Er zijn veel aspecten aan veiligheid die dezer dagen de aandacht verdienen. In feite is het slechts een kwestie van niet-geautoriseerden buiten houden en de gelegitimeerde gebruikers binnen laten. Maar zo eenvoudig is dat niet. Er zijn twee doorslaggevende factoren die niet genegeerd kunnen worden.
1) Alle gelegitimeerde gebruikers hebben geen toegangsrechten tot alle faciliteiten; 2) We moeten klanten aanmoedigen de nieuwe systemen te gebruiken, en hen er niet van af houden. We weten allemaal hoe afschrikwekkend die telefooncomputers zijn; veel van de huidige websystemen zijn even ergerlijk.
Een beveiligingsmodel wordt naar voren gebracht om het probleem in tweeën te splitsen, namelijk insluiten en uitsluiten. Hiermee is het mogelijk een verschillende nadruk te leggen op de diverse aspecten, en het maakt het makkelijker om specifieke producten te ontwikkelen. Insluiten berust op de mogelijkheid om een enkele identiteit binnen de onderneming te creëren, met een enkele aanmelding als doel. Uitsluiten betreft het identificeren van problemen en te reageren voordat ze moeilijkheden veroorzaken. Controle op virussen staat hoog op het prioriteitenlijstje, maar het filteren van internet-url’s is nu ook nodig. Helaas wordt hiermee de toegang tot, maar ook ván ongevraagde binnenkomende sites verhinderd.
Voor het beheer van insluiting moeten aan iedere individuele gebruiker rechten worden verleend om toegang te krijgen tot een subset van systemen, data en applicaties. De laatste jaren zijn veel beveiligingsproducten geïmplementeerd om dit probleem aan te pakken, met name in de oudere mainframe-systemen. Dit fenomeen is dus niet volkomen nieuw, maar is met de groeiende nadruk op klanttevredenheid belangrijker aan het worden. Beveiliging moet alle systemen omvatten; een groot probleem, gegeven de diverse incompatibele systemen.
De oude beveiligingssystemen waren erg goed, maar concentreerden zich op een specifieke subset van het systeem, waardoor voor de algehele beveiliging meerdere subsystemen gesynchroniseerd moesten worden. Dit maakte het systeem of erg inflexibel of tamelijk laks. Een enkel ondernemingsbreed systeem is nu gewenst.
Zoals bij elke nieuwe gelegenheid die zich voordoet het geval is, claimt een aantal leveranciers met hun producten alle nieuwe problemen te kunnen oplossen. In de praktijk is het echter essentieel om de beste geïnstalleerde systemen te gebruiken, door ze elementen van een groter beveiligingssysteem te maken. Dezelfde benadering is met succes gehanteerd in andere beheersystemen, met name door het toevoegen van snmp-beheerknopen aan de meeste bestaande producten. Ze worden dan gebruikt als agents die gevolgd worden door een enkel beheersysteem van een hoger niveau; er is een enkel controlepunt met een gemeenschappelijke operator-interface. In veel gevallen is deze aanpak uitgebreid tot het besturen en ook monitoren van subsystemen. Hetzelfde concept is ook de praktische oplossing voor beveiligingsbeheer.
Het is niet eenvoudig om de legitieme toegangsrechten te bepalen van gebruikers, als individuen of als leden van een of meerdere groepen. Daartoe moet een gedetailleerde repository worden onderhouden. Dit is een dynamisch subsysteem; gebruikers komen en gaan. Nieuwe of gewijzigde applicaties zullen onvermijdelijk eveneens de gebruikersprofielen beïnvloeden. Software voor het beheer van de repository is daarmee het derde belangrijke subsysteem dat nodig is voor de beveiliging van een onderneming.
Het kiezen en installeren van de benodigde beveiliging is een uiterst gecompliceerde zaak. Evenzo het vinden van het juiste personeel om het systeem draaiende te houden; dat moet 24x7x365 uur! De beheerder zou wel eens de zwakste schakel in het beveiligingssysteem kunnen worden en ten prooi aan fraudeurs kunnen vallen.
Het is lastig om de meest geschikte producten en leveranciers te identificeren. Weinig bedrijven hebben genoeg ervaring om de juiste beslissingen te nemen. Vele hebben een basis doordat zij ervaring hebben met racf (resources access control facility) of soortgelijke producten, en met het beheer van firewalls; maar in het begin is er hulp nodig. Alle leveranciers vertellen mooie verhalen, maar in dit geval is onafhankelijk advies van grote waarde.
Treffend was wat ik onlangs hoorde van het Nederlandse bedrijf CPA. Vóór het bepalen van een productstrategie, is het beter om te bepalen wat nodig is en wat in de praktijk te bereiken is, menen zij. Specificaties moeten worden opgesteld en de kosten moeten worden berekend. Soms moet de moeilijke beslissing worden genomen om sommige systemen onbewaakt te laten, als de kosten van beveiliging groter zijn dan de mogelijke verliezen. Dit wordt extra problematisch omdat het bepalen van de potentiële kosten van beveiligingslekken voorbij gaat aan directe fraude. Een slechte reputatie – en die heb je zo- kan wispelturige gebruikers naar je concurrenten sturen.
Martin Healey, pionier ontwikkeling van op Intel gebaseerde computers en c/s-architectuur. Directeur van een aantal it-bedrijven en professor aan de Universiteit van Wales.
