Home Security 10 aandachtspunten voor het maken van een security policy

10 aandachtspunten voor het maken van een security policy

50
dainamics

Voor elk bedrijf is het lastig om een veilig bedrijfsnetwerk te creëren en werknemers verantwoord gedrag bij te brengen. De tien belangrijkste aandachtspunten voor het maken van een security policy zijn naar mijn idee de volgende:

1)    Geef malware geen kans
Zorg ervoor dat het netwerk beveiligd is met een solide security-oplossing en dat de beheerder de software altijd up-to-date houdt en op de juiste manier configureert. Probeer risicovolle toepassingen als PDF-lezers, JavaScript en geïntegreerde macro’s in Office-documenten zoveel mogelijk te blokkeren. Zorg ervoor dat patches altijd zo snel mogelijk worden geïnstalleerd. Verder kunnen zaken als het inschakelen van handtekeningcertificaten voor interne mail en het activeren van DEP (Data Execution Prevention) het malware moeilijker maken om het netwerk te infecteren.

2)    Sluit buitenstaanders buiten
Om een security policy effectief te maken, moeten de juiste gebruikers de juiste rechten krijgen. Iedere werknemer zou in ieder geval rechten moeten hebben om eigen documenten te creëren en te wijzigen. Maar het is verstandig om de mogelijkheden van werknemers om wijzigingen aan het systeem aan te brengen tot een minimum te beperken. Dit kan door gebruikers een standaard gebruikersaccount te geven, in plaats van een administrator account. Zorg er verder voor dat gebruikers hun account met een sterk, uniek en geheim wachtwoord beveiligen. Stel in dat het werkstation automatisch vergrendelt als de gebruiker de pc niet gebruikt.

3)    Maak e-mail veiliger
Bij nagenoeg alle succesvolle gerichte aanvallen op bedrijven, heeft een werknemer op een onbewaakt moment een gevaarlijke bijlage bij een e-mail geopend, of op een geïntegreerde link geklikt en zo het netwerk blootgesteld aan de aanvaller. E-mail levert niet alleen een mogelijk gevaar op voor malwareinfecties, maar ook voor phishingaanvallen. Om dat risico te verkleinen, is het nodig om een antispam-module te gebruiken. Ook is het verstandig om werknemers regelmatig opnieuw te wijzen op de gevaren van e-mails.

4)    Beveilig mobiele apparaten
Als er mobiele apparaten op het netwerk kunnen komen, zorg er dan voor dat deze apparaten zijn beveiligd met een security-oplossing. Het handigste is het om te kiezen voor een netwerkbeveiliging die ook de mobiele apparaten op het netwerk in de gaten houdt en de mogelijkheid biedt om een geïnfecteerd exemplaar uit het netwerk te weren. Vooral apparaten met Android als besturingssysteem zijn kritiek vanuit security oogpunt.

5)    Aandacht voor veiliger surfen
De meeste malwareinfecties en phishingpogingen vinden online plaats. Gebruikers kunnen ergens een link aanklikken die naar een geïnfecteerde site leidt, of malwareschrijvers slagen erin om betrouwbare, populaire sites te infecteren. Het blacklisten en whitelisten van sites helpt niet tegen dit laatste scenario. Het is dan ook zeer belangrijk op een http-scan te gebruiken bij het surfen. Daarnaast is het verstanding om werknemers er regelmatig aan te helpen herinneren dat het klikken op onbekende links en het downloaden van bestanden via internet een riskante bezigheid is.

6)    Beveilig de webserver
Helaas zijn er nog altijd miljoenen (professionele) websites gevoelig voor SQL-injecties en cross site scripting. Als de website van een bedrijf op zo’n manier wordt gemanipuleerd, kunnen de bezoekers van de site met malware worden besmet, of hun gegevens kunnen op straat komen te liggen. De imagoschade van een dergelijk incident is zeer moeilijk te herstellen. Simpele tips om het hackers moeilijker te maken zijn het altijd up-to-date houden van de webapplicaties, het gebruiken van sterke wachtwoorden voor de FTP-server of de managementconsole van de website en het regelmatig scannen van de online site en de webserver op eventuele malware.

7)    Toezicht op applicaties
Applicaties als het downloaden van torrents, chatprogramma’s, games, etc. kunnen allerlei gevaren met zich meebrengen en bovendien de productiviteit van werknemers aantasten. Om dit te voorkomen, kunt u het gebruikers onmogelijk te maken om zelf software te installeren. Voor online applicaties is het vaak noodzakelijk om uit te wijken naar een technische oplossing als een PolicyManager, die bepaalde applicaties verbiedt, of aan banden legt.

8)    Beheers de mobiliteit van bedrijfsgegevens
Een nadeel van de toenemende mobiliteit van werknemers, is het risico dat bedrijfsgegevens op straat komen te liggen. Verlies of diefstal van laptops, tablets en smartphones vindt dagelijks duizenden keren plaats. Ook het gebruik van onvoldoende beveiligde Wifi-verbindingen vormt een groot risico. Het verkeer op een dergelijke lijn is eenvoudig te onderscheppen. Een aantal maatregelen kan het risico deels indammen, zoals het verplicht stellen van een sterk wachtwoord om het apparaat te ontgrendelen en het versleutelen van data op de apparaten. Verbied werknemers om gebruik te maken van Wifi-hotspots en stel zo nodig een veilige VPN-procedure beschikbaar. Om geen productiviteit te verliezen in het geval van verlies of diefstal, is het belangrijk om regelmatig centrale backups te maken van het werk dat op het apparaat is gedaan. Ten slotte is het verstandig om de mobiele apparaten uit te rusten met een oplossing die het verwijderen van alle data op afstand mogelijk maakt.

9)    Bescherm bedrijfsgegevens tegen diefstal
Sommige bedrijfsgegevens zijn gevoeliger dan andere. Zorg ervoor dat bedrijfkritieke gegevens niet vanaf alle pc’s binnen het netwerk toegankelijk zijn. Gevoelige data moeten extra worden beschermd met sterke wachtwoorden en idealiter zijn zij versleuteld. Om data binnen het bedrijf te houden, kan het helpen om het gebruik van externe opslagmedia, zoals USB-sticks, aan banden te leggen. Dat kan met behulp van een PolicyManager, waarbij bijvoorbeeld het schrijven naar USB-sticks door werknemers geheel kan worden verboden.

10) Dicht datalekken bij voorbaat
Vaak vindt het lekken van gegevens helemaal niet opzettelijk, maar juist per ongeluk plaats. Zorg voor een policy, die ondertekend is door alle medewerkers, waarin wordt afgesproken welke gegevens wel en niet openbaar mogen zijn. Vooral in een wereld waarin iedereen een podium heeft in de vorm van Twitter of Facebook, is het belangrijk om grenzen te definiëren. Het is echter niet verstandig om werknemers te verbieden om zich op dergelijke platformen te begeven of om over het bedrijf te schrijven. Werknemers voelen graag het vertrouwen van hun werkgever en als dat zo is, zullen zij eerder geneigd zijn om zich netjes te gedragen online.

Jan van Haver, country manager Benelux & UK bij G Data Software

 

LAAT EEN REACTIE ACHTER

Please enter your comment!
Please enter your name here