Het mobiele werken & de integriteit en vertrouwelijkheid van bedrijfsinformatie
Timo Heideman Remco ten Berge Postgraduate IT Audit Opleiding Vasse, 2013
Postgraduate opleiding Vrije Universiteit Amsterdam
Academisch jaar:
2012-2013
Naam student:
Remco ten Berge
Studentnummer:
2177382
Email student:
[email protected]
Naam student:
Timo Heideman
Studentnummer:
2161621
Email student:
[email protected]
Bedrijfsbegeleider:
Gert Wolfert
Docentbegeleider:
Rene Matthijsse
Pagina 2 van 65
Voorwoord Dit onderzoek is uitgevoerd ter afronding van de Postgraduate IT-audit Opleiding aan de Vrije Universiteit, te Amsterdam. Graag zouden wij van deze gelegenheid gebruik maken om de mensen te bedanken die bijgedragen hebben aan het tot stand komen van deze scriptie of ons hebben gesteund tijdens het scriptieproces. Allereerst willen wij onze ouders, familie, vrienden, andere collega’s en in Remco’s geval ook zijn vriendin Ilse bedanken die ons hebben gesteund en ondersteund tijdens het gehele scriptieproces. Een bijzonder woord van dank gaat uit naar onze docent- en praktijkbegeleiders René Matthijsse en Gert Wolfert voor de begeleiding, adviezen en overlegmomenten welke een grote bijdrage hebben geleverd aan de totstandkoming van deze scriptie. Vasse, 22 september 2013 Remco ten Berge Timo Heideman
Pagina 3 van 65
Inhoudsopgave 1.
Inleiding ............................................................................................................................... 6 1.1
Aanleiding ................................................................................................................... 6
1.2
Vraagstelling, onderzoeksvraag en deelvragen........................................................... 8
1.3
Doelstelling en afbakening .......................................................................................... 9
1.3.1
Doelstelling ............................................................................................................. 9
1.3.2
Doelgroep ............................................................................................................... 9
1.3.3
Afbakening .............................................................................................................. 9
1.3.4
Definities ................................................................................................................. 9
1.4
2.
1.4.1
Literatuuronderzoek .............................................................................................. 11
1.4.2
Praktijkonderzoek .................................................................................................. 11
Literatuuronderzoek ........................................................................................................... 13 2.1
Inleiding..................................................................................................................... 13
2.2
Het mobiele werken .................................................................................................. 13
2.3
Trends en het mobiele werken .................................................................................. 15
2.3.1
Apparatuur die het mobiele werken ondersteunt ................................................... 16
2.3.2
Verschijningvormen van het mobiele werken ........................................................ 18
2.4
Best practices en richtlijnen ten aanzien van het mobiele werken ............................. 21
2.4.1
Risico model mobiel werken .................................................................................. 24
2.4.2
Risico kwadrant mobiel werken ............................................................................. 25
2.5
Traditionele IT omgeving ........................................................................................... 26
2.5.1
Beheerorganisatie ................................................................................................. 26
2.5.2
Eindgebruiker ........................................................................................................ 26
2.5.3
IT infrastructuur ..................................................................................................... 27
2.5.4
Device ................................................................................................................... 28
2.6
Verschillen en inherente risico’s ................................................................................ 29
2.6.1
Grens van de organisatie ...................................................................................... 29
2.6.2
Veranderingen bij het mobiele werken .................................................................. 30
2.6.3
Risico’s bij het mobiele werken ............................................................................. 31
2.7
Informatiebeveiliging ................................................................................................. 33
2.7.1
Proces van informatiebeveiliging ........................................................................... 33
2.7.2
Beveiligingsmaatregelen ....................................................................................... 35
2.8 3.
Research design ....................................................................................................... 11
Samenvatting ............................................................................................................ 40
Praktijkonderzoek .............................................................................................................. 41 3.1
Inleiding..................................................................................................................... 41 Pagina 4 van 65
3.2
Organisatie................................................................................................................ 41
3.2.1
IT organisatie ........................................................................................................ 41
3.2.2
IT infrastructuur ..................................................................................................... 41
3.2.3
VDI concept .......................................................................................................... 42
3.2.4
Aanpak case study ................................................................................................ 43
3.3
Bevindingen in de praktijk ......................................................................................... 45
3.3.1
Beheerorganisatie ................................................................................................. 45
3.3.2
Eindgebruiker ........................................................................................................ 46
3.3.3
IT Infrastructuur ..................................................................................................... 47
3.3.4
Devices ................................................................................................................. 48
3.4
Analyse en conclusies ............................................................................................... 49
4.
Beschouwing ..................................................................................................................... 51
5.
Beantwoording centrale vraagstelling ................................................................................ 54 5.1
Beantwoording deelvragen........................................................................................ 54
5.2
Beantwoording centrale vraagstelling........................................................................ 55
5.3
Slotopmerkingen en beperkingen van het onderzoek................................................ 57
Bijlage A Literatuurlijst .............................................................................................................. 58 Bijlage B Beheersmaatregelen praktijkonderzoek ..................................................................... 62 Bijlage C Mapping beheersmaatregelen theorie en praktijk ...................................................... 64
Pagina 5 van 65
1. Inleiding 1.1 Aanleiding Augustus 2011, een boze systeembeheerder logt in op het netwerk van zijn voormalige werkgever via een open Wi-Fi netwerk en veroorzaakt voor $ 300.000 aan schade [SEC04]. Januari 2013, een Amerikaans hospice dient de Amerikaanse overheid $ 40.000 te betalen voor het verliezen van een on-versleutelde laptop met privacy gevoelige gegevens van patiënten [SEC01]. Mobiele malware zal volgend jaar zowel voor consumenten als bedrijven een probleem worden, waarbij besmette apparaten zelfs als backdoor binnen organisaties kunnen fungeren [SEC02]. Steeds meer mensen werken op hun smartphone of tablet en daarnaast worden vaker privé apparaten naar de werkvloer meegenomen. Dat betekent dat er behalve een zogeheten bring your own beleid ook behoefte is aan security [COMP03]. Het beveiligingsbeheer van het groeiende aantal laptops, Blackberries, USB-apparaten en andere mobiele apparaten is de grootste uitdaging sinds de millenniumbug [SEC03]. De stortvloed aan nieuwe mobiele apparatuur bezorgt IT-beheerorganisaties aardig wat kopzorgen. Iedereen met een mooie nieuwe smartphone of tablet wil natuurlijk zijn zakelijke email lezen en het liefst ook andere zakelijke taken uitvoeren. Maar een toenemend extern gebruik van bedrijfstoepassingen en -informatie betekent ook meer risico’s. Beveiliging en beheersbaarheid van alle apparatuur geschikt voor telewerken wordt nog belangrijker [COMP01]. Met de huidige toename van de mobiele apparaten wordt verwacht dat de telefoon en tablet de nieuwe laptop zullen zijn. Alle data die beschikbaar is via een mobiel apparaat zorgt ervoor dat elke medewerker op elk moment op de hoogte is en kan zijn van elk benodigd bedrijfsonderdeel [COMP02]. Van de ruim 6 miljoen werknemers in Nederland die in 2010 per week 12 uur of meer werken, beschouwt 1 miljoen zich als telewerker. Dat is 16 procent. Van de vakspecialisten – zoals architecten, ingenieurs, systeemanalisten, kunstenaars – en leidinggevenden geeft 35 procent op dat men over telewerkfaciliteiten beschikt [CBS01]. Middels het mobiele werken concept wordt informatie (ook bedrijfskritische informatie) op een andere wijze ontsloten van het bedrijf dan in een traditionele omgeving waarbij de medewerker fysiek aanwezig is bij de organisatie en daar gebruik maakt van de IT middelen die aan hem ter beschikking zijn gesteld. Het op een andere wijze ontsluiten van bedrijfskritische informatie brengt een aantal risico’s met zich mee. Zie bovenstaande praktijkvoorbeelden. Door de toename van het gebruik van het mobiele werken, worden deze risico’s nog verder vergroot. Met name de risico’s ten aanzien van integriteit en vertrouwelijkheid van de bedrijfsinformatie zijn belangrijk om in gedachten te houden wanneer men medewerkers de mogelijkheid biedt om Pagina 6 van 65
vanaf externe locaties met de bedrijfskritische informatie aan de slag te gaan. Ook dit blijkt onder andere uit de verscheidene nieuwsberichten dat laptops, usb sticks en andere informatiedragers kwijt raken, waardoor vertrouwelijke gegevens op straat komen te liggen en als gevolg hiervan de privacy niet gewaarborgd is [SEC05]. Deze voorbeelden en de uitdagingen welke deze met zich mee brengen om de integriteit en vertrouwelijkheid van de bedrijfsgegevens te waarborgen, zijn voor ons de aanleiding geweest om ons onderzoek hierop te richten.
Figuur 1 ‐ Samenhang onderzoek
In de bovenstaande figuur (figuur 1) wordt de samenhang weergegeven tussen de verschillende aspecten welke hierboven zijn weergegeven. Uit bovenstaand figuur kan worden opgemaakt dat door het toepassen van het mobiele werken het aantal risico’s toeneemt ten opzichte van de traditionele IT omgeving. Van een traditionele omgeving die beheerd wordt door de werkgever naar een IT omgeving waar de werkgever minder grip het beheer en beveiligingsmaatregelen op heeft (buiten de fysieke grenzen van de onderneming). Ondanks de verandering zullen de informatievoorziening, gegevensuitwisseling en informatiegebruik met de bijbehorende kwaliteitsaspecten gewaarborgd moeten worden. Dit onderzoek is met name gericht op het segment MKB+. Dit segment krijgt in het algemeen minder aandacht vanuit het vakgebied, terwijl daar nu juist veel ontwikkelingen op het gebied van mobiel werken, sociale media en IT beheer plaatsvinden. Om deze reden hebben wij gemeend ons onderzoek in het MKB+ segment en bij een MKB+ organisatie uit te voeren.
Pagina 7 van 65
1.2 Vraagstelling, onderzoeksvraag en deelvragen Het mobiele werken en de verschillende vormen ervan brengt risico’s met zich mee ten aanzien van de vertrouwelijkheid en integriteit van bedrijfsinformatie, welke door het implementeren van adequate beheersmaatregelen door de organisaties beheerst dienen te worden. Onderzoeksvraag: Wat zijn de inherente risico’s van het mobiele werken en hoe kunnen MKB+ organisaties ervoor zorgen dat zij het risiconiveau ten aanzien integriteit en vertrouwelijkheid van de bedrijfsinformatie bij het faciliteren van het mobiele werken minimaal gelijk te houden ten opzichte van de traditionele IT omgeving. Deelvragen: Beschrijvend: ‐
Wat zijn de verschillen en inherente risico’s van het mobiele werken ten opzichte van de traditionele IT omgeving?
‐
Hoe kunnen de onderkende inherente risico’s volgens de literatuur worden gemitigeerd?
Analyserend: ‐
Op welke wijze is het mobiele werken in de praktijk geïmplementeerd en welke beheersmaatregelen zijn hierbij getroffen?
Beschouwend: ‐
Worden de in het literatuuronderzoek onderkende risico’s voldoende afgedekt door de
‐
Welke werkwijze en beheersmaatregelen zijn cruciaal die geïmplementeerd moeten
beheersmaatregelen welke in de praktijk zijn getroffen? worden en kunnen deze in een hanteerbaar overzicht geplaatst worden?
Pagina 8 van 65
1.3 Doelstelling en afbakening 1.3.1
Doelstelling
Het doel van ons onderzoek is om tot een aanpak te komen welke MKB+ bedrijven kunnen hanteren wanneer zij besluiten om het mobiele werken te introduceren binnen hun organisatie. Deze aanpak dient ervoor te zorgen dat het risiconiveau met betrekking tot integriteit en vertrouwelijkheid van bedrijfsinformatie zoveel mogelijk op gelijke hoogte blijft als wanneer men het mobiele werken niet zou implementeren. Ten einde dit te bereiken zullen wij een werkwijze met daarbij mogelijk te treffen beheersmaatregelen opstellen. 1.3.2
Doelgroep
Het resultaat van ons onderzoek is bedoeld voor MKB+ bedrijven met een normaal tot laag risicoprofiel. Dit houdt in dat grotere bedrijven of bedrijven met een verhoogd risicoprofiel wellicht aanvullende of andere werkwijzen en beheersmaatregelen dienen te treffen dan de aanpak uit deze scriptie bevat. Een belangrijke reden hiervoor is dat het kans aspect, van de risico’s welke betrekking hebben op ons onderzoek, toeneemt wanneer bedrijven een grote naamsbekendheid genieten of wanneer er veel gewin te behalen valt. Hierbij kan men denken aan multinationals, financiële instellingen of overheden. 1.3.3
Afbakening
Het onderzoek zal zich met name focussen op de kwaliteitsaspecten integriteit en vertrouwelijkheid van bedrijfsinformatie. Wij hebben voor deze kwaliteitsaspecten gekozen op basis van de gevonden artikelen welke in de aanleiding zijn benoemd. Uit deze artikelen valt op te maken dat met name de kwaliteitsaspecten integriteit en vertrouwelijkheid hierbij een grote rol hebben gespeeld. Wij onderkennen de relevantie van de kwaliteitsaspecten beschikbaarheid en controleerbaarheid, ook bij het mobiele werken. Echter op basis van de artikelen beschreven in de aanleiding hebben wij ervoor gekozen om de kwaliteitsaspecten beschikbaarheid en controleerbaarheid buiten scope te laten. De resultaten van ons onderzoek hebben betrekking op MKB+ bedrijven welke het mobiele werken gaan toepassen, of reeds hebben toegepast. Het gaat hierbij om MBK+ bedrijven met een normaal tot laag risico profiel, hierdoor is dit onderzoek en resultaten niet van toepassing op bijvoorbeeld banken en verzekeraars. Een kwaadwillende medewerker kan bijna altijd informatie waar hij toegang toe heeft aan de organisatie onttrekken. Derhalve hebben wij ervoor gekozen om risico’s met betrekking tot de integriteit en vertrouwelijkheid ten aanzien van bedrijfsinformatie, veroorzaakt door eigen kwaadwillende medewerkers van de organisatie, buiten scope te laten. 1.3.4
Definities
Ter verduidelijking hebben wij hieronder de belangrijkste definities voor ons onderzoek hieronder uiteen uitgezet.
Pagina 9 van 65
Bedrijfsinformatie: Met bedrijfsinformatie wordt de informatie bedoeld welke door organisaties wordt gegeneerd, verzameld en verwerkt ten einde de bedrijfsvoering mogelijk te maken. Verder is bedrijfsinformatie niet publiekelijk toegankelijk, maar alleen bestemd voor directe betrokkenen bij de organisatie die geautoriseerd zijn om de informatie te benaderen. Integriteit: Is de mate waarin gegevens of functionaliteit juist, volledig, tijdig en onweerlegbaar zijn vastgelegd en ingericht. Vertrouwelijkheid: Is de mate waarin de toegang tot gegevens of functionaliteit beperkt is tot degenen die daartoe bevoegd zijn. Risico’s: Een risico is de kans van optreden van een ongewenste gebeurtenis vermenigvuldigd met de impact die de gebeurtenis heeft. Beheersmaatregelen: Een beheersmaatregel is een maatregel die er voor zorgt dat de kans en/of de impact van ongewenste gebeurtenis zo klein mogelijk is. MKB+: Onder MKB+ bedrijven verstaan wij grote niet beursgenoteerde bedrijven en bedrijven in het middelgroot, midden en kleinbedrijf. Traditionele IT omgeving: Een MKB+ IT omgeving bestaande uit servers, werkstations, netwerkinfrastructuur en informatiesystemen, waarbij toegang tot de bedrijfsinformatie niet mogelijk is buiten de fysieke grenzen van de organisatie. Mobiel werken: Mobiel werken is het gebruik van ICT middelen om locatie onafhankelijk, 24/7 met bedrijfskritische elektronische gegevens te kunnen werken (op te slaan, te verwerken en/of te transporteren) buiten de fysieke grenzen van het bedrijf.
