Veel ondernemers zijn tijdens de Covid-19 crisis geconfronteerd met verplicht thuiswerken. Vaak wordt hierbij gebruik gemaakt van cloud-gebaseerde werkomgevingen, zoals Office 365 van Microsoft. De Cybersecurity and Infrastructure Security Agency (CISA) in de Verenigde Staten heeft recentelijk aanbevelingen gepubliceerd om veilig van deze cloud-omgeving gebruik te maken. We hebben deze aanbevelingen aangepast zodat ze generiek toepasbaar zijn op cloud-omgevingen:
- Stel tweefactorauthenticatie in voor gebruikers die beheerder zijn (zogenaamde administrator accounts) Hiermee creëer je een tweede schil van beveiliging. Dit is van belang omdat als iemand toegang krijgt tot een dergelijk account, die persoon feitelijk alles kan doen in jouw digitale omgeving. Je zou dan afgesloten kunnen worden van jouw bedrijfsapplicaties of jouw bedrijfsinformatie kan gegijzeld worden.
- Zet ook tweefactorauthenticatie aan voor gewone gebruikers. Je wil ten alle tijden voorkomen dat iemand toegang krijgt tot jouw omgevingen als hij of zij dat niet mag. Ook een gebruiker met beperkte rechten kan al veel schade aanrichten. Goede praktijkvoorbeelden zijn CEO-fraude of een klik op een link in een phishing e-mail.
- Vermijd het gebruik van administrator rechten bij gewone gebruikers. Is dit toch noodzakelijk, beperk dan de rechten zo, dat eventueel misbruik zo min mogelijk gevolgen heeft.
- Leg vast wat gebruikers doen binnen jouw omgeving. Door 'logging' op de juiste manier in te richten, kun je later achterhalen wat op welk moment in jouw omgeving is gebeurd.
- Stel 'alerts' in zodat je berichten krijgt als er vreemde activiteiten zijn (bijvoorbeeld inloggen vanuit het buitenland, hoge frequentie van inlogs of op vreemde tijden). Zorg er wel voor dat je ook tijd hebt om te leren van deze alerts en volgt ze ook op. Dit laatste kun je beleggen bij een medewerker of afdeling, of uitbesteden aan een IT-dienstverlener.
- Mocht je nog gebruik maken van verouderde systemen dan kan het zijn dat jouw cloud-omgeving daarmee moet worden geïntegreerd. Met verouderde protocollen en applicaties loop je extra risico dat kwaadwillenden een toegang vinden tot jouw bedrijfsgegevens en -omgeving. Verouderde protocollen zijn bijvoorbeeld FTP, HTTP, maar ook onbeveiligde e-mail. Bespreek met jouw leverancier hoe jouw risico’s kunnen worden beperkt.
- Gebruik je monitoringsoftware? Voeg dan ook de meldingen uit jouw cloud-omgeving of thuiswerkfaciliteiten hier aan toe.
- In sommige applicaties kun je ook de veiligheidsinstellingen beheren of een beeld krijgen van het niveau van veiligheid van je cloud-omgeving. Maak hier gebruik van als het voorhanden is. Kan je dit niet zelf? Overleg met je leverancier of deze hier een rol in kan spelen en laat je adviseren over wat voor jou nodig of noodzakelijk is.
Meer weten? Lees hier welke afspraken je kunt maken met je IT-leverancier.