De digitale muren houden het niet meer. Nu veel organisaties medewerkers toelaten om op afstand te werken en bovendien ook partnerbedrijven toegang geven tot bepaalde applicaties, volstaan de traditionele securityperimeters niet langer. De nieuwe perimeter is identiteit.
Als het ooit genoeg was om een hek op te trekken rond de meest kritieke assets, schieten gekende tools zoals firewalls en antivirusprogramma’s vandaag tekort. Zeker naarmate organisaties steeds meer gebruik maken van cloud, mobiele toepassingen en virtualisatie. Vertrouwen op oudere beveiligingsmethoden betekent dat netwerken kwetsbaar blijven voor aanvallen met op identiteit gebaseerde tactieken.
Ondernemingen moeten hun strategie moderniseren om gelijke tred te houden met de nieuwe digitale realiteit en om de risico’s in geval van een data-inbreuk te minimaliseren. Een belangrijk element dat ze aan hun securitystrategie moeten toevoegen, heet PAM – Privileged Access Management.
De jacht op geprivilegieerde accounts
De meeste bedrijven hebben twee soorten accounts: behalve de standaard gebruikersaccounts, die gebruikt worden voor taken zoals het inloggen in het bedrijfsnetwerk, beschikken ze ook over accounts voor geprivilegieerde gebruikers. Daarmee kunnen ze toegang krijgen tot kritieke assets of activiteiten uitvoeren waarvoor een hoger toegangsniveau vereist is. Denk aan domein- of systeembeheerders die applicaties, software en servers moeten kunnen bewerken en onderhouden. Geen wonder dus dat deze accounts het ultieme doelwit van hackers zijn.
Geen wonder dat deze accounts het ultieme doelwit van hackers zijn.
cent Malfroid, Business Development Manager Arrow Electronics
Helaas is in veel bedrijven de combinatie van een gebruikersnaam en wachtwoord nog steeds het belangrijkste onderdeel van hun op identiteit gebaseerde beveiligingsstrategie. Dat vormt een ernstige bedreiging, aangezien gebruikers vaak een zwak wachtwoord kiezen dat snel kan worden geraden bij geautomatiseerde, brutale aanvallen. Ze gebruiken dat wachtwoord bovendien meermaals en delen of bewaren het in gemakkelijke toegankelijke, niet-versleutelde bestanden. Omdat die slechte praktijken vaak ook doorsijpelen naar geprivilegieerde accounts, moeten hackers enkel een standaard gebruikersaccount kraken om snel toegang te krijgen tot een systeem.
Aanvallers proberen doorgaans eerst met technieken zoals phishing in te breken in de desktop of laptop van een medewerker. Zodra dat lukt, kunnen ze de basissecurity van de organisatie omzeilen en beginnen rondkijken, waarbij ze toegang zoeken tot accounts met meer privileges. Het hacken van één geprivilegieerd account is meestal voldoende om in de complete schatkamer met informatie binnen te geraken. Daar kunnen ze gevoelige data lezen en bewerken, en zelfs logs veranderen om hun sporen uit te wissen. Daarna blijven ze weken tot zelfs maanden onopgemerkt in het systeem.
Volgens het IBM 2022 Cost of a Data Breach Report zijn gestolen of gecompromitteerde credentials niet alleen de meest voorkomende aanvalsvector voor een data-inbreuk, maar ook de duurste en degene die het langst duurt om te identificeren. Bedrijven kunnen het zich niet veroorloven om te blijven vertrouwen op traditionele beveiligingsmethoden. Er is nood aan een nieuwe aanpak om digitale assets te beschermen. Een robuuste securitystrategie met geprivilegieerd toegangsbeheer die de cyberrisico’s beperkt en de bedrijfscontinuïteit verzekert.
Verantwoordelijkheid van elk bedrijf
De komende jaren krijgen veel bedrijven zeker met PAM te maken. Het concept is immers opgenomen in de nieuwe NIS2-standaard die binnenkort van kracht wordt. Toch mag compliance in geen geval de voornaamste reden zijn waarom een organisatie zich hierop toelegt. Om met een gerust gemoed nieuwe technologie te kunnen uitrollen en de business snel te laten schakelen, is het essentieel om geprivilegieerde accounts op een veilige en future-proof manier te beheren. Sterker nog, het is net zoals in het kader van duurzaamheid de plicht van bedrijven om hiermee bezig te zijn.
Nu de meeste organisaties enorme volumes aan data beheren, moeten we op een meer doordachte manier met security omgaan. Zeker als het om gevoelige data gaat, is het de verantwoordelijkheid van bedrijven om personen en de maatschappij in het algemeen zo goed mogelijk te beschermen. En daarvoor is PAM een niet te missen bouwsteen. Technologie kan hierbij helpen, maar meer nog moet PAM een filosofie zijn en moeten bedrijven een sterk beleid rond PAM implementeren.
Het uitrollen van een volwassen PAM-beleid gebeurt echter niet van vandaag op morgen. In dit artikel lees je wat nodig is om een sterk kader voor Privileged Access Management uit te bouwen.
Dit artikel is een ingezonden bijdrage van Vincent Malfroid, Business Development Manager bij Arrow Electronics. Ontdek hier hoe Arrow en de software van Delinea je helpen bij de uitrol van een doeltreffend PAM-beleid.