Pagina 10 van 65
1.4 Research design Ons research design bestaat uit 3 hoofdstappen, te weten literatuuronderzoek, praktijkonderzoek en het analyseren van de uitkomsten van de voorgaande stappen en op basis daarvan conclusies trekken en aanbevelingen benoemen.
Figuur 2 ‐ Weergave Research Design
1.4.1
Literatuuronderzoek
Omdat het onderwerp van ons onderzoek constant aan veranderingen en nieuwe ontwikkelingen onderhevig is en om gebruik te kunnen maken van de meest actuele broninformatie, hebben wij voornamelijk gebruik gemaakt van artikelen gevonden binnen vakliteratuur en op het internet. Het mobiele werken is een actueel onderwerp binnen de IT branche, veel bedrijven willen er gebruik van gaan maken of doen dit inmiddels al. Hierbij treden veranderingen op in de risico’s omtrent de bedrijfsinformatie, maar is nog niet altijd duidelijk welke veranderingen dat mogelijk kunnen zijn en welke beheersmaatregelen bedrijven tegen deze nieuwe of gewijzigde risico’s kunnen treffen. Op internet en in de vakbladen zijn al veel artikelen gepubliceerd over dit onderwerp, echter er zijn niet of nauwelijks wetenschappelijke artikelen over te vinden. Daarom zullen we voor onze literatuurstudie met name gebruik gaan maken van deze artikelen op het internet en uit de vakbladen. 1.4.2
Praktijkonderzoek
De organisatie waar wij het praktijkonderzoek uitvoeren, bevindt zich op het moment van onderzoek in de implementatiefase van een Virtual Desktop Infrastructure (VDI) oplossing. De VDI oplossing maakt het mogelijk voor medewerkers om zowel tijdens als buiten kantooruren vanaf een externe locatie toegang te krijgen tot systemen, applicaties en digitale bedrijfsgegevens. Het praktijkonderzoek betreft een middel groot accountantskantoor verdeeld over circa 20 vestigingen binnen Nederland.
Pagina 11 van 65
Middels het uitvoeren van diverse experts interviews willen wij inzicht verkrijgen in de gemaakte keuzes en de getroffen beheersmaatregelen. In de laatste fase van ons onderzoek zullen wij de uitkomsten van de literatuurstudie en praktijkonderzoek nader analyseren en vergelijken. Op basis hiervan zullen we een aantal conclusies trekken ten aanzien van de veranderingen in de risico’s en aanbevelingen doen hoe deze risico’s op hun beurt door de bedrijven gemitigeerd kunnen worden. Daarnaast zullen wij deze resultaten verwerken in een hanteerbaar overzicht.
Pagina 12 van 65
2. Literatuuronderzoek 2.1 Inleiding In dit hoofdstuk wordt allereerst de mobiele omgeving uiteengezet, vervolgens zal er een globaal inzicht worden verkregen in de traditionele IT omgevingen bij MKB+ organisaties. Aansluitend zullen de verschillen en risico’s behandeld worden welke inherent zijn bij het mobiele werken. Daarbij zullen eveneens de meeste recente technologische ontwikkelingen en verschijningsvormen op het gebied van mobiel werken worden behandeld. Hierbij wordt de focus gelegd op veranderingen welke impact of een relatie hebben met de integriteit en vertrouwelijkheid van bedrijfsgegevens. Dit ten einde onderstaande deelvragen te kunnen beantwoorden; ‐
Wat zijn de verschillen en inherente risico’s van het mobiele werken ten opzichte van de traditionele IT omgeving?
‐
Hoe kunnen de onderkende inherente risico’s volgens de literatuur worden gemitigeerd?
2.2 Het mobiele werken Om een beter beeld te verkrijgen wat wordt verstaan onder het mobiele werken, wordt hieronder eerst de definitie uiteengezet welke wij hanteren voor dit onderzoek. Uit een onderzoek van de verschillende artikelen blijkt dat er geen een standaard definitie is van het mobiele werken. Wij hebben onderstaande definities in de literatuur aangetroffen: -
Telewerken betreft arbeid waarbij door het gebruik van informatie- en communicatietechnologie de arbeidslocatie voor tenminste 20 procent van de arbeidstijd is gescheiden van de werk - of opdrachtgever [TNO01];
-
Mobiele werkers zijn medewerkers die geregeld voor het eigen werk een draagbaar apparaat met ten minste 3G- technologie gebruikt voor toegang tot internet [CBS01];
-
Telework is any form of substitution of in- formation technologies (such as telecommunications and computers - but not necessarily both) for work-related travel; moving the work to the workers instead of moving the workers to work [JALA];
-
Arbeid die op afstand van de werk- of opdrachtgever wordt uitgevoerd met behulp van informatie- en communicatietechnologie (ICT) [TNO02].
-
De Vries onderscheid verschillende vormen van telewerken/mobiel werken waarbij de volgende definities naar voren komen [VRIES01]; “Telewerken: een vorm van arbeid die op afstand van werk- of opdrachtgever wordt uitgevoerd met behulp van ICT. In het algemeen worden de volgende categorieën van telewerken onderscheiden: 1. Multi-site telewerken. Tele-thuiswerken. Iemand werkt thuis voor één werkgever. Telewerken vindt op structurele basis plaats en is meer dan (incidenteel) werken in de avonduren (“day extending”), weekenden of soms
Pagina 13 van 65
tijdens een werkdagdeel. Over het algemeen is hierbij sprake van een arbeidsovereenkomst. 2. Mobiel telewerken. Een medewerker werkt op meerdere en wisselende plekken (bijvoorbeeld bij klanten) en gebruikt mobiele telecommunicatieapparatuur voor contact met de opdrachtgever en/of collega’s op kantoor. Hierbij zal meestal sprake zijn van een arbeidsovereenkomst. 3. Freelance telewerken. Iemand werkt altijd vanuit huis voor meerdere opdrachtgevers. Hierbij is sprake van opdracht/aanneming van werk. 4. Tele-uitbesteding. Een deel van het primaire arbeidsproces kan door informatieen communicatietechnologie (ICT) gescheiden worden van de rest en wordt op afstand van de hoofdvestiging ondergebracht. Men kan hierbij denken aan callcenters, software- ontwikkeling, data-entry, etc. Er kan sprake zijn van verschillende contractvormen. Bij deze vorm van telewerken wordt ook wel gesproken van collectieve vormen van telewerken (tegenover individuele vormen die hierboven worden genoemd).” -
‘Mobiel werken’ betekent dat je altijd en overal onafhankelijk van tijd en locatie je werk kan doen [MOREELS01].
Naast het begrip mobiel werken, wordt ook vaak verwezen naar andere vergelijkbare begrippen zoals: telewerken, thuiswerken, tele-/thuiswerk en e-werken. Bij het analyseren van de bovenstaande definities is ons opgevallen dat deze enigszins zijn verouderd en veelal wordt verwezen naar of een thuislocatie of de locatie van de organisatie. Tegenwoordig kan men ook onderweg of op openbare locaties ook gebruik maken van de IT voorzieningen van de organisatie via het internet. Op basis van de bovenstaande definities en ons onderzoeksdoel hebben wij de volgende definitie van mobiel werken vastgesteld welke wij hanteren in dit onderzoek. Mobiel werken: “Mobiel werken is het gebruik van ICT middelen om locatie onafhankelijk, 24/7 met bedrijfskritische elektronische gegevens te kunnen werken (op te slaan, te verwerken en/of te transporteren) buiten de fysieke grenzen van het bedrijf.”
Pagina 14 van 65
2.3 Trends en het mobiele werken Voordat de trends behandeld worden, wordt eerst een toelichting gegeven over de geschiedenis van het mobiele werken, waarna de trends van het heden behandeld worden. Het mobiele werken is ongeveer dertig jaar geleden ontstaan met de opkomst van de pc en van het internet. Met behulp van informatie- en communicatie- technologie (ICT) wordt gewerkt op afstand van de werkgever of het kantoor [EVE01]. Het internet is de ‘enabler’ geworden voor de communicatie buiten de grenzen van het kantoorpand. In de tijd zijn de computers steeds compacter en krachtiger geworden, van grote mainframes, naar servers en desktopcomputer naar PDA’s en smarthpones. Inmiddels heeft een smartphone meer rekenkracht en opslagcapaciteit dan een mainframe van het begin van de jaren 1990. Het mobiele werken wordt steeds meer toegepast binnen de verschillende organisaties. Het CBS heeft een onderzoek uitgevoerd in 2010 waaruit blijkt dat gemiddeld 16% van de werknemers met regelmaat vanaf een externe locatie mobiel werkt. Het aantal medewerkers dat het mobiele werken hanteren is in de categorie (vak-)specialist het grootste. In figuur 3 wordt weergeven in welke branche het meest mobiel wordt gewerkt [CBS01].
Figuur 3 ‐ Mobiel werken binnen de branche
Er zijn verscheidene trends welke bijdragen aan de toename van het mobiele werken en welke in sommige gevallen het mobiele werken zelfs mogelijk hebben gemaakt. Deze trends worden hieronder kort toegelicht: -
Consumerisatie. Een belangrijke trend die steeds meer zijn intreden maakt is consumerisatie [GART11]. In het verleden had de IT-organisatie een bepalende stem in Pagina 15 van 65
de aanschaf en adoptie van nieuwe technologie. De toepassing ervan in de thuisomgeving volgde vaak pas na succesvolle introductie van technologie bij de overheid of in het bedrijfsleven [COMP12]. Tegenwoordig is dit anders. Nieuwe technologieën, krachtige mobiele devices, laptops en computers zijn ter beschikking voor de medewerker. Deze willen zij ook gebruiken voor hun werkplek. De 'consumerization of IT' (CoIT) is het verschijnsel waarbij nieuwe informatietechnologie eerst in de consumentenmarkt wordt geadopteerd en daarna naar de zakelijke wereld migreert [COMP12] -
HNW (Het Nieuwe Werken) wordt gekenmerkt door het tijd- en plaats onafhankelijk werken, daarnaast verplaats de verantwoordelijkheid. De medewerker kiest zelf wanneer hij werkt en op welke wijze hij deze werkzaamheden verricht [EVE01].
-
BYOD (Bring Your Own Device) is een trend waarbij medewerkers eigen apparatuur mee nemen naar het werk. Deze apparatuur wordt dus niet aangeboden door de werkgever [TUIL11]. Apparaten welke veelal door medewerkers zelf worden meegenomen zijn laptops, tablets en smartphones. De apparaten zijn eigendom van de medewerker echter worden door de medewerker gebruikt voor zakelijke doeleinden. Vaak houdt dit ook in dat bedrijfsinformatie opgeslagen en verwerkt wordt op het apparaat van de medewerker. Het meebrengen en gebruiken van de eigen apparatuur en software zijn de belangrijkste kenmerken van het BYOD concept [ITAUD12].
-
Het CYOD (Choice Your Own Device) concept is een soort afgeleide van het BYOD concept. Het concept is ontstaan doordat werkgevers, werknemers dezelfde gemakken en functionaliteiten willen bieden op het werk als dat zij van hun privé devices gewend zijn. Echter de werkgever wil ook controle en zeggenschap houden over de devices die hiervoor gebruikt worden. Veelal wordt hierbij de werknemer een keuze geboden uit een aantal devices welke door de beheerorganisatie worden ondersteund. Het device wordt uiteindelijk door organisatie verstrekt [BYCY12].
2.3.1
Apparatuur die het mobiele werken ondersteunt
In een traditionele IT omgeving beschikt de eindgebruiker over een werkstation van de organisatie waarmee toegang wordt geboden tot het netwerk, de applicaties en digitale bedrijfsgegevens. Wanneer gebruik wordt gemaakt van het mobiele werken is dit niet meer vanzelfsprekend. Medewerkers hebben wellicht een laptop van de zaak of hebben een eigen apparaat (zie ook paragraaf 2.3). Hieronder staan de voornaamste devices benoemd welke het mobiele werken mogelijk maken en waarop wij ons in ons onderzoek met name op zullen richten. Smartphones Volgens onderzoek van Gartner zijn de verkopen van smartphones in het laatste kwartaal van 2011 met 47% gestegen ten opzicht van een jaar eerder [GAR01]. Het IDC heeft tevens onderzoek gedaan naar het marktaandeel van de verschillende mobiele besturingssystemen voor smartphones [IDC01]. Deze resultaten zijn weergegeven in figuur 4.
Pagina 16 van 65
Figuur 4 – Forcase smartphone
Uit bovenstaand figuur valt op te maken dat Android het meest gebruikte besturingssysteem is voor Smartphones, gevolgd door iOS en Blackberry OS. Tablets Een device dat sterk in populariteit toeneemt is de tablet. Met name de tablets van Apple worden steeds populairder. Dat blijkt ook uit hieronder weergegeven figuur 5.
Figuur 5 – Forecast tablet gebruik
Pagina 17 van 65
Uit onderzoek van IDC blijkt dat het gebruik van tablets in de komende jaren flink gaat toenemen. Men verwacht dat het aantal tablets zal verdrievoudigen in 2016 ten opzichte van de verkoopresultaten uit 2011. Uit het onderzoek blijkt dat de markt zal bestaan uit voornamelijk iOS en Android besturingssystemen voor de tablets [IDC02]. De verkoopresultaten van Windows 8 zijn niet meegenomen in de verwachting. Laptops Naast het gebruik van smartphones en de tablets is momenteel het meeste gebruikte apparaat een laptop [SCHIPPER01]. Naar verwachting zal de laptop echter worden ingehaald door de smartphones (als apparaat dat gebruikt wordt voor zowel zakelijk als privé), zie figuur 6.
Figuur 6 –Mobiele apparatuur markt voor BYOD
Uit de bovenstaande gegevens blijkt dat de verkoop van tablets zal toenemen. Uit onderzoek van Trend Micro [VLIET01] blijkt dat de gemiddelde MKB-er gebruikt maakt van een desktop, laptop, smartphone, tablet en een thuiscomputer. Het gebruik van verschillende apparatuur kan risico’s met zich brengen. Per device zal een afweging dienen te worden gemaakt of en zo ja welke beheersmaatregelen getroffen dienen te worden om de risico’s ten aanzien van integriteit en vertrouwelijkheid van de bedrijfsinformatie te mitigeren. Uit het onderzoek van Trend Micro blijkt dat cybercriminelen de devices mogelijk eenvoudig kunnen binnen dringen. Ze gebruiken hiervoor technieken als het besmetten van devices met malware en en door middel van social networking waarbij de apparaten met Android en iOS besturingssystemen het meest populaire doelwit zijn. 2.3.2
Verschijningvormen van het mobiele werken
Het mobiele werken heeft verschillende verschijningsvormen. Hieronder worden een aantal in het MKB veel gebruikte technologieën beschreven welke kunnen worden gebruikt om het mobiele werken mogelijk te maken. VPN Een VPN (Virtual Private Network) is een privé datanetwerk, dat gebruik maakt van een publieke telecommunicatie infrastructuur (b.v. het internet). Binnen het internet wordt een beveiligde connectie (tunnel) opgezet waarmee op een veilige wijze kan worden gecommuniceerd met het bedrijfsnetwerk [COMVPN]. Er kan voor verschillende VPN oplossingen worden gekozen, met elk zijn eigen voor- en nadelen. Voorbeelden hiervan zijn
Pagina 18 van 65
PPTP, IPsec, L2TP en OpenVPN. Elke VPN oplossing kan op zijn beurt weer gebruik maken van verscheidene encryptie algoritmes [GOVCERT01]. Medewerkers die gebruik maken van een VPN verbinding, kunnen middels een VPN cliënt op de laptop of een ander mobiel device een connectie opzetten met het bedrijfsnetwerk. Eenmaal succesvol aangemeld heeft de medewerker toegang tot de informatie op het bedrijfsnetwerk waartoe de medewerker wanneer hij fysiek op kantoor aanwezig zou zijn ook toegang toe zou hebben.
