Netwerkbeveiliging is mensenwerk

Een adequate opleiding voor het bedienen van beheersystemen voor netwerken is minstens zo belangrijk als deze systemen zelf. Ook is een mentaliteitsverandering onder het personeel nodig nu bedrijfsnetwerken steeds meer banden krijgen met de boze buitenwereld.

Cultuur "In de jaren zeventig was de bevolking van Londen door overheidscampagnes uitermate goed getraind rond bommeldingen", zegt Trevor Dearing, beveiligingsspecialist bij Nortel Networks. "Iedere Londenaar scande bij binnenkomst een openbare ruimte op onbeheerde objecten." De beveiliging van ict-systemen zou volgens hem eenzelfde collectieve verantwoordelijkheid moeten krijgen. De Oecd heeft hiertoe een internationale oproep gedaan: http://www.olis.oecd.org/olis/2002doc.nsf/LinkTo/dsti-iccp-reg(2002)6-final

Een eenvoudig en goed doordacht beheer van bedrijfsnetwerken is een vergeten onderwerp. Dit zegt Trevor Dearing, beveiligingsspecialist bij de Canadese fabrikant van telefonie en bedrijfsnetwerken Nortel Networks. "Beheersystemen zijn nooit uit de doos gepakt of aangezet om te wachten tot het rode lampje oplicht." Hij noemt dit een groot risico voor de beveiliging van bedrijfsnetwerken. Belangrijke reden voor een inadequate implementatie is volgens hem het feit dat de opleiding van systeembeheerders in veel gevallen een sluitpost op de begroting is.
De systemen die in werking zijn kunnen door het gebruik van oudere protocollen bijvoorbeeld de beveiliging van het netwerk compromiteren. Bij eerdere versies van het snmp (simple network management protocol) wordt authenticatie-informatie in platte tekst over de lijn gestuurd. Als gegevens van het werkstation en het te bedienen apparaat onderschept zijn, geeft het een kwaadwillende de controle over het gebruik van poorten en gebruikersrechten in een netwerk. In de nieuwste versie van het protocol is dit ondervangen door encryptie van de informatie, maar niet alle beheersystemen maken er al gebruik van. Ook de goede gewoonte om voor netwerkbeheer gebruik te maken van een aparte vpn-verbinding, komt hij lang niet altijd tegen. "Veel bedrijven laten het bij de invoering van een firewall, terwijl een goede beveiliging juist uit meer lagen bestaat", aldus Dearing.

Aids

Schandalen rond grote lekken in bedrijfsnetwerken hebben volgens Dearing een belangrijke rol gespeeld bij de noodzakelijke mentaliteitsverandering. "Net zoals het voor de komst van aids nauwelijks voor te stellen was wat voor impact dit dodelijk virus zou kunnen hebben op de mensheid, staat ook pas de beveiliging van bedrijfsnetwerken goed op de kaart sinds de komst van de veelal slecht beveiligde wireless lan-technologie", aldus Dearing. Doordat het inbreken op deze netwerken zo eenvoudig is en dit in de pers veel aandacht heeft gekregen, heeft het gezorgd voor meer besef dat de huidige beveiliging van bedrijfsnetwerken tekort schiet.
Dearing meent dat met beperkte middelen de beveiliging van een netwerk al aanzienlijk te verbeteren is. Met een training van het bewustzijn rond beveiliging bijvoorbeeld is al veel winst te halen. "Opleidingen die medewerkers wijzen op de gevolgen van het stelen van hun laptop of onvoorzichtig omspringen met authenticatiegegevens als ze vanaf afstand toegang zoeken tot het netwerk, doen al heel veel goed." Eventuele investeringen zouden vooral moeten gaan naar een consistent beheer van gebruikersrechten, ook voor mensen die op afstand op het bedrijfsnetwerk inhaken. Daarnaast wijst hij authenticatiesystemen met smartcards en cijfercodes aan als een belangrijke tweede prioriteit voor het opkrikken van de beveiliging.< BR>