De klassieke perimeter rond de meest kritieke assets van een organisatie volstaat niet meer. Wie data in tijden van cloud en mobiele applicaties wil beveiligen, heeft Privileged Access Management (PAM) nodig. Security is weliswaar meer dan investeren in technologie. Het is een filosofie die iedereen in de organisatie ter harte moeten nemen. Alles begint bij een goede policy.
De meeste bedrijven hebben behalve gewone gebruikersaccounts ook geprivilegieerde accounts die toegang geven tot de assets van de organisatie. Geprivilegieerde accounts zijn vaak het doelwit van hackers, aangezien ze deze gebruiken om door middel van escalatie van privileges toegang te krijgen tot kritieke systemen en data. Bovendien kunnen ze op die manier ook hun sporen uitwissen en maandenlang onder de radar blijven.
In twee eerdere artikels legden we uit waarom PAM voor iedere organisatie een troef is en waar je aandacht aan moet besteden voor je PAM begint uit te rollen. Een succesvolle strategie is echter niet mogelijk zonder ook rekening te houden met het menselijke aspect. Security is een filosofie die vertrekt vanuit een duidelijke policy die doorheen de volledige organisatie gedeeld wordt.
Hieronder vind je een paar praktische tips:
1. Vermijd manuele methoden voor Privileged Access Management
Ondanks alle investeringen in cybersecurity blijven nogal wat organisaties gebruik maken van simpele Excelsheets voor het opvolgen van de wachtwoorden van geprivilegieerde accounts. Vaak delen ze die sheets ook nog eens onder hun medewerkers, waardoor wachtwoorden op tal van manieren in verkeerde handen kunnen vallen. Bovendien is het allesbehalve efficiënt als je dit soort informatie moet opzoeken.
Geautomatiseerde PAM-software zorgt ervoor dat je wachtwoorden veilig en snel kunt beheren. Zo bespaar je veel tijd en ben je beter beschermd tegen aanvallen, zowel van binnen het bedrijf als door hackers. Begin met het identificeren van geprivilegieerde accounts, implementeer monitoring om de wildgroei van accounts tegen te gaan, en zorg ervoor dat je misbruik door insiders en externe bedreigingen zo snel mogelijk aan het licht kunt brengen. Een transparant en actueel overzicht van het geprivilegieerde accountlandschap is een belangrijke basis in de strijd tegen aanvallers.
2. Train je medewerkers
In cybersecurity hoor je vaak dat mensen de zwakste schakel zijn. Dat komt voornamelijk omdat ze niet over de juiste kennis en skills beschikken. Aanvallen met phishing en social engineering worden steeds complexer, en bedrijven moeten investeren in bewustzijn bij hun medewerkers.
Met de juiste securitymaatregelen, training en PAM zorg je ervoor dat je mensen een sterke schakel worden.
Vincent Malfroid, Business Development Manager
Het volstaat niet meer om één keer per jaar een test met phishing te verspreiden of werknemers een oefening te laten doen waarbij ze gewoon een paar vakjes moeten aanvinken. Je moet doorgedreven trainingstrajecten voorzien die een gedragsverandering in de hand werken. Benadruk hierbij ook het belang van geprivilegieerde accounts, zodat mensen begrijpen waarom ze een strikt beleid moeten volgen. Vergeet zeker niet om ook de directie op te leiden en uit te leggen waarom er budget voor training moet worden vrijgemaakt. Met de juiste securitymaatregelen, training en PAM zorg je ervoor dat je mensen een sterke schakel worden en hackers het moeilijker krijgen om binnen te dringen.
3. Beperk toegang tot systemen tot een minimum
Een goede beveiligingsstrategie werkt met zo weinig mogelijk geprivilegieerde accounts. Configureer alle werkstations van je gebruikers met een standaard gebruikersprofiel en verleen extra rechten op basis elke aparte case. Hierdoor kunnen IT-beheerders toegang tot systemen en data meer granulair controleren en snel tussenkomen in het geval van een anomalie. Dit zal de aangerichte schade bij een inbreuk met data aanzienlijk verminderen.
4. Zorg voor duidelijke en consistente richtlijnen met betrekking tot PAM
Om menselijke fouten tot een minimum te beperken, denk je best aan de volgende elementen:
- Vervang de standaardwachtwoorden van geprivilegieerde accounts. Onderzoek toont dat één op vijf organisaties die wachtwoorden nog nooit vervangen heeft. Het stelen van deze wachtwoorden staat dan ook bovenaan het verlanglijstje van cybercriminelen.
- Verbied het delen van credentials. Wanneer de ene IT-beheerder bijvoorbeeld op vakantie gaat, wil die snel informatie delen om z’n taken over te dragen naar een collega. Maar op die manier creëer je een gemakkelijk doelwit voor hackers. Securityrichtlijnen moeten daarom duidelijk bepalen voor hoe lang iemand bepaalde privileges krijgt.
- Monitor sessies met geprivilegieerde toegang. Dit zorgt ervoor dat je in het geval van een data-inbreuk snel een audit kunt uitvoeren en alle activiteiten kunt bekijken. Daarnaast is het ook belangrijk om een strak proces met een formele review en goedkeuring voor nieuwe accounts toe te voegen.
- Evalueer geprivilegieerde accounts, zodat gebruikers geen oude privileges behouden die ze voor hun huidige rol of takenpakket niet meer nodig hebben. Dit is nog belangrijker als je samenwerkt met derde partijen die toegang krijgen tot kritieke assets.
- Geef privileges enkel op aanvraag en vermijd always-on praktijken. Door gebruikers naar een controlepunt te sturen, worden geprivilegieerde accounts enkel gebruikt voor specifieke taken.
Kies de juiste partner
Tot slot kies je een ervaren partner die je volledig vertrouwt en je helpt om de beste PAM-strategie voor jouw specifieke situatie uit te rollen. Zo’n partner zal je ondersteunen bij het opzetten van controle voor toegang tot systemen en gevoelige data, alsook bij het uitwerken van een duidelijke policy. Op die manier zorg je er samen voor dat je organisatie optimaal beveiligd is.
Dit artikel is een ingezonden bijdrage van Vincent Malfroid, Business Development Manager bij Arrow Electronics. Ontdek hier hoe Arrow en de software van Delinea je helpen bij de uitrol van een doeltreffend PAM-beleid.