Facebook brengt uw netwerk in gevaar
Vindt u die sociale netwerken ook zo verschrikkelijk overroepen? En hebt u besloten om die hype, zelfs vanwege ernstige bedrijven zoals IBM, straal te negeren? Bent u zelf nog nooit op Facebook of Netlog geweest, omdat u uw tijd wel beter kan besteden? Wel, dan zit u helemaal fout. Sterker nog: u bent heel gevaarlijk bezig.
Nee, wees gerust, ik ga hier de holle kreten rond Web 2.0, user generated content, crowdsourcing e tutti quanti niet naroepen. Het nut van die begrippen in een bedrijfscontext is de afgelopen maanden schromelijk overdreven, daarover ben ik het met u eens. Maar sociale netwerken negeren, brengt grote risico’s met zich mee voor uw bedrijfsreputatie en voor uw meest vertrouwelijke gegevens.
Weet u namelijk welke hoogst waardevolle en zelfs bedrijfskritische gegevens door uw personeelsleden worden gedeeld via Facebook, Netlog of Twitter? Nee, dat weet u niet. Erger nog, uw personeelsleden weten dat zelf ook niet. Mensen zetten de meest intieme informatie op hun Facebook-pagina, met de bedoeling die alleen maar te delen met hun dichtste familieleden. Maar dan komt er een vriendschapsverzoek van een collega, en het is natuurlijk erg onbeleefd om dat te weigeren. Al snel zit de hele kliek van kantoor samen op Facebook. Inbegrepen de ex-collega’s die ondertussen bij uw belangrijkste concurrent werken. Hebben zij kwade bedoelingen? Natuurlijk niet.
Op de website van Infoworld verscheen onlangs een ijzingwekkend artikel. Daarin werd stap voor stap verslag gedaan van een geslaagde hacking bij een anonieme grote winkelketen. De aanval werd op vraag van het bedrijf zelf uitgevoerd door een beveiligingsspecialist.
De geslaagde hack begon met een stevig stuk social engineering. En dat gebeurde via, jawel, sociale netwerken. Aan de hand van gegevens op Facebook en Twitter kon de hacker achterhalen wie er op kantoor aanwezig was en wie niet. Dankzij een verzonnen afspraak met een afwezig personeelslid (waar hij allerlei persoonlijke details over kende), kon hij zich het hoofdkwartier binnenpraten. Vervolgens liet hij hier en daar (op de toiletten en bij de koffiemachine) USB-sticks achter met ‘interessante’ etiketten zoals "loonadministratie". Die USB-sticks bevatten rootkits die automatisch allerlei wachtwoorden doorsturen via e-mail. En de hacker installeerde ook nog een rogue wifi access point. Uiteindelijk kreeg hij toegang tot de SQL Server database van zijn opdrachtgever, en kon hij alle accountgegevens downloaden. Fluitje van een cent.
Nu, dat is simpel, denkt u: dan verbied ik Facebook toch gewoon? Heel wat bedrijven hebben dat al gedaan, via het arbeidsreglement of gewoon via de firewall. Dat zal veel van uw jongere personeelsleden mateloos irriteren, maar zal het helpen? Nee. Voor een hacker maakt het écht niet uit of uw personeelsleden die gegevens nu tijdens of buiten de kantooruren op Facebook hebben gezet.
Nee, u mag de nieuwe sociale netwerken niet negeren. En verbieden kunt u ze niet. Wat moet u dan wel doen? Probeer hen te begrijpen en te doorgronden. Bepaal wat uw personeel wel en niet mag doen op dergelijke sites (géén mogelijk gevoelige gegevens delen of uitspraken doen die de reputatie van uw bedrijf kunnen schaden). En overtuig uw personeel daarvan. Dat is heel wat moeilijker dan de firewall dichtdraaien, maar we hebben geen keuze.
