Stel werknemers in staat om efficiënt te werken en voorkom kostbare datalekken
Gebruikersapps, zoals e-mail en bestandsoverdracht, vormen een externe perimeter waar content uw organisatie binnenkomt en verlaat. Enterprise-apps en opslagrepositories vormen een interne perimeter rond uw meest gevoelige en waardevolle content. Toegang via deze perimeters moet zowel eenvoudig als veilig zijn om soepele workflows binnen uw uitgebreide organisatie mogelijk te maken. Gezien de diversiteit aan applicaties en gebruikersworkflows is het bieden van eenvoudige toegang echter een zeer complexe uitdaging. Gebruikers kunnen variëren van interne topmanagers tot vertrouwde leveranciers en externe klanten, en workflows kunnen uiteenlopen van het verspreiden van een presentatie voor de raad van bestuur tot het ondertekenen van klantcontracten. Het voorkomen van datalekken terwijl workflows mogelijk blijven, vereist de implementatie van sterke data privacy controls: zeer complexe toegangsrechten en privileges over diverse gebruikersrollen heen. Daarom moet het consolideren van toegangsbeheer via single sign-on en een directory service hoog op de lijst van vereiste staan voor het opzetten van een veilig kanaal voor het delen van content.
CISO’s moeten veilige online samenwerking mogelijk maken die het beschermen van gevoelige content in balans brengt met de grote behoefte om deze te delen, waarbij toegang wordt vereenvoudigd zonder datalekken te veroorzaken, privacy wordt gewaarborgd naast transparantie, en wordt voldaan aan complexe regelgeving zonder efficiënte communicatie te belemmeren. Elke afweging brengt risico’s met zich mee. Deze blogserie onderzoekt deze afwegingen en biedt zes leidende principes voor het creëren van een veilig kanaal voor het delen van content, waarmee samenwerking binnen de uitgebreide organisatie mogelijk wordt gemaakt en uw meest gevoelige digitale bezittingen worden beschermd.
In mijn vorige Blog Post deelde ik hoe CISO’s hun meest waardevolle digitale bezittingen kunnen beschermen door elk bestand dat hun bedrijf binnenkomt of verlaat te controleren en te monitoren. Vandaag bespreek ik de valkuilen die gepaard gaan met het bieden van eenvoudige, naadloze toegang tot content.
IP beveiligen moet verder gaan dan alleen granulaire beleidscontroles voor geautoriseerde insiders
Het beveiligen van geautoriseerde toegang is echter slechts de eerste stap. Evenveel aandacht moet worden besteed aan het voorkomen van ongeautoriseerde toegang, vooral tot uw meest gevoelige content. Alle bestandsoverdracht moet versleuteld zijn van oorsprong tot bestemming. Gevoelige enterprise-content moet ook versleuteld worden opgeslagen en de toegang moet verder worden beperkt met multi-factor authentication. Naast uitgebreide data-encryptie mag uw meest gevoelige content, zoals juridische documenten, medische dossiers en eigendoms-IP, alleen on-premise worden opgeslagen. Opslag in de publieke cloud stelt data niet alleen bloot aan ongeautoriseerde toegang door onbekende derden, maar de concentratie van data creëert ook een aantrekkelijk doelwit voor aanvallers en vergroot het risico op een grootschalig datalek. Daarnaast stelt de US CLOUD Act van 2018 de Amerikaanse wetshandhaving in staat om technologiebedrijven via een dagvaarding te verplichten om data die op hun servers is opgeslagen te overhandigen, ongeacht of de data zich in de VS of op buitenlandse bodem bevindt. Simpel gezegd: uw gevoelige data kan op grote schaal worden verzameld zonder dat u het weet of goedkeurt. On-premise of een hybride cloud-inzet moet de standaard zijn voor echt gevoelige informatie en IP. Als on-premise opslag niet mogelijk is en cloudopslag noodzakelijk is, moeten encryptiesleutels uniek zijn voor uw organisatie en opgeslagen worden op een aparte, veilige locatie.
