Naarmate mensen vaker mobiel werken, vergeten organisaties regelmatig rekening te houden met de beveiliging van werkplekken op afstand. Ik geef u zes tips, en nog een halve als bonus, om de risico’s van online werken in te perken. (Als u niet graag teveel leest, lees dan in elk geval tip nummer 1.)
Mede dankzij de oplevende economie weer terug van weggeweest: Het Nieuwe Werken. Het lijkt een kreet uit een ver verleden, maar HNW is weer hip. De economische crisis zette HNW even op een laag pitje, want de werkeloosheidscijfers liepen op. Medewerkers waren al lang blij dat zij werk hadden en stelden geen eisen aan waar dit plaatsvond. Nu iedereen weer voorzichtig optimistisch is, komt ook Het Nieuwe Werken weer in beeld. We noemen het alleen ‘online werken’.
De opkomst van smartphones, tablets, apps en snelle draadloze verbindingen maken het ‘altijd en overal’ werken eenvoudig. Veel organisaties zien daarom weer de voordelen van online werken in. Flexplekken en thuiswerkplekken betekenen tenslotte minder dure vierkante kantoormeters. Medewerkers waarderen het vertrouwen en de flexibiliteit die online werken meebrengt, maar ook de besparing in reistijd en filefrustratie. Zelfs de bedrijven die online werken niet actief omarmen hebben te maken met werknemers die op afstand werken, al is het maar vanwege zakenreizen, pappa- of mammadagen of overwerk.
Het Nieuwe Werken is weer terug en daarmee ook de bijbehorende beveiligingsvraagstukken. Want hoe ziet een moderne telewerkplek eruit? Misschien denkt u een hoekje in huis, met een bureau en een computer. Maar online werken kan ook vanuit bibliotheken, snelweglocaties, lunchrooms of koffiehuizen. Dat is te danken aan snelle draadloze internetverbindingen en mobiele apparaten. Onze ‘thuiswerkplek’ kan dus letterlijk overal, behalve op kantoor, zijn. Het beveiligen van de thuiswerkplek betekent dus eigenlijk het beveiligen van een eindpunt en de toegang op afstand. Hier volgt een aantal tips om dat mogelijk te maken:
- Gebruik een VPN
Dit staat met stip en met afstand op nummer 1. Hoe een medewerker ook toegang krijgt tot de bedrijfsgegevens, dit is altijd veilig als het gebeurt via een correct opgestelde VPN-tunnel. Er zijn weliswaar VPN’s beschikbaar als clouddienst om mobiele sessies over een openbaar draadloos netwerk te beveiligen. Het is echter eenvoudig, voordelig en vele malen veiliger om de VPN’s in eigen huis op te zetten. - Verplicht de installatie en updates van antivirusprogramma’s
Een meerlaagse benadering van beveiligingsmaatregelen is essentieel voor hun succes. Dat geldt zowel binnen bedrijfsnetwerken als daarbuiten. Maar in de praktijk kunt u gebruikers moeilijk verplichten zichzelf en uw netwerk te beschermen. De meeste mensen denken er gewoon niet aan om updates voor antivirusprogramma’s en patches voor besturingssystemen te installeren. Daarom is het een absolute must alle mobiele apparaten te voorzien van diensten die dit automatisch, ongevraagd en ongezien doen. - Voorkom het gebruik van particuliere opslagdiensten in de cloud
Veel mensen werken thuis met online opslagdiensten zoals Dropbox en Google Drive. Deze diensten bieden allerlei handige functies en zijn enorm gebruiksvriendelijk. Het is daarom heel verleidelijk voor medewerkers om ook zakelijke bestanden op te slaan in de cloud, naast de foto’s van familiefeestjes. U weet echter niet welke gevoelige en vertrouwelijke bedrijfsinformatie er op hun persoonlijke account staat, noch voor wie dat allemaal toegankelijk is. Het is niet veilig. Voorkom daarom dat medewerkers toegang hebben tot dergelijke diensten als zij zijn ingelogd op het bedrijfsnetwerk. Dat zorgt voor een extra bescherming- en beheerslaag voor uw bedrijfsgegevens. Om nog maar te zwijgen over garanties voor het naleven van wet- en regelgeving. - Gebruik geen losse geheugens en zorg voor veilige samenwerking
Als medewerkers hun bestanden niet kunnen uploaden naar hun persoonlijke cloudopslag, komen ze natuurlijk in de verleiding om ze op een geheugenkaartje of USB-stick te zetten. Dan kunnen zij er toch thuis mee aan de slag. Het is inmiddels wel bekend hoe kwetsbaar die media zijn, dus wat is de oplossing? Geef zakelijke tools voor het veilig synchroniseren en delen van, maar ook voor het samen werken aan, bestanden. Dat werkt veel beter dan een USB-stick of Dropbox-account en dus gebruiken uw medewerkers dat liever. - Beveilig de omgeving – als dat kan
Het is niet mogelijk om al uw medewerkers thuis te bezoeken en daar een veilige access point te installeren. Dat is jammer, want zo kunt u de access points op afstand ook niet centraal beheren, net zoals u dat in uw bedrijfspand doet. Het is echter wel mogelijk om te eisen dat de thuiswerkers sterke encryptie implementeren op hun modems en routers. Soms kan het verstandig zijn als u de modems of routers zelf levert. Dan weet u in elk geval relatief zeker dat het thuisnetwerk goed beveiligd is. - Beveiliging begint met opvoeding
Beveiligingsprofessionals en hackers worden niet geboren met diepgaande kennis van beveiliging en netwerken. Waarom verwachten we dan dat medewerkers van nature weten wat de nieuwste cyberaanvallen zijn? Toch is dat helaas maar al te vaak de gedachtegang bij veel organisaties. Zij vertrouwen op firewalls, intrusion prevention systemen en antimalware voor de bescherming van hun netwerken, maar vergeten ondertussen de echte zwakke schakel in de keten van beveiliging: de gebruikers. Zelfs grote organisaties met krachtige beveiligingsmaatregelen zijn op de knieën gebracht door naïeve gebruikers die hun inloggegevens in goed vertrouwen uit handen gaven of nieuwe malware binnenlieten op het netwerk.
6 ½. Doe het met beleid
Dit is een halve tip omdat het zo vanzelfsprekend zou moeten zijn. Toch blijkt het dat veel organisaties nog geen beleidsregels hebben opgesteld voor het gebruik van persoonlijke apparaten, werkplekken in huis of toegang tot de bedrijfsnetwerken en -gegevens op afstand. Misschien had dit wel tip nummer 1 moeten zijn: goede, weldoordachte beleidsregels, waar zowel IT als de medewerkers mee kunnen leven, zijn de hoeksteen van alle beveiliging.
Theo Schutte, country manager Fortinet Nederland
