Beveiliging: meer of simpeler?

In de jaren ’90 had je nog genoeg aan een firewall en degelijke antivirus op je werkplek. Die bescherming is nu achterhaald. Een gemiddeld bedrijf telt tegenwoordig minstens vijf verschillende beveiligingstoepassingen, maar je vindt er evengoed met meer dan veertien verschillende systemen.

Overdreven? Ik gun je een korte blik op het huidige aanbod: Firewall, IPS/IDS, SSLVPN, gateway-antivirus, AAA-oplossing, server AV, Endpoint AV, Antispam, Proxy, data-encryptie, DLP, NAC,…

Dat het gemiddelde bedrijf zoveel verschillende beveiligingssystemen heeft, is op zich niet vreemd: het landschap verandert immers behoorlijk snel. De gebruiker zoekt steeds vaker toegang tot het netwerk en dit van op verschillende locaties. E-mail leest hij in de file, documenten past hij thuis aan en bestellingen bij de klant voert hij live in en verwerkt hij op locatie. Je zou bijna vergeten dat een werknemer ook af en toe ook nog eens langskomt op kantoor.

In de kantooromgeving is de werknemer vandaag overigens niet de enige die toegang wil tot het bedrijfsnetwerk. Ook consultants, technici, accountants en bezoekers willen hier gebruik van maken. En dat vraagt steeds meer aandacht van bedrijven. Wie geef je welk soort toegang tot wat en welke eisen kun je aan deze gebruikers stellen?

Verlies van overzicht
Werknemers maken bovendien steeds meer gebruik van verschillende applicaties, die ze niet meer per definitie hoeven te installeren om ermee aan de slag te gaan. Hierdoor verliest een systeembeheerder het overzicht, met alle risico’s van dien. Bijna alle tools staan online en deze widgets worden steeds meer ‘gemasht’ aangeboden. Dus een bepaalde site op basis van zijn URL afblokken heeft geen zin meer.

Het mag duidelijk zijn dat door het veranderde landschap en de explosieve groei van beveiligingssystemen als gevolg daarvan, de druk op het beveiligingsbeheer fors is toegenomen. Jammer genoeg houden er zich vandaag binnen een bedrijf niet méér mensen met het beveiligingsbeleid bezig. Het meerwerk is vaak voor rekening van de IT-afdeling.

Beveiligingsniveau gedaald
Ik vraag me dan als securityprofessional ook oprecht af of het bedrijfsnetwerk nu wel veiliger is dan midden jaren negentig. Ondanks de vele mooie systemen is het beveiligingsniveau volgens mij vandaag lager. En dat om twee redenen: enerzijds omdat het gevaar nu van veel meer kanten komt en anderzijds omdat de gemiddelde IT-afdeling nooit alle systemen actief kan beheren en analyseren.

Meer wil dus niet altijd per definitie zeggen veiliger.