Kans op dataverlies reduceren – hoe doen bedrijven dat? 1/2

ISPtoday-datalekken-wordleGeen dag gaat voorbij of ergens ter wereld wordt toegegeven dat iets door iemand is gehackt en dat daarbij gegevens van klanten of processen zijn ontvreemd. Heel vaak volgt er dan als verklaring dat het een zeer geavanceerde hack moet zijn geweest want en dan volgt een verhaal dat door kenners wordt ontvangen met hoongelach.

Helaas blijkt net iets te vaak dat onnodige slordigheden hier een rol spelen, dan heeft er iemand toegang terwijl dat functioneel niet nodig was. Nog erger: een ex-medewerker of aannemer had schijnbaar nog toegang. Volgens Amerikaans onderzoek heeft maar liefst 18% van IT professionals na vertrek nog manieren toegang tot systemen te krijgen.

Hoe gaan partijen in Nederland om met deze uitdagingen. ISPtoday maakte een rondje en kreeg daar zo snel zo veel reacties op dat we het artikel in twee delen op hebben opgesplitst. Iedereen kreeg dezelfde vragen voorgelegd. De antwoorden maken duidelijk dat de bedrijven onderling verschillen geven de antwoorden ook, maar dat maakt het alleen maar interessanter. Vandaag de reacties van Bit en Dearbytes. Morgen de antwoorden van Fundaments en i3D.

Kristian de Bruijn, BIT:

Hoe gaan jullie hier mee om?
Wij hebben procedures en werkinstructies voor de uitdiensttreding van medewerkers, om te borgen dat accounts en toegangsrechten worden opgeruimd. Daarmee worden rechten ingetrokken vlak voor of vlak na het daadwerkelijk uit dienst treden.

Hebben jullie vaste afspraken met klanten en personeel wie accounts mag aanmaken en schrappen?
Ja. Accounts voor ons eigen personeel kunnen door een beperkt aantal collega’s aangemaakt en verwijderd worden. Het toekennen van rechten moet door zowel de leidinggevende als de security officer geaccordeerd worden. Klanten hebben op onze portal alleen toegang tot hun eigen gegevens. Rechten op die portal kunnen uitgedeeld en ingetrokken worden door één of meerdere rechtenbeheerders van de klant zelf.

Is toegang onderdeel van de maandelijkse/wekelijkse/dagelijkse rapportages?
Toegangsrechten worden periodiek gecontroleerd en geaccordeerd.

Welke tips heb je voor de lezers?
Wees je bewust wie toegang heeft tot welke systemen en zorg dat je weet welke gegevens op welk informatiesysteem staan. Zorg dat je je logs ook wegschrijft naar een plaats waar systeembeheerders zelf geen toegang hebben. Daarmee creëer je een plek waar systeembeheerders geen mogelijkheid hebben om hun eigen sporen te wissen.

Rik van Duijn, Dearbytes:

Hoe gaan jullie hier mee om?
Kan niet ingaan op onze organisatie maar wij adviseren klanten om zo snel mogelijk open en eerlijk te communiceren. Niet alleen wat er gebeurd is, maar ook hoe het gebeurd is en hoe de organisatie gaat voorkomen dat dit in de toekomst nog eens gebeurt.

Hebben jullie vaste afspraken met klanten en personeel wie accounts mag aanmaken en schrappen?
Het toekennen van toegangsrechten wordt alleen gedaan door degene die verantwoordelijk is voor de systemen, in samenwerking met klanten wordt het eigen proces of in het geval van de klanten het klantproces gevolgd.

Is toegang onderdeel van de maandelijkse/wekelijkse/dagelijkse rapportages?
Ja.

Welke tips heb je voor de lezers?
Maak in samenwerking met HR een proces voor mensen die de organisatie gaan
verlaten, onderdeel hiervan is het uitschakelen van accounts, innemen van laptop en bijvoorbeeld tokens. Als blijkt dat dat niet kan omdat accounts gedeeld zijn, weet je meteen wat er mis is binnen de organisatie. Verder is het raadzaam na te gaan welke accounts langdurig niet gebruikt zijn, waar mogelijk de accounts uit te schakelen.

Over Redactie ISP Today

ISP Today is het Nederlandstalige platform voor de Internet Service Providers in Nederland. We presenteren nieuws van redactionele kwaliteit met relevantie voor de Nederlandse ISP community. Internet Service Providers en met name de mensen daarachter staan centraal op ISP Today.