Q&A security: Social engineering
1. Wat is social engineering?
Social engineering is de kunst om beveiligingsmaatregelen te omzeilen door mensen te misleiden in plaats van technische zwakheden uit te buiten. Die vorm van hacking is vrij nieuw en wordt voor een deel makkelijker gemaakt door sociale netwerksites zoals Facebook en Netlog, waar werknemers informatie over hun werkplek plaatsen, de namen van hun collega’s, foto’s van het laatste personeelsfeestje enzovoort. Een beetje bijdehante hacker kan die gegevens, en die van collega’s, gebruiken om zich bijvoorbeeld voor te doen als een werknemer en zo bij paswoorden en bedrijfsdata te geraken.
Voor dergelijke risico’s is er geen technische oplossing. Eén mogelijkheid is het gebruik van sociale netwerksites aan banden leggen. Uit onderzoek van Smart Business Strategies blijkt bijvoorbeeld dat 38% van de ondervraagde bedrijven Facebook afblokt. Meer nog dan dat, kunt u uw personeel informeren rond de gewenste scheiding van werk en privé, en uw helpdesk en telefonistes trainen voor dat type van hacking.
2. Wat is de menselijke factor?
In de securitystrategie van een bedrijf wordt de menselijke factor vaak vergeten. Security-experts goochelen graag met termen zoals firewalls, schijfencryptie, VPN en hardware tokens. Maar zolang uw medewerkers niet begrijpen dat die virusscanner heel wat meer doet dan de laptop vertragen, gaan ze hem misschien proberen uit te schakelen. En zonder duidelijke communicatie over iPod’s, USB’s en digitale camera’s mag het u niet verbazen als iemand op die manier per ongeluk een virus binnensmokkelt. Uw medewerkers moeten dus alert gemaakt worden. Bijscholing, procedures, communicatie en geregelde (externe) audits leveren soms sneller resultaat op dan de pure implementatie van technische oplossingen. Dat proces begint trouwens met het opstellen van een duidelijke beveiligingspolicy waar het hele bedrijf (en u dus ook) zich aan moet houden.
3. Wat is endpoint security?
Bij endpoint security is elk toestel of elke gebruiker (de ‘endpoints’ van een netwerk) zelf verantwoordelijk voor de beveiliging. In meer traditionele security wordt de beveiliging door een centrale firewall en virussoftware geregeld, en probeert een bedrijf al het inkomend en uitgaand verkeer te monitoren en waar nodig tegen te houden.
Nu almaar meer toestellen van buitenaf met het bedrijf willen communiceren, denk maar aan smartphones of thuiswerkers die via een beveiligde VPN-verbinding inloggen, verschuift een deel van die verantwoordelijkheid naar elk toestel zelf, en naar de eindgebruiker.
4. Wat moet endpoint security allemaal in het oog houden?
Endpoint security omvat zowel de firewall, antivirus en antispam die op elke laptop en desktop apart geïnstalleerd worden, als de controle over geheugenkaartjes en USB-sticks die, al dan niet met medeweten van de gebruiker, malware kunnen bevatten. Het houdt ook in dat elke gebruiker zich bewust moet zijn van security. Het gaat dan om het verzinnen van veilige paswoorden en het niet openen van attachments in spammails.
5. En als dat niet volstaat?
Volgens een onderzoek van beveiligingsbedrijf Cyber-Ark zou de meerderheid van alle werknemers bedrijfsgegevens stelen als ze morgen plots worden ontslagen. Een aanzienlijk deel van de ondervraagden heeft dat zelfs al eens gedaan voor het geval ze bij een nieuwe werkgever moeten aankloppen, of over hun ontslag moeten onderhandelen.
Om u daartegen te beschermen, kunt u endpoint securitysoftware installeren. Die encrypteert gegevens op externe toestellen, of blokkeert het downloaden van kritische bedrijfsgegevens naar externe schijven of flashgeheugentoestellen. Al zal die de risico’s nooit helemaal wegwerken. Als een werknemer u echt schade wil berokkenen, of gevoelige informatie manueel overschrijft om aan een concurrent door te spelen, kunt u hem heel moeilijk stoppen.
