Gastexpert: remote access voor externe leveranciers niet veilig met VPN

Ook als er niets weg is, zegt dat natuurlijk niks. Het gekke is dat we ons om dit soort dingen heel druk kunnen maken, maar dat op dit moment bij organisaties precies hetzelfde gebeurt met alle risico’s van dien. Gemiddeld hebben wekelijks zo’n 181 externe leveranciers toegang tot een bedrijfsnetwerk, maar weinig IT-afdelingen hebben inzicht in wie, wanneer en hoe lang binnen is. Met een VPN-verbinding zetten organisaties de deur onnodig open voor kwaadwillenden.

Externe toegang vraagt om inzicht

Toegang aan externe leveranciers, voor het functioneel en soms ook technisch beheer van het applicatielandschap, wordt traditioneel gezien verleend door middel van een VPN. Waar dit een prima oplossing is voor mensen die thuis werken of onderweg zijn, is het voor andere doeleinden een groot risico. De inzet van remote access-oplossingen die gebruikmaken van een VPN, creëert openingen voor cybercriminelen. Op het moment dat een cybercrimineel zichzelf toegang weet te verschaffen tot een VPN-connectie, is het een donkere tunnel naar het bedrijfsnetwerk.

Niemand weet wie er via deze tunnel binnenkomt, hoe lang hij op het netwerk blijft en wat hij daar doet. De samenwerkingen met externe partners zijn noodzakelijk voor de ICT-afdeling om medewerkers ongehinderd hun werk te kunnen laten doen, maar er moet meer aandacht komen voor de securitykant. Het verlenen van toegang tot het bedrijfsnetwerk, zowel intern als extern, brengt nu eenmaal risico’s met zich mee.

We hoeven niet te denken dat we oneindig lang een briefje van duizend euro op tafel kunnen laten liggen: uiteindelijk zal iemand het geld meepakken. Hetzelfde geldt voor bedrijfsinformatie, alleen kan daar geen beveiligingscamera boven gehangen worden. Het is dus niet alleen essentieel dat informatie veilig bewaard wordt, maar ook dat organisaties exact in kaart hebben wie er wanneer toegang hebben. Inloggegevens zijn niet voor niets het belangrijkste doelwit van cyberaanvallen. Uit onderzoek van Bomgar onder 650 IT-professionals blijkt dat 67 procent van de datalekken binnen organisaties zonder meer of mogelijk te herleiden is tot een externe leverancier.

Privileged Access Management

Om de samenwerking met externe leveranciers op een veilige manier te borgen, kan Privileged Access Management (PAM) uitkomst bieden. Hieronder een aantal tips:
 

• Analyseer de remote access-oplossingen die je organisatie gebruikt – Remote access-oplossingen zijn vaak gratis te downloaden, waardoor ze erg populair zijn onder werknemers en derden. Wanneer ze buiten de IT-afdeling om ingezet worden om mensen van buitenaf ongeautoriseerd toegang te geven, vormen ze een groot risico. Voer een volledige scan uit om vast te stellen of deze oplossingen inderdaad worden gebruikt. Zo ja, blokkeer deze oplossingen dan om onnodige en onveilige access points te vermijden.
• Verkrijg inzicht in de toegewezen rechten – Het verlenen van toegang tot het bedrijfsnetwerk aan medewerkers en externe leveranciers moet gebeuren op basis van behoeften, rol of functie. Niet iedereen heeft hetzelfde toegangsniveau nodig. Zorg ervoor dat rechten kunnen worden toegekend per leverancier of team en behoud zelf de regie over wie er toegang heeft tot welke informatie.
• Sla audit logs op – Het compliant zijn met wet- en regelgeving staat bij veel organisaties hoog op de agenda. Remote access-oplossingen moeten daarom in staat zijn sessies en activiteiten van derden te loggen en op te slaan. Zo bent u in staat op ieder moment aan te tonen hoe de technologie wordt gebruikt en door wie.
• Unieke logingegevens zijn essentieel – Zorg ervoor dat externe leveranciers geen gebruikmaken van dezelfde inloggegevens, maar dat deze uniek zijn. Omdat leveranciers vaak gebruikmaken van simpele en gedeelde logingegevens, zijn ze een makkelijk doelwit voor keyloggers. Wanneer cybercriminelen de legitieme inloggegevens voor een systeem eenmaal in handen hebben, is het eenvoudig om zich voor te doen als geautoriseerde gebruiker. Eenmaal binnen, hebben zij toegang tot alle systemen waar het gehackte account ook toegang toe heeft en dan is het einde zoek.
• Zet multi-factor authenticatie in – Multi-factor authenticatie maakt het moeilijker voor hackers om gestolen inloggegevens te gebruiken en helpt bij het voldoen aan wet- en regelgeving rondom de security van data.

Hoeveel leveranciers hebben er ongezien toegang tot jouw netwerk?