Beveiliging voor zij die eigen toestellen gebruiken voor het werk

Sinds hybride werken (hybrid work) organisaties hielp om de pandemie te boven te komen, heeft het concept zijn plaats verstevigd. Veel medewerkers willen of hebben behoefte aan toegang tot bedrijfsgegevens, niet enkel vanaf elke locatie en op elk uur, maar ook vanaf elk toestel.

Het gebruik van persoonlijke toestellen voor het werk brengt verhoogde veiligheidsrisico’s met zich mee, vooral als dit niet ondersteund wordt door robuuste beveiligingspraktijken en -maatregelen. Hoewel de zorgen rond ‘bring-your-own-device’ (BYOD) niet nieuw zijn, heeft de toegenomen afhankelijkheid van eigen toestellen voor het werk de beveiliging van bedrijfsgegevens nieuw leven ingeblazen en een re-evaluatie en aanpassing van het beleid noodzakelijk gemaakt om te beantwoorden aan de evoluerende werkomgeving.

Hoewel er geen ‘one size fits all’-oplossing bestaat, kunnen enkele maatregelen een grote bijdrage leveren aan de bescherming van organisaties.

Het aanvalsoppervlak van bedrijven beperken

Het gebruik, door werknemers, van toestellen buiten het bereik van IT-teams is een ernstige bedreiging voor bedrijfsgegevens. Omdat criminelen steeds op zoek zijn naar barstjes in de cyberbeveiliging van bedrijven, is het beperken van het aantal potentiële toegangspunten een no-brainer. Organisaties moeten een inventaris opmaken van alle toestellen die toegang hebben tot hun netwerken alsook beveiligingsnormen en configuraties instellen waaraan die toestellen moeten voldoen om een basisbescherming te garanderen.

Niet-goedgekeurde apps of andere software op toestellen van werknemers zijn een veel voorkomende bron van risico voor de integriteit, beschikbaarheid en vertrouwelijkheid van bedrijfsgegevens en -systemen. Om ongereguleerde toegang van derden tot gevoelige gegevens te dwarsbomen, kunnen organisaties een ‘barrière’ creëren tussen persoonlijke en werkgerelateerde informatie op de toestellen en controles op zwarte lijsten (of witte lijsten) van apps afdwingen. Toestellen van werknemers onder controle houden, is mogelijk met speciale software voor het beheer van mobiele toestellen.

Software en besturingssystemen updaten

Geen dag gaat voorbij zonder de ontdekking van nieuwe kwetsbaarheden in veelgebruikte software.

Zorgen dat werknemers met up-to-date toestellen werken, is gemakkelijker als ze laptops en smartphones van het bedrijf gebruiken en kunnen genieten van de ondersteuning van de IT-afdeling die updates op hun machines installeert kort nadat deze zijn uitgebracht. Veel bedrijven gebruiken software voor toestelbeheer niet enkel om updates te installeren, maar ook om de algemene beveiliging te verbeteren.

Is het updaten van de software op hun toestellen de taak van de werknemers, dan kunnen organisaties hen eraan herinneren dat er patches beschikbaar zijn, handleidingen geven voor het toepassen van de updates en de voortgang ervan monitoren.

Veilige verbindingen tot stand brengen

Als een externe medewerker toegang tot het netwerk moet hebben dan moet de organisatie dit weten. Deze werknemers gebruiken wellicht niet enkel hun thuisnetwerk, maar ook openbare netwerken. Een goed geconfigureerd virtueel privaat netwerk (VPN) waarmee externe werknemers toegang krijgen tot bedrijfsnetwerken is een gemakkelijke manier om de blootstelling te verminderen van de organisatie aan zwakke punten die criminelen kunnen gebruiken.

Externe connectiviteit in de IT-omgeving van een organisatie mogelijk maken, gebeurt via Remote Desktop Protocol (RDP). Toen men op hybride werken overstapte, steeg het aantal RDP-verbindingen scherp – en dat was ook het geval voor aanvallen op RDP-endpoints. Om toegang te krijgen tot bedrijfsnetwerken, misbruikten aanvallers slecht geconfigureerde RDP-instellingen of zwakke wachtwoorden. Cybercriminelen kunnen intellectuele eigendom stelen, bedrijfsbestanden coderen en gebruiken om losgeld te vragen, een boekhoudafdeling misleiden om geld over te maken naar rekeningen die zij beheren of grote schade aanrichten aan de gegevensback-ups van het bedrijf.

Er zijn tal van manieren om zich tegen RDP-aanvallen te beschermen. RDP-toegang moet correct geconfigureerd worden, onder andere door internetgerichte RDP uit te schakelen en sterke wachtwoorden te hebben voor alle accounts waarop via RDP kan worden ingelogd. Meer over de juiste RDP-configuratie is te vinden in het recente artikel van ESET: Remote Desktop Protocol: Configuring remote access for a secure workforce

Kroonjuwelen beschermen

Vertrouwelijke bedrijfsdata op een persoonlijk toestel opslaan, is een risico als het toestel verloren of gestolen wordt, niet met een wachtwoord beveiligd is en de harde schijf niet versleuteld is. Dit geldt ook als men het toestel door iemand anders laat gebruiken. Als het ‘slechts’ om een familielid gaat, kan dit nog steeds leiden tot het compromitteren van de kroonjuwelen van het bedrijf, of de gegevens nu lokaal of in de cloud opgeslagen zijn.

Maatregelen zoals sterke wachtwoordbeveiliging, automatisch vergrendelen van een aanvraag en werknemers aanleren te voorkomen dat iemand anders het toestel gebruikt, zullen de bedrijfsgegevens beschermen.

Om het risico dat ongeautoriseerde personen toegang krijgen tot vertrouwelijke informatie te beperken, moeten organisaties gevoelige data versleutelen, zowel tijdens de overdracht als in rust, multi factor authenticatie implementeren en netwerkverbindingen beveiligen.

Videoconferenties beveiligen

Door de pandemie werden alle bijeenkomsten naar de virtuele wereld verplaatst. Organisaties moeten richtlijnen opstellen voor videoconferenties: welke software moet gebruikt worden en hoe de verbinding kan beveiligd worden.

Men moet software gebruiken met robuuste beveiligingsfuncties, end-to-end encryptie en wachtwoordbeveiliging om vertrouwelijke gegevens tegen nieuwsgierige blikken te beschermen. Software voor videoconferenties moet over de nieuwste beveiligingsupdates beschikken, zodat eventuele gebreken zo snel mogelijk verholpen worden.

Software en mensen

Gerenommeerde meerlaagse beveiligingssoftware moet gebruikt worden op toestellen die toegang hebben tot bedrijfssystemen. Dergelijke software kan – indien beheerd door het beveiligings- of IT-team – veel kopzorgen alsook tijd en geld besparen. Dit biedt bescherming tegen de nieuwste malwarebedreigingen. Bedrijfsgegevens beveiligen en systeembeheerders helpen de toestellen te beantwoorden aan het beveiligingsbeleid van de organisatie.

Ervoor zorgen dat er regelmatig back-ups gemaakt worden van toestellen en gegevens (en de back-ups testen) en training in beveiligingsbewustzijn aan het personeel geven zijn andere no-brainers. De technische controles zouden niet volledig zijn mochten werknemers de risico’s verbonden aan het gebruik van persoonlijke toestellen voor het werk niet zouden begrijpen.

Dit artikel werd geschreven door een van onze partners en valt buiten de verantwoordelijkheid van de redactie.