Portals, the walkthrough

Transcriptie

1 Portals, the walkthrough Whitepaper KEMBIT Auteur Walter Robijns Datum (0) Kantoor Wijnandsrade Opfergeltstraat 2, 6363 BW Wijnandsrade Kantoor Eindhoven High Tech Campus 41, 5656 AE Eindhoven

2 Inhoudsopgave Inleiding Eén verzamelplaats voor alle applicaties Less is More! De Portal IS de werkplek Twee componenten voor één geheel Risk Based Authentication Portal selectie Twee-componenten Portal Productvergelijking Grafische weergave Conclusies KEMBIT innovation & intelligence 2 15

3 Inleiding In een wereld van Cloud en Apps verschijnt een extra speler op het toneel: De Applicatie Portal. Buiten dat deze zin klinkt als een goedkope filmtrailer (mits uitgesproken met een zware stem), raakt het wel de kern van deze whitepaper. We zitten op het kantelpunt van werken met geïnstalleerde applicaties op een Windows werkplek naar applicaties die werkplekonafhankelijk kunnen worden opgestart vanuit een Portal. Deze verandering levert een arsenaal aan applicatie-portals op, wat de keuze alleen maar moeilijker maakt voor bedrijven: Welke Portal is geschikt voor mijn bedrijf? Wat zijn de elementen waarop ik moet letten bij een Portal selectie? Een Portal moet passen in het IT-ecosysteem van het bedrijf. Door het begrijpen van het ecosysteem waarin de Portal moet functioneren, zijn de technische keuzes een logisch gevolg. KEMBIT innovation & intelligence 3 15

4 1 Eén verzamelplaats voor alle applicaties Vulnerability is the Portal to feeling. Feeling is the Portal to strength. A.D. Posey In de middeleeuwen hadden we kastelen, waar we via de hoofdingang naar binnen konden. Hier werd gecontroleerd wie we waren en of we wel terecht naar binnen mochten. Als je voorbij de hoofdingang was dan kwam je op de binnenplaats van het kasteel van waaruit je vrij was om te bewegen. Bijna alle kamers mocht je betreden omdat je als veilig betiteld was aan de ingang. Een Portal kun je vergelijken met de hoofdingang van een kasteel. Bij de ingang word je gecontroleerd en als deze controle succesvol is, krijg je toegang tot de binnenplaats waar alle faciliteiten vrij toegankelijk zijn. Een Portal heeft drie basis karakteristieken: 1. Je logt in met jouw bedrijfsgegevens (gebruikersnaam en wachtwoord); 2. Binnen de Portal zie je alleen de applicaties waartoe je gemachtigd bent; 3. Applicaties binnen de Portal kun je transparant starten (Single Sign-On), zonder extra gebruikersnamen en wachtwoorden in te hoeven vullen. Figuur 1: Het KEMBIT kasteel Eigenlijk willen we dezelfde van een Portal als wat we al jaren doen met een normale werkplek: Via één logon mijn applicaties transparant starten. Maar waarom via een Portal? Een Web based Portal is de beste uniforme manier om applicaties te ontsluiten die onafhankelijk van een Operating System of platform zijn. Het maakt niet uit of het een Windows,Mac, Linux, IOS of Android platform is, ze kunnen allemaal een web Portal starten en Web applicaties gebruiken. Eindelijk maar één platform beheren wat ik overal kan gebruiken, en op Any Device. KEMBIT innovation & intelligence 4 15

