Een sterk beveiligde IT-omgeving: hoe ziet die eruit?

Soorten IT-security

 
Voor we ons verdiepen in de verschillende elementen van een beveiligde IT-omgeving leggen we graag enkele basisbegrippen uit:
 

Layered security 

Geen enkel IT-systeem is 100% waterdicht. De truc is om meerdere IT-technologieën te gebruiken die elkaar overlappen. Dat zorgt ervoor dat de tekortkomingen van het ene IT-systeem opgevangen worden door het andere. Een dergelijke aanpak noemen we ‘layered security’ of ‘gelaagde beveiliging’.

 

Defense-in-depth

Als u die inventieve cybercriminelen buiten uw IT-muren wil houden, dan is complexiteit key. Hoe moeilijker u het ze maakt, hoe kleiner de kans op een geslaagde aanval. Maar dan moet u natuurlijk meer doen dan systemen die niét volledig waterdicht zijn, te doen overlappen. U zorgt er dan voor dat uw hele beveiliging ook in de diepte werkt: denk bijvoorbeeld aan uw back-ups, monitoring of patch management.

 

Onderdelen van een veilige IT-omgeving

Een efficiënte beveiligingsstrategie voor uw IT omvat steeds deze essentiële onderdelen:
 

Monitoring

Als u uw IT-infrastructuur voortdurend monitort, bent u altijd op de hoogte van onregelmatigheden of potentiële problemen. U kunt er dan ook veel sneller op reageren. 

 

Updates & patching

Geen fan van die vervelende pop-upmeldingen die u er op wijzen dat u uw IT-systemen en apps moet updaten? Begrijpelijk, maar het is onverstandig om ze te negeren. Ze beschermen u namelijk tegen hackers die uw organisatie binnendringen via bugs in uw IT-oplossingen. Softwareontwikkelaars verbeteren hun producten voortdurend met patches die de kapotte achterdeurtjes dichten. Kortom: patch management is een absolute basisvoorwaarde voor uw IT-security.

Trouwens, u doet er goed aan om ook regelmatig uw firmware te updaten. Die updates herstellen bugs of programmeerfouten en voegen extra functionaliteiten toe aan uw hardware, zodat uw organisatie nog beter beschermd is tegen hackers.

 

Antivirus en antispam

Ook malware wordt steeds complexer: kijk bijvoorbeeld maar naar de Cryptolocker-virussen die uw bedrijf ernstig kunnen schaden. Degelijke antivirussoftware  beperkt die schade en verhindert de verspreiding van virussen in uw gehele IT-omgeving.

Nog zo’n reële bedreiging voor uw bedrijf: spammails met valse links naar kwaadaardige websites. Met een antispamprogramma is dat probleem meteen van de baan.

 

Back-up & Disaster Recovery

Wat als er toch iets misgaat met uw IT-infrastructuur, bijvoorbeeld na een brand of een ramp? Kunt u dan terugvallen op een degelijke back-upstrategie? Beschikt u over een kopie van uw data en kunt u deze meteen inschakelen om downtime te vermijden?

Om ernstige bedrijfsschade te vermijden is het essentieel dat u een Disaster Recovery Plan opstelt. Daarin staat behalve alle cruciale informatie ook een handig stappenplan waarmee u toch kunt blijven werken als uw infrastructuur faalt. 
Een vuistregel voor een efficiënte back-upstrategie is het 321-principe:
 

• U beschikt over minstens 3 kopieën, waaronder de oorspronkelijke data.
• De kopieën bewaart u op minstens 2 verschillende manieren. Bijvoorbeeld op tape, harde schijven enzovoort.
• Zorg voor minstens 1 kopie off-premise, in externe datacenters of in de cloud. Zo kunt u steeds terugvallen op deze kopie als de andere niet beschikbaar zijn. 

Firewall

Informatie stroomt uw organisatie binnen via allerlei toegangspoorten. Om zeker te zijn dat er geen kwaadaardige gegevens meeglippen, hebt u een gatekeeper nodig. Dankzij uw firewall weet u meteen welke toegangen open staan, maar ook welk dataverkeer er is en of het wel veilig is.
De meeste besturingssystemen beschikken over een geïntegreerde firewall. Deze schakelt u altijd in, zodat onverwacht kwaadaardig dataverkeer zich niet razendsnel over uw netwerk verspreidt. Let er wel op dat de poorten die nodig zijn voor het gebruik van uw applicaties open blijven. 