Internet
Figuur 7 – Versimpelde VPN verbinding weergave
HTTP(S) HTTP staat voor HyperText Transfer Protocol en wordt gebruikt als communicatieprotocol tussen een browser en een webserver. Het HTTP protocol is niet versleuteld, waardoor de gegevens door derden afgeluisterd kunnen worden. Naast het HTTP protocol bestaat er het HTTPS protocol. De S staat hierbij voor Secure. Middels het HTTPS protocol worden de gegevens versleuteld. Voor de versleuteling van het HTTP verkeer wordt veelal gebruik gemaakt van een SSL encryptie. Medewerkers kunnen middels een HTTP(S) connectie verbinding maken met een (bedrijfs)website, op deze website kan middels web applicaties toegang worden gekregen tot bedrijfsinformatie. Daarnaast bestaat de mogelijkheid om aanvullende webapps te installeren waarmee toegang kan worden verkregen tot de bedrijfsinformatie van de organisatie.
Internet
Figuur 8 ‐ Versimpelde HTTPS verbinding weergave
Pagina 19 van 65
Remote desktop Een andere techniek waarmee het mobiele werken wordt ondersteund is het Remote Desktop Protocol. Hiermee wordt een verbinding gemaakt met een andere server/computer. Over deze verbinding worden met name beeld, toetsenbord en muis gegevens uitgewisseld tussen de cliënt en de overgenomen server/computer. Het is echter ook mogelijk om andere gegevens via deze verbinding uit te wisselen (bijvoorbeeld klembord/printopdrachten/bestanden). Op de betreffende server worden de gegevens verwerkt en opgeslagen. Binnen Windows systemen dienen gebruikers specifiek geautoriseerd te worden om bepaalde systemen middels RDP over te mogen nemen. Daarnaast dient een gebruiker altijd nog aan te loggen met dezelfde credentials, als dat hij zou doen wanner hij fysiek op het systeem zou aanloggen. Desktop virtualisatie Middels desktop virtualisatie krijgt de eindgebruiker op afstand toegang tot een desktop omgeving. Deze desktop draait binnen een virtuele machine, die gehost is op één of meerdere servers in bijvoorbeeld een datacenter [CLOUD12]. De desktop omgeving wordt veelal beheerd door de IT afdeling of door een externe IT dienstverlener. Daarnaast kan gekozen worden om een replica te maken en deze op te slaan op het apparaat zodat ook offline gewerkt kan worden. Voorbeelden van desktopvirtualisatie oplossingen zijn VMWare View en Citrix XenDesktop.
Figuur 9 ‐ Remote desktop verbinding
Remote Access Software Naast de andere beschreven technologieën zijn er verschillende softwareoplossingen die het mogelijk maken om een werkstation over te nemen vanaf afstand. Hierbij kan bijvoorbeeld een vast werkstation worden overgenomen. Voorbeelden van deze programmatuur zijn TeamViewer, LogMeIn, Kaseya, VNC en Symantec pcAnywhere. Veelal staat deze programmatuur in verbinding met systemen van de software leverancier welke zorg dragen voor het opzetten van de verbinding met de eindgebruiker welke zich op een externe locatie bevindt. Data lokaal op mobiele devices Naast de hierboven beschreven technologieën is het ook mogelijk bedrijfsgegevens op het device zelf op te slaan. Hierdoor heeft de medewerker toegang tot de gegevens wanneer hij of zij niet over een netwerkverbinding beschikt. Dit betekent echter ook dat de organisatie in het Pagina 20 van 65
geval van geen netwerkverbinding, geen toegang en controle meer heeft tot deze digitale gegevens. Om toch enige controle over de lokaal opgeslagen gegevens te houden zijn er verschillende oplossingen beschikbaar voor smartphones en tablets, zoals MAM en MDM. Deze oplossingen worden hieronder kort toegelicht.
MAM staat voor Mobile Application Management. Omdat bedrijfsgegevens vaak opgeslagen zijn binnen bedrijfsapplicaties en daarbij behorende databases, brengen een aantal leveranciers Mobile Application Management oplossingen uit waarmee zakelijke applicaties en bijbehorende data door de IT-afdeling beheerd en beveiligd kunnen worden op een privé apparaat. MAM-oplossingen als die van AppCentral, Apperian en JackBe maken het mogelijk om applicaties en data op afstand te installeren, te beveiligen, te updaten, te monitoren en te wissen. Voorwaarde hierbij is wel dat er een netwerkconnectie met het device aanwezig is [COMP04].
MDM staat voor Mobile Device Management. Met behulp van MDM kan een IT-afdeling op een veilige manier apparaten toevoegen aan een bedrijfsnetwerk, zelf de instellingen verzorgen voor de draadloze verbinding en het ophalen van updates, toezien op naleving van bedrijfsregels en apparaten op afstand vergrendelen of wissen. Mobile Device Management in de vorm zoals we het nu kennen ontstond in 1999, toen de eerste BlackBerry’s professionals in staat stelden hun e-mail ook op een smartphone te lezen. Omdat fabrikant Research in Motion (RIM) begreep dat professionals hun adresboek en e-mail wilden kunnen synchroniseren met de computer en IT-afdelingen apparaten wilden kunnen wissen indien de toestellen bijvoorbeeld gestolen werden [COMP04].
2.4 Best practices en richtlijnen ten aanzien van het mobiele werken Er zijn reeds verschillende onderzoeken uitgevoerd naar het mobiele werken en de hierbij inherente risico’s. Voor ons onderzoek hebben wij hierbij een viertal best practices, richtlijnen en onderzoeken naast elkaar gezet en vergeleken. Het betreffen de onderzoeken en richtlijnen van Govcert, het NCSC, ISO 27002 en de AIVD. In deze paragraaf zal worden toegelicht wat het onderzoek en/of de richtlijn inhoudt en op welke aspecten van het mobiele werken het onderzoek betrekking heeft. Govcert Het onderzoek van Govcert is gericht op het telewerken en de risico’s en beheersmaatregelen welke daarbij getroffen kunnen worden [GOVCERT01]. Het onderzoek is uitgevoerd voor de Nederlandse overheid ter voorkoming van ICT-gerelateerde veiligheidsincidenten. Govcert onderkend in het telewerken vijf schakels in de keten. Het betreft: 1. De telewerklocatie. Het betreft de locatie waar de werkzaamheden worden uitgevoerd. 2. Het werkstation. Dit is het apparaat dat gebruikt wordt door de telewerker; 3. De verbinding tussen werkstation en organisatie. De verbinding tussen het werkstation en de organisatie kan op vele manieren tot stand worden gebracht. Voorbeelden hiervan zijn LAN/WAN/VPN/Wi-Fi verbindingen. 4. De informatie die aan de telewerker beschikbaar wordt gesteld; Pagina 21 van 65
5. De telewerker zelf. Bij elk van deze schakels kunnen risico’s worden onderkend en bij elk van deze risico’s kunnen beheersmaatregelen worden getroffen. NCSC Het Nationaal Cyber Security Centrum (NCSC) heeft onderzoek uitgevoerd naar beveiligingsrichtlijnen voor het mobiele werken [NCSC01]. De aanleiding hiervoor was dat de digitale informatie-uitwisseling essentieel is voor het functioneren van de Nederlandse samenleving. De betrouwbaarheid van de digitale communicatie is van wezenlijk belang en vraagt om voortdurende zorg om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te garanderen. Op basis van dit onderzoek zijn richtlijnen opgesteld inzake het gebruik van een mobiel apparaat. Het NCSC onderkent vijf verschillende lagen in het logische toegangspad. Deze lagen zijn weergegeven in onderstaand figuur (figuur 10).
Figuur 10 – Overzicht NCSC
De beschrijving van het NCSC bevat richtlijnen omtrent: 1. Mobiele apparaat; 2. Toegangscontrole; 3. Applicatie; 4. Verwerking; 5. Netwerk.
Pagina 22 van 65
ISO 27002 Naast de onderkende risico’s en richtlijnen vanuit Govcert en het NCSC is tevens de ISO 27002 informatiebeveiligingsstandaard meegenomen in de analyse. De ISO 27002 richtlijn kan als beveiligingstandaard worden gehanteerd om de integriteit en vertrouwelijkheid van de bedrijfsinformatie te waarborgen [NEN01]. ISO 27002 'Code voor informatiebeveiliging' geeft richtlijnen en principes voor het initiëren, het implementeren, het onderhouden en het verbeteren van informatiebeveiliging binnen een organisatie. De ISO 27002 biedt op verschillende gebieden beheerdoelstellingen en beheersmaatregelen, waaronder fysieke beveiliging, beheer van communicatie en bedieningsprocessen, toegangsbeveiliging en bedrijfscontinuïteitsbeheer. Een van de paragrafen gaat over draagbare computers en telewerken. Hierbij worden beheersmaatregelen voorgeschreven omtrent de volgende aspecten: 1. De draagbare computer; 2. De netwerkverbinding; 3. De telewerker. Zoals aangeven beschrijft ISO 27002 meer dan alleen de bovenstaande drie aspecten voor het geheel aan informatiebeveiliging, echter gezien ons onderzoek hebben wij ons gefocust op de hierboven benoemde aspecten. ISO geeft aan dat de organisatie een informatiebeveiligingsbeleid dient op te stellen. Wanneer de organisatie het mobiele werken implementeert zal het informatiebeveiligingsbeleid hierop aangepast dienen te worden. AIVD Binnen het AIVD heeft het Nationaal Bureau Verbindingsbeveiliging een onderzoek uitgevoerd naar veilige verwerking van overheidsinformatie op smartphones en tablets [AIVD01]. De AIVD heeft hierbij een onderscheid gemaakt in drie verschillende onderdelen waarbij zich risico’s en kwetsbaarheden kunnen voordoen: 1. Het device: de verwerkingen en opslag van gegevens op het device zelf; 2. De datacommunicatie: de gegevensuitwisseling tussen het device en de backofficesystemen van de organisatie, bijvoorbeeld Wi-Fi of een mobiel datacommunicatienetwerk; 3. De backoffice: de computersystemen van de organisatie waar de gegevens centraal worden opgeslagen en beheerd, zoals de mailserver of de bestandsopslag.
Pagina 23 van 65
2.4.1
Risico model mobiel werken
De bovenstaande richtlijnen heb met betrekking tot onderkende componenten veel overeenkomsten. In de onderstaande tabel zijn deze overeenkomstig componenten naast elkaar gezet en gerangschikt in vier categorieën namelijk de beheerorganisatie, eindgebruiker, IT infrastructuur en devices. Hieronder wordt een toelichting gegeven ten aanzien van de onderkende categorieën.
Govcert
De telewerklocatie Het werkstation De verbinding De telewerker zelf
NCSC
Mobiele apparaten Toegangscontrole Applicatie Netwerk
ISO
Draagbare computer Netwerk verbinding De telewerker
AIVD
Het device De datacommunicatie De backoffice
Dev ice s
tuur I T in fras truc
Ein d geb ruik er
Be h e
er og a
nisa t
ie
Bedrijfsinformatie
Tabel 1 – Koppeling onderzoeken
Beheerorganisatie Met de beheerorganisatie wordt bedoeld de processen, procedures en organisatorische beheersmaatregelen welke binnen de organisatie aanwezig zijn ten aanzien van IT. Bijvoorbeeld een change management procedure of een procedure ten aanzien van het toekennen en intrekken van toegangsbevoegdheden. Eindgebruiker Onder de eindgebruiker, worden de aspecten aangeven die direct gerelateerd zijn aan de eindgebruiker. Bijvoorbeeld de locatie waar hij / zij werkt, wat te doen bij verlies of diefstal en de bewustwording van de eindgebruiker. IT infrastructuur Met de IT Infrastructuur wordt de interne IT infrastructuur van de MKB+ onderneming bedoelt. Hieronder vallen eveneens de componenten welke nodig zijn om de informatie toegankelijk te maken voor de mobiele werker. Hierbij kan men denken aan de beveiligde verbinding, de firewall en het serverpark.
Pagina 24 van 65
Devices Met devices worden de apparaten bedoelt waarvan bij het mobiele werken gebruik wordt gemaakt. Dit zijn bijvoorbeeld laptops, smartphones, tablets en reguliere werkstations. Hierbij maken wij nog een onderscheid tussen devices met lokale opslag en een devices zonder lokale opslag. Dit onderscheidt wordt gemaakt vanwege de locatie waar de bedrijfsgegevens worden opgeslagen. Afhankelijk van waar de gegevens zijn opgeslagen, zijn er andere risico’s van toepassingen en dienen andere beheersmaatregelen te worden getroffen. 2.4.2
Risico kwadrant mobiel werken
Op basis van de onderkende risicogebieden uit de hierboven beschreven best practices en richtlijnen hebben wij onderstaand risico kwadrant opgesteld.
Figuur 11 – Risico kwadrant mobiel werken
In het bovenstaande kwadrant staan de bedrijfsgegevens centraal. Deze worden beïnvloed door aspecten die daarom heen gevestigd zijn. Elk van deze aspecten bevatten risico’s die mogelijk de integriteit en vertrouwelijkheid van de kritische bedrijfsgegevens kan beïnvloeden. In paragraaf 2.5 wordt meer inzicht verkregen in de traditionele IT omgeving waarna in paragraaf 2.6 de onderkende verschillen en risico’s inzichtelijk worden gemaakt.
Pagina 25 van 65
2.5 Traditionele IT omgeving In de literatuur hebben wij geen standaard beschrijving van een traditionele IT omgeving aangetroffen. Dit zal met name zijn omdat de IT infrastructuur wordt ingericht en aangepast om zoveel mogelijk aan de eisen en wensen van de betreffende organisatie te kunnen voldoen. Wel wordt het client server model beschreven al de meest gangbare vorm voor het inrichten van IT netwerken. Om een vergelijking te kunnen maken van de veranderingen die zich voordoen bij het implementeren van het mobiele werken, dienen wij eerst een beeld te krijgen van de situatie en de IT omgeving voordat het mobiele werken wordt gehanteerd. De belangrijkste veranderingen bij het implementeren van het mobiele werken doen zich voor ten aanzien van onderstaande categorieën: -
Beheerorganisatie;
-
Eindgebruiker;
-
IT infrastructuur;
-
Devices.
2.5.1
Beheerorganisatie
De inrichting van de beheerorganisatie binnen traditionele IT omgevingen kan per MKB+ bedrijf sterk verschillen. Dit heeft veelal te maken met de omvang en volwassenheid van de beheerorganisatie. Een overeenkomst tussen de verschillende IT beheerorganisaties binnen de traditionele IT omgeving is dat zij verantwoordelijk zijn voor het gehele beheer van de complete IT omgeving bij de organisatie. Vaak worden ook beheersmaatregelen getroffen dat de gebruikers zelf geen beheer op de systemen kunnen uitvoeren, denk hierbij aan het uitschakelen van de mogelijkheid om programmatuur op computers te installeren. Daarnaast worden zaken binnen de traditionele IT omgeving vaak gestandaardiseerd. Hierbij kan men denken aan een bepaalde set van type werkstations welke worden ondersteund, bepaalde besturingssystemen of bepaalde programmatuur. 2.5.2
Eindgebruiker
Binnen de traditionele IT omgeving heeft de eindgebruiker enkel binnen de fysieke grenzen van de organisatie toegang tot bedrijfsgegevens welke digitaal zijn opgeslagen. Deze toegang wordt veelal verschaft middels werkstations welke op de werkplek aan de eindgebruiker beschikbaar zijn gesteld. Doordat de eindgebruiker enkel binnen de fysieke grenzen van het bedrijf toegang heeft tot de digitale bedrijfsgegevens is er veelal sprake van sociale controle met betrekking tot de omgang met deze gegevens en IT systemen. Daarnaast is het in de traditionele IT omgeving voor de eindgebruiker enkel mogelijk om toegang tot de digitale bedrijfsinformatie te krijgen tijdens werktijd dan wel tijdens openingstijden van het bedrijf. Om dit te bewerkstelligen zijn in de traditionele IT omgeving beheersmaatregelen getroffen met betrekking tot fysieke toegangsbeveiliging.