5 Met de komst van Cloud Technologie duwen softwareleveranciers ons steeds meer richting Web varianten van hun software tot op het punt dat een organisatie meer Web applicaties heeft dan de klassieke Windows applicaties. Dit is het moment dat de vraag in de organisatie wordt gesteld: Moeten wij niet een Portal gaan gebruiken als werkplek?. 1.1 Less is More! Net zoals bij iedere nieuwe technologie moet er over nagedacht worden, het liefst van te voren. Door een portal toe te voegen aan een bestaand portfolio van applicaties wordt een gebruiker niet beter geholpen. Nog een locatie erbij waar ik mijn applicaties vandaan moet halen! Een Portal moet gepositioneerd worden als een werkplek concept, een manier om applicaties te groeperen en beschikbaar te stellen aan eindgebruikers. Des te vollediger het applicatieportfolio is wat via een portal wordt aangeboden, des te effectiever zullen eindgebruikers hiermee werken. Gebruikers willen een Single Desktop Experience van waaruit ze alles kunnen starten wat ze nodig hebben om hun werk optimaal te doen. Als eindgebruikers niet optimaal kunnen presteren door IT-beperkingen, dan werkt het gehele bedrijf niet efficiënt. Het is dus van belang dat eindgebruikers zo eenvoudig (en veilig) mogelijk hun applicaties kunnen gebruiken om hun werk te doen. Stap één in efficiëntie is al het gereedschap bij elkaar te leggen zodat het makkelijk en geordend te vinden is. Of je nu een Tablet, pc, MAC of smartphone gebruikt: de software die je nodig hebt voor je werk moet vanuit één overzicht te aan te roepen zijn. Het overzichtelijk groeperen van alle software-tools in één overzicht is de essentie van de Single Desktop Experience. 1.2 De Portal IS de werkplek Het groeperen van applicaties doen we al jaren vanuit het Windows startmenu. In het startmenu staan alle applicaties bij elkaar en als we eenmaal ingelogd zijn, kunnen we (de meeste) applicaties ook transparant, zonder extra gebruikersnaam en wachtwoord in te vullen, opstarten. Hetzelfde geldt tevens voor een startmenu in een virtuele werkplek zoals Citrix of VMware Horizon View, wat in principe een Windows werkplek is op een andere locatie. KEMBIT innovation & intelligence 5 15

6 De situatie die we willen voorkomen, is dat een eindgebruiker applicatie A moet starten binnen de virtuele desktop en Applicatie B op de lokale Windows werkplek. Twee applicaties op verschillende opstartlocaties werkt verwarrend en contraproductief voor de eindgebruiker omdat hij steeds moet schakelen tussen twee omgevingen. In een dergelijke situatie is geen sprake meer van een Single Desktop Experience (SDE). Figuur 2: Dual Desktop Experience Voor Portals geldt hetzelfde als voor lokale pc s en Virtual Desktops. Je wilt applicaties opstarten vanuit één locatie en niet hoeven te schakelen tussen twee omgevingen. Figuur 3: "Single Desktop Experience" bij verschillende werkplek typen Bij een Fat Client ligt de SDE op de pc zelf. Bij een Virtuele Desktop ligt de SDE op de virtuele pc in het datacenter. Bij een Cloud Portal ligt de SDE op de Portal zelf. Deze ontsluit alle afzonderlijke Cloud- en Webapplicaties. Een Portal moet alle applicaties kunnen ontsluiten die nodig zijn voor zijn eindgebruikers. Hierdoor moeten de applicaties geschikt zijn om via de Portal te kunnen ontsluiten en visa versa. KEMBIT innovation & intelligence 6 15

