GDPR: Manage het geheel laag voor laag

Thierry Lammers, CEO BLAUD over Enterprise Mobility Management: “Manage het geheel laag voor laag”

Mobiel werken binnen organisaties is eerder regel dan uitzondering. Naar verwachting zal in 2020 meer werk worden gedaan op mobiele devices dan op laptops en vaste werkstations. GDPR geldt in gelijke mate voor zowel mobiel als vast. Volgens mobility-specialist BLAUD zijn veel it-afdelingen hier nog onvoldoende van doordrongen.

BLAUD is voortgekomen uit e-office, het bedrijf dat de digital workplace binnen organisaties verzorgt. Thierry Lammers, CEO van BLAUD, benadrukt het belang van veilige en beheersbare mobile devices. “Het bedrijfsproces verloopt steeds meer via mobiele apparaten. Mobiel werken is geen bijzaak meer. Een ontwikkeling als GDPR maakt dat eens temeer duidelijk. Door data op een makkelijke en veilige manier beschikbaar te maken op een mobiel apparaat, hoeft de eindgebruiker niet meer een creatief zijproces te bedenken.”

Volgens Mart Bosch, CCO, kunnen die kleine apparaten meer en meer. “Deze transformatie vraagt om serieus beleid. Voorheen beschermde een dure firewall de systemen en gegevens tegen hackers. Tegenwoordig vormt iedere smartphone en tablet een aanvalsvlak. Helemaal nu de strengere regelgeving van de GDPR eraan komt, is Enterprise Mobility Management (EMM) een vereiste. BLAUD heeft een breed portfolio aan producten en diensten rond EMM.”

Goede educatie

Mobiel werken heeft impact op het volledige it-landschap en dwingt organisaties om goed na te denken over hun informatiebeleid. Lammers: “Je wilt niet alles dichtzetten, want mobiel werken verhoogt juist de productiviteit van medewerkers. Om het malwareprobleem aan te pakken, is Mobile Threat Detection (MTD) nodig. In een willekeurig Android-appje kunnen allerlei vervelende zaken zitten. MTD houdt de betrouwbaarheid van apps in de gaten. Gaat hij naar een Chinese server om iets te downloaden? Voert hij veel meer handelingen uit dan nodig is? Voor deze en andere controles zijn diverse goede producten op de markt, zoals MobileIron, Lookout en Check Point. Binnen EMM is MTD een randvoorwaarde om mobiele devices veilig in te kunnen zetten.”

Hierna volgt de stap van educatie. De eindgebruiker moet niet alleen begrijpen waarom hij zo’n apparaat krijgt, maar uiteraard ook hoe het werkt. “Vergeet niet dat je te maken hebt met medewerkers van 15 tot 65 jaar”, vertelt Bosch. “De ene gebruiker kun je zo’n device met een gerust hart meegeven, maar een ander zit in de weerstand of begrijpt het niet. Goede educatie helpt de gebruiker en het ontlast de servicedesk enorm. Goede educatie kan tot stevige besparingen leiden.”

 

Expertise

Vervolgens krijg je te maken met het beheren en het verlenen van services. “Morgen komt er weer een nieuwe telefoon uit, die medewerkers willen gebruiken”, geeft Lammers als voorbeeld. “Of we gaan toch ineens Choose of Bring Your Own-beleid introduceren, wat qua beheer grote consequenties heeft. Er komen continu nieuwe apps bij. Blijft alles na een update van het OS allemaal wel overeind? Kortom, er komt veel kijken bij het veilig draaiende houden van de mobiele ondersteuning en bij het flexibel verlenen van service. Dit vergt expertise op het gebied van mobile operating systems, hardware en securityzaken. Helemaal wanneer je besluit ook de zogeheten exoten te ondersteunen. BLAUD neemt dan de mobility-zaken voor onze rekening, zodat de it-organisatie zich met hun normale taken kan bezighouden.”