Sandboxing

Gebruikt u Exchange Online Advanced Threat Protection of WatchGuard APT Blocker? Goed zo, want die sporen cyberaanvallen tijdig op. En dat door middel van sandboxing, een proces dat mails met bijlagen eerst in een beveiligde cloudomgeving opent en controleert. Enkel wanneer ze veilig zijn, komen ze in uw mailbox terecht. Zijn ze dat niet, dan ontvangt u een melding van de onregelmatigheid. U kan sandboxing overigens ook toepassen bij het testen van nieuwe software. Zo brengt u uw IT-infrastructuur op geen enkel moment in gevaar.

Mobile Device Management

Met Mobile Device Management of MDM beheert, monitort en beveiligt u de mobiele apparaten die uw werknemers gebruiken: laptops, smartphones en tablets. Het is een efficiënte vorm van datasecurity wanneer uw organisatie werkt met een BYOD-policy (Bring Your Own Device). 

Met de cloud-based service Microsoft Intune kunt u bijvoorbeeld bepalen hoe uw werknemers uw bedrijfsapparaten mogen gebruiken. U configureert simpelweg uw eigen policies om applicaties te verbeteren, of u voorkomt dat er e-mails gestuurd worden naar externen.

Wachtwoordpolicy  

Wachtwoorden beveiligen de toegang tot de vele accounts, apps, mailboxen en andere systemen die we dagelijks gebruiken. Maar ze moeten wél correct ingesteld zijn. Daarvoor heeft u beleidsregels nodig die uw werknemers moeten volgen telkens ze een nieuw wachtwoord aanmaken. Een paar vuistregels:

• Maak een lijst van verboden of te vermijden wachtwoorden.   
• Denk aan de complexiteit en lengte van wachtwoorden.
• Verander op regelmatige basis van wachtwoord.
• Gebruik wachtwoordbescherming zoals AD Password Protection om uw bedrijf te beschermen. Het detecteert en blokkeert zwakke wachtwoorden.  

Wil u een sterkere beveiliging dan enkel wachtwoorden? Overweeg dan om over te schakelen naar multifactorauthenticatie. 

Multifactor authentication 

Bij multifactor authentication gebruikt u ten minste twee factoren om toegang te krijgen tot uw mailbox, apps en andere IT-systemen. U geeft uiteraard uw gebruikersnaam en wachtwoord in, maar het systeem vraagt u bovendien om een unieke code die u kan genereren met een aparte app, zoals Microsoft Authenticator. Op die manier kan niemand zich toegang verschaffen, zelfs niet als ze uw wachtwoord en gebruikersnaam kennen. Heeft u geen smartphone om een code mee op te vragen? Dan gebruikt u een van de vele alternatieven, zoals tokens.  

De juiste toegangsrechten toekennen

IT-beheerders of admins waken over uw bedrijfsapparaten: ze moeten dus de nodige rechten krijgen om snel hun taken uit te kunnen voeren. Maar geef zeker niet iedereen zomaar alle rechten, want dat leidt niet alleen tot boetes voor het niet hebben van geldige licenties, maar ook tot shadow IT. In uitzonderlijke gevallen is het mogelijk om tijdelijke, lokale admin-rechten toe te kennen voor het installeren van specifieke applicaties of software, maar alleen  voor die ene download en gedurende de periode van installatie. 

Er zijn drie soorten admin-rechten:

• Role Based Access Control (Microsoft Azure): geeft rechten op basis van de rol van de gebruiker.
• Just Enough Admin (PowerShell): net genoeg rechten om specifieke taken uit te voeren.
• Privileged Identity Management (Windows domain): geeft gebruikers gelimiteerde rechten die na een bepaalde tijd vervallen.  

Smartscreen filters en het scannen van URL’s

Het is niet eenvoudig te achterhalen of een URL veilig is of niet. Eén foute inschatting is voldoende voor hackers om uw bedrijf binnen te dringen. Gelukkig beschikken de meeste browsers over een geïntegreerde smartscreenfilter dat waarschuwt voor kwaadaardige URL’s.

Exchange ATP zorgt voor extra veiligheid: het checkt alle URL’s in uw e-mails op het moment van ontvangst én het moment dat u erop zou klikken. Het is namelijk een gekende truc van hackers om de URL pas na ontvangst te veranderen. Een sluwe manier om toch uw mailbox binnen te dringen en u nietsvermoedend op een frauduleuze link te doen klikken. 

 


Controleren van fysieke toegang

Bovenstaande vormen van IT-security gaan vooral over het beschermen van de digitale toegang tot uw IT, maar hoe zit het  met de fysieke toegang? Iemand met kwade  bedoelingen mag niet zomaar uw serverruimte binnenwandelen: zorg dus voor een aparte serverruimte met gecontroleerde toegang.