Pagina 26 van 65
2.5.3
IT infrastructuur
De IT infrastructuur van een traditionele IT omgeving bestaat uit verschillende componenten en welke dit zijn kan per bedrijf verschillen. Componenten welke in het algemeen voorkomen zijn servers, netwerk randapparatuur, werkstations, besturingssystemen, databases en applicaties. Al deze componenten worden veelal beheerd door de eigen beheer organisatie eventueel met ondersteuning van een externe dienstverlener. Om dit beheer zoveel mogelijk te vereenvoudigen worden componenten zoveel mogelijk gestandaardiseerd. Enkel apparatuur wat onder het beheer valt van de eigen beheerorganisatie wordt toegelaten op het bedrijfsnetwerk. Daarnaast zijn de verbindingen van buitenaf met het bedrijfsnetwerk niet tot beperkt aanwezig. Client Server model Het client-server model is een vorm van netwerkinrichting ontwikkeld bij Xerox PARC in de jaren 1970. Het is tegenwoordig de meest gangbare vorm voor het inrichten van IT netwerken. E-mail, het World Wide Web, en het afdrukken via een netwerk zijn alle toepassingen van het client-server model. Het model kent een van de twee rollen aan de computers in een netwerk: Client of server. Een server is een computersysteem dat haar capaciteit deelt met zogeheten clients, een client is een computer of een computer programma dat contact initieert met een server om gebruik te maken van haar capaciteit. Data, rekenkracht, printers en data-opslag-apparaten zijn enkele voorbeelden van de middelen welke door servers worden gedeeld met clients. Wanneer nog niet gebruik wordt gemaakt van het mobiele werken concept bevinden zich alle componenten van client-server netwerk zich binnen de fysieke grenzen van de organisatie. Daarnaast wordt het bedrijfsnetwerk voor de buitenwereld afgeschermd middels één of meerdere firewalls. [WIKI01] In figuur 12 is het client server model schematisch weergegeven.
Figuur 12 – Client Server Model
Pagina 27 van 65
Server Based Computing Server Based Computing is een variant van client-server computing. Bij client-server computing worden bepaalde verwerkingstaken zoals databeheer op een centrale server uitgevoerd en andere verwerkingstaken, zoals het presenteren van de gebruikersapplicatie en printen van data, op de client. Server Based Computing haalt zo veel mogelijk taken terug naar de server. De uitwisseling van data bestaat alleen nog uit beeldscherminformatie, toetsenbordaanslagen en muisbewegingen. Hierdoor wordt het mogelijk om thin clients toe te passen. Een thin client hoeft zelf over zeer weinig systeembronnen te beschikken, en is zeer sterk afhankelijk van de capaciteiten van de server. De term Server Based Computing wordt met name gebruikt voor systemen waarin een centrale server MS Windows/PC applicaties uitvoert die normaal gesproken op decentrale PC's zouden draaien. De schermuitvoer wordt naar een thin client gestuurd die deze in een grafische MS Windows omgeving aan de gebruiker presenteert. Dit principe kan zowel op een specifieke applicatie als op de gehele gebruikersomgeving worden toegepast [WIKI02]. 2.5.4 Device De apparatuur welke in de traditionele IT omgeving aan de eindgebruiker beschikbaar wordt gesteld beperkt zich veelal tot een werkstation. Werkstations komen in de traditionele IT omgeving voor in de vorm van een fat client of een thin client. Daarnaast wordt er zoveel mogelijk gebruik gemaakt van gestandaardiseerde werkstations en apparaten om het beheer ervan te vereenvoudigen.
Pagina 28 van 65
2.6 Verschillen en inherente risico’s In deze paragraaf worden de verschillen tussen het mobiele werken en de traditionele IT omgeving en de inherente risico’s van het mobiele werken uiteengezet. Allereerst zal de grens van de organisatie toegelicht worden. 2.6.1
Grens van de organisatie
Voor het uitvoeren van bedrijfsprocessen is informatie benodigd. Ook wordt er binnen de bedrijfsprocessen informatie gegenereerd. Deze informatie wordt over het algemeen middels applicaties benaderd, verwerkt en opgeslagen. Voorbeelden van gebruikte applicaties binnen een MKB+ organisatie zijn een ERP systemen zoals SAP, Microsoft Dynamics of Exact Globe, kantoorapplicaties zoals de Microsoft Office Suite en email programmatuur zoals Microsoft
Internet
Exchange.
Legenda: Buiten de fysieke grens (mobiel werken) Binnen de fysieke grens (traditioneel)
Figuur 13 – Grens van de organisatie
Wanneer gebruikers met hun device aanloggen vanaf een externe locatie, wordt er vanaf een externe locatie (buiten de fysieke grenzen van de organisatie) een verbinding tot stand gebracht. Uiteraard hoeft een device niet buiten de grens van de organisatie aan te loggen, zoals ook weergeven is in het bovenstaande figuur. De medewerker kan ook vanaf het interne
Pagina 29 van 65
netwerk aanmelden (binnen de fysieke grens van de organisatie) met zijn of haar (eigen) device. Zoals weergeven in de onderzoeksaanpak, focust het onderzoek zich op de devices die buiten de fysieke grens van organisatie aanloggen, die middels ICT middelen toegang krijgt tot bedrijfskritische informatie. 2.6.2
Veranderingen bij het mobiele werken
Door het mogelijk maken van het mobiele werken kan bedrijfsinformatie geraadpleegd (en/of gemuteerd, getransporteerd) worden buiten de fysieke grens van de organisatie. Om te waarborgen dat de bedrijfsinformatie integer en vertrouwelijk blijft zullen er aanvullende beheersmaatregelen getroffen moeten worden door de organisatie. In hoofdlijnen zullen de volgende veranderingen plaatsvinden op de reeds onderkende gebieden. Per kwadrant van figuur 11 worden hieronder de veranderingen per risicogebied toegelicht. Beheerorganisatie De beheerorganisatie dient niet alleen de traditionele IT omgeving te ondersteunen maar tevens de mobiele omgeving. Zo zullen procedures moeten worden aangepast, moeten ITmedewerkers worden opgeleid om de betreffende devices en bijbehorende software te beheren. Daarnaast dient het informatiebeveiligingsbeleid te worden aangepast om de nieuwe risico’s en beheersmaatregelen met betrekking tot het mobiele werken te beoordelen (het uitvoeren van een risicoanalyse) en uiteindelijk ook in te bedden binnen de organisatie. Een andere verandering bij het mobiele werken is dat de IT omgeving 24/7 beschikbaar dient te zijn. Dit vergt aanpassingen ten aanzien van de beheerorganisatie. Eindgebruiker Voor de eindgebruiker zijn er tevens veranderingen, zij krijgen de mogelijkheid (veelal op basis van de functie [COMPMB]) om vanaf een andere locatie dan de standaard werkplek te werken. Hierbij krijgt de eindgebruiker bijvoorbeeld een laptop, tablet of telefoon van de zaak of kan hij/zij er zelf één uitzoeken, het BYOD of CYOD concept. De eindgebruiker krijgt middels een dergelijk device toegang tot bedrijfsinformatie vanaf externe locaties. Dit betekend dat de eindgebruiker zich bewust dient te zijn van de risico’s, regels en verantwoordelijkheden welke dit met zich mee brengt. IT Infrastructuur De IT Infrastructuur dient te worden aangepast om connecties van buitenaf toe te laten. Niet alleen de netwerkverbindingen dienen aangepast te worden, maar tevens dienen applicaties geschikt gemaakt te worden voor de mobiele werkers. Daarnaast zullen aanvullende beveiligingsmaatregelen getroffen moeten worden om ongeautoriseerde toegang van buitenaf te verkleinen. De mogelijkheden van buitenaf verbinding te maken met het bedrijfsnetwerk zijn ten slotte toegenomen. Devices De fysieke werkstations welke veel in een traditionele IT omgeving voorkomen worden vervangen door of aangevuld met devices, waardoor het mobiele werken voor de eindgebruiker mogelijk wordt gemaakt. Pagina 30 van 65
2.6.3
Risico’s bij het mobiele werken
Op basis van de geselecteerde literatuur van ISO 27002, NCSC, AIVD en Govcert zijn van de aangetroffen beheersmaatregelen onderstaande risico’s afgeleid en onderkend voor het mobiele werken. De belangrijkste risico’s worden hieronder weergeven per risicogebied zoals ook weergeven is in figuur 11 het risico kwadrant. Beheerorganisatie Ten aanzien van het risicogebied beheerorganisatie hebben wij het ontbreken van en/of onduidelijkheid over het informatiebeveiligingsbeleid en de hieruit voort vloeiende beheersmaatregelen als significant risico onderkend. Door het ontbreken van een beleid omtrent het mobiele werken is het onduidelijk welke beheersmaatregelen getroffen en welke werkzaamheden uitgevoerd dienen te worden door de beheerorganisatie om de integriteit en vertrouwelijkheid van de bedrijfsinformatie te waarborgen. Daarnaast dient de organisatie specialistische kennis te vergaren met de betrekking tot de verscheidene devices en technieken welke worden ondersteund. Eindgebruiker De grootste risico’s ten aanzien van het risicogebied eindgebruiker zijn dat hij/zij onvoldoende kennis heeft van de geldende regels en beheersmaatregelen ten aanzien van de IT componenten en bedrijfsinformatie. Doordat eindgebruikers onvoldoende kennis hebben van de beheersmaatregelen en regels omtrent informatiebeveiliging, bestaat het risico dat zij handelen in strijd met de betreffende regels en beheersmaatregelen. Ook bestaat het risico dat de eindgebruiker het niet eens is met de geldende regels of niet begrijpt waarom deze zijn getroffen, waardoor hij/zij op zoek gaat naar mogelijkheden om de beheersmaatregelen te omzeilen. Hierbij kan men denken aan het delen van wachtwoorden met collega’s of binnen het gezin, waardoor mogelijk de controle technische functiescheiding binnen de geautomatiseerde systemen wordt doorbroken en de vertrouwelijkheid van bedrijfsinformatie niet langer is gewaarborgd. IT Infrastructuur Om het mobiele werken te faciliteren zal het binnen de IT infrastructuur mogelijk dienen te worden gemaakt om vanaf externe locaties verbinding te kunnen maken met het bedrijfsnetwerk. Hierbij kan men denken aan het open zetten van poorten op de firewall en/of het implementeren van systemen welke de verbindingen vanaf externe locaties afhandelen. Dit brengt het risico met zich mee dat ongeautoriseerden eveneens vanaf externe locaties verbinding zouden kunnen maken met het bedrijfsnetwerk. Derhalve dienen hiervoor aanvullende beveiligingsmaatregelen getroffen te worden. Een ander risico met betrekking tot de IT infrastructuur is dat wanneer gebruik wordt gemaakt van het mobiele werken er ook gebruik wordt gemaakt van een diversiteit aan devices (bijvoorbeeld smartphones, laptops, tablets met daarop verschillende besturingssystemen.) Wanneer onbeveiligde en/of compromitteerde devices worden aangesloten op het netwerk leidt dit tot aanvullende kwetsbaarheden en brengt dit het risico met zich mee dat ongeautoriseerden zichzelf toegang kunnen verschaffen tot het netwerk middels de hiervoor genoemde devices
Pagina 31 van 65
en/of dat de betreffende devices schade aanrichten aan het bedrijfsnetwerk. Bij dit laatste kan men denken aan het verspreiden van virussen en malware op het bedrijfsnetwerk, wat bij het mobiele werken 24/7 kan plaatsvinden. Devices Met betrekking tot het risicogebied devices hebben wij ongeautoriseerde logische en/of fysieke toegang tot het device als voornaamste risico aangemerkt. Wanneer ongeautoriseerden fysieke of logische toegang hebben tot het device kunnen zij mogelijk vertrouwelijke bedrijfsinformatie inzien en/of bewerken. Dit risico kan zich bij onder andere bij verlies, diefstal of het onbeheerd achterlaten van het device manifesteren. Wanneer bedrijfsinformatie lokaal op de devices wordt opgeslagen bestaat eveneens het risico dat deze gegevens verloren gaan of niet juist en volledig worden gerepliceerd of geback-upd naar het bedrijfsnetwerk. Een ander risico is dat wanneer onveilige apps op het device worden geïnstalleerd, deze mogelijk ook toegang kunnen krijgen tot de bedrijfsinformatie op het device. Een volledig overzicht van de onderkende risico’s zijn weergegeven in tabel 2 ‘Risico’s mobiel werken’. In hoofdlijnen zijn er echter twee essentiële overkoepelende risico’s. Aan deze twee risico’s kunnen alle risico’s die in tabel 2 worden weergegeven gekoppeld worden. Deze risico’s zijn: -
Bedrijfskritische informatie wordt ongeautoriseerd verspreid en of toegankelijk voor niet geautoriseerde personen waardoor de vertrouwelijkheid van informatie niet gewaarborgd is;
-
Bedrijfskritische informatie wordt ongewenst bewerkt waardoor de integriteit van de informatie niet gewaarborgd is.
Zoals weergeven is in figuur 11 risico kwadrant staat de bedrijfsinformatie centraal. Waarbij het waarborgen van de kwaliteitsaspecten integriteit en vertrouwelijkheid centraal staat. Rnr
Risico
1
Doordat eindgebruikers onvoldoende kennis
Integriteit
Vertrouwelijkheid
hebben van de beheersmaatregelen en regels omtrent informatiebeveiliging, bestaat het risico dat zij handelen in strijd met de betreffende regels en beheersmaatregelen. 2
Door het ontbreken van een beleid omtrent het mobiele werken is het onduidelijk welke beheersmaatregelen getroffen dienen te worden.
3
Onbeveiligde en/of compromitteerde devices loggen aan op het bedrijfsnetwerk
4
Wachtwoorden van gebruikersaccounts worden binnen de organisatie gedeeld, of beveiligingsmaatregelen om gebruikersaccounts te beveiliging zijn van onvoldoende kwaliteit,
Pagina 32 van 65
Rnr
Risico
Integriteit
Vertrouwelijkheid
waardoor medewerkers onder andere accounts dan hun eigen kunnen aanloggen. 5
Ongeautoriseerden hebben logische of fysieke toegang tot het device.
6
Eindgebruikers kunnen software installeren / configureren waardoor getroffen beveiligingsmaatregelen negatief worden beïnvloed.
7
Als gevolg van verlies/diefstal kan de bedrijfsinformatie toegankelijk worden voor ongeautoriseerde personen
8
Informatie die uitgewisseld wordt, wordt onderschept door onbevoegden.
9
Ongeautoriseerde personen kunnen zich middels hacken toegang verschaffen tot de bedrijfsinformatie.
10
De rechten binnen de systemen zijn onjuist ingericht, waardoor medewerkers toegang hebben tot componenten en informatie waarvoor zij niet bevoegd zijn.
11
Er vindt onvoldoende onderhoud/beheer plaats op de devices
12
De systemen en gegevens worden onvolledig en/of onjuist gebackupped, waardoor in het geval van een calamiteit de bedrijfsinformatie niet juist en volledig hersteld kan worden.
Tabel 2 ‐ Risico’s mobiel werken
2.7 Informatiebeveiliging Informatiebeveiliging beschermt informatie tegen een breed scala aan bedreigingen. De informatie moet worden beveiligd om zo de beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid te kunnen waarborgen. Kortom, het beveiligen van informatie tegen bedreigingen. 2.7.1 Proces van informatiebeveiliging Ondernemers, organisaties en hun omgeving veranderen continu. Daardoor zal de beheersmaatregel die ooit belangrijk was nu misschien niet meer belangrijk zijn, of vervangen worden door een andere beheersmaatregel. De risico’s veranderen, net als de eisen en de randvoorwaarden die vanuit het management aan informatiebeveiliging worden gesteld. Informatiebeveiliging kan dan ook als een constant veranderend proces worden beschouwd, zie Pagina 33 van 65
figuur 14 [INFORB]. Derhalve is het van belang informatiebeveiliging als proces binnen de organisatie in te richten, waarbij onderstaande stappen in het proces dienen te worden opgenomen. 1. Formuleren van een beleid ten aanzien van informatiebeveiliging en het inrichten van de organisatie die verantwoordelijk is voor informatievoorziening; 2. Opsporen van onacceptabele risico’s door middel van een risicoanalyse; 3. Selecteren van een set van beheersmaatregelen; 4. Implementeren van de geselecteerde beheersmaatregelen; 5. Monitoring ten aanzien van de getroffen beheersmaatregelen; 6. Evaluatie van het effect dat met de getroffen beheersmaatregelen bereikt wordt (blijven de beheersmaatregelen voldoen en worden de relevante risico’s voldoende gereduceerd).