7 2 Twee componenten voor één geheel De Single Desktop Experience wordt geleverd door de Workspace (tooling) en is één van de twee componenten die een eindgebruiker nodig heeft om zijn werk te doen. De tweede component is een veilige werkplek. Dit principe is het beste uit te leggen aan de hand van een klassieke pc -analogie. Workspace: 1. Inloggen met jouw bedrijfsgegevens 2. Alleen beschikking tot de applicaties waar je toe gemachtigd bent 3. Applicaties binnen de sessie transparant starten Veilige werkplek: Een courante OS-versie Virusscanner Recentste updates geïnstalleerd Encryptie Als we praten over computers in een bedrijf dan vindt iedereen het heel normaal dat deze veilig moeten zijn. Diezelfde werkplekveiligheid moet dus ook gelden voor werkplekken die een Portal gebruiken, om er zeker van te zijn dat de bedrijfsdata veilig blijft. Figuur 4: De twee componenten van een werkplek De applicatieontsluiting (workspace) wordt 100% gedaan door de Portal en vraagt dus geen resources van de werkplek behalve een webbrowser. De veilige werkplek ligt buiten het bereik van de Portal applicatie. Figuur 5: Drie methoden voor werkplek veiligheid De veilige werkplek die nodig is om de Portal te benaderen kan op drie manieren worden bereikt: 1. Vertrouwen De Eindgebruiker regelt zelf dat de werkplek volledig veilig is. 2. Beheren Ieder apparaat die een verbinding maakt met bedrijfsdata of -applicaties wordt volledig gemanaged door de IT-afdeling. 3. Risico evaluatie Iedere keer dat een apparaat verbinding maakt, wordt een controle uitgevoerd of het apparaat nog aan de gestelde veiligheidsmaatregelen voldoet. KEMBIT innovation & intelligence 7 15

8 3 Risk Based Authentication Via Risk Based Authentication wordt bij iedere aanmelding een security-evaluatie van de werkplek gedaan om te kijken of deze veilig genoeg is om bedrijfsdata te ontsluiten. Afhankelijk van deze evaluatie krijgt de werkplek toegang of niet. Figuur 6: Risk Based Authentication stappen 1. Een onbekend werkstation wil verbinding naar bedrijfsgegevens. 2. Een evaluatie van het veiligheidsniveau van de werkplek volgt. Afhankelijk van het veiligheidsniveau wordt al dan niet toegang verleend 3. Onveilige werkplekken wordt de toegang geweigerd of beperkt tot alleen toegang tot publieke informatie. 4. Veilige werkstations krijgen toegang tot interne resources. 5. Interne resources kunnen ook in een Publieke Cloud opgeslagen zijn. Beveiliging van Public Cloud resources met Risk Based Authentication (RBA) wordt gedaan via de SAML-broker. Voor meer informatie en uitleg hierover kunt u contact opnemen met KEMBIT. De Risk Based Authentication zorgt dat alle werkplekken die verbinding maken met bedrijfsgegevens veilig zijn volgens de regels die door het bedrijf zelf zijn opgesteld, ongeacht of het een tablet, beheerde laptop of Bring Your Own Device (BYOD) werkplek is. KEMBIT innovation & intelligence 8 15

9 4 Portal selectie Portals zijn net auto s. Ze rijden allemaal en toch heb je op basis van specifieke behoeften een voorkeur voor een bepaald merk of model. Dus op basis van welke criteria wordt de beste Portal voor de organisatie bepaald? Risicoprofiel Een belangrijk aspect is het bepalen van een risicoprofiel. Hoe belangrijk is de data voor de organisatie die via de Portal ontsloten wordt? Wat is het risico van dataverlies? Wat is het risico als deze data gecompromitteerd wordt? Deze vragen bepalen hoe om te gaan met de beveiliging van het apparaat, het EndPoint, die verbinding maakt met een Portal. Het EndPoint maakt namelijk direct contact met alle bedrijfsdata, kan het downloaden en aanpassen. De vraag is hoe de organisatie hier mee om wil gaan? Vertrouwen dat eindgebruikers hun EndPoints veilig houden. Figuur 7: Device Security Als je als bedrijf erop kunt vertrouwen dat alle medewerkers volledig veilig en verantwoord omgaan met hun IT-middelen, versterkt met een ondertekende gedragscode; Indien de data die via de Portal ontsloten wordt geen bedrijfskritische informatie bevat; Indien het aantal Portal gebruikers dermate laag is dat het risico verwaarloosbaar is; Als het risico geaccepteerd wordt. Alle EndPoints worden beheerd door de IT-afdeling Indien alle werkplekken worden beheerd door IT, inclusief mobiele apparaten; Als Mobile Device Management is uitgerold op alle mobiele apparaten; Als toegang alleen mogelijk is vanuit beheerde apparaten, bijvoorbeeld via een VPN. Op basis van een Risicoanalyse EndPoints dynamisch toegang geven. Indien in het Informatiebeveiligingsbeleid staat beschreven dat in alle situaties alleen veilige apparaten toegang mogen krijgen tot interne bedrijfsgegevens; Als Bring Your Own Device (BYOD) een bedrijfstandaard is, of wordt; Als toegang tot interne bedrijfsgegevens door leveranciers of derden noodzakelijk is. Als Risk Based Authentication een onderdeel is van de gekozen Portal oplossing. Zodra het risicoprofiel van de Portaloplossing bepaald is, kan worden gekeken welke producten hier het beste bij passen. KEMBIT innovation & intelligence 9 15

