Security: de deur op slot, maar wel 180 leveranciers toegang geven
4 september 2017 -
We kunnen er niet meer omheen, in mei 2018 gaat de GDPR van kracht. En hoewel we hier in Nederland al sinds 2016 te maken hebben met de meldplicht datalekken, denkt Gartner dat de helft van de ondernemingen er nog niet klaar voor is.
Stuart Facey, VP EMEA bij Bomgar, kan in ieder geval al één reden aanwijzen waarom we er nog niet klaar voor zijn. "Aan de ene kant plaatsen we overal sloten op de IT-infrastructuur, maar vervolgens geven we gemiddeld wel 180 externe leveranciers ongecontroleerde toegang tot onze bedrijfsnetwerken. We doen dus de deur op slot, maar leggen de sleutel onder de bloempot." Een groot probleem, zeker nu inloggegevens steeds vaker het doelwit zijn van hackers. In dit artikel gaat Facey in op het belang van Privileged Access Management om veilig samen te kunnen werken met externe leveranciers.
Onderzoek naar datalekken
Wekelijks lezen we in de media berichten over datalekken en hacks. Zo werden recent verschillende leasemaatschappijen, kabeltelevisienetwerk HBO en een groot cryptomuntenplatform al slachtoffer en bleken er deze week 711 miljoen e-mailadressen, die opgeslagen lagen op een Nederlandse server, te zijn gebruikt om spam mee te verzenden. "De datalekken bij HBO zijn waarschijnlijk ontstaan na een hack bij één van hun distributiepartners", vertelt Facey. "Hierdoor kwam onder andere een aflevering van Game of Thrones voor de officiële uitzending al online te staan. Dit zagen we eerder ook gebeuren bij de populaire Netflix-serie Orange Is The New Black. Na een succesvolle ransomware-aanval, waarbij een externe leverancier werd gehackt, werd het nieuwste seizoen gegijzeld. We zien dit soort aanvallen steeds vaker gebeuren. Door externe leveranciers te hacken, proberen cybercriminelen binnen te komen bij high-profile organisaties."
Toegang tot het bedrijfsnetwerk
Bomgar deed onlangs internationaal onderzoek onder IT-professionals om in kaart te brengen hoe organisaties omgaan met het verlenen van toegang tot hun bedrijfsnetwerk. Hieruit blijkt dat gemiddeld 181 externe leveranciers wekelijks toegang hebben; een verdubbeling ten opzichte van 2016. Bovendien geeft maar liefst 35 procent van de IT-professionals aan dat datalekken die zij ervaren hebben te herleiden waren naar een externe leverancier. 34 procent weet dit niet zeker, maar geeft aan dat dit zeker mogelijk is. Facey: "Het aantal leveranciers dat toegang krijgt, neemt alleen maar toe. We verplaatsen steeds meer naar de cloud, de digitalisering neemt toe en dan hebt u nog de snelle opkomst van het Internet of Things. Allemaal redenen waarom steeds meer IT-afdelingen voor het verlenen van een optimale dienstverlening afhankelijk zijn van samenwerkingen. Op zichzelf is dat geen probleem, mits u ervoor zorgt dat de toegang op een veilige manier verleend wordt. In de praktijk schort het daar nogal eens aan. De meeste organisaties hebben geen idee wie zich waar op het netwerk bevindt. Op het moment dat er dan een systeem uitvalt of een datalek ontstaat, is het bijna onmogelijk te achterhalen wie er verantwoordelijk is."
VPN veroorzaakt blinde vlek
De verscherpte wet- en regelgeving op het gebied van privacy en security zorgt ervoor dat datalekken ernstige financiële consequenties kunnen hebben en op zijn minst zorgen voor een flinke deuk in het imago. "In Nederland lijken bedrijven zich ondanks alle berichtgeving nog weinig zorgen te maken. Het is mij in de gesprekken hier opgevallen dat velen het toch wel voor elkaar denken te hebben. Als we specifiek kijken naar leverancierstoegang laat de praktijk echter toch anders zien. Het ontbreekt IT-afdelingen volledig aan inzicht, alleen realiseren ze zich dat niet. Dit gebrek aan inzicht ontstaat doordat het grootste deel van de organisaties werkt met een VPN voor het verlenen van toegang aan derden. Men gaat er vanuit dat dit veilig is, maar het tegendeel is waar. Ja, het is veilig wanneer u op die manier de toegang managet voor medewerkers die thuiswerken of reizen, maar niet voor het beheren van verbindingen met (soms onbekende) externe leveranciers. Een VPN-connectie hoeft niet eens gehackt te worden; wanneer een cybercrimineel toegang krijgt tot de ingang van de tunnel aan de kant van de leverancier, heeft hij een open verbinding naar het bedrijfsnetwerk. Als organisatie kan het maanden duren voordat u erachter bent dat er iemand op het netwerk is geweest en dan nog achterhalen wie het was, is onbegonnen werk. Organisaties kunnen de deur nog zo goed op slot doen, maar als u de sleutel onder de deurmat legt en niet monitort wie er binnenkomt, loop tu nog steeds gevaar."
Privileged Access Management
Misbruik van aanmeldingsgegevens en accounts met speciale toegangsrechten zijn steeds vaker de veroorzaker van datalekken. "Gek genoeg zien we Privileged Access Management echter bijna niet terugkomen in de top tien securityprioriteiten. De focus ligt meer op losse infrastructuuroplossingen voor bijvoorbeeld applicatie-, netwerk- en gebruikersbeveiliging. De privileged user is echter degene die toegang heeft tot de belangrijkste informatie op de bedrijfsservers en is daarmee een waardevolle schietschijf voor hackers. Met Privileged Access Management beveiligt u de toegang die u aan externe leveranciers geeft. Dit gebeurt bijvoorbeeld door middel van multi-factor authenticatie, het verlenen van toegang op verschillende niveaus en het auditen van alles sessies op het netwerk. Tenslotte is het cruciaal dat er geen directe verbindingen gelegd worden met het bedrijfsnetwerk door middel van een VPN. Dit maakt het niet alleen moeilijker voor een hacker om gestolen inloggegevens te gebruiken, maar verhoogt ook de compliancy met wet- en regelgeving rondom databeveiliging."
De resultaten van het onderzoek zijn gepubliceerd in het ‘2017 Secure Access Threat Report’. Deze is vrijblijvend te downloaden.
