Uw organisatie heeft steeds meer vertrouwelijke data in handen: van klantgegevens zoals e-mailadressen en bankrekeningnummers tot financiële rapporten en bedrijfsgeheimen. Data die onder geen beding mogen uitlekken. Hoe voorkomt u datadiefstal en fraude?
In de digitale economie is vertrouwen goud waard. Uw klanten, werknemers, leveranciers en andere stakeholders rekenen erop dat ze veilig met u kunnen communiceren, dat u verantwoord omgaat met hun gegevens en dat hun privacy gewaarborgd is. Makkelijker gezegd dan gedaan. Cybercriminelen weten namelijk ook hoe waardevol die data zijn.
Datadiefstal is een lucratieve business. Zo wordt driekwart van de gestolen patiëntgegevens te koop aangeboden op het darknet, de zwarte markt van het web. Documenten als paspoorten zijn te gebruiken voor identiteitsfraude, een vorm van fraude die stevig in de lift zit. En uw bedrijfsgeheimen, zoals technische innovaties of chemische formules? Misschien heeft uw concurrent daar wel geld voor over.
Onder de aangescherpte privacywetgeving kan een datalek bovendien resulteren in forse boetes en het risico op imagoschade is groot. Er is organisaties dus veel aan gelegen om zorgvuldig om te gaan met gevoelige data. Dit vraagt om een totaalaanpak voor de beveiliging van belangrijke systemen en gegevens. Deze bestaat uit de volgende pijlers:
1. Geautoriseerde toegang tot systemen en data
Welke personen mogen welke systemen en data gebruiken? En welke acties mogen zij uitvoeren? Met een Identity & Access Management (IAM)-systeem beheert u deze toegangsrechten. Hierbij is het belangrijk om ‘privileged users’ – gebruikers met veel rechten – extra in de gaten te houden. Misbruik van uitgebreide bevoegdheden kan ingrijpende gevolgen hebben.
Het is ook mogelijk om uw IAM-systeem te koppelen aan uw hr-systeem. Zo zorgt u voor een geautomatiseerde toekenning van rechten. Een nieuwe werknemer krijgt dan bijvoorbeeld direct een account met de juiste rechten en het account van een vertrokken medewerker wordt automatisch opgeheven.
2. Gebruiksvriendelijk platform voor inloggen
Gebruiksgemak en veiligheid staan vaak op gespannen voet met elkaar. Gebruikers willen eenvoudig toegang hebben tot alle soorten toepassingen. Altijd en overal, via elk apparaat.
Het inlog- of ondertekenproces mag niet ingewikkeld zijn, want dan haken mensen snel af. Tegelijkertijd mag u geen genoegen nemen met onveilige inlogmethoden. Gelukkig zijn er diverse technische hulpmiddelen om te zorgen voor een flexibele, gecontroleerde toegang tot bedrijfsapplicaties via internet.
Neem bijvoorbeeld ‘single sign-on’. Hierbij hoeven gebruikers zich slechts één keer aan te melden, ook als er sterke authenticatie vereist is. Een andere optie die het gebruiksgemak ten goede komt, is een selfservicevoorziening waarmee gebruikers zelf hun wachtwoorden kunnen resetten.
3. Veilig portaal voor klanten, partners en medewerkers
Steeds meer organisaties stellen privacygevoelige gegevens beschikbaar via een portaal. Hiermee kunnen burgers bijvoorbeeld toeslagen en vergunningen aanvragen of medische informatie inzien. De gegevens binnen deze omgeving moeten optimaal beveiligd zijn.
Een combinatie van gebruikersnaam en wachtwoord volstaat niet. Voor toegang tot zo’n portaal is minimaal tweefactorauthenticatie (2FA) nodig. Bij 2FA wordt nog een tweede verificatiemiddel toegepast, zoals een code via bijvoorbeeld sms of een smartcard.
Daarnaast moet het portaal gebruikmaken van een beveiligde verbinding, herkenbaar aan de ‘https’ in de adresbalk. Dit is lang niet altijd het geval. Zo bleek in januari dat een kwart van de websites van ziekenhuizen in Nederland geen beveiligde verbinding had.
4. Betrouwbare identificatiemiddelen
Met betrouwbare identificatiemiddelen maakt u het cybercriminelen zo moeilijk mogelijk om binnen te dringen in uw systemen. De Europese Verordening elektronische identiteiten en vertrouwensdiensten (eIDAS) kent drie betrouwbaarheidsniveaus:
5. Bewaking op misbruik van identiteiten
Misbruik van digitale identiteiten is nooit helemaal uitgesloten. Daarom is het zaak dat u het netwerkverkeer continu monitort. Dit levert loggegevens op waarmee u achteraf kunt reconstrueren wie wanneer toegang heeft gehad tot welke informatie. De nieuwe Europese privacywetgeving dwingt zo’n reconstructie ook af na een datalek.
Technische maatregelen zijn niet zaligmakend. Identiteitsbeheer vergt ook aandacht voor de mensen en processen. Medewerkers en klanten moeten bijvoorbeeld bewust omgaan met hun online identiteit. Dit betekent onder andere dat ze regelmatig hun wachtwoorden wijzigen en deze niet delen met vrienden of collega’s.
Veel organisaties hebben niet de kennis in huis om te bepalen waar de grootste risico’s liggen en welke maatregelen dus het meest urgent zijn. Een ‘identity broker’ als KPN ondersteunt bedrijven in dit traject.
Wilt u meer informatie over hoe KPN online identiteiten beschermt en garandeert? U leest er alles over in onze whitepaper ‘Digitaal zakendoen draait om vertrouwen.’
Whitepaper: 'Digitaal zakendoen draait om vertrouwen'
Hoe krijgt u zekerheid over een online identiteit?' Identiteit ‘bewijzen’ met een handtekening? Dat past niet meer in de digitale wereld anno nu. Gelukkig zijn er genoeg alternatieven. In deze whitepaper tonen wij onze visie op het veranderde landschap rondom identiteitsmanagement en op welke wijze u hierop in kunt spelen.
Download
