Zo zorgt u voor een veilige digitale werkomgeving
De afgelopen jaren hebben we twee angstaanjagende trends gezien op het gebied van cyber security. Ten eerste blijkt dat cybercriminaliteit, zoals ransomware, social engineering (bijv. phishing), data diefstal en hacks steeds vaker voorkomen. Vorig jaar was er zelfs een stijging van 92.7% in het aantal ransomware aanvallen! Daarnaast staan cybercriminelen nooit stil en maken zij constant gebruik van nieuwe technieken.
De andere trend, die wellicht iets minder voor de hand ligt, is de enorme toename van het hybride werken. Werknemers maken niet meer uitsluitend gebruik van de goed beveiligde netwerken en computers die op kantoor aanwezig zijn, maar eigen/werk laptops en wifi-netwerken. Hierdoor zijn er vaak meer zwakke plekken waar hackers graag gebruik van maken.
Helaas is de verwachting dat beide trends ook de komende jaren door gaan zetten, wat voor security experts een grote uitdaging oplevert.
Daarom neem ik u vandaag mee in de wereld van identity management en vertel ik u over de belangrijkste maatregelen die u moet treffen om te zorgen dat uw medewerkers hun werk op een veilige manier uit kunnen voeren.
1. Gebruik een Zero Trust model
Momenteel wordt vaak de volgende procedure gebruikt: een medewerker krijgt een (nieuwe) laptop van de zaak, deze wordt geïnstalleerd en wordt beveiligd door middel van een gebruikersnaam en wachtwoord. Vanaf dit moment wordt de laptop gezien als een vertrouwd toestel en krijgt de gebruiker direct toegang tot alle systemen na het invoeren van zijn of haar wachtwoord.
Dit is een gevaarlijke situatie! Omdat er alleen gecontroleerd wordt op basis van een wachtwoord en de identiteit van de inlogger niet wordt gecheckt, kan een hacker die het wachtwoord achterhaald heeft op ieder moment inloggen.
Bij een Zero Trust model is dit niet het geval. Hierbij is de standaard dat geen enkel toestel vertrouwd wordt. De aanname is dat er inbreuk gemaakt is op het toestel en dat het wachtwoord achterhaald is.
Omdat er geen standaard vertrouwen is wordt naast het wachtwoord ook de identiteit van de gebruiker gecheckt op meerdere fronten. Denk hierbij aan multi-factor authenticatie, check van het toestel ID, het monitoren van en zoeken naar verdacht gedrag en locatie checks. Daarnaast wordt vaak niet het hele systeem vrijgegeven, maar alleen de programma’s en data die voor de gebruiker benodigd zijn.
2. Multi-factor authenticatie
Omdat wachtwoorden relatief makkelijk te achterhalen zijn, zijn deze op zichzelf niet voldoende om de systemen te beveiligen. Daarom is het belangrijk om gebruik te maken van multi-factor authenticatie. Hierbij wordt de identiteit van de persoon die in probeert te loggen gecheckt.
Vaak gebeurt dit door middel van een ander toestel in combinatie met een vingerafdruk of gezichtsherkenning en soms ook met locatie. Voor cybercriminelen is het dus niet genoeg om een wachtwoord te kraken, omdat ze ook de telefoon en biometrische gegevens van de gebruiker nodig hebben.
3. Wachtwoord gebruik van medewerkers
Password, 12345678, querty123.
Je zou het misschien niet geloven maar de wachtwoorden hierboven staan in de top 10 van de meest gebruikte wachtwoorden. Maar het gevaar ligt hem niet alleen in het gebruik van voor de hand liggende wachtwoorden, ook “zwakke” wachtwoorden vormen een grote bedreiging.
Uit onderzoek blijkt dat wachtwoorden die uit minder dan 10 tekens bestaan te kraken zijn binnen enkele seconden tot een paar uur! Zorg daarom dat uw medewerkers zich bewust zijn van en houden aan de volgende best practices voor wachtwoorden:
Zorg dat wachtwoorden altijd meer dan 10 tekens bevatten (hoe meer hoe beter).
Maak gebruik van hoofdletters, kleine letters, cijfers EN tekens.
Vermijd het gebruik van bestaande woorden in een wachtwoord.
Gebruik geen persoonlijke data zoals geboortedatum, namen, plaatsen en dergelijke.
Vermijd voor de hand liggende combinaties (123, qwerty, 111, abc, etc.)
Het lijkt wellicht overduidelijk, maar onderzoek wijst uit dat veel mensen deze richtlijnen niet volgen.
4. Identificeer cruciale data en bescherm deze
Uiteraard is niet alle bedrijfsdata van hetzelfde belang. Betalingsgegevens van klanten of informatie die essentieel is voor de bedrijfsvoering is voor zowel u als hackers waardevoller dan interne emails en memo’s.
Daarom dus aan u de taak om te identificeren welke kritieke data uw bedrijf heeft en deze beter te beveiligen. Dit kan bijvoorbeeld door middel van extra identiteitschecks, toestemming van een 2e gebruiker en enkel toegang te verlenen voor bevoegde medewerkers.
5. Maak gebruik van automatisering
Hackers doen meer dan het kraken van systemen. Vaak maken ze juist gebruik van menselijke fouten om toegang te krijgen tot systemen en data. Door het gebruik van automatisering zitten er minder handelingen in uw processen en verkleint u dus de kans op menselijk falen.
6. Werk op een “need-to-know” basis
Het komt vaak voor dat medewerkers toegang hebben tot meer systemen en gegevens dan zij nodig hebben voor hun werk. Dit zorgt voor een groter bedrijfsrisico bij een cyberaanval terwijl het letterlijk geen enkel voordeel heeft voor de bedrijfsvoering.
Kijk daarom altijd naar de taken van elke werknemer en geef hiervoor de juiste toegang. Wanneer een medewerker niet per se toegang nodig heeft, dan dient diegene die toegang ook niet te krijgen. Beperkt dit tot enkel de benodigde systemen en data.
Note: Dit kan gecombineerd worden met een zogeheten “just in time” systeem, waarmee (na verificatie) tijdelijke toegang verleend kan worden. Bijvoorbeeld wanneer de klantenservice bij een klant moet inloggen om een probleem op te lossen.
7. Reguliere audits en checks
Cybersecurity verandert constant, omdat hackers dit ook doen.
Zelfs wanneer u alle huidige best-practices toepast zoals we die hier besproken hebben kan het zijn dat deze maatregelen volgend jaar (of over enkele maanden) niet meer goed genoeg zijn om kwaadwillende buiten de deur te houden. Blijf daarom altijd op de hoogte van de laatste trends en vernieuwingen op het gebied van cybersecurity en loop de processen regelmatig na op kwetsbaarheden.
8. Houd uw kennis up to date
Om identity management en cybersecurity voor uw bedrijf in goede banen te leiden is de nodige kennis van belang. Om deze reden bied IMF Academy de cursus Identity & Access Management (IAM) aan.
Wij raden ten zeerste aan om uzelf of een van uw collega’s op te laten leiden op het gebied van identity management. De opleiding geeft u alle nodige kennis om uw bedrijf optimaal te beschermen tegen cyberaanvallen, zelfs wanneer medewerkers vanuit huis werken.
