Los beveiligingsproblemen mobiel op

Steeds weer wordt gehamerd op de gebrekkige beveiliging van mobiele apparatuur. Het valt dus te raden welke bekommernis boven aan het lijstje staat van menig CIO wanneer apps ter sprake komen. Maar misschien zijn ze net een deel van de oplossing van het beveiligingsprobleem?

Beveiliging hinkt achterop
Het is een oud zeer dat zich steeds herhaalt: telkens wanneer een nieuwe technologie of een nieuw type hardware de harten van de eindgebruikers wint, worden de haren van de IT-manager weer een beetje grijzer. Want steeds is de snelheid waarmee deze technologie bedrijven overspoelt vele malen hoger dan de snelheid waarmee software voor beveiliging en beheer van deze technologie zijn intrede doet.

Zo ook weer voor de iPad en andere tablets. Volgens cijfers van onderzoeksbureau IDC is de wereldwijde markt voor tablets in 2011 gestegen met zeventien procent tot 62,5 miljoen verkochte eenheden. Heel wat beter dan de 3% die IDC voor desktops en notebooks berekende.

[related_article id=”161563″]

Tablets zijn bijzonder gegeerd en de grootste uitdaging voor IT-managers op dit moment is de juiste balans te vinden tussen het tolereren en ondersteunen van deze toestellen enerzijds en het voldoende beveiligen van bedrijfsgegevens en -infrastructuur anderzijds.

Te meer daar de grote meerderheid van deze toestellen niet door de onderneming wordt verschaft, maar door de werknemers zelf mee naar kantoor en naar de klant worden genomen.

Werknemers kopen hun tablet veelal zelf
Een recente enquête van Symantec spreekt zelfs van 74% door de werknemer met eigen geld aangekochte tablets, tegenover 20% die door de werkgever werden aangekocht (de overige 6% werden door de werknemer aangekocht met een IT-budget van de werkgever). O ja, en mocht je het jezelf afvragen: alle respondenten gebruikten hun tablet voor hun werk, of ze hem nu zelf hadden gekocht of niet.

Maar op die grotendeels door werknemers gekochte toestellen staat vaak een schat aan bedrijfsinformatie. De tweede tabel onderaan geeft je een idee van wat allemaal op een tablet kan gevonden worden: personeelsgegevens, klantengegevens, financiële informatie en – nog het vaakst van al – intellectuele eigendommen van het bedrijf.

“Geen geruststellende gedachte als je weet dat in de Londense taxi"s alleen al vijftien mobiele toestellen per uur verloren gaan”, bedenkt Jan Paesen van Belgacom Mobile Applications.

Het dilemma dat hierdoor ontstaat gaat al mee sinds het begin van de smartphone: enerzijds wilt u niet dat deze gegevens in handen van derden vallen wanneer het toestel wordt verloren of gestolen. Anderzijds zal de werkgever het niet waarderen dat alle op het toestel bewaarde familiefoto’s en  -filmpjes zomaar van op afstand worden gewist.

De technologie voor zulke ingrepen is intussen al beschikbaar: zowel Symantec als een speler als Eset biedt in zijn suite voor mobiele beveiliging deze functie standaard aan (al is het bij Eset voorlopig enkel voor Windows Mobile-, Symbian- en Androidsmartphones). Maar voor de meeste bedrijven is het vooral een kwestie van zoeken naar het juiste evenwicht tussen vrijheid en controle.

Moeilijk te beveiligen
Nochtans is de komst van mobiele applicaties wellicht eerder een zegen dan een vloek. Apps zitten immers meestal in zogeheten containers opgeslagen, die netjes van elkaar en van de rest kunnen geïsoleerd worden. Dat maakt het alvast technisch veel eenvoudiger om privétoepassingen van businesstoepassingen te scheiden.

En dus ook om de zakelijke toepassingen extra te beveiligen, bijvoorbeeld door encryptie, terwijl de privéapplicaties ongemoeid worden gelaten. Bovendien bevinden apps zich meestal in de cloud. “En dus zijn ook de gegevens die hierbij worden gebruikt centraal opgeslagen in plaats van op de tablet of smartphone zelf”, vult Kim Apers van Symantec België, aan. “Dat is alvast een zorg minder bij verlies of diefstal.”

Voor de door het bedrijf zelf aangeboden apps kan dan bijvoorbeeld een privécloud worden opgezet. Gegevens die dan toch nog om een of andere reden op het mobiele toestel worden opgeslagen kunnen bijvoorbeeld worden versleuteld.

Niettemin pleit ook Apers ervoor dat bedrijven werk maken van hun beveiligingsbeleid: “We zien het nu al gebeuren bij de grote bedrijven: zij weten dat ze mobiele toestellen moeten toelaten en zelfs aanmoedigen als ze de strijd om het jong talent willen winnen. Maar ze weten ook dat het niet werkzaam is zonder duidelijke richtlijnen en bijhorende tools voor beveiliging van de toestellen en de apps.”

Afstandsbediening
Voor Corné Van Rooij, districtmanager voor RSA Benelux en Zwitserland, is het belangrijk om hierbij het juiste onderscheid te maken: “Aan de ene kant zijn er mobiele apps die je centraal beheert, die beveiligd zijn en waarvan data (indien aanwezig) van op afstand wisbaar zijn. En aan de andere kant heb je mobiele applicaties die weliswaar bedrijfsinformatie kunnen bevatten maar die niet op afstand beheerd kunnen worden.

Op de laatste dient een stringenter beleid van toepassing te zijn. En het kan zijn dat bepaalde personen in het bedrijf geen gebruik kunnen maken van dat soort apps omdat het risico te groot is. Of je kunt kiezen om slechts een subset van de beschikbare bedrijfsinformatie via zo’n type mobiele apps beschikbaar te stellen.”

Zulke richtlijnen opstellen kan dus een complexe opdracht worden. Maar laat dit je niet afschrikken, want een beleid is ook echt noodzakelijk als je gewapend wil zijn voor de mobiele toekomst.