Cloud Access Security Brokers, dé IT security hype van 2018?

We kennen allemaal de traditionele IT security oplossingen: Endpoint Security, E-mail Security, Web Security, Encryptie, Firewalls en Data Leakage Prevention (DLP). Naast deze oplossingen zien wij een nieuwe oplossing in opkomst: Cloud Access Security Brokers (CASB). Deze technologie geeft inzage in-, grip op- en controle over het gebruik van cloud applicaties.

Veel fabrikanten zien welke problemen een CASB kan oplossen en zijn bang om de boot te missen. Om deze reden adopteren ze massaal CASB technologie, niet alleen door eigen development, maar met name door strategische overnames;

• 2015 acquisitie van Elastica door Bluecoat
• 2015 acquisitie van Adallom door Microsoft
• 2016 acquisitie van Bluecoat door Symantec
• 2016 acquisitie van CloudLock door Cisco
• 2016 acquisitie van Palerra door Oracle
• 2017 acquisitie van Imperva SkyFence door Forcepoint
• 2017 acquisitie van SkyHigh door McAfee

CASB technologie brengt nieuwe functionaliteiten waar de markt behoefte aan heeft. Het gebruik van cloud applicaties, het mobiel werken (roaming users) en het beveiligen van gevoelige data zijn thema’s die bij veel organisaties hoog op de agenda staan. Daar speelt een CASB op in! Gartner heeft de markt voor CASB inmiddels ook erkent en heeft hiervoor in november een kwadrant gelanceerd:

Waarom zijn Cloud Access Security Brokers in opkomst?

Door verschillende veranderingen binnen de ICT markt ontstaan er nieuwe uitdagingen. We werken niet langer vanuit ons kantoor en via het veilige on-prem netwerk maar zijn veel onderweg, werken remote met een corporate device, BYOD en/of in the cloud. Naast het werken vanaf verschillende locaties hebben we ook te maken met een grote hoeveelheid Cloud Applicaties. Veel organisaties verlenen hun medewerkers 24/7 toegang tot bijvoorbeeld O365 applicaties onder het motto “het nieuwe werken”. Maar denk ook aan applicaties die buiten de wil- en weet van organisaties om worden gebruikt, bijvoorbeeld Dropbox, Box of WeTransfer. Dit wordt ook wel Shadow IT genoemd. Doordat deze applicaties werken met SSL (encrypted) verbindingen is het lastig de inhoud van het verkeer te scannen. Het kost vaak te veel performance van een firewall en maakt van dergelijke applicaties een groot risico doordat (gevoelige) data zich hier ongecontroleerd naar toe kan verplaatsen. Dit brengt enorme securityrisico’s met zich mee. Veranderende wetgeving, zoals de GDPR, maakt het controleren van privacy gevoelige data enorm belangrijk!

Hoe krijgen organisaties grip op “Shadow IT”?

Cloud Acces Security Brokers geven inzage in-, grip op- en controle over het gebruik van cloud applicaties. Standaard is er vaak integratie met bekende applicaties als Office 365, Salesforce, SAP, AWS, Google etc. Hoe wordt er dan omgegaan met applicaties die buiten deze standaard vallen? Bijvoorbeeld maatwerk applicaties? Ook hiervoor kan CASB in worden gezet.

Een CASB maakt niet alleen inzichtelijk welke cloud applicaties gebruikt worden, maar ook vanuit welke locatie en wat er in de cloud applicaties gebeurd. Hier kan men vervolgens op acteren en policies aan toekennen. Bijvoorbeeld;

• Is het toegestaan om data naar specifieke cloudapplicaties te uploaden of vanuit cloudapplicaties te downloaden?
• Mogen gebruikers data uit cloudapplicaties delen met derden?
• Is het mogelijk om toegang te krijgen tot cloudapplicaties vanaf een remote locatie of met een BYOD?  

Het inzetten van een CASB neemt voor veel organisaties een hoop zorgen en risico’s weg. De meeste organisaties hebben geen inzage in het gebruik van cloud applicaties en de data die zich hier naartoe beweegt. Shadow IT is één van de grootste uitdagingen binnen IT door de GDPR die vanaf 25 mei 2018 van kracht wordt.

GDPR en privacy gevoelige data

GDPR eist dat iedere organisatie in controle is over de privacy gevoelige data die zij bezit en dat deze data goed beveiligd wordt. Naast deze verantwoordelijkheid is er een omgekeerde bewijslast van toepassing. Dat betekent dat iedere organisatie aan moet kunnen tonen dat zij weten waar deze data zich binnen het netwerk bevindt en de maatregelen hebben getroffen om deze voldoende te beveiligen. Als een organisatie hier niet aan voldoet kan dit resulteren in boetes oplopend tot 20 miljoen euro of 4% van de wereldwijde omzet. Dit staat los van de mogelijke imagoschade van een organisatie. Ontbreken van grip op gevoelige data kan vanaf 25 mei 2018 grote gevolgen hebben.  

Cloud applicaties

Door een CASB oplossing te combineren met een data leakage prevention oplossing op basis van content of tags kan de controle die reeds wordt uitgeoefend gebaseerd worden op de gevoeligheid van de data. Dit maakt de oplossing extra krachtig. Organisaties kunnen cloud applicaties toestaan tot het punt dat gevoelige data wordt gedeeld of gedownload vanaf een ander device.

Bijvoorbeeld: OneDrive mag voor file-sharing gebruikt worden, maar er mag geen gevoelige content uit gehaald worden vanaf een BYOD, tenzij men in het beveiligde corporate netwerk werkt. Of delen van (gevoelige) data mag enkel met medewerkers van de eigen organisatie.

Vaak is het gebruik van cloud applicaties een risico, in veel gevallen zijn gebruikers niet op de hoogte van de gevolgen die het gebruik van (gratis) cloudshares kan hebben. Zij delen bewust privacy gevoelige data zonder kwade bedoelingen en doen dit om eenvoudig vanuit huis verder te kunnen werken. Er is ook een groep gebruikers die bewust data steelt via deze kanalen, denk bijvoorbeeld aan klantenbestanden die nuttig kunnen zijn in een nieuwe functie bij een nieuwe werkgever.

Zelf ben ik bij meerdere ziekenhuizen geweest waar de IT afdeling weet dat er artsen zijn die Dropbox gebruiken vanuit het “gemak”. Zij zetten hier complete patiëntendossiers in, met alle risico’s van dien, om thuis verder te kunnen werken. Grip en controle is er vaak niet, maar met de veranderende wetgeving (GDPR) wordt dit wel een vereiste!

COMPAREX adviseert klanten over IT security thema’s, waaronder CASB. Daarnaast kunnen wij u helpen met een CASB-assessment om te laten zien welke applicaties er binnen uw organisaties gebruikt worden. Heeft u vragen naar aanleiding van deze blog of wilt u gebruik maken van het CASB assessment? Neem dan contact met mij op.

Door Rowel Bouman, Security Specialist