Waar zijn uw digitale documenten? - Tom Van Ginneken

Beveiliging van de smartphone of tablet. De recente reportage van Volt was daar duidelijk over: de particuliere gebruiker is vaak onvoldoende op de hoogte van de gevaren en de gevolgen van mogelijke beveiligingslekken via zijn mobiele toestellen. Hij besteedt er dus weinig aandacht aan. Maar voor een bedrijf kan diezelfde nonchalance catastrofale gevolgen hebben.
opinie
Opinie
Aansturen van de 'opinie' teaser o.a. op de home pagina en 'opinie' weergave op een detail artikel. Deze tag zorgt er ook voor het automatisch aanvullen van de 'opinie' overzichtspagina

Mobiele toestellen zijn niet meer weg te denken, zowel in professionele omgeving als in de privé-sfeer. Bovendien gebruiken steeds meer werknemers hun eigen toestel voor professionele doeleinden (het zogenaamde Bring Your Own Device principe). Of ze gebruiken hun bedrijfstoestel ook thuis. In beide gevallen is er op één toestel een mix van persoonlijke gegevens en bedrijfsgegevens.

Recent onderzoek (The Impact of Mobile Devices on Information Security) toont aan dat 75% van de bedrijven toestellen van hun werknemers toelaten op hun netwerk. Quasi evenveel respondenten geven aan dat het aantal persoonlijke mobiele toestellen op het werk in de voorbije 2 jaar is verdubbeld. En dat wordt stilaan een nachtmerrie voor de IT-afdeling van bedrijven. Niet alleen in werkdruk. Ook de kosten voor de beveiliging ervan stijgen exponentieel volgens 64% van de IT-managers. Want wie - al dan niet moedwillig - zo een smartphone of tablet in handen krijgt, kan gemakkelijk de professionele gegevens van de eigenaar ontvreemden. Of hij kan in naam van het bedrijf een boodschap de wereld in sturen.

U downloadt en deelt toch ook?

Veel (kleinere) bedrijven staan daar niet bij stil. Documenten doorsturen naar een contactpersoon, bestanden delen via Dropbox of andere sharingdiensten: het is dagelijkse kost. Maar heeft u nog controle over die data eens ze verstuurd zijn? Bent u er zeker van dat deze niet doorgestuurd worden? En heeft u enig idee hoe snel malware (virussen, trojan horses,…) zich verspreidt eenmaal een werknemer zijn geïnfecteerd toestel aansluit op het bedrijfsnetwerk? Dat is in een fractie van een seconde. Wat gebeurt er met bedrijfsdocumenten als een werknemer zijn gsm verliest of wanneer deze gestolen wordt?

Eén troost als u deze situaties herkent: weinig bedrijven hebben controle op documenten eenmaal ze uit de beveiligde bedrijfsnetwerk gaan.

Is dit vermijdbaar?

Bedrijfsdocumenten beveiligen blijft een van de grootste uitdagingen als werknemers een eigen smartphone, tablet of laptop meebrengen. Toch zijn er een aantal eenvoudige oplossingen. Als we het puur IT-technisch bekijken, kunt u bijvoorbeeld de data die u over een mobiele internetverbinding (free wifi, ...) verstuurt, beveiligen en versleutelen (via een zogenaamd Virtueel Privénetwerk). Alle bedrijfsdocumenten en connecties van en naar die mobiele toestellen van werknemers gaan door deze versleutelde beveiliging. Werknemers kunnen de documenten perfect lezen, maar een hacker bijvoorbeeld niet.

Een stap verder is om de documenten automatisch te versleutelen en enkel zichtbaar te maken voor de door u gekozen bestemmelingen. Alleen de bestemmeling met de juiste legitimatie kan dit document lezen. Een ander voordeel van deze technologie is dat u kan zien wat er met het document gebeurt: wie en waar het gelezen wordt, maar ook wie het ongecodeerd online tracht te zetten. Of als de werknemer zijn gsm verliest, kunt u enkel de bedrijfsdata op zijn toestel van op afstand wissen. Zijn persoonlijke gegevens (foto’s, contacten,…) blijven wel staan.

Leid uw werknemers op

Voorkomen is nog steeds beter (en goedkoper) dan genezen. De technische kant kan u perfect onder controle houden, maar de mens is vaak de zwakste schakel in het systeem. Het is daarom belangrijk om uw werknemers te informeren over het belang van IT-security. Maak hen bewust. Leer hen security en hoe ze daarmee moeten omgaan in hun dagelijkse taken.

En daar knelt vaak het schoentje: in kleine bedrijven is dit geen aandachtspunt. Ze moeten meer inzetten op de opleiding van werknemers i.v.m. het beleid rond IT-beveiliging. Kosten dergelijke beveiligingstechnologie en -opleidingen geld? Uiteraard, maar u moet zich afvragen hoeveel schade uw bedrijf lijdt als er gevoelige informatie wegglipt. Of als uw IT-infrastructuur dagen plat ligt omdat u gehackt bent.

In sommige omstandigheden is het niet altijd even evident om veilig te handelen. Neem bijvoorbeeld de HR-verantwoordelijke die elke dag digitale CV’s ontvangt van onbekenden. In die tekstbestanden of foto’s kan malware zitten. En toch moeten de HR-afdeling deze documenten openen. Om de risico’s in zulke gevallen te reduceren kan men gebruik maken van een zogenaamde sandbox-oplossing. Dit is een afgesloten IT-omgeving waar de potentieel gevaarlijke documenten eerst (volledig automatisch) worden geopend en gecontroleerd op aanwezige malware. Pas al het document volledig veilig wordt bevonden, kan de gebruiker dit verder gebruiken.

Enkele tips:

- Vertrouw niet op een punt-oplossing (bvb. enkel antivirus, enkel firewall). Een IT-beveiliging in meerdere lagen die elkaar opvolgen, is veiliger. Als malware door één laag raakt, kan de volgende laag die opvangen.
- Werk preventief: installeer URL-filtering waarbij url’s van malafide websites worden genegeerd zodat werknemers er niet op kunnen.
- Gebruik Application Control: hiermee kunt u bepalen wie bijvoorbeeld op social media kan, en kunt u file sharing programma’s (zoals BitTorrent) blokkeren. Deze zijn populair om (vaak illegaal) films en programma’s te downloaden. Door de Application Control voorkom je dat bepaalde geïnfecteerde bestanden op je netwerk terecht komen.
- Een sandboxoplossing kan onbekende malware opsporen en blokkeren in een veilige omgeving.


(Tom Van Ginneken, SE Team Leader bij Check Point Software Technologies.)

VRT NWS wil op vrtnws.be een bijdrage leveren aan het maatschappelijk debat over actuele thema’s. Omdat we het belangrijk vinden om verschillende stemmen en meningen te horen publiceren we regelmatig opinieteksten. Elke auteur schrijft in eigen naam of in die van zijn vereniging. Zij zijn verantwoordelijk voor de inhoud van de tekst. Wilt u graag zelf een opiniestuk publiceren, contacteer dan VRT NWS via moderator@vrt.be.