Gert Heiremans, itsme: ‘Security by design moet aan de basis van alle ontwikkelprocessen staan’

Security is een ‘first class citizen’ bij het ontwikkelen van digitale oplossingen en diensten. Waar vroeger in een later stadium in het ontwikkelproces securitymaatregelen werden toegevoegd, is het nu noodzakelijk deze vanaf het eerste moment in het basisontwerp, de architectuur of in de verschillende workflows te integreren.

“We kijken niet pas tijdens het ontwikkelgedeelte naar security, maar eerder en daarmee in de hele lifecycle van de oplossingen of diensten”, stelt Gert Heiremans, Head of Technology & Security van de digitale identiteits-app itsme. “Wat willen we aanbieden, welke features heeft het en wat betekent dit voor het vertrouwen van eindgebruikers?”

Cultuur bewerkstelligen

Het toepassen van security by design is voor veel bedrijven lastig. Vooral het bewerkstellingen van een securitybedrijfscultuur. Security moet voor iedere werknemer onderdeel worden van de dagelijkse werkzaamheden en niet alleen securityspecialisten hieraan laten werken.

Deze cultuuromslag is een belangrijke taak van het management. Heiremans: “De boodschap moet echt vanuit het management komen. Als ontwikkelaars, architecten, operations- of infrastructuurspecialisten met security, weerbaarheid en privacy rekening moeten houden, is het belangrijk dat de bedrijfsleiding vertrouwen geeft en naar hun zorgen luistert.”

“Je moet een cultuur bewerkstelligen die iedereen rondom security ‘ownership’ geeft. Specifieke securityspecialisten blijven nodig, maar als anderen afwegingen maken of risico’s zien, moeten die ook van bovenaf de volledige steun krijgen. Bedrijven kunnen niet meer steunen op twee of drie security-experts. Securitygesprekken moeten ook plaatsvinden als zij er niet bij zijn.”

Schaalbaarheid

Het securitybesef moet ook schaalbaar zijn. Naarmate een organisatie groeit, kan security niet afhankelijk blijven van de aanwezigheid van securityspecialisten in elk gesprek. Voor het bewerkstelligen van vertrouwen is het voor bedrijven belangrijk dat iedere medewerker, in elk gesprek, de securitywaarden van het bedrijf naar voren brengt. En deze boodschap moet bedrijfsbreed consistent zijn.

Threat modelling-methode

Een handige werkmethode om security vanaf het begin van de ontwerp- en ontwikkelingsfase mee te nemen, is ‘threat modelling’. Deze gestructureerde werkmethode helpt mogelijke bedreigingen en zwakke plekken in een ontwerp vroegtijdig te identificeren, te analyseren en hiervoor passende maatregelen te bepalen. Voordat oplossingen of diensten in productie komen en op het moment dat ontwikkelaars en andere belanghebbenden nog de meeste invloed kunnen uitoefenen. In securitytermen: ‘shift-left’. 
In principe stelt de threat modelling-werkwijze een viertal vragen. Wat gaan we bouwen, wat kan er misgaan, hoe kunnen we voorkomen dat het mis gaat en hebben we het wel goed genoeg gedaan? De volgende stap is beoordelen welke resterende risico’s acceptabel zijn binnen het risicokader van de organisatie en welke bijkomende maatregelen nodig zijn.

Het hele proces wordt doorlopen met medewerkers vanuit verschillende teams, zoals securityspecialisten, developers, architecten, de product- en user experience-specialisten, maar ook vanuit de zakelijke kant. Heiremans: “Alle specialisten hebben verschillende perspectieven, aannames en zien verschillende risico’s. Zo krijg je een goede output en worden bepaalde aannames veel duidelijker die anders onderbelicht blijven. Ook levert dit een goed beeld van potentiële risico’s voor wat we willen bouwen.”

Praktijk itsme

Ook itsme gebruikt zelf threat modelling. “Een tijd terug hebben we de enrollment flows voor onze identiteitsoplossing opnieuw aangepast. Hoe kunnen klanten een account aanmaken? Omdat dit voor onze gebruikservaring belangrijk is, gingen we daarbij uit van de plannen van ons user experience-team die een bepaald ontwerp maken en flows voorstellen.”

“Via een threat modelling-sessie keken we bijvoorbeeld met alle belanghebbenden naar het startpunt van de enrollment flow. Start die vanuit de webbrowser of vanaf een mobiel device? Dit geeft andere contexten met andere risicoprofielen. De uiteindelijke keuze heeft gevolgen voor de rest van het ontwerp en de maatregelen die je verderop in de flow nodig hebt. Daarover gingen we in gesprek en keken we of we het konden aanpassen.”

Uiteindelijk hielpen al deze verschillende perspectieven om tot een beter onderbouwd ontwerp te komen, waarbij security, gebruikservaring en andere eisen bewust tegen elkaar werden afgewogen. Deze conversatie met alle stakeholders vindt de Head of Technology & Security van itsme daarom echt heel belangrijk.

Geen heilige graal

Heiremans benadrukt dat threat modelling niet de heilige graal is voor een veilige ontwikkel-lifecycle. Ook code reviews, kwetsbaarheidsscans en monitoring horen hierbij. Die mogen volgens hem absoluut niet worden vergeten. 

Threat modelling is volgens hem zo goed als de mensen die ermee bezig zijn. Het is altijd mogelijk bedreigingen over het hoofd te zien, verkeerde aannames te doen of merken dat de implementaties afwijken van het op basis van threat modelling gemaakte ontwerp. Daarnaast zijn er bijvoorbeeld menselijke fouten en misconfiguraties. 

Volgens hem is een gelaagde security in het ontwikkelproces, met al die testen en reviews, belangrijk. Met meerdere controlepunten bereik je systematisch het beste resultaat. “Net als bij een gebouw zijn fundamentele ontwerpkeuzes later vaak kostbaar om te wijzigen. Daarom wil je security zo vroeg mogelijk meenemen, zonder te veronderstellen dat je later geen controls meer nodig hebt.”

Omarm shift-left

Voor bedrijven die serieus security by design willen aanpakken, heeft Heiremans een drietal tips. Omarm in de eerste plaats shift-left. Bedrijven moeten vanaf het begin nadenken over de security van oplossingen of diensten. Hoe eerder ze over security beginnen, hoe meer invloed ze hebben op een veilig ontwerp en een veilige realisatie.

De tweede tip is schaalbaarheid. Bedrijven moeten security onderdeel laten zijn van de hele bedrijfscultuur. Het management moet zich actief inzetten om security een belangrijke plek binnen de organisatie te geven.

Last, but not least: structurele aandacht voor security. Eén securitytraining per jaar is niet voldoende om alle problemen op te lossen. Security moet onderdeel zijn van de dagelijkse werkzaamheden. Dit bouwt een cultuur waarin veiligheid voorop staat.
“Security by design is niet iets wat je naast productontwikkeling zet. Het is onderdeel van de bedrijfs- en ontwerpcultuur. Als je dat als bedrijf realiseert, bouw je aan oplossingen en diensten waarop klanten kunnen vertrouwen.”