Hoewel we stilaan naar het post-coronatijdperk evolueren, zal remote work een blijvertje zijn in de bedrijfswereld. En dat heeft uiteraard zijn complicaties op de veiligheid van je IT-infrastructuur.
Eigenlijk moet je ervan uitgaan dat elk toestel dat je op je netwerk toelaat, gecompromitteerd kan zijn. Dit Zero Trust model vraagt om een andere aanpak, waarbij het cruciaal is dat je het securityteam meekrijgt en je goed controle houdt over de bevoorrechte accounts. Want een securityoplossing kiezen is meer dan puur technologie.
Zero Trust
Ervan uitgaan dat elk toestel gevaar kan betekenen, is ook wel gekend als het zerotrustmodel. Waar men vroeger vertrouwde op de firewall van het bedrijf, gaat het Zero Trust-model ervan uit dat dit slot op de deur alleen niet meer volstaat. Want eenmaal door die muur, ligt het rijk open. Het draait het gegeven om en laat ‘location-based’ security achter zich en kijkt op een continue verificatie van de aanvragen om op het netwerk te komen, maar ook van elke gebruiker, elk apparaat en zelfs elke gebruikte applicatie. Met andere woorden: alles is standaard ‘verdacht’. Je mag niets vertrouwen en moet ook alles controleren.
Eenmaal door die muur, ligt het rijk open.
Dat implementeren vraagt toch enige voorbereiding. Want je moet je bestaande netwerk analyseren, kijken waar er hiaten zitten, waar extra controlepunten nodig zijn, waar microsegmentatie handig kan zijn om ongewenst lateraal netwerkverkeer te belemmeren. En je moet uiteraard alle dataverkeer monitoren. Wij hanteren daarbij het NIST Cybersecurity framework als leidraad: Identify, protect, detect, reponse and recover. Helaas zien we vandaag dat nog te veel organisaties focussen op de klassieke preventie. Ervoor zorgen dat er niets binnenkomt. Maar de huidige threats zijn zo sterk geëvolueerd dat ze altijd in een systeem kunnen geraken. Op dat moment moet jouw security klaar staan om dergelijke threats te detecteren – met een oplossing die een ‘fout’ altijd ziet – en er gepast op te reageren.
Gebruikers en PAM
In het verhaal van Zero Trust zijn de gebruikers een belangrijk element. Want zij zullen zich telkens moeten identificeren. Een mogelijkheid is om met IAM (Identity Access Management) waarbij op basis van gedefinieerde profielen de werknemers bepaalde data of apps kunnen bekijken. De authenticatie kan dan bijvoorbeeld met multifactor-authenticatie en biometrische data.
In jouw IT-omgeving moet je de nodige aandacht besteden aan de zogenaamde privileged users. Denk aan de admins, eventueel de CEO, CFO of CIO die overal toegang tot krijgt. Daar kan je met PAM (Privileged Access Management) werken. In een eerdere blog hadden we het daar al uitgebreid over. Het beschermen van die accounts is cruciaal, net omdat ze overal toegang tot hebben.
Daarbij moet je een paar belangrijke richtlijnen onthouden. Dat je login voor je Hotmailadres of Facebookaccount niet dezelfde is als voor jouw admin account op het werk, klinkt voor iedereen heel logisch. Maar dat de CISO van jouw bedrijf zijn bedrijfsaccount gebruikt voor het ‘ADMIN’-profiel is eigenlijk een fout. Voor de ADMIN moet je een dedicated account in het leven roepen dat geen externe communicatie kan ontvangen. Daarnaast is wachtwoordrotatie een must, net als compliance en governance. Als er ooit iets misloopt, moet je nadien kunnen identificeren waar en wat er is gebeurd. Dat kan alleen door alle acties te registreren (met logs). Dat zijn de quickwins.
In vijf stappen naar PAM
Je kan als CIO de CISO en anderen uit het C-level van het nut van PAM overtuigen door te zeggen dat vanaf de onboarding van een personeelslid iedereen onder ‘controle’ is. Nadeel is dat zijzelf misschien niet willen dat ze gecontroleerd worden. Of dat ze misschien geen toegang meer hebben tot alle data en servers. Maar je kan je afvragen of dat wel nodig is?
Het psychologisch aspect is daarbij dus belangrijk, naast de technologie. Je moet een partner vinden die begrijpt hoe moeilijk dat kan liggen voor securityteams en daarin de juiste mix vindt met de juiste oplossingen en het team kan overtuigen. Om over te gaan tot een volledige securityoplossing om maat, zijn er een aantal stappen te doorlopen. We sommen de vijf belangrijkste hieronder op:
- State-of Security assessment: de allereerste stap bij een security implementatie is uiteraard via een scan nagaan wat de behoeften zijn om jouw business te ondersteunen. Op basis van deze analyse kan je een timeframe opstellen en op zoek gaan naar de gepaste technologische oplossing.
- Onboarding van het securityteam is een tweede stap. Dat komt een groot stuk via training en opleiding. Bij een veranderingsproces is dit cruciaal, want zij moeten vertrouwen hebben in proces en oplossing.
- Beschikbare technologie matchen met noden: Stap 3 is kijken wat er op de markt beschikbaar is en of er een match is met de behoeften. Doe dit samen met een partner die jouw behoeften kent. Op basis daarvan – samen met zijn expertise – selecteert hij de meest geschikte technologie voor jouw situatie. Een neutrale partij/integrator bekijkt dit uiteraard anders dan een vendor.
- Begeleiding tijdens de implementatie. De implementatie is een proces dat toch snel een paar maanden duurt. Voor een optimale bescherming is de juiste afstelling van de tools en profielen even belangrijk dan de juiste technologie kiezen.
- Afterservice. Technologie verandert snel, threats evolueren en hackers passen zich aan. Maar ook de noden en/of strategie van het bedrijf kunnen veranderen.
Doe dit werk grondig
Ga bij de verschillende stappen niet over een nacht ijs. Sommige bedrijven vergeten dat er al bepaalde privileged accounts zijn, soms voor personen die het bedrijf al hebben verlaten. Maar het kan ook een vergeten url zijn van een marketingactie met een aparte landingspagina. Andere klassieker is de bedrijfspagina op LinkedIn waarbij een werknemer met zijn persoonlijk LinkedIn-profiel een bepaalde rol (admin of editor) heeft.
Er is in elk bedrijf ook altijd rotatie van werknemers. Hoe goed de overdracht van taken ook is gebeurd, er worden altijd elementen vergeten zoals accounts van een gepensioneerde of een tijdelijke server. Al deze elementen vergroten – zonder dat je het beseft – jouw aanvalsoppervlak en maken jouw bedrijf een ‘gemakkelijkere prooi’ voor hackers. Je zou de eerste niet zijn bij wie na een scan amper 20% van de privileged accounts bekend is. Je wil toch niet dat de hackers jouw privileged accounts worden?
Dit is een ingezonden bijdrage van Nicolas Bouquillon, Regional Sales Manager bij Cyber Security Management. Meer informatie over het bedrijf vind je hier.