Bring Your Own Device: een privacyvraagstuk voor ondernemingen

De term BYOD was er niet van de een op de andere dag. In 2004 bracht BroadVoice de term in de roulatie door klanten hun eigen hardware te laten gebruiken. Het bedrijf, dat zich specialiseerde in het leveren van VoIP-technologie, was van mening dat het voor klanten een ‘open’ dienstmodel op zou leveren. Pas toen Intel er in 2009 aan de slag ging, werd de term wereldwijd populair. Ook kreeg het toentertijd pas zijn finale ‘definitie’: beleid dat het mogelijk maakt voor werknemers om hun eigen laptop en andere apparatuur voor werk te gebruiken. De vraag is: hoe kan de werkgever verzekeren dat de interne documenten veilig staan. Wat zijn de implicaties van het gebruiken van eigen apparatuur?

Hoe is het principe ontstaan?

Uiteraard zijn er redenen waarom werkgevers toestemming geven aan werknemers voor het gebruik van hun eigen apparatuur. In de tijd van startups, moeten werkgevers hard aan de mouwen van de werknemers trekken om ze in dienst te krijgen. Bij de sollicitatieprocedure is het belangrijk om mee te denken met de werknemer; bijvoorbeeld door deze persoon thuis te laten werken als de afstand te lang blijkt om telkens naar het kantoor te reizen. In de praktijk levert dat één probleem op, als de werknemer thuiszit, kan deze niet gebruikmaken van de computers die vaak op kantoor aanwezig zijn. Er kan dan besloten worden om een computer voor de werknemer aan te schaffen. Vaak is dat niet de beste optie, gezien het een prijzige opgaaf is om dit voor elke werknemer (op afstand) te doen.

Vaker wordt er dan gekozen om de werknemer de vrijheid te geven, door zijn eigen computer voor de werkzaamheden te gebruiken. Soms met, maar in veel gevallen zonder dat er een vergoeding op papier komt te staan. Maar, werknemers gebruiken niet alleen een laptop of desktopcomputer om hun werk uit te voeren. Vaak komt er ook een vorm van externe opslag aan bod, bijvoorbeeld een USB-stick of externe harde schijf. Gelukkig neemt het gebruik van fysieke opslag af, en neemt het gebruik van cloudoplossingen snel toe. Maar ook dat kan privacygevoelige situaties opleveren. Een werknemer kan privacygevoelige documenten in zijn eigen zwak beveiligde cloudomgeving plaatsen, waarmee privacy en het veiligheidsgevoel binnen ondernemingen om zeep wordt geholpen.

“Houd er rekening mee dat bij verlies van een beveiligd USB-apparaat het om een beveiligingslek gaat in plaats van een datalek. De gegevens van het bedrijf zijn beschermd”. Ferdi Van Der Zwaag, Business, Development Manager Kingston Benelux

Onveilige USB-opslag

Wat betreft de offline-vormen van opslag, dat kan zelfs nog een stuk gevaarlijker zijn. De meeste vormen van offline-opslag voor consumenten worden geleverd zonder enige vorm van encryptie. In Windows kan je met BitLocker weliswaar USB-opslag versleutelen, maar dat is helaas een vorm van softwarematige encryptie. Deze encryptie is zeer gevoelig voor softwareaanvallen en exploits. Zelfs al zou een werknemer de moeite doen om de USB-sticks te beveiligen; als deze in de handen valt van de ‘verkeerde’ persoon, dan bestaat er de kans dat de bestanden toch toegankelijk zijn. Vandaar dat het belangrijk is om vormen van USB-opslag, zowel USB-sticks en externe harde schijven, niet toe te staan. Voor ondernemingen kunnen vormen van hardware-encryptie een uitkomst bieden.

Op die manier komen merken zoals Kingston in het plaatje van digitale beveiliging terecht. Kingston heeft een breed assortiment van beveiligde producten, waaronder USB-sticks. Het gaat dan zoal om de IronKey-sticks en bijvoorbeeld de DataTraveler 2000. High-end Encrypted USB-sticks van Kingston maken gebruik van AES-256 hardwarebeveiliging, en vertrouwen daarbij niet langer op software om de opgeslagen bestanden te beveiligen. Het ontsleutelen van bestanden vindt plaats via chips op het PCB van de USB-stick, hetzelfde principe wordt toegepast bij het versleutelen van bestanden. Dat zorgt ervoor dat je computer niks te maken heeft met de beveiliging, en de opslag in de basis al een stuk veiliger is. Daarnaast worden veel van de USB-sticks geblokkeerd na een x-aantal foutieve inlogpogingen.

