BYOD – vriend of vijand?

Maakt jouw personeel gebruik van Bring Your Own Device (BYOD)? De volgende vragen geven je hier inzicht in.

Auteur: F-Secure Business Security Insider
Datum: 28/05/2015
Leestijd: 10 Minuten

Voeren jouw werknemers in het weekend soms werkgerelateerde gesprekken vanaf hun eigen smartphone?

Mailen werknemers werkdocumenten naar hun persoonlijke e-mailaccounts om er op hun laptop thuis aan verder te werken, of zoeken mensen op kantoor toegang tot webmail via een eigen tablet?

Als je een van deze vragen bevestigend hebt beantwoord, heeft jouw personeel BYOD omarmd zonder dat je daarvan op de hoogte was.

In organisaties waarin niet openlijk over BYOD wordt gesproken of het niet actief wordt aangemoedigd of strikt verboden, is er simpelweg geen manier om de huidige of potentiële gevolgen van dit fenomeen op jouw bedrijfsvoering te kennen. Of u nu aan het hoofd staat van een start-up of een multinational, de kans is groot dat je bedrijf reeds gebruikmaakt van BYOD. Maar misschien weet je het alleen nog niet.

Het werkelijke gevaar schuilt in blindheid voor BYOD. Mobiele apparaten worden met grote regelmaat aangevallen, en de aanvallen hebben een divers karakter. Uit ons laatste Mobile Threat Report blijkt dat Android een populair doelwit is van malware. 79 procent van alle mobiele bedreigingen hebben het op ’s werelds populairste mobiele besturingssysteem gemunt.

Ervan uitgaande dat bijna 75 procent van alle smartphones ter wereld momenteel gebruikmaakt van Android, zouden de smartphone in de handen van jouw medewerkers zonder de juiste beveiligingsmaatregelen tikkende tijdbommen kunnen zijn.

Ook kleine bedrijven moeten deze bedreigingen serieus nemen. Volgens het Verizon Data Breach Report wordt 79% van alle slachtoffers getroffen door opportunistische aanvallen. Wat zouden jouw klanten ervan vinden als cybercriminelen hun contactgegevens in handen krijgen doordat een mobiel apparaat niet is beveiligd, of een belangrijke deal uitlekt voordat uw investeerders die openbaar wilden maken?

In de wetenschap dat je mogelijk blind bent voor de mate waarin BYOD binnen jouw eigen organisatie wordt gebruikt, is het zaak om het probleem snel aan te pakken. Maar waar moet u nu precies beginnen?

In de eerste plaats is het belangrijk om je huidige bedrijfsbeveiliging te evalueren. Analyseer de mate waarin jouw bedrijf risico loopt om slachtoffer te worden van gegevenslekken via de privéapparatuur van je personeel. Of het nu gaat om een aanval met malware of een gestolen of zoekgeraakt apparaat, ga na of uw bedrijfsgegevens zo gevoelig zijn dat u alle werkgerelateerde activiteiten op de privéapparatuur van werknemers compleet moet verbieden. Dit is natuurlijk geen populaire maatregel en bovendien moeilijk om af te dwingen, maar het is er wel een die organisaties in branches zoals de banksector reeds hebben getroffen.

Of je er nu voor kiest om BYOD toe te staan of werknemers alleen te laten werken op mobiele apparaten die je zelf hebt verstrekt, belangrijk is dat u de essentiële beveiligingsfunctionaliteit installeert en up-to-date houdt. Dit kan naast antivirus- en antidiefstaloplossingen ook omvangrijke mogelijkheden voor apparaatbeheer en mobiele beveiliging omvatten. Een voorbeeld hiervan is de mogelijkheid om de gegevens op zoekgeraakte mobiele apparaten op afstand te wissen, een functie die voor bedrijven van onschatbare waarde is. Met een oplossing voor het beschermen van tablets, smartphones en andere mobiele workstations kun je een extra niveau van beveiliging inbouwen.

Daarnaast is het belangrijk om je personeel goed voor te lichten over beveiliging. Welke maatregelen je ook treft, zorg dat werknemers weten wat wel en niet acceptabel is en wat de gevolgen kunnen zijn van overtredingen van de interne richtlijnen. Stel een beleidsdocument op en ga na of iedereen zich daaraan houdt.

BYOD is geen hippe trend of modegril. Het fenomeen is niet meer weg te denken. Aan jou de taak om te zorgen dat online privacy en beveiliging voor alle mobiele aparatuur en bedrijfsbescherming gegarandeerd is.

PROTECT – 8 essentiële maatregelen voor het beschermen van jouw bedrijfsomgeving

Hoe kun jij je bedrijfsomgeving vanaf de start beschermen tegen bedreigingen?