10 4.1 Twee-componenten Portal Omdat voor de volledige werking vanuit een eindgebruikersperspectief twee componenten nodig zijn om te kunnen werken, is de vergelijking van producten tevens gebaseerd op productcombinaties die de gehele stack ondersteunen. Figuur 8: Workspace & Device Security Voorbeeld: Microsoft Office 365 levert een Portal functionaliteit maar geen EndPoint security. Hiervoor heeft Microsoft een apart product: Intune. Gebundeld heet Office 365 en Intune nu Microsoft 365. Om een goed vergelijk te kunnen maken tussen de verschillende leveranciers, zijn de gebundelde producten met elkaar vergeleken. Figuur 9: Portal bundels van verschillende leveranciers Workspace 365 is een Portal product dat een schil om Office 365 heen legt. Het is niet een op zichzelf staand Portal product. KEMBIT innovation & intelligence 10 15

11 5 Productvergelijking Op basis van functionaliteiten die publiekelijk zijn gemaakt op Internet, is een vergelijkingstabel opgezet tussen de verschillende typen Portals met al hun functionaliteiten. Portal Ontsluiting van resources Authentication Mobile Management Risk Based Authentication (RBA) Functionaliteiten O365 Portal (My Apps) Microsoft Tabel 1: Portal bundel vergelijkingstabel V# Via HTML5 of speciale clients X# Alleen in combinatie met RSA Adaptive Authentication Connector, een extern product Intune Workspace One Standard VMware Workspace One Advanced Awingu StoreFront XenMobile Awingu New Day at Work Workspace 365 Website links V V V V V# V V V Cloud Applications V V V V X X V V Local Applications (Legacy) X V V V X X X X Mobile Apps X V V V X V X X Terminal Server X V# V# V# V# V# V# V# Citrix Sessions X V# V# V# V# V# V# V# Published Apps (Citrix or RDS) V# V# V# V# V# V# V# V# Citrix SSO Windows devices V V V V V V V V Citrix SSO Any device X X V V X X X X Agenda in Portal view X X X X X X X X VDI (Vmware) zonder SSO X V# V# V# V# V# V# V# VDI (Vmware) SSO X X V V X X X X SAML Authentication V 8 X V 11 V X 6 X 7 V 7 V SAML Broker (Generiek) V X V V X X X X Forms Based SSO X X V V X X X X SAML to Kerberos conversion X X V V X X X X Identity Provider V X V V X X X X Kerberos V V V V V V X X 2-Factor Authentication V X V V V V V V Remote Wipe V 6 X V 7 V X 4 V 2 X 2 X Mobile Device Management (MDM) X V V V X V X X Selective Wipe X V V V X V X X Secure Application Containers X X V V X V X X Per-App VPN Tunneling X X X V X V X X App delivery X V V V X V X X Native Apps X X V V X V X X Local/Public Apps delivery X X V V X V X X App delivery Windows 10 X V V V X V X X App/Device Monitoring X X V V X V X X Remote configuration X X V V X V X X Asset tracking X X V V X V X X Conditional Access Control X X V V X V X X Custom Secure Mail X X V V X V X X Mobile Management X V V V X V X X Secure Gateway X X X V X X X X Mobile Application Management X V X V X V X X IT Compliance Automation Engine X V V V X V X X App Wrapping X X V V X V X X Secure Browser X X V V X V X X Remote Diagnostics and Support X V V V X V X X Windows 10 Management X V V V X V X X Context V 10 X X 22 V V 21 X 0 X 0 X Device type per application X X X V X X X X Pincode/Passcode Compliance V V X V V X X X Patch Level X X X V X# X# X X Virusscanner X X X V X# X# X X Device type Detection V V V V V V X X Geofencing (location based blocking) X X X V X# X# X X Application White/Black Listing X X X V X X X X Citrix KEMBIT innovation & intelligence 11 15