Dat is namelijk het voordeel van op hardware gebaseerde encryptie van bijvoorbeeld Kingston. Als er constante aanvallen worden uitgevoerd, kan de interne chip de opslag volledig afsluiten. In sommige gevallen zal de USB-stick zelfs uit voorzorg alle bestanden van het opslagmedium verwijderen, in dat geval is de USB-stick niet eens zo interessant meer voor hackers. Veel van de USB-sticks van Kingston zijn ook gecertificeerd voor gebruik in zakelijke omgevingen via FIPS-certificaten. Verder kan het van pas komen om de USB-sticks aan te schaffen die door de IT-afdeling beheerd kunnen worden. Op die manier kunnen de IT’ers bijvoorbeeld read-only bestanden op de USB-stick plaatsen, of het wachtwoord van de USB-stick wijzigen in het geval dat je de pincode van het medium verliest.

Niet alleen USB-opslag is onveilig.

We denken er niet aan, maar eigenlijk kunnen we allemaal slachtoffer worden van aanvallen gericht op onze persoonlijke bestanden. Dat heeft dan voornamelijk te maken met de interne opslag van de hedendaagse Windows en Linux-machines. In een laptop, die een werknemer bijvoorbeeld zelf heeft aangeschaft, vind je uiteraard een vorm van opslag terug. Windows zal de informatie opgeslagen op de harde schijf niet beveiligen, waardoor deze vorm van opslag tevens gevoelig is voor aanvallen. Als het geheugen in de computer is geïnstalleerd, kan een aanvaller via Linux je bestanden inzien. Ook is er natuurlijk de optie om de opslag uit het systeem te halen om deze vervolgens in een andere pc te installeren. Zelfs met interne opslag zijn er dus voldoende elementen om rekening mee te houden.

Voor SSD-opslag in computers bestaan er ook voldoende opties waaronder bijvoorbeeld de UV500 van Kingston, die we recent aan onze testen onderworpen. In dat geval gaat het om een SATA-SSD, maar Kingston heeft uiteraard ook zijn eigen PCIe-opties op de markt, waaronder de KC2000. Deze SSD’s zijn razendsnel en bieden ook ondersteuning voor geavanceerde encryptiestandaarden. AES-256 is een van deze standaarden en maakt dat hackers niet zomaar toegang krijgen tot de data die op de SSD staat. Daarnaast bieden deze SSD’s ondersteuning voor een belangrijke standaard: TCG Opal 2.0. Deze standaard vind je vaak terug op zakelijk-gerichte SSD’s, vooral omdat deze standaard te bedienen is met veelgebruikte databescherming-software van Symantec, McAfee en WinMagic.

Waarom moet ik nu actie ondernemen?

In een wereld waarin beveiliging en privacy voorop horen te staan, is het belangrijk om het beleid binnen bedrijven op de korte termijn hierop aan te passen. Uiteraard kan je je werknemer een eigen laptop laten gebruiken; denk er dan aan om de SSD in de laptop te (laten) versleutelen. Verder zou je het gebruik van USB-sticks zonder hardwarematige-encryptie kunnen verbannen. Dit alles om uit te kunnen sluiten dat je werknemers gevoelige bedrijfsinformatie lekken. Juist dit soort stappen zijn belangrijk om privacy voorop te stellen, waardoor je tevens aan de Europese GDPR-wetgeving kan voldoen. Door deze nieuwe wetgeving kan een datalek kostbare gevolgen hebben. Enerzijds kan de bedrijfsnaam beschadigd raken, anderzijds zijn er tegenwoordig boetes verbonden aan datalekken.

Uiteraard ontvang je deze boetes alleen als het gaat om een datalek van persoonsgegevens. Toch wil je als onderneming niets liever dan dat alle data binnen de onderneming blijft. Investeer daarom dan ook in het ‘digitale wagenpark’ van je onderneming, dit kan je kosten uitsparen op de lange termijn.