Een netwerk is niet meer wat het geweest is. Sommige mensen hebben het daar best moeilijk mee. Door de groeiende toepassing van mobile devices, koppelingen naar buiten en het werken buiten de eigen kantoorlocaties is het niet altijd duidelijk waar het eigen netwerk ophoudt en de buitenwereld begint. Waar is de buitenmuur gebleven? Vooral 35-plussers in onze branche moeten nog wel eens wennen aan het idee dat de buitenmuur níet meer het focuspunt van de beveiliging is.

Voor wie het niet (bewust) meegemaakt heeft: er was een tijd dat een netwerk bestond uit aan elkaar geknoopte pc’s die – met een vaartje van maximaal 2 Mb – over coax printers en bestanden deelden. Centraal stond wat groot ijzer, waarop alle belangrijke dingen gebeurden. "Buiten" was waar je wat kon "ophalen". Dat deed je bij wazige dingen als BBS-en, later compuserve, en nog later Internet. De buitenmuur bestond uit modempools waarop onverlaten zo maar inbelden. Beveiliging was het geheimhouden van die nummers. Dat was best overzichtelijk.

Wél een uitdaging was het om binnen een netwerk verschillende classificatieniveaus van informatiebeveiliging aan te kunnen. De grootste bedreiging vormden hobbyende gebruikers. Toen bleek dat het toch wel zeer lastig was om een granulaire autorisatie af te dwingen en te onderhouden, ontstond System High. Kwade tongen beweren overigens dat System High een semantische truc is voor het afschaffen van beveiliging.

In System High wordt alle informatie binnen een netwerk als even waardevol beschouwd, omdat het op dat netwerk staat. Het netwerk wordt dan ook als geheel gerubriceerd. Het concept is met name binnen de overheid en bij grote financiële instellingen formeel omarmd, maar heeft ook daarbuiten veel invloed op het denken van beveiliging gehad. In System High is het netwerk een geïsoleerde omgeving, en ieder koppelpunt met de buitenwereld een controlepunt waar alle informatiestromen tot in detail gecontroleerd worden. De oplossing die System High biedt voor het probleem van hobbyende medewerkers is dus een strikte selectie aan de poort.

Het klassieke alternatief voor System High is Multi Level Security (MLS): in een MLS-netwerk worden verschillende classificaties onderkent en er worden technische en procedurele maatregelen getroffen om vermenging van deze te voorkomen. Nu is het adagium dat MLS niet realistisch was en System High wél, gegeven de kosten en de technische stand van zaken. Maar dat was in 1974.

System High is nog steeds een belangrijk beginpunt van veel beveiligingsdenken, bij een incidentele tent zelfs nog formeel. Hier wreekt zich dat het theoretische kader onder informatiebeveiliging niet echt onderhouden wordt. Dat laat zich volgens mij verklaren uit dat je eerst techneut wordt en als je het allemaal niet meer kunt of wilt volgen op grond van je leeftijd het management mag versterken. In beleidsland heet dit conservatisme proven technology en best practices. Laten we eens dieper ingaan op de theorie.

ICT-beveiliging kent twee deelgebieden, te weten informatiebeveiliging (InfoSec) en computerbeveiliging (CompuSec). Het gaat natuurlijk allemaal om het beveiligen van de informatie. Het beveiligen van de computersystemen, waarop de informatie zich zou kunnen bevinden, de CompuSec, wordt daarom meestal ondergeschikt gemaakt aan de informatiebeveiliging.

Voor Informatiebeveiliging geldt als randvoorwaarde het labellen van informatie en hulpmiddelen als applicaties en systemen, om deze te kunnen besturen. Dit betekent dat objecten voorzien worden van een uniek kenmerk, een identiteit. In de regel bestaat deze identiteit alleen in de beleidsstukken, omdat bitjes, bestanden en computers geen label kunnen krijgen.

In feite wordt CompuSec als "Next Best Thing" ingezet voor het bereiken van InfoSec: we kunnen de informatie niet beveiligen omdat we niet daadwerkelijk labellen, dus we steken de inspanning in het beveiligen van de computersystemen en netwerken. In het "System High" denken wordt dit tot in extremo doorgetrokken: we schaffen labelling af en concentreren ons op de afscherming van het netwerk als logisch geheel. Zo wordt informatiebeveiliging indirect gerealiseerd, met weinig zekerheid rond de resultaten.

Maar de jaren 70 zijn toch echt voorbij. Het aantal koppelpunten met de buitenwereld is zo groot en complex geworden dat het eigen netwerk zelfs in beleidsstukken niet meer af te kaderen valt. De theoretici van informatiebeveiliging zien het ook. Op deze schokkende ontdekking zie je verschillende reacties.

De ene school roept dat 'het lokale netwerk' niet meer bestaat ('deperimeterisatie'), en dat iedere machine dus beschermd moet worden als ware het onderdeel van het Internet. Dit slaat vooral aan bij mensen die privé al lang geleerd hebben om te gaan met de risico’s van Internet. Meestal door een gemengde aanpak: lokale beveiliging, het besef dat afgeschermde informatie eigenlijk niet bestaat, en de acceptatie van het feit dat virussen en aanvallen net zoiets zijn als de files op de A2 – ze horen er kennelijk bij. Deze school wordt ondersteund door een merkwaardige coalitie van makers van desktopfirewalls, antivirusproducten en aan de andere kant Linux en Mac adepten. Dit leidt immers tot onkwetsbare systemen, nietwaar.

De andere school roept dat de buitenmuren nog hoger en beter moeten en kunnen en dat je binnen 'gelaagde beveiliging' moet opstellen. Hierin vind je vooral de meer klassieke enterprise automatiseerders en bestuurders die het individualistische van de deperimeterisatie niet zien zitten – het categorisch vertrouwen van gebruikers en het accepteren dat écht vertrouwelijk niet bestaat is voor hen een aantal bruggen te ver. Deze school wordt ondersteund door de leveranciers van 'oplossingen' van laag 2 tot en met 8, met schitterende appliances die IDS, IPS, IdM, IAM, DomSec en de hele verdere afkortingenbrij in hapklare brokken kunnen 'implementeren'.

Beide stromingen weerspiegelen in feite een veel dieper liggend wereldbeeld. De eerste school is een liberale school waarin mensen zelf kunnen – en moeten – denken. De vrije stroom van informatie levert meer op dan het monopoliseren ervan. Deze school gelooft in intern ondernemerschap en innovatie.

De tweede school heeft een meer autoritair wereldbeeld, waarin een organisatie een koekjesfabriek is waarvan de medewerkers de processen moeten uitvoeren zoals ze 'in het beleid' voorgeschreven zijn. Mensen worden in dit beeld tegen zichzelf en elkaar beschermd en het onthouden van informatie ('Intellectueel eigendom') is de basis van concurrentievoordeel. Je kunt deze posities in feite zo projecteren op de klassieke links-rechts verhouding. Het is dan ook niet erg waarschijnlijk dat er een hanteerbare synthese zal ontstaan. Waarschijnlijk blijven we tot in lengte van dagen de concrete dingen uit beide scholen naast en door elkaar implementeren. Keuzes maken blijft immers lastig.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter