Wereldwijd zijn veel werkende mensen druk bezig hun terugkeer naar kantoor te plannen: fulltime, parttime of een hybride mix van beide. Dit leidt tot een nieuwe, complexe uitdaging voor cybersecurity-teams. Hoe kunnen zij hun organisatie en werknemers beschermen in deze hybride werkomgeving?
In de afgelopen tijd werkten werknemers over de hele wereld gewoon door. Ze kregen te maken diverse beveiligingsproblemen. Maar nu zien we dat mensen langzamerhand weer terugkeren naar het werken op kantoor. Als het aankomt op cybersecurity-trainingen voor werknemers die zowel op kantoor als vanuit huis willen werken, is het gebruik van de juiste ‘tone of voice’ voor deze nieuwe hybride omgeving cruciaal.
Een ding is zeker: er is geen standaardaanpak. De grootschalige incidenten van de afgelopen maanden zijn een goede indicatie voor hoe aanvallen op dit soort hybride omgevingen eruit kunnen zien. Vooral omdat in de huidige situatie veel werknemers hun tijd verdelen op kantoor of thuis, hetgeen catastrofale gevolgen kan hebben.
Het is merkwaardig om te zien dat veel systemen die al een tijd losgekoppeld waren van het beveiligde bedrijfsnetwerk, steeds meer verbonden raken. Tel hierbij op dat zakelijke systemen (mobiel, laptop, etc.) worden gebruikt voor persoonlijke activiteiten door meerdere gezinsleden. Het is duidelijk dat de beveiligingscontroles die ooit waren geïmplementeerd om misbruik van zakelijke apparatuur te voorkomen, in de huidige situatie niet meer gelden. Nu deze apparaten hun weg terug vinden naar het bedrijfsnetwerk, zal dat ernstige gevolgen voor de beveiliging hebben.
En dit is nog maar het topje van de ijsberg. Het gedrag van werknemers is veranderd, evenals de manier waarop teams samenwerken. Bovendien komen er steeds weer nieuwe, onbekende teamleden bij. Waar moeten cybersecurityteams dus prioriteit aan geven nu we overstappen naar een hybride werkmodel?
Apparaten op het bedrijfsnetwerk beveiligen
Als onderdeel van de terugkeer naar kantoor is ‘vulnerability management’ van groot belang. Cybersecurity-teams moeten ervoor zorgen dat alle apparaten die weer verbinding maken met het bedrijfsnetwerk worden opgeschoond en dat de beveiligingsstatus van deze apparaten zorgvuldig wordt geanalyseerd. Dit is om ervoor te zorgen dat er geen malware op het bedrijfsnetwerk wordt verspreid. Verder moet er werk worden verricht op het gebied van ‘asset management’, ‘asset control’ en ‘asset reconfiguration’ en ervoor worden gezorgd dat alle apparaten die langer dan een jaar thuis werden gebruikt gepatcht en geüpdatet worden.
Veranderingen in gebruikersgedrag beoordelen en aanpakken
Het merendeel van ons heeft al een tijd niet meer op kantoor gewerkt en dat brengt vanzelfsprekend gedragsveranderingen met zich mee. Behalve het dragen van pyjamabroeken tijdens Zoom-gesprekken en het versturen van e-mails vanaf de bank, is het veiligheidsgedrag van veel werknemers waarschijnlijk ook veranderd en helaas ook meer ontspannen geworden.
Dergelijke veranderingen in het veiligheidsgedrag vereisen nieuwe cybersecurity-trainingen. Werknemers hebben een nieuwe manier van werken ontwikkeld dus cybersecurity-teams moeten opnieuw duidelijk maken hoe ‘veilig werken’ eruitziet met nieuwe cybersecurity-trainingen.
Hoewel werknemers het risicovolle gedrag moeten vermijden, zijn er ook dingen die juist moeten worden aangemoedigd, zoals samenwerking.
