Van beveiliging naar immuniteit?
Is het tijd om IT-beveiliging over een totaal andere boeg te gooien? Sommigen dromen nu hardop van IT-systemen die inherent veilig zijn, en niet meer van de boze buitenwereld moeten worden afgesloten via een opeenvolging van fi rewalls. Een aantal vooraanstaande experts gaven hierop hun visie op een studiedag georganiseerd door de MIT Club.
Peter Tippett, CTO van Cybertrust, daagde op de studiedag een aantal dogma’s van de IT-beveiliging uit. Kern van zijn betoog: we geven geld uit aan de verkeerde problemen. Een wetenschappelijke analyse van de werkelijke risico’s, kan de beveiliging aanzienlijk verbeteren. Stijn Bijnens, oprichter en CEO van Ubizen en senior vice president Identity Management bij moederbedrijf Cybertrust, vertelde daarna over de ingrijpende omschakeling die het denken over IT-beveiliging nu doormaakt.
‘De firewall is uitgevonden omdat niemand erin slaagt om al zijn servers voldoende te beveiligen’, zei Bijnens. Hij acht het mogelijk dat firewall en antivirus over tien jaar overbodig zijn. Ondernemingen willen samenwerken met partners buiten de bedrijfsmuren, en willen de veilige zone dus uitbreiden voorbij de firewall.
Volgens Bijnens vereist dat twee zaken. Ten eerste, een focus op het beschermen van de informatie in plaats van de infrastructuur. Ten tweede, aandacht voor identiteit. Naar die twee punten zullen de toekomstige investeringen in IT-beveiliging gaan, voorspelt Bijnens. Die grotere rol van identiteit, maakt dat traditionele wachtwoorden niet meer voldoen. Momenteel zijn er twee alternatieven sterk in opkomst: eenmalige wachtwoorden (bijvoorbeeld de Vasco Digipass) en Public Key Infrastructure (PKI).
‘Wij denken dat PKI de winnende technologie wordt. Onder meer vanwege het gebruik door overheden, gaat de kostprijs omlaag.’ Twee andere factoren die meehelpen: de lancering van Windows Vista en de opkomst van het idee van identity federation. Bedrijven gaan op elkaar en op externe partijen – bijvoorbeeld de overheid – vertrouwen om de identiteit van een gebruiker te garanderen. Zo’n netwerk van verschillende organisaties waar dezelfde identiteit wordt erkent, noemt Bijnens een identity cloud. Bovendien zullen tussenpersonen, identity brokers, opduiken die relaties opzetten tussen verschillende identity clouds. ‘PKI zal hopelijk onzichtbaar zijn voor u, maar zal wel de sleuteltechnologie zijn in de identity & access management van de toekomst’, voorspelde Bijnens.
De Belgische eID is het begin van zo’n identity cloud. Peter Strickx, CTO van Fedict, vertelde waarom het belangrijk is dat zo veel mogelijk organisaties de eID gaan gebruiken. ‘De gemiddelde persoon heeft maar twee of drie keer per jaar contact met de overheid’, zegt Strickx. Hoe meer de eID gebruikt wordt, hoe minder de overheid moet instaan voor technische ondersteuning.
‘Identity & access management is het enige interessante stuk van beveiliging, omdat het strategisch is’, beaamde Simon Perry, vice president van CA. Hij ging verder in op het nakende verdwijnen van de fi rewall. Met een duur woord dat momenteel opgang maakt: de deperimeterisation, ofwel het verdwijnen van de omwalling (perimeter). Met enig gevoel voor symboliek, hebben voorstanders van deperimeterisation zich verenigd in het Jericho Forum, dat ondertussen is opgenomen in de Open Group.
Het Jericho Forum verenigt in de eerste plaats een aantal grote Britse organisaties zoals BP, ICI en Royal Mail. Die gebruikers willen druk uitoefenen op de leveranciers, zodat die de technologie leveren die nodig is om de buitenmuren open te gooien.