  1. Onthoud dat veilige besturingssystemen, software of hardware niet bestaan

Het is verleidelijk om te geloven dat bepaalde besturingssystemen of hardware bestand zijn tegen bedreigingen. Dat is echter niet zo! Het idee van een ‘veilige’ computer is een misvatting die kan resulteren in grote beveiligingslekken binnen jouw bedrijfsomgeving. Eindpunten die als veilig worden beschouwd, worden vaak niet beveiligd of bewaakt. Dat vergroot de kans dat de zwakke plekken in die systemen worden misbruikt. Meestal is het slechts een kwestie van tijd voordat dit gebeurt. Vanuit deze kwetsbare eindpunten kunnen cybercriminelen vervolgens de stap maken naar de rest van het bedrijfsnetwerk. Vergeet dus niet dat alle besturingssystemen, de software die erop draait en de hardware waarvan ze gebruikmaken kwetsbaar zijn. Beveilig dus besturingssystemen, beveilig software en beveilig hardware voor optimale bedrijfsbescherming.

  1. Maak gebruik van een beveiligingsoplossing met indringerpreventie

Zorg ervoor dat je werkstations effectief zijn beveiligd met een oplossing die indringerpreventie biedt. Een intrusion prevention system oftewel IDS speurt naar verdachte activiteiten en gedrag dat op malware kan duiden. Hiermee kunt u uw eindpunten en netwerk beschermen tegen bestaande en nieuwe malware die nog niet is geïdentificeerd door beveiligingslaboratoria. De softwareoplossing waarvoor je kiest moet ook verbonden zijn met een real-time beschermingsnetwerk dat informatie over nieuwe bedreigingen automatisch uitwisselt met alle eindpunten die daarmee verbonden zijn.

  1. Maak gebruik van encryptie, ook voor uw interne communicatie

Als het over encryptie gaat, denk je waarschijnlijk alleen aan de communicatie met de buitenwereld via internet. Het is echter sterk aan te raden om ook je communicatiekanalen binnen het Local Area Network (LAN) te versleutelen. Zoals eerder opgemerkt vormt een door malware besmet werkstation een bedreiging voor je hele bedrijfsnetwerk. Geef daarom prioriteit aan het beschermen van al je communicatiekanalen, dus ook LAN bescherming.

  1. Bescherm thuiswerkplekken en mobiele medewerkers

Het beveiligen van de laptops en mobiele apparaten die je hebt verstrekt aan medewerkers die op externe locaties moeten werken, is redelijk te doen. Een groter probleem is echter het beveiligen van apparaten die het privé-eigendom van werknemers zijn, zoals smartphones, gameconsoles, pc’s en USB-sticks. Zo is het mogelijk dat een werknemer zijn thuiscomputer voor werkgerelateerde taken gebruikt. De kans bestaat dat de beveiligingssoftware van deze computer niet is bijgewerkt met de laatste updates. Het is even goed mogelijk dat het systeem wordt gebruikt door gezinsleden van deze werknemer die geen kaas van ICT-beveiliging hebben gegeten. Raakt deze computer geïnfecteerd, dan kan de besmetting naar alle verbonden apparaten overslaan. Als jouw ICT-beheerder dit systeem toestaat om een verbinding met uw bedrijfsnetwerk te maken, kan de infectie dus bij jouw bedrijf binnen komen (in veel gevallen zelfs via een VPN-verbinding). Toegegeven, dit is een worst case scenario. Als werkgever kan je natuurlijk alle verbindingen vanaf externe apparaten verbieden om dit soort problemen te voorkomen. De realiteit is echter dat er in sommige gevallen uitzonderingen moeten worden gemaakt.

Het is daarom aan te raden om jouw werknemers beveiligingssoftware aan te bieden voor hun eigen computers, smartphones en tablets en hen aan te moedigen om daar regelmatig scans en controles op uit te voeren. Nog beter is om al deze eindpunten onder te brengen in een centraal beheerde omgeving waar je ze op eenvoudige wijze kunt bewaken. F-Secure Protection Service for Business is een goed voorbeeld van een dergelijke oplossing.

  1. Bescherm gebruikersaccounts

Een gebruikersaccount is meer dan een manier om e-mailadressen aan werknemers te koppelen. Een gebruikersaccount omvat een verzameling van alle bestanden, ICT-bronnen, informatie en toegangsrechten van een bepaalde gebruiker. Om je de gevolgen voor te stellen van misbruik of diefstal van toegangsrechten voor accounts, zou je een gebruikersaccount kunnen vergelijken met een bankrekening. Stel je voor dat deze bankrekening rechtstreeks is verbonden met andere bankrekeningen, of al het geld in de bank. Dat zou een rampscenario opleveren. Zorg er daarom voor dat alle gebruikersaccounts veilig zijn, moeilijk om te kraken en geen waarde voor cybercriminelen vertegenwoordigen.

Om gebruikersaccounts te beschermen moet je erop toezien dat werknemers gebruikmaken van krachtige, unieke wachtwoorden en dat zij die regelmatig wijzigen. Het is een goed idee om werknemers een tool voor wachtwoordbeheer aan te bieden die hen helpt met het instellen en opslaan van wachtwoorden. Het is ook belangrijk om apparaten en computers na een paar minuten zonder gebruikersactiviteit automatisch te laten vergrendelen.

