Is de identiteit van medewerkers, klanten en patiënten veilig achter de staldeur?

Gegevens vliegen de deur uit. Ook die van jouw klanten, patiënten en medewerkers?

Op basis van Pobelka is 750GB data onfutseld aan overheidsinstellingen en het bedrijfsleven. Daar zitten ook inlogcodes, wachtwoorden, persoonlijke informatie en creditcard gegevens bij. Door onduidelijke toewijzing van taken, bevoegdheden en verantwoordelijkheden opereert het Nationale Cyber Security Center in een vacuüm. Als je gegevens ontvreemd zijn, en als dat bekend is, kan of wil het NCSC daar te weinig mee doen.

Vertrouwelijke gegevens zijn binnen de muren van jouw organisatie niet meer veilig. Veel organisaties, vergelijkbaar met die van jou, beveiligen de koppeling aan het internet met een staldeur.

Dat is verre van toereikend, bewijst Pobelka maar weer. Dus gaan die organisaties investeren in betere voordeuren. Feit is echter dat de gegevens op allerlei andere manieren het pand verlaten. Tel het aantal clouddiensten bij jou in de organisatie maar eens op. Vermenigvuldig die met het aantal eigen tablets en smartphones. Maak een inschatting van de bewuste medewerker.

Die rekensom vertelt je dat het risicoprofiel van jouw organisaties enorm is opgeblazen. Daarbij komt de grensvervaging tussen binnen en buiten en de vermenging van werk en privé. Gegevens verlaten het pand op allerlei onbeheersbare wijzen. Erger nog, het pand bestaat niet meer!

Er is een schaduwinfrastructuur ontstaan van werkplekken, systemen, netwerken, clouddiensten, apps en storage waarop de organisatie geen vat meer heeft.

Waar leg jij het zwaartepunt van security in de beschreven situatie? Er zijn echt nog wel betere voordeuren nodig. Kies dan echter wel een oplossing die op basis van eenduidige policies de beveiliging van IT-infrastructuur én endpoints realiseert. Val niet voor de blauwe ogen van de commercianten van ‘Wij-van-WC-eend’. Die zien jouw organisatie alleen maar als toiletpot die zij wel even schoon zullen maken. Risicoanalyse zegt dat je risico niet alleen in de perimeter zit.

OK, dus niet alleen een staldeurupgrade!

De organisatie heeft geen grip op de schaduwinfrastructuur. De medewerkers daarentegen wel. Op grond van de ideeën van het Jericho-forum is enkele jaren geleden al aangegeven dat beveiliging van data en identiteit leidt tot een effectievere beveiliging van vertrouwelijke gegevens. Er ontstaat een nieuwe perimeter, identiteit!

De organisatie moet dan ook op zoek naar een manier om naadloos beveiligde toegang te bieden tot vertrouwelijke zakelijke gegevens in verschillende SAAS-oplossingen, en tot privégegevens van medewerkers in clouddiensten (dropbox, drive, …). Dan komt al vlug Federated Identity Management om de hoek kijken. Maar hoe krijg je als organisatie al die cloud providers op één lijn?

Diverse organisaties hebben natuurlijk al veel tijd gestoken in Identity Access Manegement projecten toen er nog geen schaduwinfrastructuur bestond. Ik kan me voorstellen dat menig directielid de wenkbrauwen fronst bij de budgetaanvraag voor een nieuw IAM-project. Wellicht dat standaarden als SAML en OAuth een rol van betekenis kunnen spelen in de zoektocht naar goed Identity Management. Wel zullen cloud providers mee moeten bewegen. Niet iedere partij is daartoe in staat. Zoek dus de juiste partijen die bereidwillig zijn om ook jouw gegevens veilig te houden.

Een bijkomend aspect van de nieuwe identiteitsperimeter is de context waarbinnen die identiteit van kracht is. Thuis, op een eigen apparaat, is de identiteit van het directielid snel afgezwakt. Moet hij dan alle autorisaties krijgen die op kantoor wel gelden?

Kijk echter niet te holistisch naar identiteit. Neuro Linguistisch Programmeren biedt met logische niveaus van Bateson een mooie kijk op de verschillende niveaus van identiteit. Het start onderaan met omgeving. Of de andere niveaus van toegevoegde waarde zijn voor het vaststellen van toegangsrechten betwijfel ik echter.   

Daar sta je dan. Een half opengezwaaide staldeur, een schaduwinfrastructuur en de wetenschap dat je straks geen pand meer hebt waarbinnen gegevens beveiligd hoeven te worden.

Ga jij die perimeter ‘identiteit’ de prioriteit geven die het verdiend? Of ga je toch voor een staldeurupgrade? Wellicht ga je allebei doen. Ik kan me wel vinden in de laatste.

Mocht jij het totaal niet meer zien zitten als beveiliger dan verwijs ik je naar de Paardenkamp. Kijk uit voor al die staldeuren!