Analyseer elk inkomend en uitgaand bestand voor extra beveiliging
Toegangscontroles kunnen ongeautoriseerde gebruikers buitensluiten, maar ze beschermen u niet tegen ongeautoriseerde content, zoals binnenkomende kwaadaardige e-mailbijlagen of uitgaande lekken van eigendoms-IP. Daarom moet uw beveiligingsarchitectuur verder gaan dan het beveiligen van gebruikers en ook de content zelf beschermen. Minimaal moet elk inkomend bestand door antivirussoftware worden gecontroleerd voordat het wordt opgeslagen in een enterprise content repository. Uitgaande bestanden moeten worden gescand met preventie van gegevensverlies (DLP: Data Loss Prevention) software om lekken van gevoelige content te blokkeren. Zowel inkomende als uitgaande content-scans kunnen worden versneld om toegang te vergemakkelijken door een gelaagde aanpak te hanteren. Verdachte bestanden kunnen in de wachtrij worden geplaatst voor advanced threat protection (ATP) verwerking, zodat ze geïsoleerd en uitgevoerd worden in een veilige omgeving. Door het implementeren van een standaard voor dataclassificatie kunnen DLP-scans offline worden uitgevoerd, terwijl deelverzoeken in realtime worden verwerkt.
In de volgende post bespreek ik de uitdaging om privacy en transparantie in balans te brengen. Terwijl gebruikers binnen uw uitgebreide organisatie eenvoudige toegang tot gevoelige content verwachten, verwachten ze ook volledige vertrouwelijkheid.
Wilt u meer weten over hoe u de valkuilen van eenvoudige, naadloze toegang tot content kunt vermijden? Plan dan vandaag nog een aangepaste demo van Kiteworks in.
Veelgestelde vragen
Risicobeheer door derden is een strategie die organisaties inzetten om risico’s te identificeren, te beoordelen en te beperken die samenhangen met hun interacties met externe leveranciers, toeleveranciers of partners. Deze risico’s kunnen variëren van datalekken en beveiligingsdreigingen tot nalevingskwesties en operationele verstoringen. Het proces omvat doorgaans het uitvoeren van zorgvuldigheid voorafgaand aan samenwerking met een derde partij, het continu monitoren van de activiteiten en prestaties van de derde partij, en het implementeren van controles om geïdentificeerde risico’s te beheren. Het doel is te waarborgen dat de acties of tekortkomingen van de derde partij geen negatieve impact hebben op de bedrijfsvoering, reputatie of wettelijke verplichtingen van de organisatie.
Risicobeheer door derden is essentieel omdat het helpt om de risico’s die gepaard gaan met relaties met derden te identificeren, te beoordelen en te beperken. Dit kan betrekking hebben op cyberbeveiligingsdreigingen, nalevingskwesties, operationele risico’s en reputatieschade.
Beleidscontroles zijn essentieel bij risicobeheer door derden, omdat ze duidelijke verwachtingen scheppen voor het gedrag van derden, omgang met data en beveiligingspraktijken. Ze helpen het risico op beveiligingsincidenten te beperken door acceptabele handelingen te definiëren en zorgen ervoor dat derden voldoen aan relevante wetten, regelgeving en industrienormen. Daarnaast vormen beleidscontroles de basis voor het monitoren van activiteiten van derden en het afdwingen van naleving, waardoor de organisatie passende maatregelen kan nemen bij beleidsinbreuken. Zo vormen beleidscontroles een cruciaal kader voor effectief risicobeheer door derden.
Audittrail is onmisbaar bij risicobeheer door derden, omdat het een volledig overzicht biedt van alle activiteiten van derden binnen uw systemen. Ze helpen bij het identificeren van potentiële risico’s door ongebruikelijke of verdachte activiteiten uit te lichten, dienen als belangrijk hulpmiddel tijdens incident response en forensisch onderzoek, en ondersteunen naleving van regelgeving door bewijs te leveren van effectieve beveiligingsmaatregelen en monitoring van derden. Bovendien bevorderen ze een cultuur van verantwoordelijkheid en transparantie bij derden, wat kwaadwillende activiteiten ontmoedigt en naleving van beveiligingsbeleid stimuleert.
Kiteworks ondersteunt risicobeheer door derden door een veilig platform te bieden voor het delen en beheren van gevoelige content. Het platform is ontworpen om gevoelige content die binnen, naar en uit een organisatie beweegt te controleren, te traceren en te beveiligen, waardoor risicobeheer aanzienlijk wordt verbeterd. Kiteworks biedt ook twee niveaus van e-mailencryptie, Enterprise en Email Protection Gateway (EPG), om gevoelige e-mailcommunicatie te beveiligen. Dit helpt om risico’s van derden die samenhangen met e-mailcommunicatie te beperken.