Het belang van security voor organisaties met medewerkers die hybride werken

Steeds meer organisaties hebben medewerkers die deels op kantoor en deels op afstand werken. Hybride werken kan leiden tot nieuwe uitdagingen op het gebied van security, mede doordat medewerkers toegang hebben tot bedrijfsgegevens en -systemen vanaf verschillende locaties en apparaten. Het is daarom van cruciaal belang voor organisaties om effectieve veiligheidsprotocollen te implementeren zodat ze hun bedrijfsgegevens en -systemen kunnen beschermen tegen cyberaanvallen en andere bedreigingen. In dit artikel bespreken we het belang van security voor organisaties met medewerkers die hybride werken.

Het belang van hybride werken

Uit een Amerikaans onderzoek blijkt dat thuiswerkende medewerkers 47 procent productiever zijn, tegelijkertijd is het kantoor onmisbaar. Samenwerken, samenzijn, taken op het gebied van creativiteit en innovatie, trainingen, leren van zowel leiders als mentors: het is allemaal bewezen effectiever op kantoor. Hybride werken combineert het beste van deze twee werelden en wordt steeds normaler voor organisaties. Daarom is het van groot belang dat organisaties weten hoe hun medewerkers veilig kunnen werken op afstand.

Veilig werken als uitdaging

Medewerkers die hybride werken, profiteren van een verhoogde productiviteit en een betere werk-privébalans, omdat ze hun eigen tijden flexibel kunnen inplannen. Dat medewerkers thuis productiever werken, betekent niet dat ze ook veilig werken. Er zijn een aantal security-risico's die vaak voorkomen bij organisaties en waar je je als organisatie bewust van moet zijn.

Gebruik van persoonlijke apparaten

Ongeautoriseerde persoonlijke apparaten die niet onder het beheer van de organisatie vallen, bieden niet hetzelfde beschermingsniveau als apparaten die door de organisatie worden uitgegeven.

Thuisnetwerk

Door het hybride werken neemt het aantal verschillende apparaten dat wordt gebruikt toe. Bovendien maken medewerkers die thuis werken gebruik van hun thuisnetwerk en de bijbehorende hardware (zoals routers). Al deze apparaten en netwerken zijn 'vectoren' die het aanvalsoppervlak vergroten.

Meer shadow IT

Een groeiend aantal mensen dat op afstand werkt, betekent ook dat er meer applicaties worden gebruikt (met name op persoonlijke apparaten) die niet zijn geautoriseerd door - en onder beheer staan van - IT.

Goede security is onmisbaar

Het is een open deur, maar kan niet genoeg worden benadrukt: goede security is onmisbaar. De digitale bedreigingen blijven toenemen. Goede security helpt onder andere om:

• Cyberaanvallen en datalekken te voorkomen - en dus om zowel operationele en reputatieschade als hoge GDPR-boetes te vermijden;
• Data van medewerkers en klanten te beschermen, denk bijvoorbeeld aan gevoelige data als medische en financiële gegevens;
• Compliant te zijn met wet- en regelgeving (waaronder de GDPR) en kwaliteitsnormen (zoals ISO 27001).

Met name voor organisaties die in hoge mate zijn gedigitaliseerd, is optimale security essentieel voor de bedrijfscontinuïteit.

Hybride werken: effectieve security-maatregelen

De risico's van het hybride werken zullen inmiddels duidelijk zijn. De volgende 9 security-maatregelen zijn effectief om deze risico's aan banden te leggen.

#1 De juiste applicaties

Vertrouw vooral niet volledig op security-applicaties, maar ze kunnen wel behulpzaam of zelfs onmisbaar zijn. Denk aan applicaties voor proactieve monitoring en detectie, security information & event management (SIEM), privileged identity management (PIM), intrusion detection system (IDS), patch management en het scannen op kwetsbaarheden.

#2 Medewerkers trainen

Feitje van de dag: twee derde van de security-incidenten is terug te leiden tot een menselijke fout. Het is van het grootste belang om alle medewerkers te trainen op het gebied van cybersecurity. Mogelijke onderwerpen zijn het veilig gebruik van applicaties, omgaan met (gevoelige) data, herkennen van phishing en het wijzen op de risico's van shadow IT.

#3 Autorisatiebeheer

Belangrijk binnen security is het least privilege-principe. Door medewerkers niet meer toegang en machtigingen te geven dan zij nodig hebben om hun werk te kunnen doen, voorkom je oneigenlijk en onveilig gebruik van applicaties en de digitale werkplek. Zo zorg je er bijvoorbeeld voor dat mensen alleen informatie kunnen raadplegen die voor ze bestemd is. En dat ze geen gebruikers kunnen toevoegen aan applicaties die daar geen toegang voor zouden mogen hebben.

Binnen Workspace 365 wordt role-based access control (RBAC) ondersteund, een methode voor toegangscontrole die wenselijk is voor je beheerorganisatie. Daarmee kun je bijvoorbeeld instellen dat een marketingmedewerker in de marketinggroep zit en daardoor automatisch alle relevante applicaties binnen Workspace 365 krijgt.