Figuur 14 ‐ Proces Informatiebeveiliging
Uit het bovenstaande figuur blijkt dat het proces van informatiebeveiliging een continu proces is. Waarbij op basis van de uitgangspunten (plan) een selectie gemaakt wordt van beheersmaatregelen welke geïmplementeerd dienen te worden (do), vervolgens wordt gemonitord naar de effectieve werking van de beheersmaatregel (check) en wordt een evaluatie uitgevoerd (act) welke weer input geeft voor de geldende uitgangspunten. Deze cyclus biedt een continue verbeteringen in het proces van informatiebeveiliging. Bovenstaande stappen vertonen overeenkomsten met de demming cirkel [PDCA01].
Pagina 34 van 65
2.7.2 Beveiligingsmaatregelen Om risico’s te minimaliseren dienen beheersmaatregelen te worden getroffen. Er zijn een aantal verschillende type beheersmaatregelen die genomen kunnen worden op hoofdlijnen. Het betreft de volgende type [INFORB]: -
Preventieve beheersmaatregelen; Bijvoorbeeld het plaatsen van een firewall. Een preventieve maatregel wordt genomen om een mogelijk incident te voorkomen;
-
Repressieve beheersmaatregelen; Bijvoorbeeld het op afstand wissen van een smartphone. Een repressieve maatregel wordt genomen om de schade van een mogelijk incident te beperken;
-
Detectieve beheersmaatregelen; Bijvoorbeeld een virusscanner. Een detectieve maatregel wordt genomen om een mogelijk incident waar te nemen;
-
Correctieve beheersmaatregelen. Bijvoorbeeld een back-up terug zetten om schade te herstellen. Een correctieve maatregel wordt genomen om de schade van een incident te herstellen.
In de onderstaande figuur wordt weergegeven hoe de verhouding is tussen de verschillende beheersmaatregelen in combinatie met bedreigingen, verstoringen, schade en herstel [INFORB]. Preventief
Bedreiging
Correctief
Herstel
Verstoring
Detectie
Schade
Repressief
Figuur 15 ‐ Incidentcyclus
Pagina 35 van 65
Naast de indeling van de incidentcyclus kunnen beveiligingsmaatregelen ook ingedeeld worden op de wijze waarop ze gerealiseerd worden [INFORB]: -
Organisatorische beheersmaatregelen: Deze hebben betrekking op organisatie als geheel. Bijvoorbeeld functiescheiding en interne beheersing, opleiding en voorlichting, een beveiligingsbeleid, enzovoort;
-
Logische beheersmaatregelen: Dit zijn beheersmaatregelen die geprogrammeerd zijn in de programmatuur. Het zijn bijvoorbeeld identificatie, authenticiteit, encryptie, enzovoort;
-
Fysieke beheersmaatregelen: Dit zijn beheersmaatregelen die gebaseerd zijn op materiële zaken zoals brandblussers, noodstroomvoorziening, sloten enzovoort.
Gezien het onderwerp van onderzoek zullen wij enkel op de organisatorische en logische beheersmaatregelen in gaan. In onderstaand figuur worden de beheersmaatregelen ten opzichte van de bedreigingen schematisch weergegeven.
Figuur 16 – Indeling beheersmaatregelen
In paragraaf 2.4 zijn een viertal onderzoeken en richtlijnen benoemd, te weten die van Govcert, het NCSC, ISO27002 en de AIVD. Op basis van deze onderzoeken zijn beheersmaatregelen opgesteld. Het betreffen beheersmaatregelen die verschillend van aard zijn (preventief, repressief, detectief en correctief) en beheersmaatregelen die op een andere wijze kunnen worden doorgevoerd (organisatorisch of logisch). Een overzicht van de onderkende beheersmaatregelen staat hieronder weergegeven. Daarbij zijn de onderkende beheersmaatregelen gekoppeld aan de reeds onderkende risico’s.
Pagina 36 van 65
Mnr
Risk
Beheersmaatregel
Referentie
1
1
2
9
3
3, 4, 5, 9
4
1
Stel een gedragscode op rondom het mobiele werken. Beveiligingsupdates dienen te zijn toegepast en dienen up to date te zijn. Adequate authenticatie methodes dienen te zijn toegepast (two-factor authenticatie, sterk wachtwoord) Beveiligingsbewustzijn dient te worden bevorderd binnen de organisatie
Govcert / ISO Govcert / NCSC / ISO / AIVD Govcert / NCSC / ISO / AIVD Govcert / ISO
5
1
6
9
Govcert / ISO / AIVD Govcert / AIVD
7
3, 9
8
5, 7
9
6
Periodieke toetsingen van het niveau van beveiligingsbewustzijn Periodieke beoordeling van de logging en controle op eventuele afwijkingen (connecties, welke data verstuurd wordt, foutieve inlog, inlog vanaf "niet vertrouwde" landen). Implementeren van beveiligingspolicys waarbij alleen goedgekeurde virusscanners en firewalls worden toegelaten tot het netwerk van de organisatie. Naar een bepaalde inactiviteit dient het mobiele devices vergrendeld te worden. Eindgebruikers kunnen geen software installeren.
10
7
Govcert / NCSC / ISO / AIVD
11
8, 9
12
3, 9
13
10
14
5, 9
De devices die gebruikt worden voor het mobiele werken zijn voorzien van encryptie zodat informatie versleuteld wordt opgeslagen. Communicatie tussen het device en het bedrijfsnetwerk dient afdoende te zijn beveiligd (HTTPS, SSL, IPSec, VPN, PAPN) Maak gebruik van een DMZ omgeving voor de toegang tot de informatie voor de mobiele werker. Er dient een proces te zijn ingericht voor het uitgeven, onderhouden, het innemen en het intrekken van het recht tot telewerker. Maak gebruik van verschillende toegangscodes (wachtwoorden) voor het mobiele apparaat, de verschillende diensten en apps.
15
4, 5, 9
NCSC
16
10
Wijzig regelmatig de toegangscodes (wachtwoorden) voor het mobiele apparaat, de verschillende diensten en apps. Periodiek dient gecontroleerd te worden of de ingebedde autorisaties en toegangsbevoegdheden overeenstemt de gewenste autorisaties.
Beheerorganisatie
Eindgebruiker
IT Infrastructuur
Device
Govcert / AIVD
Govcert / NCSC Govcert
Govcert / NCSC / ISO / AIVD Govcert / AIVD Govcert
NCSC
NCSC
Pagina 37 van 65
Mnr
Risk
Beheersmaatregel
Referentie
17
5, 7
Stel het maximaal aantal toegestane mislukte aanmeldingspogingen in.
NCSC
18
5
Schakel SIM-kaartvergrendeling in.
NCSC
19
5
NCSC
20
7
21
6
22
5
Het weergeven van de toegangscode bij het invoeren van het wachtwoord dient uitgeschakeld te zijn. Voorvertoningen van berichten op het begin scherm dient uitgeschakeld te zijn. De rechten van de geïnstalleerde apps zijn beperkt tot het absoluut minimum. De locatievoorzieningen dienen zoveel mogelijk te zijn uitgeschakeld.
23
11
NCSC
24
5, 9
25
8
26
5
27
5
28
2
29
7
30
12
31
12
32
7
33
5
Het mobiele apparaat dient volledig te worden geformatteerd voordat deze wordt ingeleverd. De netwerk-verbindingen zijn uitgeschakeld wanneer deze niet worden gebruikt. Het mobiele apparaat maakt geen automatisch verbinding met een WiFi netwerk. Bluethooth is uitgeschakeld tenzij hiervan gebruik wordt gemaakt. Near Field Communication (NFC) is uitgeschakeld tenzij hiervan gebruik wordt gemaakt. Er dient een beleid opgesteld te worden omtrent fysieke bescherming, toegangsbeleid, cryptografische technieken, backups en virusbescherming. Gebruikers dienen voorzorgsmaatregelen te treffen om te voorkomen dat onbevoegde gevoelige informatie onder ogen krijgen. Regelmatig dienen er back-ups worden gemaakt van de informatie op het mobiele device. De back-up's dienen adequaat te worden beschermd tegen diefstal of verlies van informatie. Er dienen speciale procedures worden vastgelegd voor in het geval van diefstal of verliezen van een mobiele apparaat. De mobiel apparaten mogen niet onbeheerd achtergelaten worden.
34
1
Er dient een definitie zijn afgesproken met betrekking tot het toegelaten werk, de werktijden, de classificatie van informatie waarover men mag beschikken en de interne systemen en diensten waartoe de telewerker toegang heeft.
ISO
Beheerorganisatie
Eindgebruiker
IT Infrastructuur
Device
NCSC
NCSC
NCSC
NCSC
NCSC
NCSC NCSC
ISO
ISO
ISO
ISO
ISO
ISO
Pagina 38 van 65
Mnr
Risk
35
11
36
37 38
39
40
41
42
Beheersmaatregel
Referentie
Beheerorganisatie
Eindgebruiker
IT Infrastructuur
Device
Er dienen afspraken te zijn gemaakt ISO over de ondersteuning en onderhoud van apparatuur en programmatuur. 3, 6 Periodieke controles van de mobiele ISO devices op naleving van de beveiligingseisen. 6 Onnodige functionaliteiten dient te AIVD zijn geblokkeerd. 7 Mobiele apparatuur kan op afstand AIVD worden gewist in het geval van diefstal of verlies. 7 Er dient te worden voorkomen dat AIVD informatie op het mobiele apparaat wordt opgeslagen. 12 Er dient te worden voorkomen dat AIVD informatie wordt geback-upt met cloud oplossingen welke niet van de organisatie zijn. AIVD 3 De integriteit van de devices mag niet worden aangetast (jailbreaken, rooten, backdoors en keyloggers). 3 Maak gebruik van een AIVD firewall/IDS/IPS en monitor hierop. Tabel 3 ‐ Beheersmaatregelen literatuuronderzoek
Pagina 39 van 65
2.8 Samenvatting In dit hoofdstuk met betrekking tot het literatuuronderzoek stonden onderstaande deelvragen centraal: ‐
Wat zijn de verschillen en inherente risico’s van het mobiele werken ten opzichte van de traditionele IT omgeving?
‐
Hoe kunnen de onderkende inherente risico’s volgens de literatuur worden gemitigeerd?
Om de verschillen en de inherente risico’s in kaart te brengen zijn er diverse literatuurstukken behandeld. Op basis van deze literatuur hebben wij een model (het risico kwadrant mobiel werken) uitgewerkt. Dit model bestaat uit vier aspecten, te weten beheerorganisatie, eindgebruiker, IT infrastructuur en device waarbij de bedrijfsgegevens centraal staat. Vervolgens is de traditionele IT omgeving beschreven en op basis van het risico kwadrant zijn de verschillen en de inherente risico’s tot stand gekomen. De grootste verschillen en risico’s komen voort uit onderstaande kenmerken van het mobiele werken:
24/7 toegang tot systemen en bedrijfsinformatie;
Het mogelijk maken om verbinding vanaf externe locaties met het bedrijfsnetwerk op te zetten;
De diversiteit aan devices, waarmee het mobiele werken wordt ondersteund.
De risico’s welke worden onderkend in de literatuur zijn op hoofdlijnen de volgende:
Bedrijfskritische informatie wordt ongeautoriseerd verspreid en of toegankelijk voor ongeautoriseerde personen waardoor de vertrouwelijkheid van informatie niet gewaarborgd is;
Bedrijfskritische informatie wordt ongewenst, ongeautoriseerd en/of onterecht gewijzigd/verwijderd waardoor de integriteit van de informatie niet is gewaarborgd.
Om de onderkende risico’s te mitigeren dienen beheersmaatregelen getroffen te worden. Hiervoor zal een proces ingericht moeten zijn welke waarborgt dat de risico’s juist worden geadresseerd en waar nodig worden gemitigeerd met beheersmaatregelen. De beheersmaatregelen welke in de literatuur worden genoemd kunnen in onderstaande punten worden samengevat:
Er dient vanuit de organisatie een beleid en richtlijnen te zijn omtrent de IT systemen en het mobiele werken;
Er dient bewustzijn en verantwoordelijkheid bij de medewerkers te worden gecreëerd ten aanzien van de risico’s en getroffen beheersmaatregelen omtrent de IT omgeving en het mobiele werken;
De beheersmaatregelen omtrent logische toegangsbeveiliging dienen ervoor zorg te dragen dat ongeautoriseerde personen geen toegang kunnen krijgen tot de IT systemen en bedrijfsinformatie van de organisatie;
Er dient voldoende beheer en monitoring plaats te vinden met betrekking tot de mobiele devices waarmee het mobiele werken mogelijk wordt gemaakt. Pagina 40 van 65
3. Praktijkonderzoek 3.1 Inleiding In de vorige hoofdstukken is op basis van de literatuur de definitie van het mobiele werken, de begrippen omtrent de traditionele IT omgeving benoemd en zijn de risico’s en beheersmaatregelen die van toepassing zijn bij het mobiele werken uiteengezet. Om te achterhalen hoe het mobiele werken in de praktijk wordt toegepast en welke beheersmaatregelen in de praktijk worden genomen om de integriteit en vertrouwelijkheid te waarborgen, hebben wij een praktijkonderzoek uitgevoerd. Dit hoofdstuk zal de onderstaande deelvraag worden behandeld: -
Op welke wijze wordt in de praktijk bij het mobiele werken omgegaan met informatiebeveiliging en de kwaliteitsaspecten integriteit en vertrouwelijkheid en welke beheersmaatregelen zijn in de praktijk genomen?