  1. Het recht om te gebruiken, niet om te misbruiken

Het is van groot belang om het beheer te voeren over de gebruikersrechten op eindpunten of binnen het bedrijfsnetwerk. Malware zal proberen om verschillende handelingen uit te voeren zodra deze een systeem heeft besmet. Het kwaadaardige programma kan bijvoorbeeld proberen om bestanden of registerwaarden aan te maken of wijzigen, zichzelf naar gedeelde netwerkmappen te kopiëren en processen te starten of stop te zetten. Om deze bewerkingen uit te kunnen voeren, heeft de malware echter toegangsrechten nodig. Om de gevolgen van een malware-infectie voor jouw bedrijfsnetwerk tot een minimum te beperken, moet je de toegangsrechten beperken tot wat gebruikers werkelijk voor hun werk nodig hebben. Bedenk wel dat het inperken van gebruikersrechten tot frustratie onder het personeel kan leiden. Licht werknemers voor over de gevolgen van malware en de toepassing van beleidsregels, zodat zij de noodzaak van deze beperkingen inzien.

ICT-beheerders zouden over een gebruikersaccount moeten beschikken waarmee ze e-mailberichten kunnen lezen, op het internet surfen enzovoort. Hun beheertaken zouden zij echter met een afzonderlijke account moeten uitvoeren, of op een speciale computer die louter is bestemd voor systeembeheer. Het is zelfs mogelijk om beheerdersaccounts in verschillende groepen onder te verdelen om de rechten nog verder te beperken. Van belang is dat u in ieder geval een helder overzicht heeft van de rechten en beperkingen van accounts. Op deze manier krijg je meer grip op jouw accounts en loopt je organisatie minder kans op wijdverspreide infecties.

  1. Zoveel gebruikers, zoveel behoeften

Hoe groter de bedrijfsomgeving, hoe meer typen gebruikers. Je wil rekening houden met hun specifieke werkbehoeften en tegelijkertijd maatregelen moeten treffen die maximale bescherming waarborgen. De software van een accountant zal bijvoorbeeld compleet verschillen van de software die een programmeur gebruikt. Dit kan betekenen dat je speciale uitzonderingen moet configureren voor jouw firewall of zelfs bepaalde bestanden moet uitsluiten van de scans door uw anti-malwareoplossing. Het gebruik van browser-plug-ins of sociale netwerken is mogelijk gevaarlijk, maar soms nodig voor medewerkers die zich bezighouden met marketing, boekhouden en research & development. Om de kans op malware te voorkomen, zou je kunnen overwegen om het gebruik hiervan aan banden te leggen.

In bepaalde situaties is het mogelijk om gebruik te maken van toegewijde systemen om de kans op infecties terug te dringen. Zo zou een accountant taken op het gebied van internetbankieren kunnen uitvoeren op een speciale computer die alleen voor dat doel is bestemd, of op zijn minst een speciaal voor internetbankieren beveiligde browser kunnen gebruiken.

  1. Licht uw werknemers voor en hou ze alert

Nog een laatste, maar zeker niet onbelangrijk punt. Het is van groot belang om je personeel steeds weer te informeren over nieuwe bedreigingen en de juiste beveiligingsmaatregelen. Als medewerkers zich bewust zijn van bedreigingen en de manier waarop zij die kunnen voorkomen, zullen ze niet alleen betere beveiligingspraktijken hanteren, maar zullen ze ook meer begrip hebben voor de beperkingen die u toepast op eindpunten. Organiseer een informatiebijeenkomst en vertel je werknemers wat er zoal kan gebeuren als zij onvoorzichtig te werk gaan. Geef voorbeelden van de gevaren van sociale netwerken, spam en phishing, leg uit wat exploits zijn en welke schade die kunnen aanrichten en op welke manier hackers gebruikmaken van social engineering-technieken (babbeltrucs) om binnen te dringen in bedrijfsnetwerken. Het is ook een goed idee om hen te vragen regelmatig hun telefoonrekening te controleren op onverwachte kosten. Het is namelijk mogelijk dat mobiele malware op hun smartphone SMS-berichten heeft verzonden of gebeld met betaalnummers.

Wat je ook kunt doen is regelmatig e-mailberichten naar jouw werknemers sturen om hen in het kort bij te spijkeren over de laatste bedreigingen en malware-epidemieën. Op deze manier blijf je zelf op de hoogte van de laatste malware en tactieken van cybercriminelen, zodat je daar betere bescherming tegen kan bieden.


Post Comment

Vul je gegevens in of klik op een icoon om in te loggen.

WordPress.com logo

Je reageert onder je WordPress.com account. Log uit / Bijwerken )

Twitter-afbeelding

Je reageert onder je Twitter account. Log uit / Bijwerken )

Facebook foto

Je reageert onder je Facebook account. Log uit / Bijwerken )

Google+ photo

Je reageert onder je Google+ account. Log uit / Bijwerken )

Verbinden met %s