Toezicht houden en inzicht krijgen

In eerdere artikelen hebben we geschreven over informatiebeveiliging en technische maatregelen die u kunt nemen. In dit artikel zoomen we dieper in op toezicht en inzicht. Door toezicht te houden op de ingestelde beveiligingsmaatregelen verkrijgen we inzicht in gebeurtenissen en trends. Van ons mag u verwachten dat we toezicht houden op een adequate beveiliging en een goed gebruik van de systemen, terwijl we u als klant voorzien van inzicht in de status van beveiliging en potentiële risico’s. We lichten dit verder toe aan de hand van drie pijlers: identiteiten, systemen en informatie.

1. Identiteiten

Identiteiten zijn de sleutel tot het verkrijgen van toegang tot bedrijfsdata. Iedere medewerker heeft een account waarmee via autorisaties toegang verkregen wordt tot de bedrijfsdata. Maar ook externen, zoals leveranciers of partners, maken gebruik van accounts die via autorisaties toegang geven tot het bedrijfsnetwerk en mogelijk ook tot bedrijfsdata. Alle toegang tot bedrijfsdata is dus afhankelijk van een account, wat dus feitelijk een identiteit is.

Om toezicht te houden op identiteiten maken we gebruik van verschillende functionaliteiten van Microsoft Azure. Via specifieke logbestanden (audit logs) krijgen we inzicht in bijvoorbeeld verdachte aanmeldingen. Op basis hiervan kunnen we tijdig ingrijpen als er iets mis dreigt te gaan, maar zijn we ook in staat adequater te handelen wanneer er al iets mis is gegaan.

Met behulp van Microsoft Access Reviews kunnen we periodiek monitoren of bepaalde accounts nog wel gebruikt worden. Dat vinden we belangrijk omdat we zien dat nogal eens vergeten wordt accounts te verwijderen die niet meer in gebruik zijn, waardoor de toegang tot data open blijft staan. Dit is een risico dat voor de meeste organisaties niet of slecht zichtbaar is.

We vinden het dus belangrijk om inzicht te geven in wie toegang heeft tot uw bedrijfsomgeving. Zo kunnen we met behulp van dynamische rapporten in Power BI of Excel een actueel overzicht bieden van eventuele risicovolle aanmeldingen op uw omgeving. Daarnaast kunnen we overzicht bieden van interne en externe accounts en bijvoorbeeld of er nog actuele aanmeldingen zijn geweest.

2. Systemen

Wij maken van oudsher onderscheid tussen beheerde systemen en onbeheerde systemen.

Beheerde systemen zijn systemen die wij in beheer hebben en waarvan we weten of ze voldoen aan het vastgestelde bedrijfsbeleid:

- Software is up-to-date;
- De beveiliging is op niveau, en
- De functionele inrichting is geoptimaliseerd voor slim en efficiënt samenwerken.

Onbeheerde systemen zijn systemen waar we geen controle over hebben en waarvan we dus ook geen zicht hebben op de inrichting en de status van de beveiliging. Het onderscheid tussen beheerd en onbeheerd is erg belangrijk in de keuze om toegang te verlenen tot bedrijfsinformatie. Hiervoor maken we gebruik van voorwaardelijke toegang, hierover later in dit artikel meer.

Over de systemen die we in beheer hebben (laptops, telefoons, printers, servers etc.) houden we toezicht door gebruik te maken van diverse op elkaar afgestemde technieken. Met behulp van systemen zoals Kaseya, Microsoft Intune en Microsoft Autopilot voeren wij effectief beheer uit over deze systemen. We bepalen hiervoor een zogenaamde baseline waaraan een systeem moet voldoen en zorgen ervoor dat deze automatisch toegepast wordt. Vervolgens wordt bewaakt dat deze toepassing actief blijft.

Bij het geven van inzicht vinden we het vooral van belang om afwijkingen of risico’s zichtbaar te maken. Bijvoorbeeld werkplekken die niet up-to-date zijn. Meer gedetailleerde overzichten van de status en actualiteit van de inrichting van alle werkplekken kunnen we uiteraard ook bieden. Zijn alle updates netjes geïnstalleerd en bijvoorbeeld wanneer een laptop voor het laatst gebruikt is.

3. Informatie

Zolang als wij onze klanten helpen bij het inrichten en gebruiken van informatiesystemen zien we de tweestrijd tussen gebruiksgemak en beveiliging. Met de introductie van SharePoint en Teams is deze tweestrijd alleen maar versterkt; het is heel eenvoudig om informatie te delen met derden maar heb je als organisatie daarmee nog grip op de bedrijfsdata? Organisaties zien vaak wel het belang van een informatiearchitectuur, maar krijgen de meeste medewerkers onvoldoende mee om dit van dag tot dag toe te passen. Dit draagt bij aan de verspreiding en versnippering van informatie en maakt het lastiger om grip te houden op de informatie binnen uw organisatie en de beveiliging daarvan.

"Naast toezicht houden en inzicht krijgen is bewustzijn onder de medewerkers cruciaal. Hoe volwassen is het informatiebeveiligingsbewustzijn binnen uw organisatie?"

Toezicht houden op bedrijfsinformatie begint voor ons met de toegang tot die informatie, die we door het beveiligen van identiteiten en systemen al beter kunnen beheersen. We passen voorwaardelijke toegang toe, waarmee we op basis van verschillende factoren bepalen of iemand toegang krijgt tot bedrijfsdata en onder welke voorwaarden. Zo zal de toegang van een medewerker tot bedrijfsinformatie vanaf een beheerde werkplek vanuit Nederland zonder aanvullende voorwaarden worden toegestaan. Dezelfde toegang voor deze persoon vanaf een onbeheerde werkplek zal minstens om een extra verificatie vragen en kan vervolgens geweigerd worden. De persoon (identiteit), het apparaat (systeem) en de locatie zijn drie belangrijke aspecten die we opnemen in onze beveiligingsstrategie.

Aanvullend op deze voorwaardelijke toegang bieden we de mogelijkheid om onderscheid te maken naar de mate waarin specifieke bedrijfsinformatie beveiligd wordt. Meer beveiliging betekent vaak minder gebruiksvriendelijkheid. We helpen onze klanten bij het opstellen van een informatie classificatie om tot een betere beveiliging van informatie te komen. Zo kan informatie van gevoeligere aard aanvullend beveiligd worden, terwijl informatie van openbare aard minder restricties oplegt.

Om een beter inzicht te krijgen in de beveiliging van bedrijfsinformatie kunnen we verschillende rapportages aanbieden. Voorbeelden hiervan zijn:

- Autorisatiematrix. Wordt gebruikt om periodiek de toegangsrechten te evalueren;
- Monitoring Classificaties. Vanuit informatiebeveiliging kan het van belang zijn om te monitoren hoe de classificaties voor gevoelige informatie gebruikt worden.

Meer weten over security & toezicht houden en inzicht krijgen? Gebruik de chat of neem contact op via de mail of telefoon om verder te praten met één van de security specialisten van VX Company.

Wilt u direct ontdekken hoe het is gesteld met het informatiebeveiliginsbewustzijn van uw organisatie? Doe dan de gratis Security Awareness Scan en ontvang direct de resultaten.