3.2 Organisatie Het praktijkonderzoek is uitgevoerd bij een groot tot middel groot accountantskantoor. Het is een landelijke organisatie met meerdere vestigingen en verschillende disciplines waaronder accounts, belastingadviseurs, salarisadministrateurs, etc. Binnen het accountantskantoor wordt het VDI concept uitgerold. Hierdoor kunnen medewerkers middels diverse devices een connectie maken met het netwerk van de organisatie en krijgen daarmee toegang tot de verschillende informatiesystemen, waar eindgebruikers in de traditionele IT omgeving met hun werkstation ook toegang toe zouden hebben. 3.2.1
IT organisatie
De IT faciliteiten worden ondersteund door de centrale diensten afdeling. Hier zijn diverse specialisten op het gebied van IBM Lotus Notes, Windows besturingssystemen, mobiele devices en VDI aanwezig. Ook is er een helpdesk aanwezig voor het afhandelen van incidenten en serviceaanvragen. De IT afdeling bestaat uit helpdeskmedewerkers, technische specialisten, een security officer, een manager supportdesk en een IT manager. Ook maakt men gebruik van externe dienstverleners voor specialistische kennis, waar deze niet intern aanwezig is. 3.2.2
IT infrastructuur
In figuur 17 is een schematische opbouw van het netwerk weergegeven. Elke vestiging heeft zijn eigen servers en infrastructuur waarmee de werkstations en de laptop’s via een bedraad netwerk toegang hebben. Middels een huurlijn worden alle vestigingen onderling verbonden. De centrale dienst host een aantal applicaties welke door medewerkers van de verschillende vestingen worden gebruikt. Alle data wordt bewaard op servers op de lokale vestiging en een back-up van alle data wordt op opgeslagen op de centrale IT omgeving. Telewerkers kunnen zich aanmelden op het netwerk en kunnen daarna gebruik maken van de verschillende applicaties die worden aangeboden door de centrale IT afdeling. Pagina 41 van 65
Figuur 17 ‐ Vereenvoudigd schematisch netwerk overzicht (oude situatie)
3.2.3
VDI concept
Het accountantskantoor is in 2011 begonnen met de implementatie van een Virtual Desktop Infrastructure, hier na te noemen VDI. In figuur 18 is schematisch de gewenste netwerkinrichting weergegeven. Deze omgeving is momenteel deels gerealiseerd. De hoofdzakelijke aanpassingen zijn de server consolidaties. De meeste servers zijn gevirtualiseerd en verplaatst naar een data center. Daarnaast kan men op een vestiging gebruik maken van diverse mobiele devices welke middels een draadloos netwerk kunnen worden verbonden. Ook is er middels twee firewalls een demilitarized zone (DMZ) ingericht om ongeautoriseerde toegang vanaf het internet af te schermen. Om de implementatie van het VDI concept succesvol te laten verlopen heeft de organisatie gekozen voor een aanpak welke hieronder beknopt wordt toegelicht. De selectie en implementatie van het VDI concept is door organisatie projectmatig ingestoken. Hierbij zijn in de beginfase van het project risico’s onderkend, welke indien nodig geacht gaandeweg het project middels beheersmaatregelen zijn gemitigeerd. Middels stuurgroepen wordt zorg gedragen voor draagkracht vanuit de business ten aanzien van de veranderingen binnen de IT omgeving en de veranderingen waar de eindgebruikers mee te maken krijgen. De stuurgroepen en key-users zijn samengesteld uit de verschillende disciplines, kantoren en afdelingen binnen de organisatie. Dit om organisatie breed draagkracht te creëren. Ten einde gebruik te maken van software, hardware en dienstverleners welke aan de eisen van de organisatie voldoen, heeft men verscheidene selectietrajecten uitgevoerd. Hierbij zijn op basis van vooraf gedefinieerde criteria vragensets voorgelegd aan diverse leveranciers (longlist). Naar aanleiding van de beantwoording van de Pagina 42 van 65
vragensets zijn diverse referentiebezoeken afgelegd om geschikte partners te selecteren (shortlist). Voorafgaand aan het bedrijfsbreed uitrollen van het VDI concept is een pilot georganiseerd waarbij medewerkers van verschillende disciplines zijn betrokken. Binnen de organisatie is op één vestiging het VDI concept als pilot gehouden. Hiervoor is een vestiging gekozen met meerdere disciplines zodat alle dagelijkse werkzaamheden binnen de VDI omgeving getest kunnen worden. Tijdens de pilot onderkende fouten en problemen zijn beoordeeld en indien nodig geacht opgelost voordat bedrijfsbrede uitrol van VDI heeft plaats gevonden.
Figuur 18 – Toekomstig vereenvoudigd netwerkoverzicht
3.2.4
Aanpak case study
Voor onze case study hebben we met verschillende functionarissen binnen de IT afdeling gesproken. Te weten de IT manager, de security officer, een VDI specialist en de manager supportdesk. Voorafgaand aan de interviews hebben wij een aantal voor ons onderzoek relevante vragen opgesteld. De vragen zijn opgesteld mede op basis van de opgedane kennis uit het literatuuronderzoek.
Pagina 43 van 65
Hieronder zijn de definities, onderwerpen en vragen per functionaris uiteengezet. Het interview had een open karakter. Het doel van dit interview is om te achterhalen hoe het mobiele werken binnen de organisatie is toegepast en welke beheersmaatregelen in de praktijk zijn genomen om de integriteit en vertrouwelijkheid te waarborgen. Voor de beantwoording van deze vragen zijn de volgende definities van belang: -
Mobiel werken: “Mobiel werken is het gebruik van middelen om met bedrijfskritische elektronische gegevens 24/7 te kunnen werken (op te slaan, te verwerken en/of te transporteren) buiten de fysieke grenzen van het bedrijf.”
-
Integriteit: “Is de mate waarin gegevens of functionaliteit juist, volledig, tijdig en onweerlegbaar zijn vastgelegd en ingericht.”
-
Vertrouwelijkheid: “Is de mate waarin de toegang tot gegevens of functionaliteit beperkt is tot degenen die daartoe bevoegd zijn.”
Onderwerpen ICT manager: 1. Recente ontwikkelingen (VDI, Outsourcing) 2. Risicoanalyse mobiele werken; 3. Impact mobiele werken IT organisatie/eindgebruikers; 4. Informatiebehoefte analyse; 5. Plan van aanpak; 6. Externe partijen / Outsourcen; 7. Pilot. Onderwerpen Security officer: 1. (informatie)beveiligingsbeleid; 2. Beheersmaatregelen op strategisch, tactisch en operationeel niveau; 3. Monitoring en bewaking; 4. Recente ontwikkelingen (VDI, Outsourcing); Onderwerpen technisch specialist: 1. Technische beheersmaatregelen specifiek t.a.v. infrastructuur en devices; 2. Recente ontwikkelingen (VDI, Outsourcing); 3. Monitoring en bewaking. Onderwerpen voor Manager operations en helpdesk: 1. Organisatorische/procedurele beheersmaatregelen specifiek t.a.v. infrastructuur, devices, beheerorganisatie en eindgebruikers; 2. IT beheerprocessen; 3. Bewustwording eindgebruikers.
Pagina 44 van 65
3.3 Bevindingen in de praktijk Middels dit praktijkonderzoek hebben wij getracht inzichtelijk te maken welke beheersmaatregelen getroffen zijn in de praktijk om de kwaliteitsaspecten integriteit en vertrouwelijkheid van de bedrijfsinformatie te waarborgen. Deze beheersmaatregelen staan in dit hoofdstuk beschreven. De beheersmaatregelen zijn ingedeeld op basis van de in het literatuuronderzoek onderkende risicogebieden, zoals weergegeven in figuur 11. 3.3.1 -
Beheerorganisatie Formuleren ICT strategie op basis van de missie, visie en kernwaarden van de organisatie. Door de organisatie is een ICT strategie opgesteld waarin de missie, visie en kernwaarden ten aanzien van IT zijn verwerkt. Deze ICT strategie vormt de basis van het informatiebeveiligingsbeleid waaruit de te nemen beheersmaatregelen in en rondom de IT omgeving voortvloeien.
-
ICT strategie vertalen naar projecten. Per project worden vervolgens verantwoordelijke (stuurgroep) en risico’s gedefinieerd. De ICT strategie is opgedeeld in verschillende projecten die uitgevoerd dienen te worden. Per project worden verantwoordelijkheden uiteengezet en wordt een risicoanalyse uitgewerkt. Op basis van de risicoanalyse worden indien nodig beheersmaatregelen getroffen.
-
Het borgen van kennis waardoor de afhankelijkheid van externe partijen verkleind wordt. Binnen de organisatie wordt externe kennis ingehuurd voor het inrichten en het beheren van de IT omgeving. Daarnaast worden diverse trainingen gegeven om te borgen dat de kennis van de externe partijen wordt overgedragen aan het interne IT beheerorganisatie.
-
Opstellen van diverse operationele checklists en op basis van deze checklists controle uitvoeren. Door de IT organisatie zijn in samenwerking met de externe partijen checklists opgesteld om te waarborgen dat eventuele storingen vroegtijdig worden gedetecteerd, dit ten einde de beschikbaarheid, integriteit en vertrouwelijkheid van de geautomatiseerde gegevensverwerking te waarborgen. Hierbij worden onder andere checks uitgevoerd ten aanzien van: o
Back-ups;
o
Logging van de IDS & IPS;
o
Hardware performance;
o
Opslagcapaciteit;
o
Netwerkmonitoring;
o
Periodieke opschoning van gebruikersaccounts en beoordeling van de toegekende rechten;
Pagina 45 van 65
-
Instrueren van reeds bestaande focal points per vestiging met relevante informatie met betrekking tot het VDI concept. Op elke vestiging zijn focal points aanwezig. Zij kunnen 1ste lijns support verlenen aan de medewerkers. Daarnaast voeren zij eenvoudige ICT gerelateerde taken uit. Voorafgaand aan de uitrol van het VDI-concept op de vestiging hebben de focal points voorlichting gekregen ten aanzien van aandachtspunten en veel voorkomende problemen en vragen.
-
Het ICT beheer is deels ingericht op basis van de best practice ITIL. Voor de inrichting van het ICT beheerproces heeft men gedeeltelijk gebruikgemaakt van ITIL. Alle verzoeken en incidenten worden gemeld bij een centrale helpdesk. De ITIL processen die gehanteerd worden zijn:
-
o
Incident management;
o
Change management;
o
Configuration management;
o
Problem management;
o
Access management;
o
Security management;
o
Availability management;
o
IT service continuity management.
Back-up wordt centraal digitaal bewaard in het data-center. De back-up faciliteiten worden interne in het data-center verzorgd. Zo wordt er dagelijks een complete back-up gemaakt van alle data en wordt deze veilig opgeborgen in het data-center.
3.3.2
Eindgebruiker
Ten aanzien van de eindgebruiker zijn de volgende beheersmaatregelen getroffen: -
Geheimhoudingsverklaring. Elke medewerker binnen de organisatie dient een geheimhoudingsverklaring te ondertekenen. Onder andere door middel van deze geheimhoudingsverklaring probeert men de vertrouwelijkheid van de bedrijfsgegevens met betrekking tot het risicogebied eindgebruiker te waarborgen.
-
Regelementen met betrekking tot omgang met informatie. Naast de geheimhouding inzake omgang met vertrouwelijke informatie dient de medewerker ook vertrouwelijk om te gaan met de opslag van informatie. Dit in zowel fysieke als digitale vorm. Voorbeelden hiervan zijn een clean desk policy, opslag van mappen in daarvoor bestemde dossierkasten en data opslag op de centrale opslaglocatie. Ook is de eindgebruiker verplicht om gebruik te maken van wachtwoorden en/of toegangscodes en deze te beschermen tegen misbruik en verlies. Deze regelementen zijn onderdeel van het arbeidscontract.
Pagina 46 van 65
3.3.3
IT Infrastructuur
Binnen de IT infrastructuur zijn diverse beheersmaatregelen genomen. Hierbij hebben wij de onderverdeling gemaakt naar beheersmaatregelen ten aanzien van het netwerk en toegangsbeveiliging. Het betreft de volgende: Netwerk
-
DMZ is ingericht om ongeautoriseerde toegang vanaf het internet tot het interne bedrijfsnetwerk af te schermen. Het netwerk van de organisatie is afgeschermd middels twee firewalls waardoor alleen geautoriseerd en goedgekeurd netwerkverkeer plaats kan vinden naar het interne netwerk. In de DMZ zijn onder ander webservers en VMWare View Security Server voor de remote toegang geplaatst.
-
De gegevens die gegenereerd worden door de eindgebruikers (productieomgeving) is gescheiden van het verkeer van de beheeromgeving. Hierdoor kan er niet door eindgebruikers rechtstreeks op de beheeromgeving worden aangelogd vanaf de productieomgeving.
-
De firewall beschikt over een Intrusion Detection en Intrusion Prevention functionaliteit (IDS & IPS). Door de IDS worden ongewone transacties gedetecteerd en vastgelegd. Dit om ongeautoriseerde toegangspogingen te detecteren. De IPS functionaliteit zorgt ervoor dat verdachte en ongeautoriseerde connecties van buitenaf worden geweigerd.
-
Dedicated huurlijnen tussen vestigingen en het data center. Tussen de verschillende vestigingen en het data center wordt gebruik gemaakt van huurlijnen waardoor een landelijk organisatie breed netwerk ontstaat.
-
Gescheiden netwerken. Elke vestiging is aangesloten op het bedrijfsnetwerk (huurlijn, zoals hierboven beschreven). Daarnaast heeft elke vestiging een draadloos netwerk waarmee gasten verbinding kunnen maken met het internet. Dit netwerk is compleet gescheiden (aparte ADSL aansluiting) van het bedrijfsnetwerk.
Toegangsbeveiliging
-
Geëncrypte communicatie middels een HTTPS verbinding (AES-2048). De informatie die verstuurd wordt tussen de webserver en de cliënt wordt geëncrypt middels AES encryptie. Op de webserver wordt de cliënt geautoriseerd waarna het mogelijk wordt voor de eindgebruiker om een VDI sessie op te starten.
-
RSA token authenticatie (two-factor authenticatie). Om toegang te krijgen tot de VDI omgeving dient de gebruiker aan te loggen middels een RSA token. De RSA tokens genereren elke minuut een nieuwe 6-cijferige code welke in combinatie met een 4-cijferige code en een gebruikersnaam toegang geeft tot het systeem. Wanneer de eindgebruiker hierop succesvol heeft aangemeld dient de gebruiker zich opnieuw te autoriseren met het Windows wachtwoord op het domein.
-
Schermbeveiliging wordt actief na een bepaalde periode van inactiviteit.
Pagina 47 van 65
Binnen de VDI omgeving is een automatische schermbeveiliging actief, welke middels een wachtwoord kan worden ontgrendeld. -
Aanmelden op de Windows omgeving geschiedt middels het Windows wachtwoord. Vanaf het vertrouwde netwerk kan de eindgebruiker direct middels zijn Windows inlognaam en wachtwoord inloggen op de Windows omgeving.
-
Er worden eisen gesteld aan het Windows wachtwoord. De eindgebruikers dienen een wachtwoord in te voeren die voldoet aan vooraf afgestelde critica. Het betreft criteria in wachtwoordlengte, wachtwoordduur, complexiteit en worden er eisen gesteld dat eenmaal gehanteerde wachtwoorden niet hergebruikt kunnen worden.
Binnen de bestaande toepassingen (applicaties) zijn geen veranderingen doorgevoerd. De bestaande controles in de applicatie ter waarborging van de integriteit en vertrouwelijkheid zijn hiermee intact gebleven. Deze beheersmaatregelen zijn onder andere: -
Toegang tot informatie wordt verleend middels Windows Active Directory groepen. Dit op data niveau als op toepassingsniveau. Aanpassingen van deze groepen kan alleen uitgevoerd worden na goedkeuring van een bevoegd functionaris.
3.3.4
Devices
De devices die gehanteerd worden zijn onder te verdelen in twee soorten namelijk laptops en smartphones. Laptops Voor de laptops zijn geen additionele beheersmaatregelen getroffen voor het uitrollen van het VDI-concept. Momenteel zijn de standaard ingericht laptops voorzien van VMWare View software. Middels deze software kan een connectie worden opgezet met de VDI omgeving. De bestaande (standaard) laptops zijn voorzien van de volgende beheersmaatregelen: -
De laptops zijn uitgerust met een volledige schijf encryptie. Binnen de organisatie zijn de laptops voorzien van schijfencryptie. Hierbij wordt gebruikt gemaakt van hardware- en softwarematige encryptie methodes. Indien een laptop verloren raakt zijn gegevens niet toegankelijk zonder de juiste sleutel.
-
Virusscanner is geïnstalleerd en wordt voorzien van updates. Op elke laptop en/of werkstation zijn virusscanners actief. Deze worden vervolgens automatische voorzien van nieuwe updates zodat zij bekend zijn met de laatste (bekende) virussen.
-
Firewall is actief. Op de laptop is tevens de standaard Windows firewall actief, welke onvertrouwde connecties met het device dient te blokkeren.
-
Laptop is voorzien van actuele security updates. Alle laptops en werkstations worden automatische voorzien van de laatste security updates van Windows.
-
Eindgebruikers kunnen geen software installeren. De eindgebruiker van de laptop kan geen software installeren. Installatie van applicaties en software wordt uitgevoerd door de beheerorganisatie na goedkeuring leidinggevende.
Pagina 48 van 65
Smartphone Wanneer een smartphone wordt gekoppeld met de email server van de organisatie worden automatisch beveiligingsinstellingen ingesteld op de smartphone. Zo wordt er een beperkt aantal emails opgeslagen op het device zelf. Tevens is het voor de beheerorganisatie mogelijk om het toestel (wanneer deze verbonden is met het internet) op het afstand volledig of gedeeltelijk te wissen.
