Het is een illusie te veronderstellen dat de IT-afdeling greep krijgt op de apparaten en de apps die medewerkers meenemen in de onderneming. Daarom is een ander concept nodig van beveiliging en hoe je het ook wendt of keert: dat kost geld !

Met bring your own device (byod) komen ook de virussen het bedrijfsnetwerk binnen. De experts Simon Leech (HP), Martijn Bellaard (Brain Force), John Knieriem (Intermax) en Michael van der Vaart (Nod32) onderstrepen dat Intrusion Prevention en Detection op zichzelf hier geen soelaas bieden. Deze technologieëen werken aan de grenzen van het netwerk, en zouden meer naar binnen toe moeten worden toegepast. ‘Bovendien moet je gaan sturen op context en content. Nagaan wat het gedrag is van een gebruiker, afgaande op het dataverkeer dat hij of zij genereert. Als daar iets misgaat, kun je hem of haar isoleren’, aldus Van der Vaart.

Allen zijn het erover eens dat de mens de zwakke schakel is in het beveiligingspakket. ‘Je zult de gebruikers moeten trainen, moeten vertellen welke risico’s zij veroorzaken. Maar dan moet je wel duidelijk hebben welke risico’s een organisatie loopt, en welke je per se wilt vermijden en welke je gecalculeerd wilt toestaan’, aldus Bellaard.

Knieriem betoogt dat via de logfiles heel veel bekend is over het (afwijkende) gedrag. ‘Maar dat zijn zulke grote hoeveelheden dat het bijna ondoenlijk is om ze te analyseren. En dan weet je dus eigenlijk nog niks. Eigenlijk heb je dan SIEM (security information en events management) nodig. Daarmee kun je die analyses wel snel maken. Maar die oplossingen zijn erg duur en dan loop je er toch steeds weer tegen aan dat directies en Raden van Bestuur geen geld over hebben voor een degelijke beveiliging.’

Leech vertelt dat elke code fouten bevat, omdat zij door mensen wordt geschreven. ‘Dus moet je daar rekening mee houden. Dat is wel te doen, maar het vereist een uitgekiende beveiligingsstrategie bij bedrijven. Daar ontbreekt het te vaak aan.’

Knieriem haakt hierop in door te melden dat een organisatie een plan moet hebben klaar liggen wat zij gaat doen als het misgaat. ‘En je kunt ervan uitgaan dat het een keer misgaat. Hoe ga je er dan voor zorgen dat je zo snel mogelijk weer alles onder controle hebt? Dat draaiboek moet klaar liggen; en jouw klanten moeten weten hoe dat in elkaar steekt.’

Vroeger bood de IT-afdeling de applicaties aan, maar tegenwoordig kan iedereen voor drie kwartjes een app kopen en meenemen naar het werk. ‘Dat is niet tegen te houden. Dus moet je daar jouw politiek op afstemmen’, luidt de conclusie.

Maar is die oplossing er al niet: Mobile Device Management ? Ik weet zeker dat Apple hiervoor een mooie oplossing heeft, maar die past uiteraard alleen in de Apple-infrastructuur. Laat ieder device en ieder gebruikte App zich automatisch registreren bij je MDM. Op die manier kun je daar een poging doen je beveiliging effectief te regelen….