#4 Beveilig applicaties en data ter plaatse

Applicaties en data moet je niet alleen centraal beveiligen, maar ook daar waar ze zich bevinden. Denk bijvoorbeeld aan endpoint protection voor apparaten buiten het bedrijfsnetwerk. Dat kan via Intune Mobile Application Management van Microsoft, wat je ook kunt toepassen binnen Workspace 365. Omdat de bedrijfsapplicaties met Intune worden beheerd, maakt het niet meer uit of een apparaat persoonlijk is of niet.

#5 Bescherm je cloud-landschap

De cloud is doorgaans veiliger dan on-premise applicaties en data. Toch is het van groot belang om cloud-beveiliging serieus te nemen, bijvoorbeeld door te zorgen dat je gevoelige informatie niet toont aan mensen die er geen recht op hebben.

#6 Opstellen en bijstellen van security-beleid

Een gedegen security-beleid is de basis van je cyberveiligheid. Het beleid gaat onder meer in op remote toegang tot applicaties, richtlijnen voor wachtwoorden, incident response, fysieke veiligheid, en regels voor het gebruik van bijvoorbeeld social media en e-mailencryptie. Als organisatie is het dan ook belangrijk dat je bijvoorbeeld een ISO-certificering haalt, waarin wordt gekeken naar het opstellen, beheren en verbeteren van processen in de organisatie. Deze audit wordt elk jaar opnieuw gedaan bij organisaties. Zowel cyberbedreigingen als de eigen organisatie veranderen immers constant.

#7 Onderzoek veelgebruikte applicaties

Toets veelgebruikte applicaties altijd aan het security-beleid. Moeten bijvoorbeeld de instellingen voor Multi-Factor Authenticatie worden gewijzigd? Dient de toegang voor specifieke rollen, apparaten of netwerken te worden beperkt via Conditional Access? Zijn de machtigingen voor en toegang tot applicaties en informatie allemaal up-to-date?

#8 Speciale aandacht voor digitale communicatie

Bij hybride werken maken medewerkers meer gebruik van online communicatiemiddelen zoals e-mail en Microsoft Teams. Zaken als phishing en het versturen van bestanden leveren extra veiligheidsrisico's op. Bovendien: hoe meer digitale communicatie er plaatsvindt, hoe groter de kans op datalekken. De beveiliging van digitale communicatie vereist daarom speciale aandacht, denk bijvoorbeeld aan maatregelen als periodieke trainingen.

De digitale werkplek als boost voor security

De digitale werkplek is geen extra factor binnen je IT-architectuur die een bedreiging oplevert. Eerder het tegenovergestelde: een digitale werkplek heeft veel voordelen op security-vlak, zoals:

Minder shadow IT

Beschikt je organisatie over één goed ontworpen en gebruiksvriendelijke digitale werkplek, waarin alles is geïntegreerd dat mensen nodig hebben voor hun werk? Dan hoeven medewerkers niet meer te grijpen naar allerlei tools die buiten het beheer van IT vallen. Naast security-winst levert dit nog een belangrijk voordeel op: je digital employee experience (DEX) verbetert.

SSO en MFA

Met Single Sign-On (SSO) beschikken medewerkers over één gebruikersnaam en wachtwoord voor alle applicaties die ze nodig hebben. Dit verhoogt de veiligheid, aangezien medewerkers minder vaak hoeven in te loggen en de kans wordt verkleind dat men inloggegevens vergeet of ergens onveilig opslaat. Een digitale werkplek is gemakkelijk te voorzien van Multi-Factor Authenticatie (MFA). Een bijzonder effectieve maatregel: volgens Microsoft voorkomt MFA 99,9 procent van de identiteitsaanvallen.

Conditional Access

Conditional Access kun je instellen voor de toegang tot bepaalde applicaties vanaf bepaalde netwerken, browsers, besturingssystemen of apparaten. Voorbeelden zijn het niet kunnen raadplegen van patiëntgegevens buiten het bedrijfsnetwerk en het blokkeren van gevoelige informatie op mobiele apparaten.

Endpoint management

Binnen de digitale werkplek is het mogelijk om een endpoint management-oplossing zoals Microsoft Intune toe te passen. Intune is een cloud-gebaseerde oplossing voor mobile device management (MDM) en mobile application management (MAM), die het beheer van verschillende endpoints vereenvoudigt. Via endpoint management kunnen eindpunten beter worden beveiligd door onder meer het verzenden van (bedrijfs)data te reguleren, zakelijke e-mailaccounts te beschermen en instellingen voor het updaten van de apparaten te configureren.

State-of-the-art security van Microsoft 365

Door Microsoft 365 te integreren binnen je digitale werkplek, profiteer je als organisatie van state-of-the-art security-oplossingen. Denk aan endpoint management en hoogwaardige encryptie. Het is bijvoorbeeld mogelijk om werkbestanden van een apparaat te halen als deze gestolen of kwijt is en af te dwingen dat mensen werkbestanden opslaan in OneDrive for Business. Ook interessant is Identity & Access Management (IAM) op basis van Active Directory.

Adaptieve digitale werkplek

Een adaptieve digitale werkplek zoals Workspace 365 past zich aan de medewerker aan: applicaties, gegevens, documenten, processen en taken worden gepersonaliseerd aangeboden. Wat er precies wordt getoond op het dashboard, is afhankelijk van onder meer iemands locatie, netwerk, rol en apparaat. Medewerkers vinden alles wat ze nodig hebben in één digitale - goed beveiligde - werkplek.