3.4 Analyse en conclusies In het praktijkonderzoek hebben wij getracht onderstaande deelvraag te beantwoorden. ‐
Op welke wijze is het mobiele werken in de praktijk geïmplementeerd en welke beheersmaatregelen zijn hierbij getroffen?
Binnen de organisatie waar wij het praktijkonderzoek hebben mogen houden is gekozen voor een VDI oplossing in de vorm van VMware View. De mogelijkheid bestaat om middels verscheidene devices en platformen aan te loggen op het bedrijfsnetwerk en te werken met de systemen, applicaties en data. Wij hebben hieronder de belangrijkste beheersmaatregelen welke wij in de praktijk hebben aangetroffen per risicogebied uiteengezet, zoals onderkend in ons literatuuronderzoek. Beheerorganisatie De in de praktijk aangetroffen beheersmaatregelen welke betrekking hebben op de beheerorganisatie verschillen niet of nauwelijks ten opzichte van de situatie waarin het mobiele werken niet wordt ondersteund. Veelal betreffen de beheersmaatregelen ten aanzien van het onderkende risicogebied “beheerorganisatie” procedurele beheersmaatregelen. Deze procedurele beheersmaatregelen dienen bij het implementeren van het mobiele werken wel aangepast te worden zodat zij ook de reeds onderkende risico’s, alleen dan met betrekking tot het mobiele werken / de mobiele apparatuur afdekken. In ons praktijkonderzoek hebben wij waargenomen dat de organisatie gebruik maakt van een aantal ITIL processen voor de inrichting van haar beheerorganisatie. De ITIL processen waar de organisatie gebruik van maakt zijn onder andere incident & change management en acces management. Eindgebruiker De beheersmaatregelen in de praktijk met betrekking tot het risicogebied eindgebruiker beperken zich voornamelijk tot richtlijnen welke onderdeel zijn van het arbeidscontract en een formele richtlijnen met betrekking tot het omgaan met informatie. Net als hierboven bij beheerorganisatie beschreven zijn er in de praktijk geen aanvullende beheersmaatregelen getroffen als gevolg van het mobiele werken met betrekking tot de eindgebruiker. Ook betreffen de reeds bestaande beheersmaatregelen veelal procedurele beheersmaatregelen. De reeds getroffen beheersmaatregelen zijn bij het introduceren van het mobiele werken wel aangepast zodat zij ook de reeds onderkende risico’s, met betrekking tot het mobiele werken / de mobiele apparatuur afdekken.
Pagina 49 van 65
IT infrastructuur Naast de hierboven beschreven beheersmaatregelen is een goede beveiliging tegen ongeautoriseerd gegevensverkeer vanaf het internet zeer belangrijk. In de praktijk hebben wij waargenomen dat hier verschillende beheersmaatregelen voor zijn getroffen. Zo is er met behulp van twee firewalls een Demilitarized Zone (DMZ) gecreëerd. Daarnaast wordt de toegang tot de VDI omgeving beveiligd en afgehandeld door zogeheten Vmware View connection gateway servers. Een andere belangrijke beheersmaatregel welke in combinatie met de VDI oplossing wordt gehanteerd is het gebruik van RSA Tokens voor authenticatie van gebruikers. De tokens genereren elke minuut een nieuwe 6-cijferige code welke in combinatie met een 4-cijferige code en een gebruikersnaam toegang geeft tot de systemen, applicaties en data van de organisatie. Hiermee worden risico’s ten aanzien van het kraken / bekend raken van wachtwoorden grotendeels gemitigeerd. Device Het gebruik van een VDI omgeving houdt in dat voornamelijk beeld, toetsenbord en muis gegevens worden uitgewisseld tussen het mobiele device en het bedrijfsnetwerk. Dit betekent dat de data opgeslagen en verwerkt wordt op een centrale omgeving binnen het bedrijfsnetwerk. Risico’s als gevolg van verlies en/of diefstal van het device worden derhalve grotendeels gemitigeerd, doordat er geen bedrijfsinformatie lokaal op het device is opgeslagen. Met betrekking tot devices welke gekoppeld zijn aan de email server (Exchange) is beheersmaatregel getroffen dat deze op afstand kunnen worden gewist. In de onderstaande tabel 4 staan beknopt de grootste veranderingen tussen de traditionele IT omgeving en de VDI omgeving weergegeven. Traditionele IT omgeving
VDI omgeving / mobiel werken
Decentrale IT omgeving
Gecentraliseerde IT omgeving
Beperkte besturingssystemen
Meerdere besturingssystemen
Direct aanloggen op Windows domein
Via VDI aanloggen op het Windows domein
Lokaal werken
Remote werken
Beperkte firewall
Uitgebreide firewall met IDS/IPS functionaliteit
Besturingssysteem direct geïnstalleerd op
Gevirtualiseerde IT omgeving
hardware Onafhankelijk van internetverbinding
Internetverbinding noodzakelijk
Omgeving binnen kantoor uren benaderbaar
Omgeving 24/7 benaderbaar
Ondersteuning standaard systemen door
Ondersteuning meerdere devices en
beheerorganisatie
platformen door beheerorganisatie
Tabel 4 ‐ Grootste veranderingen traditioneel / VDI
Pagina 50 van 65
4. Beschouwing In dit hoofdstuk zullen we op basis van het literatuur- en praktijkonderzoek antwoord geven op de onderstaande beschouwende deelvragen: ‐
Worden de in het literatuuronderzoek onderkende risico’s voldoende afgedekt door de beheersmaatregelen welke in de praktijk zijn getroffen.
‐
Welke werkwijze en beheersmaatregelen zijn cruciaal die geïmplementeerd moeten worden en kunnen deze in een hanteerbaar overzicht geplaatst worden?
In hoofdstuk 2 zijn de veranderingen en de risico’s bij het in gebruik nemen van het mobiele werken in kaart gebracht daarnaast zijn de te treffen beheersmaatregelen uiteengezet. Hieronder worden de verschillen tussen het mobiele werken in de theorie en in de praktijk (casus onderzoek) uiteengezet. Hierbij wordt per risicogebied de onderkende verschillen weergegeven. Beheerorganisatie In de theorie wordt meer aandacht geschonken aan de richtlijnen en beleidsuitgangspunten, zoals welke werkzaamheden uitgevoerd mogen worden wanneer een eindgebruiker mobiel werkt. Uit ons praktijkonderzoek is gebleken dat door de organisatie hier weinig aanvullende aandacht aan is besteed. Dit komt onder andere doordat in de situatie voor de implementatie van VDI, het ook al mogelijk was om op afstand te werken. Daarnaast was er al sprake van een beheerorganisatie met de daarbij behorende beheersmaatregelen voordat het mobiele werken in de vorm van het VDI concept werd toegepast. Specifieke aanpassingen en kennis welke inherent zijn aan het VDI concept zijn wel ingebed binnen de beheerorganisatie. Eindgebruiker In de theorie wordt het beveiligingsbewustzijn van de eindgebruiker als beheersmaatregel genoemd. Het beveiligingsbewustzijn van de medewerkers binnen de organisatie wordt niet periodiek beoordeeld en getraind maar door de diverse richtlijnen omtrent omgaan met informatie en geheimhouding acht de organisatie de bijbehorende risico’s voldoende te hebben gemitigeerd. Deze afweging is echter organisatie specifiek. Wanneer organisaties dezelfde beheersmaatregelen implementeren dienen zij voor hun eigen organisatie de afweging te maken of de betreffende risico’s voor hun organisatie daarmee ook voldoende worden gemitigeerd. IT Infrastructuur De risico’s welke uit de beheersmaatregelen uit de theorie kunnen worden afgeleid, worden grotendeels ook in de praktijk door de organisatie gemitigeerd. Echter hiervoor heeft de organisatie wel een aantal beheersmaatregelen gehanteerd welke niet in de theorie zijn aangetroffen. Zo hebben wij het gebruik van desktop virtualisatie (VDI) niet als beheersmaatregel in de onderzochte richtlijnen omtrent mobiel werken aangetroffen. Echter door het mobiele werken op deze wijze in te richten worden wel een groot deel van de in het literatuuronderzoek onderkende risico’s gemitigeerd. Pagina 51 van 65
Device Net als hierboven bij de verschillen ten aanzien van de IT infrastructuur beschreven zorgt het gebruik van VDI met betrekking tot het risicogebied device voor een aantal verschillen in getroffen beheersmaatregelen ten opzichte van de in de onderzochte richtlijnen worden voorgeschreven. Wel worden middels VDI de door ons in de literatuur onderkende risico’s gemitigeerd.
Hoewel de beheersmaatregelen en onderkende risico’s in de praktijk niet geheel één op één aansluiten met die uit de theorie, zijn er wel veel overeenkomsten. In de theorie worden de risico’s en beheersmaatregelen op een hoger en abstracter niveau aangetroffen. In de praktijk hebben wij (organisatie) specifieke beheersmaatregelen aangetroffen toegespitst op de gekozen oplossing van het mobiele werken. Veelal leiden de beheersmaatregelen wel tot het mitigeren van dezelfde risico’s als de beheersmaatregelen welke in het literatuuronderzoek zijn onderkend. In het literatuuronderzoek hebben wij één risico onderkend (zie bijlage C) waarvoor wij in de praktijk geen specifieke beheersmaatregel hebben aangetroffen. Dit betreft het risico dat onbeveiligde en/of compromitteerde devices loggen aan op het bedrijfsnetwerk. Gezien de gekozen oplossing, te weten VDI, is het ook niet noodzakelijk om hier specifieke beheersmaatregel voor te treffen. Dit vanwege het feit dat bij het mobiele werken het device niet in het bedrijfsnetwerk wordt gehangen maar dat de communicatie (beeld, toetsenbord en muis) via een tussenlaag wordt afgehandeld (VMWare View). Om de onderkende risico’s ten aanzien van de integriteit en vertrouwelijkheid van bedrijfsinformatie te waarborgen wanneer er gebruik wordt gemaakt van het mobiele werken zullen een aantal cruciale beheersmaatregelen getroffen moeten worden. Hiervoor hebben wij een standaard werkwijze onderkend. De werkwijze / aanpak welke een organisatie zou kunnen hanteren om op een verantwoorde wijze het mobiele werken te implementeren is hieronder puntsgewijs uiteengezet. ‐
Werkwijze: o
Formuleren van een beleid ten aanzien van informatiebeveiliging en het inrichten van de organisatie die verantwoordelijk is voor informatievoorziening;
o
Opsporen van onacceptabele risico’s door middel van een risicoanalyse;
o
Selecteren van een set van beheersmaatregelen;
o
Implementeren van de geselecteerde beheersmaatregelen;
o
Monitoring ten aanzien van de getroffen beheersmaatregelen;
o
Evaluatie van het effect dat met de getroffen beheersmaatregelen bereikt wordt (blijven de beheersmaatregelen voldoen en worden de relevante risico’s voldoende gereduceerd).
Pagina 52 van 65
‐
Cruciale beheersmaatregelen: o
Draag zorg voor adequate logische toegangsbeveiliging;
o
Bedrijfskritische informatie dienen binnen de organisatie centraal, beheerd, beveiligd en opgeslagen te worden.
De bedrijfsinformatie dient zoveel mogelijk binnen de IT systemen van het bedrijf opgeslagen te worden en zo min mogelijk op de mobiele devices. VDI is een oplossing waarmee dit kan worden bewerkstelligd.
Pagina 53 van 65
5. Beantwoording centrale vraagstelling In dit laatste hoofdstuk worden de belangrijkste conclusies behandeld die voortkomen uit de gestelde centrale vraagstelling. De centrale vraagstelling is onderverdeeld in deelvragen die in de bovenstaande hoofdstukken zijn behandeld. Hieronder worden de belangrijkste conclusies nogmaals beknopt weergeven. In paragraaf 5.3 zullen de mogelijkheden tot vervolgonderzoek worden weergegeven.
5.1 Beantwoording deelvragen In deze paragraaf wordt de beantwoording van de deelvragen beknopt toegelicht. Dit op basis van het uitgevoerde literatuur- en praktijkonderzoek. §
Wat zijn de verschillen en inherente risico’s van het mobiele werken ten opzichte van de traditionele IT omgeving?
De voornaamste verschillen zijn dat systemen en gegevens 24/7 beschikbaar zijn, dit ook voor buiten de fysieke grenzen van het bedrijf. Daarnaast zijn de devices waarmee het mobiele werken mogelijk wordt gemaakt divers. De eindgebruiker kan aanloggen vanaf een werkstation, laptop of vanaf een ander mobiel device. Door deze verschillen worden de risico’s met betrekking tot het ongeautoriseerde toegang en het ongeautoriseerd raadplegen of bewerken van informatie groter. §
Hoe kunnen de onderkende inherente risico’s volgens de literatuur worden gemitigeerd?
De onderkende risico’s uit de literatuur kunnen worden gemitigeerd door te treffen beheersmaatregelen. Middels deze beheersmaatregelen dienen de risico’s welke samen met het gebruik van het mobiele werken worden geïntroduceerd, te worden gemitigeerd. Een organisatie kan diverse beheersmaatregelen treffen ten aanzien van verschillende risicogebieden zoals weergegeven in ons onderzoek. Het betreft de risicogebieden beheersorganisatie, IT-infrastructuur, eindgebruiker en devices. Analyserend: §
Op welke wijze is het mobiele werken in de praktijk geïmplementeerd en welke beheersmaatregelen zijn hierbij getroffen?
Middels een praktijkonderzoek bestaande uit diverse expert interviews hebben wij geïnventariseerd welke beheersmaatregelen getroffen zijn in de praktijk. Daarbij hebben wij geconstateerd dat dat de organisatie het VDI concept heeft geïmplementeerd. Aanvullende beheersmaatregelen zijn hierbij met name getroffen ten aanzien van het onderdeel IT infrastructuur.
Pagina 54 van 65
Beschouwend: §
Worden de in het literatuuronderzoek onderkende risico’s voldoende afgedekt door de beheersmaatregelen welke in de praktijk zijn getroffen?
Op basis van de opgedane kennis uit het literatuuronderzoek en de inbedding van het mobiele werken middels het VDI concept bij de onderzochte organisatie hebben wij een vergelijking opgesteld tussen de theorie en de praktijk. Belangrijkste conclusie hierbij is dat, maatregelen niet één op één kunnen worden overeenkomen tussen de theorie en de praktijk. De risico’s en beheersmaatregelen aangetroffen in de theorie zijn op een hoger abstractieniveau gedefinieerd, de beheersmaatregelen onderkend in de praktijk zijn veelal organisatie specifiek en in detail geformuleerd;
§
Welke werkwijze en beheersmaatregelen zijn cruciaal die geïmplementeerd moeten worden en kunnen deze in een hanteerbaar overzicht geplaatst worden?
De werkwijze welke gehanteerd kan worden bestaat uit een aantal vooraf gedefinieerde stappen. De PDCA management methode (plan, do, check & act) ligt hieraan te grondslag. De cruciale beheersmaatregelen welke geïmplementeerd dienen te worden zijn onder te verdelen naar twee aspecten. Namelijk het zorg dragen voor een adequate logische toegangsbeveiliging (ter waarborging van de integriteit en vertrouwelijkheid) en het zorg dragen dat bedrijfskritische informatie binnen de organisatie centraal, beheerd, beveiligd en opgeslagen wordt. De combinatie van de in tabellen 2 & 3 en in bijlage B beschreven risico’s en beheersmaatregelen, vormen samen een hanteerbaar overzicht van mogelijk te treffen beheersmaatregelen bij het mobiele werken.
