Beveiliging moet proactief

In mijn vorige blog concludeerde ik dat meer security niet altijd wil zeggen dat de IT in een bedrijf beter of veiliger wordt. Toch streven we allemaal naar een betere en veiligere IT-wereld. De vraag is: hoe geraken we daar?

Een oplossing out of the box zal wellicht de klus niet klaren. Wil je een betere beveiliging voor je bedrijf, dan moet je daar voortdurend mee bezig zijn. Cruciaal daarbij is dat je proactief inspeelt op de technologische veranderingen en dat je de behoeften binnen je bedrijf nauwlettend in de gaten houdt. Dit impliceert een andere houding ten opzichte van security en een grotere betrokkenheid van de gebruiker.

Eerst en vooral zou elke onderneming moeten stilstaan bij de vraag wat het wil beveiligen en waarom. Dat verschilt voor elk bedrijf. Zo zal de ene zijn goede naam willen beschermen, wil de andere zijn data vertrouwelijk houden en waken nog anderen vooral over de integriteit van hun bedrijfsdata.

Zodra een bedrijf het wat en waarom van beveiliging in kaart gebracht heeft, moet het zijn huidige beveiligingsniveau onder de loep nemen. Veel bedrijven nemen hiervoor dure consultants onder de arm die op basis van metingen bepalen of het beveiligingsniveau beter kan of moet. Daarop volgt dan in veel gevallen de aanschaf van een nieuw beveiligingssysteem waarbij functionaliteit, performantie en prijs de bepalende factoren zijn. Maar is dat de juiste manier van werken?

Ik denk van niet. Volgens mij maken veel bedrijven hier een fout. Wie beter wil en moet beveiligen, houdt best nog drie extra factoren in het achterhoofd. Ten eerste moet je je als bedrijf afvragen hoe de nieuwe beveiligingstoepassing in de bestaande security-omgeving past. Vervolgens moet je nagaan of het eenvoudig te beheren is en welke analysemogelijkheden er aanwezig zijn.

Het netwerk volstoppen met goede zogenaamde ‘point oplossingen’ (gefragmenteerde beveiligingstoepassingen, nvdr.) levert niet direct een verbetering op. Het maakt beheer lastig en zorgt ervoor dat systemen slecht op elkaar aansluiten. De kracht van een goede beveiliging is net dat je er proactief mee bezig bent. Dat betekent dat je events gaat analyseren en de systemen actief gaat bijsturen. De dag dat je een doos beveiligingsmateriaal kon neerzetten en vergeten is al lang verleden tijd.

In het streven naar een betere beveiliging speelt de mens dus een heel nadrukkelijke rol. Organisaties moeten mijn inziens, naast goede beveiligingssystemen, ook investeren in eigen beveiligingsspecialisten of het actieve beheer in handen van een externe beveiligingsspecialist geven. Het is net die menselijke factor in actieve beveiliging die het verschil maakt. Alleen zo kan je tot een beter beveiligde IT-omgeving komen.