Beveiligd tegen bedreigingen van buitenuit

De aanwezigheid van externe apparatuur op het bedrijfsnetwerk
kan zorgen voor een infectie van de systemen en
een onderbreking van de dienstverlening. Weinig bedrijven
hebben zich al over dit probleem gebogen. Dexia begon er
twee jaar geleden mee.

Een studie bij de bank wees uit dat de meeste veiligheidsrisico’s door de firewalls werden aangepakt, maar
een sluitende oplossing voor bedreigingen van binnenuit
was er niet. Sinds de opkomst van de draadloze technologie
zijn er steeds meer externe consultants die inloggen
op het netwerk van de bank. Maar ook eigen werknemers
kunnen de onderneming binnenkomen met een besmette
laptop, omdat ze die thuis op een minder beveiligd netwerk
gebruiken. Het potentiële gevaar van deze externe apparatuur
zou volgens de Dexia-studie in de toekomst enkel
maar groter worden. Daarom besloot het IT-bestuur van
de bank, gevestigd in Luxemburg, om de toegang tot het
Cisco-netwerk verder te beveiligen.

‘We hielden in het verleden een fysieke controle op elke
toegangspoort. Maar die beveiliging is onhoudbaar. Door
de draadloze technologie en de toegenomen mobiliteit
zijn apparaten immers constant in beweging,’ zegt Carlo
Trausch, IT manager bij Dexia Luxemburg. Als basis voor de
nieuwe beveiliging koos de bank het, ondertussen gestandaardiseerde,
802.1x authentication protocol. Deze technologie
wordt ondersteund door Microsoft clients in Windows
2000, maar niet noodzakelijk door andere netwerkapparaten
zoals printers.

Dexia ging op zoek naar een bedrijf dat 802.1x naadloos
kon implementeren en ook de beveiliging achter de firewall
verder kon uitbouwen. Uiteindelijk sleepte Dimension Data
met het ASI (Adaptive Secure Infrastructure) framework
de offerte in de wacht. Carlo Trausch vertelt waarom: ‘In
tegenstelling tot vele anderen, stelde Dimension Data ons
een globaal concept voor en ze beschikten reeds over enkele
Belgische referenties. De voorgestelde network control
tool had overigens een oplossing voor al onze knelpunten,
andere leveranciers slaagden daar maar voor 80% in.’

Een jaar werk voor een betonnen defensie
Vooraleer het ASI framework in gebruik te nemen, voerde
Dimension Data een risicoanalyse uit. Op basis daarvan
werd een beheersplan en een architectuur opgesteld. Om
de nieuwe beveiligingsmethode te testen, installeerde
Dexia een proefplatform in Luxemburg en Brussel.
Belangrijk was vooral te ontdekken of de voorgestelde
architectuur geen implicaties opleverde voor de dagelijks
werking van de bank. Tenslotte werd de authenticationfunctie
van de servers geactiveerd, zodat aparte
investeringen voor elk internationaal Dexia-filiaal onnodig
werden.

Bij de installatie van de proof-of-concept in Luxemburg en
Brussel, bleek een goed geoliede bedrijfsorganisatie onmisbaar.
Het project heeft betrekking op enorm veel mensen en
zal de dagelijkse werking van het bedrijf veranderen. Want
niet enkel het netwerk wordt aangepast, maar de nieuwe
technologie heeft een invloed op elk werkstation. ‘Om ervoor
te zorgen dat de nieuwe aanpak vlekkeloos verliep,
hebben we vanaf de testfase sterk gecommuniceerd met
al onze gebruikers. Elke grote fase van het project is voorgesteld
samen met Dimension Data, telkens gevolgd door
een vraag-en antwoordgesprek’, verklaart Carlo Trausch.
Ook al werd het ASI framework uitvoerig getest, toch bleef
de pilootfase niet gespaard van bugs bij de clients en op
het netwerk. Niet meer dan normaal, want het betreft immers
een pioniersproject. Carlo Trausch: ‘Een testfase is
gewoon nodig om alle mogelijk fouten uit het systeem te
halen. We hebben inderdaad een vertraging van enkele
maanden opgelopen. Maar we moesten gewoonweg elke
twijfel over de toegepaste technologie weg nemen. Het tijdelijke
uitstel had trouwens geen invloed op ons budget.
Uiteindelijk werd ook een deel van het netwerk reeds parallel
beveiligd door NCT.’

Bij Dexia nemen ze duidelijk liever geen enkel risico. Zo is
er in Luxemburg reeds een strikt verbod op het gebruik van
USB-apparatuur. De invoering van die regel verliep overigens
zonder noemenswaardige problemen. En wat staat er
nog op het programma? ‘Momenteel wordt bij elk apparaat
dat wil inloggen op het netwerk geverifieerd of de nodige
autorisatie is verleend. Maar 802.1x evolueert verder naar
een centraal controlesysteem voor alle stations. Zo wordt
het mogelijk om op eenvoudige wijze bijkomende patches
te installeren en antivirussoftware te updaten voor alle clients,’
besluit Carlo Trausch.