5.2 Beantwoording centrale vraagstelling Middels het mobiele werken concept wordt informatie (ook bedrijfskritische informatie) op een andere wijze ontsloten van het bedrijf dan in een traditionele omgeving waarbij de medewerker fysiek aanwezig is bij de organisatie en daar gebruik maakt van de IT middelen die aan hem ter beschikking zijn gesteld. Het op een andere wijze ontsluiten van bedrijfskritische informatie brengt een aantal risico’s met zich mee en reeds aanwezige risico’s worden door het gebruik van het mobiele werken verder vergroot. Met name de risico’s ten aanzien van integriteit en vertrouwelijkheid van de bedrijfsinformatie zijn belangrijk om in gedachten te houden wanneer men medewerkers de mogelijkheid wil gaan bieden om vanaf externe locaties met bedrijfskritische informatie aan de slag te gaan. Gezien de bovenstaande problematiek, hebben wij voor dit onderzoek de volgende onderzoeksvraag gehanteerd: “Wat zijn de inherente risico’s van het mobiele werken en hoe kunnen MKB+ organisaties ervoor zorgen dat zij het risiconiveau ten aanzien integriteit en vertrouwelijkheid van de
Pagina 55 van 65
bedrijfsinformatie bij het faciliteren van het mobiele werken gelijk houden ten opzichte van de traditionele IT omgeving.” Wanneer een organisatie haar medewerkers de mogelijkheid biedt om mobiel te kunnen werken zullen er een aantal veranderingen doorgevoerd dienen te worden ten aanzien van de IT omgeving. Op hoofdlijnen komt dit neer op onderstaande veranderingen:
24/7 toegang tot systemen en bedrijfsinformatie;
Het mogelijk maken om verbinding vanaf externe locaties met het bedrijfsnetwerk op te zetten;
De diversiteit aan devices, waarmee het mobiele werken wordt ondersteund.
De bovenstaande veranderingen leiden tot inherente risico’s ten aanzien van de integriteit en vertrouwelijkheid van de bedrijfsinformatie. Om het risiconiveau (zoveel mogelijk) gelijk te houden met de oude situatie dient de organisatie een proces ten aanzien informatiebeveiliging in te richten en hierbij aanvullende beheersmaatregelen rondom informatiebeveiliging te treffen. Dit proces dient ten minste een soort van PDCA cyclus te bevatten, waarbij de risico’s en beheersmaatregelen periodiek worden heroverwogen. Cruciale beheersmaatregelen op hoofdniveau welke getroffen dienen te worden, zijn:
Draag zorg voor adequate logische toegangsbeveiliging;
Bedrijfskritische gegevens dienen binnen de organisatie centraal beheerd, beveiligd en opgeslagen te worden.
Het zorg dragen voor adequate logische toegangsbeveiliging dient te bewerkstelligen dat ongeautoriseerde personen geen toegang hebben tot digitale bedrijfsinformatie waartoe zij niet zijn gemachtigd. Hierbij kan men denken aan beheersmaatregelen met betrekking tot het interne netwerk, maar ook aan beheersmaatregelen welke het bedrijfsnetwerk beveiligen tegen bedreigingen vanaf het internet. Voorbeelden hiervan zijn het scheiden van netwerkverkeer en two factor authenticatie. Indien de organisatie niet beschikt over adequate logische toegangsbeveiliging, wordt het risico dat bedrijfsinformatie wordt ingezien en/of gemuteerd door onbevoegden sterk vergroot. Derhalve hebben wij adequate logische toegangsbeveiliging als cruciale beheersmaatregel op hoofdniveau aangemerkt. Door het centraal opslaan, beheren en beveiligen van bedrijfskritische gegevens houdt de organisatie overzicht over de bedrijfskritische gegevens, de IT componenten waarop deze zich bevinden en de beheersmaatregelen die zijn getroffen. Dit in tegenstelling tot de situatie waarin bedrijfskritische gegevens op allerlei devices binnen en buiten de organisatie zou zijn opgeslagen. In dit geval zou de organisatie snel het overzicht en de controle over deze gegevens verliezen. De organisatie dient er derhalve voor zorg te dragen dat de bedrijfskritische gegevens niet zonder meer de gecentraliseerde omgeving kunnen verlaten. Hoe er verder in detail invulling wordt geven aan de bovenstaande beheersmaatregelen en welke oplossingen hierbij gehanteerd worden kan per organisatie verschillen. Dit kan onder
Pagina 56 van 65
andere afhankelijk zijn van de cultuur binnen de organisatie, de bedrijfsprocessen en het beschikbare IT budget. Op basis van ons onderzoek zijn wij van mening wanneer MKB(+) organisaties met een laag tot gemiddeld risicoprofiel, bovenstaande werkwijze en beheersmaatregelen juist en volledig inbedden, zij de inherente risico’s van het mobiele werken met betrekking tot integriteit en vertrouwelijkheid van bedrijfsinformatie in voldoende mate beheersen en mitigeren. Deze afweging dient echter altijd nog door de organisatie zelf gemaakt te worden.
5.3 Slotopmerkingen en beperkingen van het onderzoek Het praktijkonderzoek is uitgevoerd bij één organisatie. Dit heeft als gevolgd dat de beperkingen van een case study van toepassing zijn [YIN09]. De bevindingen uit het praktijkonderzoek hebben enkel betrekking op de organisatie en kunnen derhalve niet zonder onderzoek worden overgenomen voor andere organisaties. Om te bepalen of de onderkende risico’s en bijbehorende beheersmaatregelen eveneens op meerdere organisaties van toepassing zijn, zullen aanvullende onderzoeken dienen te worden verricht. Ook hebben wij in de praktijk één verschijningsvorm van het moderne mobiele werken onderzocht. Dit betekent dat er derhalve nog onderzoek dient te worden gedaan naar andere mogelijke verschijningsvormen van het mobiele werken en de daarbij behorende risico’s en beheersmaatregelen.
Pagina 57 van 65
Bijlage A Literatuurlijst [TUIL11] http://computerworld.nl/article/13055/nederland-koploper-in-mobiele werken.html [ITAUD12] de IT-Auditor nummer 3, 2012, Verschuivende verantwoordelijkheden (de impact van 'Bring Your Own') Chris Wauters en Lancelot Schellevis [YIN09] Yin, R.K. (2009), Case study research, design and methods, Sage Publications, Inc. [PVIB12] www.pvib.nl/download/?id=17680865&download=1 [BYCY12] http://www.computable.nl/artikel/opinie/telecom/4529947/1276977/mobiele werkenof-toch-liever-cyod.html [CLOUD12] www.cloudworks.nu/uploads/CloudWorks-2-2012.pdf [GART11] http://www.gartner.com/it/page.jsp?id=1842615 [IDC02] http://www.idc.com/getdoc.jsp?containerId=prUS23543712 [GAR01] http://www.gartner.com/it/page.jsp?id=1924314 [COMP04] http://computerworld.nl/article/13746/wat-zijn-mdm-en-mam.html [COMP06] http://www.compact.nl/artikelen/C-2006-3-Hermans.htm [VLIET01] http://www.trendmicro.nl/newsroom/pr/onderzoek-trend-micro-naar-staat-vanbeveiliging-mkb-sterke-toename-mobiele werken-en-beveiligingsincidenten/index.html [IDC01] http://www.idc.com/getdoc.jsp?containerId=prUS23638712 [SEC01] https://www.security.nl/artikel/44611/1/Onversleutelde_laptop_kost_hospice_40.000_euro.html [SEC02] https://www.security.nl/artikel/44522/1/%27Tablet_en_smartphone_bedrijfsbackdoor_van_2013%27.html [SEC03] https://www.security.nl/artikel/10763/1/%22Mobiele_beveiliging_grootste_uitdaging_sinds_mille nniumbug%22.html [SEC04] https://www.security.nl/artikel/38161/1/Boze_systeembeheerder_hackt_exbaas_via_McDonald%27s.html [COMP01] http://www.computable.nl/artikel/opinie/infrastructuur/4526445/2379248/nieuwevormen-telewerken-introduceren-risicos.html#ixzz2L9nXcpFG
Pagina 58 van 65
[COMP02] http://www.computable.nl/artikel/consultancy_guide/4597226/1571663/mobielwerken-bezorgt-de-ictafdeling-kopzorgen.html [COMP03] http://www.computable.nl/artikel/achtergrond/security/4348415/1276896/2012-wordthet-jaar-van-security-in-mobility.html [CBS01] http://www.cbs.nl/NR/rdonlyres/6CFC261D-EF63-4B04-B092F2256FA523B0/0/2012tijdplaatsonafhankelijkwerken2010art.pdf [TNO01] Kosten en baten van de grootschalige invoering van telewerk. Meijer, R.A.M., T. Weijers e.a. Onderzoeksrapport van het Studiecentrum voor Technologie en Beleid TNO / Universiteit van Twente (1992) [JALA] http://www.jala.com/definitions.php [TNO02] http://www.drechtstedenbusiness.nl/content/aspect-ict-april-2013 [VRIES01] Vries, H de, Weijers T (november 1998). Zicht op Telewerken, een studie naar de stand van zaken in de kennis over telewerken en de impact op het beleidsterrein van SZW Ministerie van Sociale Zaken en Werkgelegenheid. Pearson Education [MOREELS01] http://www.slideshare.net/svenmoreels/mobiel-werken [EVE01] http://www.telewerkforum.nl/files/Databank/Arbo/110905%20%20rendement_en_risicos_telewerken_vrm_4.pdf [COMP12] http://www.compact.nl/artikelen/C-2012-3-Doorn.htm [SPRUIT01] www.marcelspruit.nl/papers/bewustzijn_v2.pdf [SEC05] https://www.security.nl/artikel/42122/1/Reizigers_verliezen_3.500_laptops_op_luchthavens_VS. html [COMVPN] http://computerworld.nl/it-beheer/75031-wat-is-vpn [COMPMB] http://www.computable.nl/artikel/achtergrond/mwm/4719540/4707109/succesmobiel-werken-hangt-af-van-beleid.html [SCHIPPER01] http://www.frankwatching.com/archive/2011/09/27/bring-your-own-werknemersmaken-de-dienst-uit/ [WIKI01] http://en.wikipedia.org/wiki/Client%E2%80%93server_model [WIKI02] http://nl.wikipedia.org/wiki/Thin_client [INFORB] Overbeek, P. (2004). Informatiebeveiliging onder controle, Pearson Education Benelux;
Pagina 59 van 65
[GOVCERT01] https://www.ncsc.nl/binaries/nl/dienstverlening/expertiseadvies/kennisdeling/whitepapers/telewerken/1/Whitepaper%2BTelewerken.pdf
[NCSC01] https://www.ncsc.nl/binaries/nl/dienstverlening/expertiseadvies/kennisdeling/whitepapers/beveiligingsrichtlijnen-voor-mobieleapparaten/1/Beveiligingsrichtlijnen%2Bvoor%2Bmobiele%2Bapparaten%2Bdeel%2B1.pdf [NEN01] http://www.nen.nl/NEN-Shop/Norm/NENISOIEC-270022007-nl.htm [AIVD01] https://www.aivd.nl/publish/pages/2452/bring_your_own_device.pdf [PDCA01]http://www.scienceprogress.nl/kwaliteit/pdca-deming
Pagina 60 van 65
Pagina 61 van 65
Bijlage B Beheersmaatregelen praktijkonderzoek Mnr
Risk
Beheersmaatregel
1
2
2
2
Formuleren ICT strategie op basis van de missie, visie en kernpunten van de organisatie. ICT strategie vertalen naar projecten. Per project worden vervolgens verantwoordelijke (stuurgroep) en risico’s gedefinieerd.
3
11
4 5
1, 9, 10 1
6
10
Het borgen van kennis waardoor de afhankelijk van externe partijen verkleind wordt. Opstellen van diverse operationele checklists en op basis van deze checklists controle uitvoeren. Instrueren van reeds bestaande focal points per vestiging met relevante informatie met betrekking tot het VDI concept. Het ICT beheer is deels ingericht op basis van de best practice ITIL.
7
1
Geheimhoudingsverklaring
8
1
Regelementen met betrekking tot omgang met informatie.
9
9, 11
10
9
11
8
DMZ is ingericht om ongeautoriseerde toegang vanaf het internet tot het interne bedrijfsnetwerk af te schermen. De gegevens die gegenereerd worden door de eindgebruikers (productieomgeving) is gescheiden van het verkeer van de beheeromgeving. Geencrypte communicatie middels een HTTPS verbinding (AES-2048).
12
9
De firewall beschikt over een Intrusion Detection functionaliteit (IDS).
13
9
Intrusion Prevention System (IPS)
14
9
Dedicated huurlijnen tussen vestigingen en het data center.
15
9
Gescheiden draadloze (gasten) en bedraad netwerken.
16
4, 5, 9
17
4, 5
RSA token (two-factor authenticatie) authenticatie indien wordt aangemeld buiten het “vertrouwde” netwerk. Schermbeveiliging wordt actief na een bepaalde periode van inactiviteit.
Beheerorganisatie
Eindgebruiker
IT Infrastructuur
Device
18
4, 5, 9
19
4, 5
Aanmelden op de Windows omgeving geschiedt middels het Windows wachtwoord. Er worden eisen gesteld aan het Windows wachtwoord.
20
12
Back-up wordt centraal digitaal bewaard in het data-center.
21
7
Toegang tot infromatie wordt verleend middels groepen.
22
5, 7
De laptops zijn uitgerust met een volledige schijf encryptie.
23
5, 9
Virusscanner is geïnstalleerd en wordt voorzien van updates.
24
9
Firewall is actief op de laptop.
25
5, 9
Laptop is voorzien van actuele security updates.
26
6
Eindgebruikers kunnen geen software installeren.
27
5, 7
Smartphone kan op afstand gewist worden.
28
6, 7, 8, 12
Maak gebruik van een gecentraliseerde VDI omgeving, waardoor systemen en gegevens centraal worden opgeslagen en beheerd.
Pagina 63 van 65
Bijlage C Mapping beheersmaatregelen theorie en praktijk Rnr
Risico
1
Doordat eindgebruikers onvoldoende kennis hebben van de beheersmaatregelen en regels omtrent
Koppeling Theorie
Koppeling praktijk
1, 34, 4, 5
4, 5, 7, 8
28
1, 2
informatiebeveiliging, bestaat het risico dat zij handelen in strijd met de betreffende regels en beheersmaatregelen. 2
Door het ontbreken van een beleid omtrent het mobiele werken is het onduidelijk welke beheersmaatregelen getroffen dienen te worden.
3
Onbeveiligde en/of compromitteerde devices loggen aan op het bedrijfsnetwerk
4
Wachtwoorden van gebruikersaccounts worden binnen de organisatie gedeeld, of
2, 7, 12, 36, 41, 42 3, 15
16, 17, 18, 19
3, 8, 14, 15, 17, 18,
16, 17, 18, 19, 22,
19, 33, 22, 24, 26,
23, 25, 27
beveiligingsmaatregelen om gebruikersaccounts te beveiliging zijn van onvoldoende kwaliteit, waardoor medewerkers onder andere accounts dan hun eigen kunnen aanloggen. 5
Ongeautoriseerden hebben logische of fysieke toegang tot het device.
27 6
Eindgebruikers kunnen software installeren / configureren waardoor getroffen
9, 26, 36, 37
26, 28
8, 10, 17, 20, 29,
21, 22, 27, 28
beveiligingsmaatregelen negatief worden beïnvloed. 7
Als gevolg van verlies/diefstal kan de bedrijfsinformatie toegankelijk worden voor ongeautoriseerde personen
8
Informatie die uitgewisseld wordt, wordt onderschept door onbevoegden.
9
Ongeautoriseerde personen kunnen zich middels hacken toegang verschaffen tot de bedrijfsinformatie.
32, 38, 39 11, 25
11, 28
2, 3, 6, 7, 11, 12,
4, 9, 10, 12, 13,
14, 15, 24
14, 15, 16, 18, 23, 24, 25
10
De rechten binnen de systemen zijn onjuist ingericht, waardoor medewerkers toegang hebben tot
13, 16
4, 6 Pagina 64 van 65
Rnr
Risico
Koppeling Theorie
Koppeling praktijk
componenten en informatie waarvoor zij niet bevoegd zijn. 11 12
Er vindt onvoldoende onderhoud/beheer plaats op de devices De systemen en gegevens worden onvolledig en/of onjuist gebackupped, waardoor in het geval van
23, 35
3, 9
30, 31, 40
20, 28
een calamiteit de bedrijfsinformatie niet juist en volledig hersteld kan worden.
Pagina 65 van 65
