De corebusiness van Conscia is het aanleggen van een veilige ICT-infrastructuur volgens security by design. Vanuit de organisatorische context wordt nagedacht over veiligheid. Het in Gouda gevestigde bedrijf heeft meer dan dertig jaar ervaring met het bouwen en beveiligen van netwerken. In die periode maakten telefoonlijnen en ISDN plaats voor cloud computing, terwijl cyberaanvallen in toenemende mate geautomatiseerd worden. ‘Het is allang niet meer de hacker op een zolderkamertje die handmatig kijkt hoe hij ergens kan inbreken’, aldus Heek.
De security-expert ziet dat het landschap steeds complexer wordt. ‘We hebben een stevige footprint in de zorgsector en daar vormt het grote aantal IoT-apparaten een uitdaging. Security gaat allang niet meer om alleen computers en printers. Denk aan een röntgenapparaat en tal van andere apparatuur die verbonden is met het netwerk. Of een arts die via een tablet communiceert met patiënten en collega’s. Het zijn ingangen die hackers gebruiken om in te breken, en die moeten beveiligd worden.’
Intern grootste uitdaging
De tijd dat je aan een groot slot op het bedrijfsnetwerk voldoende had, is voorbij. Heek: ‘Organisaties hebben niet meer een on-premise datacenter waarop alle applicaties draaien, maar zijn veel meer in de cloud. Data staan op verschillende plekken, zoals op AWS en Azure. Die clouddiensten zijn weliswaar beveiligd, maar houden geen rekening met wat je gebruikers allemaal doen en mogen. In het geval van ziekenhuizen heb je ook nog te maken met wetgeving en compliance, bijvoorbeeld rondom het elektronisch patiëntendossier, wat security nog complexer maakt.’
Toch ligt de grootste security-uitdaging intern. ‘De dreigingen ontwikkelen zich zo snel, dat het voor organisaties moeilijk bij te houden is. Daarbij zien we een kenniskloof tussen de IT-afdeling en het management. Die laatste beslist uiteindelijk waar het geld naartoe gaat, maar denkt nog te veel op de korte termijn. In plaats van te werken met een roadmap en rekening te houden met de bedrijfsdoelstellingen, worden er vooral pleisters geplakt.’
‘Meer IoT en migratie naar de cloud zorgt voor een steeds complexer wordend IT-landschap’
Integraal beleid
Conscia kijkt liever naar de gehele infrastructuur in plaats van naar puntoplossingen, en neemt security vanaf het begin mee, vertelt Heek. ‘Achteraf individuele devices beveiligen is tijdrovend, duur en lastig voor de gebruiker. Worden software-updates, firewalls en VPN-verbindingen niet automatisch geregeld, dan kun je er gif op innemen dat een medewerker zal proberen ze te omzeilen. Zeker als je resources beperkt zijn, loont het daarom om beheer en management van IT uit te besteden en te kiezen voor een managed service. Wij helpen met het ontwikkelen van een integraal securitybeleid, zodat de verschillende (punt)oplossingen op elkaar aansluiten en elkaar versterken.’
Hoewel aan uitbesteding kosten verbonden zijn, bespaart het op termijn juist geld betoogt Heek. ‘Aan de kant van de managed service is veel specialistische kennis aanwezig, zodat je zelf geen experts meer hoeft aan te nemen. Het Network en Security Operations Center dat Conscia biedt, bevat slimme tooling om bijvoorbeeld indringers en vreemde patronen in het dataverkeer te herkennen. Je IT-afdeling hoeft niet meer honderdduizenden logs van een firewall door te spitten, maar krijgt in geval van problemen direct een diagnose waarmee IT actie kan ondernemen. En dat kan prima gedaan worden door een generalist.’
Human firewall
Met relatief beperkte investeringen kun je je cybersecurity naar een hoger plan tillen. Zo zijn veel risico’s te voorkomen met een SSO-oplossing (Single Sign On) met tweestapsverificatie. ‘Gebruikers krijgen met één gebruikersnaam en wachtwoord toegang tot alle bedrijfssystemen, terwijl de tweestapsverificatie een extra beveiligingslaag toevoegt die zorgt dat het systeem kan verifiëren dat de gebruiker is wie hij zegt dat hij is.’
Ook awareness-training is essentieel, vervolgt Heek. ‘40% van de medewerkers is nog steeds geneigd om te klikken op phishingmails. Bizar veel, dat komt doordat deze mails steeds moeilijker te herkennen zijn. Een deel van hen vult zelfs zijn persoonsgegevens in! Naast onze managed services, bieden we daarom ook awarenesstrainingen aan om medewerkers bewust te maken van de social engineeringtechnieken van cybercriminelen. Beschouw je medewerkers als human firewall en je bent goed op weg om je organisatie hackerproof te maken.’
