Apple of Android ondersteunen?
Steeds meer consumententechnologie (smartphones, laptops, tablets) doet haar intrede op de werkvloer. Je bedrijfsinfrastructuur en bedrijfskritische data worden via deze technologieën opengesteld voor aanvallen van buitenaf. Om onnodige veiligheidslekken en -risico’s te vermijden moet je deze dus integreren in je IT-infrastructuur. Waar moet je op letten bij de integratie van deze technologieën en hoe stem je je beveiligingsbeleid hierop af?
Een genuanceerde aanpak
Probeer niet alles te ondersteunen. Hoe meer types toestellen je toelaat, hoe complexer het beheer en de ondersteuning ervan wordt. Laat enkel die apparaten in je bedrijfsnetwerk toe die door het overgrote deel van je werknemers gebruikt worden, een meerwaarde bieden voor je bedrijf én die je kan beveiligen. Heb je een keuze gemaakt, voer dan een risicoanalyse uit voordat je concreet start met de integratie ervan. Zo kom je niet voor verrassingen te staan.
De volgende stap, het bijstellen van je IT- en beveiligingsbeleid. De integratie van consumententechnologie vraagt een genuanceerde aanpak. Beperk de werknemer niet te veel in het gebruik van zijn toestel en leg de ‘integratielat’ niet te hoog. Anders weigert hij deze, waardoor je zelf de technologie moet aanschaffen wil je de bedrijfsvoordelen ervan oogsten. Focus op die diensten die de grootste meerwaarde bieden voor zowel het bedrijf als de werknemer en biedt deze aan via een extra beveiligd kanaal.
Bijvoorbeeld: laat je enkel de toegang tot interne mail vanuit een smartphone toe, dan verbied je best rechtstreekse toegang tot je bedrijfsnetwerk voor deze toestellen. Laat wel de toegang toe via een externe VPN-verbinding naar een extra beveiligde gateway-oplossing. Die beperkt de toegang effectief tot mail en scant ook op malware.
Standaarduitbreiding
Zodra het beleid vastligt, breid je op IT- en beveiligingsniveau de toegelaten standaarden uit. (Bijvoorbeeld: de toegelaten toestellen en exploitatiesystemen, de verplichte veiligheidscomponenten,…). Maak een duidelijk onderscheid tussen interne standaarden en standaarden voor consumententechnologie. Vervolgens bepaal je de veiligheidsprocedures voor die toestellen: zowel configuratieprocedures inzake wachtwoordbeleid, patches, antivirussoftware, vercijfering et cetera, als aangepaste incidentbeheersprocedures.
Belangrijke toeleveranciers van dergelijke consumententechnologie, zoals Apple en Microsoft, leveren specifieke softwarepakketten die het gebruik ervan binnen bedrijven ondersteunen. Dit maakt het onder meer mogelijk bepaalde veiligheidsinstellingen (zoals het wachtwoordbeleid) centraal te bepalen. Bij gebrek aan dergelijke software ben je aangewezen op de strikte toepassing van de opgelegde regels en veiligheidsprocedures door de gebruiker zelf, met de daarbij horende veiligheidsrisico’s.
Beveilig en ondersteun
Om de consumententoestellen veilig te integreren met de bestaande infrastructuur dienen de nodige centrale veiligheidssystemen aanwezig te zijn. Mogelijk volstaat de lokale eindpuntbescherming op de mobiele toestellen niet. Compenseer dit door een uitbreiding van de centrale veiligheidsarchitectuur met bijvoorbeeld extra gateway-oplossingen met een strikter veiligheidsbeleid. In het voorbeeld van de mailintegratie van smartphones kan dit gaan om een VPN-concentrator, mailgateway, firewall, antimalware-oplossing of andere. Een veilige cloudoplossing kan hier eventueel ook soelaas bieden.
Vergeet niet dat de integratie extra belasting betekent voor de helpdesk en het ondersteunend personeel. Bepaal aparte procedures voor de helpdesk, baken de ondersteuning van de gekozen toestellen duidelijk af en train de helpdesk en ondersteunende medewerkers.
Bewustmaking en controle
Belangrijk is de eindgebruiker bewust te maken van de risico’s en zijn verantwoordelijkheid in de beperking ervan. Het is ook hij die, sneller dan het bedrijf zelf, gebruikmaakt van nieuwe technologische trends zoals sociale media, met de daarbij horende risico’s.
Geef ten slotte duidelijk in je beleid weer wat wel en niet mag, en wat wel en niet gecontroleerd kan worden op de toestellen die ter integratie aangeboden worden. Voeg ook een clausule toe rond de controle van elektronische gegevens op de werkplaats om privacydiscussies te voorkomen. De gebruiker moet namelijk aanvaarden dat, wat betreft de geïntegreerde diensten zoals werkgerelateerde mail, het toestel een uitbreiding van de werkplaats vormt. Informeer je werknemers vooraf ook duidelijk over wat er precies ondersteund wordt. Daarmee vermijd je een hoop frustratie en helpdeskcalls.