211service.com
De risico's van telewerken
Door werknemers thuis en in coffeeshops, treinen of waar dan ook met internettoegang te laten werken, verlaagt u de kosten en verhoogt u de productiviteit, maar brengt het ook aanzienlijke veiligheidsrisico's met zich mee. Veel computerbeveiligingsexperts zeggen dat bedrijven lang niet genoeg doen om de kans te verkleinen dat een werknemer gegevens of intellectueel eigendom verliest terwijl hij buiten kantoor is.
Veel organisaties beschermen hun netwerken met firewalls die de toegang tot bepaalde bronnen beperken, een stap die lijkt op het plaatsen van een slot op een deur. Velen hebben ook virtuele privénetwerken (VPN's) die gegevens versleutelen die van de bedrijfsnetwerken naar externe werknemers gaan. Maar hoe effectief dit is, hangt af van hoe toegang tot de VPN wordt verleend; aangezien basiswachtwoorden van werknemers kunnen worden geraden of gephishing, is het veiliger om een extra stap toe te voegen.
Voor sommige organisaties omvat die stap hardwaretokens (kleine apparaten die af en toe eenmalige wachtwoorden genereren) of software-equivalenten. (Recente hackaanvallen op tokenprovider RSA, die hebben geleid tot een vervolghack op Lockheed Martin, lijken de onderliggende cryptografische technologie die wordt gebruikt in de tokens van RSA niet permanent te hebben ondermijnd.) Bij correct gebruik zijn VPN's met sterke authenticatieprocedures moeilijk te hack, zelfs via openbare Wi-Fi-netwerken waar afluisteraars anders gemakkelijk het verkeer kunnen opsnuiven.
Maar het beveiligen van gegevens vereist meer dan het opzetten van firewalls en VPN's. Hoewel social engineering-aanvallen, waarbij een slachtoffer wordt misleid of gedwongen om wachtwoorden of andere gevoelige informatie op te geven, niet uniek zijn voor telewerkers, kunnen de oplichting moeilijker zijn in het licht van de organisatorische beveiliging die een kantoor biedt, zegt Steven Chan , een research fellow en chief software architect bij de afdeling engineering systems van MIT. Om een medewerker te benaderen die gevoelige informatie verwerkt, kun je doen alsof je een fietskoerier of FedEx-man bent, maar je moet nog steeds langs de bewaker, receptioniste, enzovoort, zegt Chan. Mensen die alleen werken, zijn kwetsbaarder.
Chan voegt eraan toe dat veel werknemers die thuis werken waarschijnlijk niet zo goed netwerkbeveiliging hebben als op hun kantoor. Als ik weet dat je thuiskantoor dat verlengstuk van het huis is of dat je studeerkamer op de eerste verdieping is, hoef ik alleen maar je laptop te stelen of voorbij je [wifi-beveiliging] te komen, zegt Chan. Misschien is uw Verizon-router nog steeds ingesteld op het standaardwachtwoord. Over het algemeen weet ik precies waar uw kritieke bestanden zich bevinden, en als ik [echt goed ben in wat ik doe], is het doelwit toast.
Externe medewerkers zijn ook kwetsbaar voor verlies of diefstal van apparaten met de gegevens van hun organisatie. In 2006 verloor een medewerker van het Amerikaanse Department of Veterans Affairs een laptop en harde schijf met gevoelige, niet-versleutelde informatie over meer dan 26 miljoen veteranen en hun families.
Om dergelijke verliezen te voorkomen, raden experts aan om op zijn minst de meest gevoelige materialen op de harde schijf van een telewerker te versleutelen. Voor een grondige beveiliging moet de hele harde schijf worden gecodeerd en mag deze alleen toegankelijk zijn met sterke wachtwoorden. Microsoft raadt wachtwoorden aan van ten minste 14 tekens, waarvan sommige letters, cijfers en symbolen zijn. Bovendien kan trackingsoftware worden gebruikt om een verloren laptop, telefoon of tablet te lokaliseren en op afstand gegevens te wissen.
Chan stelt ook referenties voor, wat betekent dat werknemers alleen toegang moeten krijgen tot de informatie die ze nodig hebben voor hun werk. De machtigingen moeten regelmatig worden heroverwogen en niet alleen worden ingesteld wanneer werknemers voor het eerst worden aangenomen. Een dergelijk raamwerk kan een organisatie ook helpen bij te houden wanneer de belangrijkste gegevens zijn geopend, waardoor het minder waarschijnlijk is dat een enkele werknemer regelmatig het gebouw verlaat met persoonlijke gegevens van 26 miljoen veteranen.
Een andere mogelijke bron van problemen is dat telewerkers voor hun werk verschillende mobiele apparaten gebruiken. Tegenwoordig zijn veel apparaten door de werknemers aan organisaties opgedrongen, in plaats van andersom, merkt Rich Campagna op, die toezicht houdt op beveiligingsproducten voor Juniper Networks. Een manier om te voorkomen dat dit de beveiliging in gevaar brengt, is door servers in een netwerk alle apparaten te laten identificeren en verifiëren die toegang proberen te krijgen. In een stap die apparaatvingerafdrukken wordt genoemd, kan het netwerk proberen een legitieme externe werknemer te onderscheiden van een malafide hacker door te kijken naar het IP-adres, de serienummers van het apparaat en andere instellingen op de computer van de gebruiker. Als een onbekend apparaat toegang probeert te krijgen tot het netwerk, zelfs met de juiste wachtwoorden en ID's, wordt de toegang geweigerd of wordt het verzoek geëvalueerd na verdere authenticatie (bijvoorbeeld door een telefoontje naar de gebruiker).
Zulke automatische procedures zijn beter dan van medewerkers te verwachten dat ze zelf verstandige beveiligingskeuzes maken, zegt Campagna: De kans is groot dat het niet gebeurt als de eindgebruiker er een bewuste beslissing over moet nemen.