Traditionele 'Enterprise Security' ofwel informatiebeveiliging voor grote organisaties concentreert zich op het buiten houden van dreigingen. In eerste instantie betrof het de verkeerstroom op zich. Een voorbeeld hiervan is alleen webverkeer en e-mail naar de betreffende servers in een DMZ toestaan. Tegenwoordig ligt de nadruk meer op de inhoud van de verkeerstromen. Een beetje organisatie gebruikt hiervoor ACL’s op routers en traditionele port-based of application level firewall, soms aangevuld door een intrusion detection of prevention systeem (IDS/IPS). Deze controle op binnenkomende verkeerstromen wordt ook wel 'ingress filtering' genoemd. Voor de vorm moeten we ook de virusscanner (centraal en op de desktop) en spamfilter niet vergeten. Deze moeten de schade beperken als er onverhoopt toch malware of tijdverslindende e-mail rommel binnengekomen is.

Maar.. Kwam het merendeel van de dreigingen niet van binnenuit? Is het ongewenst verliezen of lekken van (bedrijfsgevoelige) informatie niet aan de orde van de dag? Het lijkt er op dat veel organisaties hun beveiliging verkeerd om geregeld hebben.

De meeste organisaties hebben hun websites buiten de deur staan, of in ieder geval ver weg van hun kantooromgeving. Voor de kantooromgeving blijft dan vaak niet veel meer over dan een eenvoudige router die inkomend verkeer voor de mailserver door moet laten en netwerk adres translatie (NAT) toe moet passen voor de kantoor PC’s. Wanneer alleen inkomend verkeer van de eigen ISP (bijvoorbeeld via een batched SMTP constructie) naar de mailserver toegelaten wordt blijft er immers weinig dreiging van buitenaf over. Het spamfilter van de ISP wordt door professionals onderhouden, de virusscanner blokkeert malware en een intrusion detection systeem heeft hier ook niet heel veel te doen.

Veel belangrijker is het om het verkeer eens onder de loep te nemen dat (indirect) door de werknemers veroorzaakt wordt. We hebben het dan over ‘egress filtering’. Hier vinden we (in verhouding tot het binnenkomende verkeer) weinig virusdreigingen. Waarschijnlijk zal het aantal pogingen om cross-site scripting attacks op websites buiten de organisatie ook wel loslopen. De dreigingen waar organisaties hier te maken hebben zijn voornamelijk: het verspillen van de tijd van de baas (online poker als vervanger voor patience, Skype of MSN chat), reputatieschade (ongewenste uitingen op forums, herleidbaar bezoek aan onfrisse websites) en het al dan niet bewust ‘lekken’ van informatie (Information Leakage). Dat laatste kan een dreiging op zich zijn, veelal zal de geleden reputatieschade groter zijn.

Hoewel niet echt bovenaan de shoppinglist van IT managers, bestaan er wel genoeg oplossingen om dergelijke dreigingen tegen te gaan. Om te bepalen wie verantwoordelijk is voor bepaalde (ongeoorloofde) uitspattingen kunnen we een proxy server inzetten die gebruik maakt van authenticatie (buzzword: identity driven networking) en eventueel zelfs SSL verkeer openbreekt en bekijkt (buzzword: SSL inspection). Verder kan URL-filtering ingezet worden om ongewenste soorten websites (porno, hacking, games/warez etc.) te blokkeren (buzzword: content-control). Nieuwe ster aan het firmament is het (automatisch) rubriceren/classificeren van informatie en op basis daarvan doorlaten of blokkeren. Een soort spamfilter, maar dan andersom. Van binnen naar buiten en herkennen en blokkeren van waardevolle informatie, in plaats van nutteloze aanbiedingen voor nepartikelen (buzzword: information leakage). Met de komst van betaalbare all-in-one apparaten (ook bekend als UTM appliances) zijn argumenten als “te veel poespas” of “niemand heeft hier verstand van” niet echt sterk meer.

Het advies is dan ook om, voor men nieuwe investeringen pleegt, nog eens goed na te denken welke dreigingen voor de eigen organisatie gelden (het risico dat vrachtbrieven naar criminelen gemaild worden is bij een transportbedrijf groter dan een geslaagde hack-poging van buiten).

Ontwikkelingen als het Jericho Forum geven aan dat het tijd is om ons traditionele gedachtegoed nog eens te evalueren en na te denken wat echt belangrijk is. Pas dan kunnen we onze kostbare tijd en aandacht richten op die dingen die waardevol zijn voor een organisatie en welke dreigingen aandacht verdienen.

Maarten Oosterink is als consultant werkzaam bij Capgemini. Binnen de practice Infrastructure & Architecture Services richt hij zich vooral op Identity Management en Security.