Mobiele devices en informatiebeveiliging? Ja!

Vrijheid! Vrijheid om zelf keuzes te maken hoe, waar en waarmee je je werk uitvoert. Toegegeven, het is niet de primaire vrijheid in ons leven. Maar met Het nieuwe Werken proberen we wel nieuwe vrijheden te verwerven. Mobiele devices bieden daarin een belangrijke bijdrage. Maar niet zonder keerzijde, want in dit tijdperk lijkt informatiebeveiliging onder te sneeuwen door gebruikersgemak. Zijn mobiele devices daarom onveilig? Of ligt dat toch iets anders?

Het tempo waarin mobiele devices de werkvloer hebben veroverd, is verbluffend; de latente behoefte was kennelijk groot. Hadden we het in de begintijd van Het nieuwe Werken nog over work-life balance, nu is er eerder sprake van work-life integration. Met een smartphone of tablet, altijd bij je en altijd paraat, is het makkelijk schakelen tussen beide werelden. Slechts een enkeling lijkt zich druk te maken over hoe informatie in dit nieuwe tijdperk beveiligd wordt. Ja, we moeten ons wachtwoord iedere zestig dagen veranderen en ja, we krijgen een token om vanaf thuis veiliger in te loggen. Deze ‘voordeurbeveiliging’ is vast ergens goed voor, maar erg expliciet of bewust is de relatie met het beveiligen van onze informatie achter die voordeur niet. Al jaren gebruiken we usb-sticks of mailen we documenten naar onszelf door om thuis even wat te kunnen werken. De stap naar cloudopslag is daarna klein. Is daar wat mis mee?

Voorzichtiger omgaan met informatie
Nu echter de nieuwe ‘bedreigingen vanuit de cloud’ bijna dagelijks aandacht krijgen en zelfs het journaal halen, groei het besef dat we voorzichtiger met onze informatie en de daaraan verbonden digitale identiteiten om moeten gaan. Afhankelijk als we zijn van al onze aan het internet gekoppelde devices, diensten en gegevensbronnen, zullen we maatregelen voor veilig gebruik in acht moeten nemen. Maar hoe doen we dat voor onze mobiele apparaten? Juist het grote gebruikersaantal, de focus op het gebruiksgemak en de ultieme mobiliteit verhogen het risico op informatiebeveiligingsincidenten.

Andere tijden, andere visie
Bij de eerste versies van smartphones leek het beveiligen van zakelijke informatie nog geen topprioriteit. De nadruk lag op de user experience: e-mail, agenda, contactpersonen, sociale media en bijvoorbeeld Dropbox komen met één vingerbeweging op het touchscreen naar voren. Inloggegevens zijn opgeslagen, waardoor gebruikers ‘verlost’ zijn van het invoeren ervan. Ook de toegangscode om het device te ontsluiten is niet verplicht

De eerste iPhone appelleerde aan de verantwoordelijkheid van de gebruiker, zo leek het. Maar achter de ontwikkeling van die iPhone ging in feite een veel bredere visie schuil: dit nieuwe device moest veilig kunnen werken in een door cloudsystemen gedomineerde open wereld. Bij opeenvolgende versies werd die visie steeds verder uitgewerkt. En dat heeft een robuust systeem opgeleverd:

• De architectuur van het besturingssysteem (iOS) en de appstore is zo opgezet dat virussen of malware vanuit die open wereld nauwelijks grip krijgen op onze gegevens.
• Een uitgebreid versleutelingsmechanisme waarin hardware, een secure boot-proces en het besturingssysteem samenwerken, beveiligt de informatie bovendien op het systeem zelf.
• Slimme beheerfuncties, gekoppeld aan een opengestelde management-API, bieden uitgebreide configuratiemogelijkheden en voorzieningen voor de bescherming van zakelijke informatie.

Ook binnen de software zelf zijn er oplossingen denkbaar. Neem bijvoorbeeld de app voor het internetbankieren. Nadat deze is gedownload, moet er eerst een beveiligd proces worden doorlopen voordat de gebruiker ermee kan bankieren. De app koppelt de rekening van de gebruiker aan de unieke kenmerken van het apparaat. Vervolgens is voor toegang nog een extra pincode verplicht en controleert een applicatiefirewall het gehele proces. Een bewijs dat ook sensitieve gegevens en mobiele devices prima samengaan.

Ecosystemen
Een solide mobiel platform integreert hardware, firmware, besturingssysteem, appstore, softwarearchitectuur en managementfuncties tot een ecosysteem, waarin naast user experience juist de beveiliging centraal staat. Devices die draaien op iOS8, Windows RT / Phone 8.1 of Samsung Knox (een Android-variant) voldoen aan deze architectuur. Android ‘L’ biedt volgens de verwachtingen ook afdoende voorzieningen. Deze systemen bieden – in combinatie met management-tooling – daardoor een beter uitgangspunt voor het beveiligen van zakelijke informatie dan de minder strak te regisseren pc-platformen. Daarop kan en mag veel meer, maar het is sterk de vraag of dit in de volgende fase van de IT nog wel wenselijk is. Het succes van de mobiele devices lijkt het tegendeel te bewijzen. Met een beetje aandacht wordt de informatiebeveiliging er in ieder geval niet slechter van