12 Hierin zijn vier basis-functionaliteiten te onderscheiden: Portal Ontsluiting van resources Authenticatie Mobile Device Management Risk Based Authenticatie Welke typen applicaties kunnen worden ontsloten via de Portal.? Welke authenticatiemethodieken worden ondersteund om applicaties transparant te laten starten na Portal login? Welke opties beschikbaar zijn om Mobiele apparaten te ondersteunen? Windows 10 gedraagt zich ook als een mobiel apparaat en kan dus ook hiermee worden beheerd. Op basis van welke parameters kan het veiligheidsniveau van een apparaat worden bepaald? 5.1 Grafische weergave De vier basisfunctionaliteiten zijn voor het overzicht hieronder weergegeven per leverancier. Hierin zijn dus functionaliteiten van de bundels weergegeven. De kolom Microsoft bevat bijvoorbeeld de gezamenlijke scores van Office 365 en Intune bij elkaar. Figuur 10: Grafische weergaven van vergelijkingstabel KEMBIT innovation & intelligence 12 15

13 De Portal functionaliteit van New Day at Work is een aanvulling op de Office 365 functionaliteiten. Daarom is in de grafiek de score weergegeven van de cumulatieve functionaliteiten. Niet alle elementen zijn even belangrijk voor een organisatie. Indien een organisatie geen enkel mobiel apparaat gebruikt, dan is Mobile Device Management minder relevant. VMware Workspace One heeft bijvoorbeeld de beste score bij de authenticatiemogelijkheden, maar als binnen de organisatie alleen SAML wordt gebruikt, is het niet relevant of er andere authenticatiemogelijkheden beschikbaar zijn. KEMBIT innovation & intelligence 13 15

14 6 Conclusies Een Portal is: niet alleen een website voor de organisatie met applicatie-iconen maar een volledig nieuwe workspace; een workspace die samen met de EndPoint strategie een nieuw werkplekconcept vormt. Het werkplekconcept moet passen in de visie en strategie van het bedrijf: Applicatie strategie Cloud strategie BYOD/CYOD-beleid Security Beleid Bedrijfsdata toegang door derden Datadeling met derden De strategie, beleid en visie bepalen wat van belang is voor een Portal Keuze. Is bijvoorbeeld Bring Your Own of Choose Your Own Device een speerpunt? Dan is Risk Based Authentication van belang. Heeft u bijvoorbeeld geen mobiele apparaten, maar zijn alle werkplekken beheerd en Windows gebaseerd, dan is de Portal keuze volledig op smaak, kleur en eindgebruikers gemak te selecteren. Wilt u meer informatie? Heeft u hulp nodig om voor uw organisatie de juiste Portal-keuze te maken? KEMBIT helpt u daar graag bij! KEMBIT innovation & intelligence 14 15

15 KEMBIT B.V. Kasteel Wijnandsrade Opfergeltstraat BW Wijnandsrade High Tech Campus Eindhoven High Tech Campus AE Eindhoven +31 (0) contactus@kembit.nl kembit.nl