Digitale identiteit

Beveilig je onderneming en versterk de positie van de gebruiker.

Digital identity ontrafelen in het tijdperk van cloud-authenticatie

Sociale media en meerdere digitale profielen zijn niet meer weg te denken uit ons dagelijks leven. Hierdoor worden we nu meer dan ooit gedefinieerd door onze digital identity. Onze online acties worden steeds meer gebruikt om ons te categoriseren en te bepalen welke aanbiedingen, diensten en kansen ons worden aangeboden.

Met de komst van regelgeving zoals GDPR worden organisaties gedwongen te onderkennen dat Personally Identifiable Information (PII) een waardevol goed is. PII-gegevens moeten niet alleen worden beschermd, maar mensen hebben nu ook duidelijk omschreven rechten die zijn gekoppeld aan hun digital identity.

Met de explosieve groei van clouddiensten en flexibele werklocaties bevinden we ons in een omgeving waarin onze identiteit draagbaar is en de grenzen ervan flexibel zijn.

De kasteelheer

Vóór de komst van de cloud waren gebruikers voornamelijk werkzaam in kantoorlocaties, waar ze apparatuur gebruikten die onder streng toezicht stond. Alle belangrijke infrastructuur en gegevens werden binnen die centrale omgeving opgeslagen. Om een analogie te gebruiken: stel dat een kasteel alle kroonjuwelen bevatte, dan hoefden we alleen maar een hoge muur te bouwen en de in- en uitgaande mensen te controleren om de veiligheid te waarborgen. Perimeterbeveiliging behoorde tot het standaardbeleid. Zolang deze methodologie voor gegevenstoegang en -opslag voor waar werd aangenomen, was deze geldig.

Tegenwoordig worden gegevens vaak extern in de cloud opgeslagen en kunnen ze vanaf eigen apparatuur op diverse locaties worden benaderd. In zo'n omgeving moeten we een nieuwe perimeter voor beveiliging definiëren, waarbij de enige constante onze identiteit is.

Digital Identity

Identiteit is de nieuwe perimeter

Onze identiteit geldt als enige constante factor in een omgeving met verspreide gegevens en variabele apparaatbesturing. We moeten er dan ook voor zorgen dat de juiste controles worden toegepast op toegang en gebruik.

Tot op zekere hoogte doen we dit al, want we maken gebruik van gebruikersnamen en wachtwoorden om het toegangsniveau en -bereik te bepalen. Maar hoeveel mensen gebruiken dit toegangsmechanisme voor zowel het apparaat als de locatie waarvandaan ze toegang proberen te krijgen? Hoeveel mensen gebruiken in plaats van een IP-adres hun eigen identiteit als toegangscriterium voor firewalls?

De dubbelzinnigheid van de cloud

Er bestaan methodologieën die deze elementen met elkaar verbinden (bijvoorbeeld: Network Access Control). Toch biedt de cloud nieuwe uitdagingen, want ook al zijn wij de baas over onze gegevens, de toegang tot de gegevens wordt steeds onduidelijker.

Bijvoorbeeld: met een relatief goedkoop Office365-abonnement kunnen gebruikers op vijf verschillende apparaten inloggen op applicaties en gegevens downloaden. Maar ben je eigenaar van of verantwoordelijk voor al deze vijf apparaten?

In cloudapplicaties wordt vaak de voorkeur gegeven aan gebruiksgemak boven veiligheid. Soms wordt zelfs gezegd dat firewalls niet "in de weg" moeten staan. Dit betekent dat we onze benadering moeten aanpassen. We moeten samenwerken met cloudapplicaties, in plaats van ze tegen te werken. Door de tools of API's van cloudapplicaties te gebruiken, kunnen we onze gegevens op effectieve wijze blijven bewaken. We kunnen controleren wie toegang tot de gegevens heeft en wat men met de gegevens doet.

Big Brother is watching you.

In de tijd dat perimeterbeveiliging nog voldoende was, konden we op eenvoudige wijze onze firewall en VPN-logs op verdacht gedrag controleren en daar passend op reageren. Omdat de perimeters van tegenwoordig personen zijn, is een nieuwe aanpak vereist.

Allereerst moeten we gebruikers voortdurend blijven informeren over hun verantwoordelijkheden op het gebied van gegevensbeveiliging. Tegelijkertijd moeten we oppassen dat we de gebruikers niet overbelasten.

In de tweede plaats moeten we hun apparaten als perimeters laten fungeren en hierop endpoint management, firewalls, antivirus en geavanceerde bescherming tegen bedreigingen (threat protection) toepassen. We moeten deze tools en mogelijkheden implementeren op deze nieuwe perimeter, net zoals we dit op onze netwerkperimeter doen. Het lijkt alsof dit een enorme overhead op het gebied van controle en beheer met zich meebrengt. Er zijn echter tools die ondersteuning bieden voor implementatie op grote schaal en rapportage. Daarnaast wordt het aanbevolen om logbestanden te vullen met gegevens uit deze tools, en deze naar SIEM-software te versturen voor verdere analyse.

Ten slotte moeten we iets vervelends doen.

We gaan even terug naar onze 'kasteel'-analogie. We gingen ervan uit dat als je de ophaalbrug eenmaal was gepasseerd, je te vertrouwen was en toegang kreeg tot vrijwel de gehele binnenruimte. Tegenwoordig is nog steeds de meerderheid van interne netwerken plat en overal toegankelijk.

Als de perimeter is verplaatst, moeten we onderkennen dat een gebruiker mogelijk gecompromitteerd is. Een van de belangrijkste stappen die moeten worden uitgevoerd, is het stoppen van de zijwaartse beweging van een aanval. Hierbij fungeren de gebruikers als grenzen en worden de laagste toegangsrechten als uitgangspunt genomen.

Uiteindelijk zouden gebruikers alleen toegang mogen hebben tot de gegevens waarmee ze hun rol kunnen uitoefenen, en zullen we moeten aannemen zij op een bepaald moment gecompromitteerd zijn. Het kan lastig zijn om dit te detecteren. Dit verklaart dan ook de opkomst van gedragsanalyses. Hierbij zoeken we niet naar een onweerlegbaar bewijs van een inbreuk, maar proberen we te definiëren wat 'normaal' is. Als we een baseline voor gebruikersgedrag kunnen definiëren en daarmee kunnen bepalen wat normaal is, kunnen we worden gewaarschuwd als er iets abnormaals gebeurt.

Deze laatste techniek vereist trouwens ook een ander soort reactie. Terwijl we vroeger reageerden op bekende en bewezen gebeurtenissen, moeten we nu een mogelijk probleem onderzoeken. De tools die je hebt geïmplementeerd, kunnen je hierbij helpen.

Uiteindelijk wordt onze digital identity gebruikt om ons te definiëren in ons persoonlijke en zakelijke leven. Dit vereist aanpassing van ons beveiligingsbeleid ten aanzien van het omringen, beschermen en controleren van gebruikers, niet van alleen activa.

Identity management moet je bedrijf vooruit helpen, niet in de weg staan.

​We nodigen je uit om je transformatiereis op het gebied van identity management bij ons te beginnen. Samen kunnen we een bijdrage leveren om je beveiligingsprogramma om te zetten naar een rendabele, innovatieve en gebruikersvriendelijke ervaring.

Wil je meer weten?

Neem vandaag nog contact met ons op.

Bel ons of laat een bericht achter. Ons team staat klaar om je te helpen.

Bericht sturen Nu bellen Offerte aanvragen

Deze website maakt gebruik van cookies. Door verder te gaan op de site ga je akkoord met ons gebruik van cookies. Lees meer.