal waarop wereldwijd websites en bedrijfskritische applicaties draaien.

Het laat zien hoe afhankelijk software is van de technologie waarop deze gebouwd is. Programmeertalen, frameworks, servers en externe componenten veranderen voortdurend. Een kwetsbaarheid in één onderdeel kan gevolgen hebben voor het hele systeem.

Maar wat doe je als zo'n situatie zich voordoet? Wie moet er worden ingeschakeld, welke systemen zijn betrokken en welke maatregelen zijn nodig om de risico's te beperken?

Onlangs hoorden we een collega uit het vak vertellen over ICOS: In Case Of Shit. Een eenvoudig principe dat ons aan het denken zette. Inmiddels hebben we dit bij Wabber ingericht in ons eigen systeem, met uitgewerkte scenario's en per klant de juiste contactinformatie, betrokken partijen en afspraken. Zo hebben we alles direct bij de hand wanneer er iets misgaat.

Want tijdens een incident wil je niet eerst moeten uitzoeken wie je moet bellen of welke leverancier betrokken is. Je wilt snel kunnen beoordelen wat er speelt en gericht kunnen handelen.

De vraag is niet alleen of je software vandaag goed werkt, maar ook of je morgen nog weet wat er nodig is om die veilig te houden.