 

MobileIron

Een goed gestructureerd EMM-programma (Enterprise Mobility Management) is onmisbaar voor de juiste naleving van de GDPR. MobileIron kan hierin het verschil maken. Het platform dwingt onder meer gegevensversleuteling af bij het apparaat. Daarnaast brengt het een duidelijke scheiding aan tussen persoonsgegevens en bedrijfsgegevens, zodat daar de juiste handelswijze voor kan worden gehanteerd. MobileIron Access verschaft inzicht in welke mobiele apparaten en apps verbinding proberen te maken met cloud services. Hierdoor kan ongeoorloofde toegang worden geblokkeerd. Via het MobileIron-platform kan de onderneming auditlogs raadplegen om alle omstandigheden van een datalek in kaart te brengen. Ook kan de onderneming maatregelen tegen gegevensverlies afdwingen, zoals het op afstand wissen van vertrouwelijke gegevens op een verloren apparaat. Ook worden aanvallen gedetecteerd op de integriteit van het besturingssysteem van het mobiele apparaat (jailbreaking of rooting).

 

Laag voor laag

Het proces van EMM is grotendeels onder controle als MTD, educatie en services & beheer zijn geregeld. “Maar”, vult Bosch aan, “mobility reikt inmiddels veel verder dan alleen e-mail op je smartphone. Door de toegenomen functionaliteit van de apparaten groeit de vraag om apps. En daar zit met name de complexiteit, want dat appje – gekocht of zelf gebouwd – moet nog wel op die toestellen komen. De uitrol moet je op afstand organiseren zodat niet duizenden medewerkers bij de helpdesk staan te dringen om dat te regelen. In onze visie maakt ook het toevoegen van een app deel uit van het hele proces. Het moet eerst naar de device management omgeving voor distributie, waarna het door MTD kan worden gemonitord. Via workshops of webinars moeten medewerkers leren werken met de nieuwe app en services moet weten of het appje nog wel werkt bij een volgende OS-update. Ook moet je weten of een bepaalde app, in het kader van GDPR, wel op een privé-apparaat mag worden uitgerold of niet. Hoe beveilig ik bijvoorbeeld de data waar iemand mee werkt? Ook daar moet beleid op worden gemaakt.”

GDPR eist dat een en ander beveiligd is ‘met de stand van de techniek’. Lammers stelt: “Die stand van de techniek is beschikbaar, al beschikt een doorsnee it-organisatie niet over de kennis dit adequaat in te richten. BLAUD kan, als een soort van vangnet, helpen om al die endpoints op een makkelijke manier onder controle te brengen. App-development, security en GDPR grijpen sterk op elkaar in. Je kan het niet los zien van elkaar. EMM is als een ui, waarbij je het geheel laag voor laag beheert.”

 

Netwerk

Nog vaak denken it-afdelingen dat EMM niet veel meer omvat dan het implementeren van een appje. “In onze visie gaan daar enkele wezenlijke stappen aan vooraf”, aldus Lammers. “Voordat je allerlei plannen gaat uitvoeren, adviseren wij na te denken over het beleid. Betrek daarbij alle disciplines die iets te melden hebben in het proces, denk aan HR, legal, finance, IT, security enzovoort. We zien dat organisaties dit steeds serieuzer nemen. In dat opzicht drukt GDPR op de agenda. BLAUD is een complete mobility-expert, van consultancy tot de daadwerkelijke uitvoering. Dat is ook het verschil tussen ons en andere partijen bij wie de app-developer en mobile netwerkexpert niet of nauwelijks samenwerken. Wij overzien het hele proces en combineren noodzakelijke kennis.”

“Onze focus is redelijk functioneel en technisch”, vult Bosch aan, “maar binnen de e-office group is er nog veel meer ict-expertise beschikbaar. Wanneer expertise buiten ons kennisdomein nodig is, zoals legal, finance of het leveren van hardware, dan ‘shoppen’ wij in ons partnernetwerk. Andersom springen wij met onze expertise ook structureel in bij grote partijen als KPN, Scholten Awater en Tele2.”

 

Vijf gouden tips voor mobile security

1) Plaats mobiele apparaten met toegang tot bedrijfsgegevens onder beheer. Onbeheerde mobiele apparaten hebben dan geen toegang.
2) Pas actuele configuratieprofielen toe. Dwing beleid af voor wachtwoorden, versleuteling enzovoort.
3) Distribueer alle zakelijke apps via een interne appstore, zodat deze binnen een gecontroleerd beveiligingskader functioneren.
4) Alle zakelijke services zijn alleen bereikbaar via vertrouwde toegang. Blokkeer de toegang vanaf ongeoorloofde, onbeheerde of niet-conforme apparaten, apps en gebruikers.
5) Verzamel auditlogs met informatie over inventaris en gebruik om bij een datalek snel te kunnen reageren.

 

Gerelateerde berichten...