Samenwerking in stand houden
Vanwege de pandemie hebben veel werknemers de overgang gemaakt naar telewerken en daardoor hebben zij ook nieuwe manieren gevonden om met elkaar samen te werken: via leveranciers, externe partijen en klanten. Dit is erg succesvol gebleken voor de bedrijfscontinuïteit, maar hoe kan dit de op lange termijn veilig gebeuren?
E-mail is nog steeds het belangrijkste kanaal voor zakelijke communicatie. Toch gebruiken werknemers steeds vaker andere telecommunicatiediensten voor videogesprekken of chat. Veel werknemers hebben wellicht applicaties gedownload die niet worden gebruikt voor dagelijkse werkzaamheden.
Dit zal waarschijnlijk een grote beveiligingsuitdaging blijven. Cybercriminelen zijn opportunistisch. Ze beseffen maar al te goed dat deze samenwerkingsdiensten ideaal zijn om malware in een organisatie te verspreiden.
Organisaties moeten zich bewust zijn van alle nieuwe kanalen, applicaties en diensten die mogelijk nieuwe doelwitten kunnen zijn voor cyberaanvallen. Je wilt systemen niet afsluiten en deze manieren van werken niet toestaan, maar je moet je er wel bewust van zijn en ze goed beveiligen.
Dezelfde bedreigingen, dezelfde doelwitten
Ongeacht de werklocatie blijft één ding hetzelfde: mensen zijn het voornaamste doelwit. Uit het meest recente Verizon DBIR-rapport blijkt dat phishing (36%) het afgelopen jaar de meest voorkomende tactiek was bij cyberaanvallen. Bij 85% van de veiligheidsinbreuken speelde het menselijke element een rol. Cybercriminelen zullen voortdurend doordachte phishing-aanvallen gebruiken om werknemers te bereiken. De reden hiervoor is omdat ze begrijpen dat slechts één klik voldoende is voor een succesvolle cyberaanval. Cybercriminelen begrijpen ook dat inloggegevens de jackpot zijn vanwege de toegang tot data die zich steeds vaker in de cloud bevindt. Vorig jaar werden bij 61% van alle veiligheidsincidenten inloggegevens gebruikt.
Nieuwe gezichten, nieuwe bedreigingen
Nieuwe werknemers zijn het perfecte doelwit voor social engineering en een phishing-aanval. Ze zijn nog niet aan veel collega’s voorgesteld. En hebben vaak ook geen cybersecurity-training gehad. Daarnaast bestaan er ook nog fysieke veiligheidsdreigingen. Tijdens de pandemie zijn veel werknemers aangenomen zonder dat zij teamleden persoonlijk hebben ontmoet. Dit opent de mogelijkheid voor onbevoegde bezoekers om het kantoor binnen te komen met alle veiligheidsrisico’s van dien.
Geen one-size-fits-all
De uitdagingen op het gebied van beveiliging waarmee organisaties worden geconfronteerd zijn net zo goed hybride. En er is geen pasklare oplossing. Organisaties kunnen werknemers beschermen en hun beveiliging verbeteren door hun beveiligingscontroles aan te passen aan hoe mensen tegenwoordig werken. Om de incidenten te voorkomen moet er op drie aspecten verbetering komen, namelijk op het gebied van mensen, processen en technologie. Hierbij moet een mensgerichte aanpak van cybersecurity centraal staan.
Bedrijven moeten ervan uitgaan dat iemand binnen hun organisatie een beveiligingsstrategie opstelt die de mens centraal zet. Het is van cruciaal belang dat organisaties hun werknemers trainen in de geavanceerde cyberaanvallen van tegenwoordig. Bedrijven moeten ervoor zorgen dat de kwetsbaarheid van eindgebruikers geanalyseerd wordt. En hen trainingen bieden. Deze trainingen moeten werknemers de kwaliteiten bieden om zichzelf te beschermen, ongeacht of dit nou op kantoor, thuis of in het nieuwe hybride model is.
Adenike Cosgrove, Cybersecurity Strategist bij Proofpoint
