Visie: Privileged access management: wat doet de loodgieter in uw slaapkamer?

In onze digitale wereld wordt er continu data uitgewisseld voor allerlei producten en diensten. Velen gaan er vanuit dat de data die gedeeld wordt veilig is, maar dit is lang niet altijd het geval. Je hoeft alleen maar te kijken naar de talloze internationale headlines om je te realiseren dat dataverlies en security breaches bijna aan de orde van de dag zijn. Denk aan de grootschalige datalekken bij Yahoo, de informatielekkende slimme teddybeer of de kwetsbaarheid in de database van de Nationale Goede Doelen Loterijen. 

We kunnen niet zeggen dat bedrijven moedwillig de risico’s negeren. De meeste organisaties investeren fors in securityoplossingen om indringers buiten de deur te houden. Toch laten recente voorbeelden zien dat er nog altijd ingangen te vinden zijn. Dit roept de vraag op: behandelen organisaties klantdata wel met dezelfde zorg als zij met hun belangrijkste privé-bezittingen zouden doen? Ze hebben misschien een hek, een waakhond en een patrouillerende drone, maar staat de achterdeur niet wagenwijd open? Bedrijven die vertrouwd worden met onze data zouden deze informatie op dezelfde manier moeten beschermen als hun eigen huis. Om dit te kunnen doen, moeten bedrijven een aantal vragen beantwoorden. In dit artikel licht Stuart Facey, VP EMEA bij Bomgar, een aantal van deze vragen toe.

Wie heeft de sleutels van uw huis?
Het eerste niveau in het beveiligen van uw huis, is het aanbrengen van sloten op alle deuren. Vervolgens zorgt u ervoor dat u honderd procent zeker weet wie er de beschikking heeft over de sleutels. Op dit moment zien we bij veel bedrijven wereldwijd dat securitystrategieën worden geïmplementeerd die bekende kwetsbaarheden van buiten naar binnen adresseren. Echter wordt er veel minder aandacht besteed aan het implementeren van strategieën die bedrijven beschermen tegen gevaren van binnenuit en bijvoorbeeld externe leveranciers die toegang hebben tot de IT-infrastructuur.

Recent onderzoek heeft laten zien dat niet alle bedrijven volledig bekend zijn met het aantal externe leveranciers dat toegang heeft tot hun IT-systemen; slechts 35 procent was zeker van het exacte aantal. Dit is verrassend laag, aangezien 69 procent van de securityprofessionals denkt dat er waarschijnlijk een security breach is geweest via de externe toegang die leveranciers hebben. Externe leveranciers spelen een steeds grotere en belangrijkere rol in het beheren en onderhouden van de systemen, applicaties en devices, maar tegelijkertijd vertegenwoordigen zij ook een complex netwerk dat voor bedrijven steeds moeilijker te managen is.

Toegangsniveau controleren
Het verlenen van ongecontroleerde en ongelimiteerde toegang tot het bedrijfsnetwerk aan leveranciers, is hetzelfde als al uw huissleutels uitdelen aan (verre) vrienden: iedereen kan dan op elk moment uw huis betreden. Het is misschien wel duidelijk wie de sleutels heeft, maar is er nog wel controle over het toegangsniveau? Een tuinman krijgt toegang tot de tuin en een loodgieter komt om een lekkage in de keuken op te lossen. Dan verwacht u deze mensen toch niet aan te treffen in uw slaapkamer? Ook al vertrouwt u bepaalde mensen, er zijn altijd delen van het huis waar u liever geen bezoek heeft.

Ditzelfde geldt voor externe leveranciers: hoezeer u ze ook vertrouwt, ongecontroleerde toegang is nooit een goed idee. Leveranciers hebben helemaal geen toegang nodig tot het volledige bedrijfsnetwerk om hun werk goed te kunnen doen. Toegang tot specifieke systemen en applicaties op basis van de service die zij leveren is voldoende. Daarnaast is het bijna vanzelfsprekend dat er een wettelijke overeenkomst is tussen u en de leverancier met betrekking tot datasecurity, maar het is belangrijk dat deze losstaat van uw eigen datasecurityprocedures. Als een cybercrimineel toegang weet te krijgen tot het netwerk van een leverancier, dan heeft hij misschien ook voor weken of maanden ongelimiteerde toegang tot uw systemen. Tijd genoeg om gevoelige data te stelen of kritische systemen plat te leggen!

Wat gebeurt er in uw huis?
Met steeds meer leveranciers (gemiddeld 89!) die dagelijks toegang hebben tot het bedrijfsnetwerk, is het belangrijk dat zichtbaar is welke leveranciers waar en wanneer inloggen. Zonder de mogelijkheid om de toegang te controleren en een audit trail te realiseren van wie wat aan het doen is op het netwerk, kunnen bedrijven zichzelf niet beschermen tegen kwetsbaarheden bij externe leveranciers. Secure access-oplossingen die binnen enkele dagen uitgerold kunnen worden en geen impact hebben op de organisatie, bieden direct controle over de toegang die aan leveranciers en medewerkers wordt verleend. Bovendien bieden dergelijke oplossingen inzicht in afwijkingen binnen het netwerk en potentiële dreigingen.

Is het tijd voor een nieuw alarmsysteem?
Het securitylandschap is alles behalve eenduidig. Bedreigingen evolueren continu vanuit talloze bronnen. De CISO, CTO en het IT-team staan dan ook voor een enorme taak die nogal eens de nodige hoofdpijn oplevert. Twee derde van de securityprofessionals meldt dat ze het moeilijk vinden om steeds bovenop de ontwikkelingen te blijven zitten. Met het simpelweg installeren van een securitysysteem zonder er nog naar om te kijken, red je het niet meer. De systemen van vandaag moeten mee-evolueren met de dreigingen. Om hieraan te kunnen voldoen, is het belangrijk dat security-policies ook rekening houden met toegangscontrole. En nog belangrijker, iedere policy moet een bijbehorende handhavingsstrategie hebben en de tools om het handhaven van de continu veranderende policies eenvoudig en effectief te maken.

Tot slot
De wereld is een plaats waar data waardevol is, een onderbreking van de business desastreus kan zijn en het imago van bedrijven kritisch is. Dit kunnen allemaal redenen zijn voor cybercriminelen om uw organisatie te targetten, maar onderschat ook de cybercriminelen niet die het ‘gewoon doen omdat het kan’. Securitybedreigingen evolueren continu, doordat de cybercriminelen steeds vasthoudender en intelligenter worden. Daarom moeten alle organisaties, ongeacht de grootte, betere strategieën en oplossingen implementeren om interne en externe toegang tot het netwerk, de systemen en onze data te beveiligen en beheren.

Alleen door zeker te weten dat alle access points beveiligd zijn en dat de achterdeur goed op slot zit, kunnen organisaties veilig samenwerken met externe leveranciers. Alleen dan kunnen IT-teams profiteren van de toegenomen productiviteit en zich optimaal focussen op de digitale mogelijkheden van vandaag de dag.

Stuart Facey is VP EMEA bij Bomgar