Security
Applicatiebeveiliging: drie aandachtspunten voor de business In een wereld waarin software domineert, is applicatiebeveiliging belangrijker dan ooit. Informatietechnologie speelt daarbij een cruciale rol, maar minstens zo belangrijk is de sturing die ‘de business’ geeft aan securitymanagement. Wat zijn op dat vlak de belangrijkste bakens die helpen de organisatie in het juiste spoor te houden?
Provider (MSSP). Een MSSP heeft er zijn vak van gemaakt om zo’n set van geïnte greerde verdedigingstools (‘best of breed’) zelf samen te stellen uit het rijke aanbod van bekende securityleveranciers zoals Check Point, Trend Micro, RSA en Sophos.
3. Vergeet de noodscenario’s niet Applicatiebeveiliging kent vele facetten. Het bestaat uit software, hardware en beleids maatregelen die de applicaties beschermen. Vanuit de techniek gezien loopt dat van ‘security by design’ in de ontwikkelfase tot aan de inzet van Web Application Firewalls (WAF’s), vulnerabilityscanners en Cloud Access Security Brokers (CASB’s) voor reeds draaiende (web)applicaties. Maar wat zijn de maatregelen die bovenaan het lijstje van de business horen te staan als het om applicatiebeveiliging gaat? Hier een top 3.
En denk als CTO of CISO vooral niet dat de nieuwe DevOps-aanpak de security verbetert. Dat bereik je alleen door DevOps en security bewust in elkaar te schuiven (DevSecOps). Bijvoorbeeld door ervoor te zorgen dat developers en securitymensen veel vaker - en vooral op het juiste moment - contact met elkaar hebben én elkaars taal leren spreken. Alleen zo bereik je dat security deel uitmaakt van iedere fase van het ontwikkelproces. Ook dát soort inzicht hoort bij een doortimmerde securityawarenessaanpak.
1. Investeer in security-awareness
2. Zorg voor een geïntegreerde verdediging
Het belang van een goede securityawareness binnen alle geledingen van een organisatie staat buiten kijf. Er is in de loop der jaren al veel lippendienst aan bewezen. De vele geslaagde hacks gebaseerd op ‘social engineering’ laten echter keer op keer zien dat medewerkers doorgaans nog veel te weinig op hun hoede zijn. Ze geven inloggegevens voor belangrijke bedrijfs applicaties soms kinderlijk eenvoudig prijs. Het is dan ook belangrijk om medewerkers te waarschuwen voor gevaren als phishing.
Een tweede aandachtspunt is een geïntegreerde verdedigingsaanpak. Het gros van de moderne applicaties bestaat uit een veelvoud van losse componenten. Die onderdelen draaien allemaal in een eigen omgeving met eigen eisen en communi ceren via infrastructuren die zich zowel in de cloud als in het eigen datacenter bevinden. Dat alles beveiligen, is een hele klus waarvoor een flexibele set eenvoudig te beheren verdedigingstools nodig is die goed met elkaar integreren.
Maar security-awareness kent nog veel meer aspecten die voortdurende aanscherping en training verlangen, ook bij het C-level management. Want hoe vaak komt het niet voor dat de security van een applicatie te wensen overlaat doordat het bedrijfs management de snelheid van oplevering veel belangrijker vindt dan de veiligheid ervan?
Geheel zelf doen, is in deze geen optie meer. In de praktijk zie je dan ook dat doorgaans twee wegen worden bewandeld: óf bedrijven richten zélf hun applicatie beveiliging in op basis van de grote, geïntegreerde securityplatformen van bijvoorbeeld IBM of Cisco, óf stappen voor applicatiebeveiliging over op de diensten van een moderne Managed Security Service
Noodscenario’s zijn je laatste reddingsboei. Want iedere security-expert zal het beamen: hoe goed je je applicatiebescherming ook inricht, het gaat geheid een keer mis. Professioneel securitymanagement houdt ook rekening met dát scenario en maakt substantiële resources vrij voor het opstellen van gedetailleerde draaiboeken wat te doen om zo snel mogelijk weer terug in business te zijn. Ook dat moet geïmplementeerd worden op alle niveaus van de organisatie. Elke medewerker moet in dat geval zijn rol kennen en daarvoor getraind zijn. Bijkomend voordeel: prioriteit nummer één, de security-awareness, wordt hierdoor bij iedereen nog eens extra versterkt. Marc van Ierland is Director Advanced Solutions bij Tech Data
CloudWorks – nr. 5 / 2019
15
