Actuele ontwikkelingen in IT en IT-audit

Transcriptie

1 Draadloze internettoegang Auteur: Twan van Rhee Actuele ontwikkelingen in IT en IT-audit Samenvatting Draadloze internet technieken hebben de laatste jaren veel ontwikkelingen doorgemaakt. Dagelijkse worden nieuwe mobiele internet diensten op de markt gebracht en draadloze netwerken zijn tegenwoordig dermate populair dat zij zowel thuis als op kantoor steeds meer toegepast gaan worden. Mede dankzij de technologische ontwikkelingen zijn de technieken steeds meer volwassen geworden en zijn de mogelijkheden steeds meer uitgebreid. Naast de voordelen als gemak en flexibiliteit, zijn er ook nadelen verbonden aan het gebruik van draadloze toegang tot internet. Er gelden andere risico s dan voor bekabelde netwerken, waardoor ook andere soorten maatregelen getroffen dienen te worden. Het risico van afluisteren van netwerkverkeer of het misbruiken van draadloze netwerken zijn enkele veel beschreven en onderzochte kwetsbaarheden. Het management heeft gedurende het project rondom het ontwerpen en implementeren van een mobiele of draadloze internet dienst, diverse aanknopingspunten om nader onderzoek uit te voeren naar de beheersing van de risico s. De IT auditor kan het management hierbij ondersteunen waardoor afgewogen en objectieve managementbeslissingen mogelijk zijn. In dit artikel worden enkele voorbeelden van mogelijke opdrachten voor de IT auditor aangestipt. Draadloze internettoegang toegelicht Internet is tegenwoordig niet meer weg te denken uit onze samenleving en onze dagelijkse bezigheden. Was de toegang tot internet voorheen nog geconcentreerd vanuit één of enkele fysiek bepaalde locatie(s), tegenwoordig is de toegang tot internet overal om ons heen aanwezig. Als gebruikers eisen en wensen we ook steeds meer deze plaatsonafhankelijke toegang tot internet. Denk bijvoorbeeld maar aan mobiele werkplekken of thuiswerklocaties. Locatie onafhankelijke toegang tot internet wordt mogelijk gemaakt door op hoofdlijnen de volgende twee technieken: - Mobiele datacommunicatie - Draadloze datacommunicatie Mobiele technieken Mobiele telefonie is in Nederland vrijwel overal toegankelijk volgens de vertrouwde GSMstandaard. GSM is wereldwijd de meest gebruikte standaard voor het gebruik van mobiele telefonie. Het is een reeds oudere digitale techniek die wordt gekenmerkt als een smalband verbinding (i.p.v. breedband). Hierdoor is de maximale doorvoersnelheid voor data beperkt tot 9600 bits per seconde. Dankzij latere uitbreidingen op de GSM-standaard zoals GPRS, is een datasnelheid mogelijk tot 52 Kb per seconde. Vanaf het moment dat GPRS beschikbaar kwam voor zakelijke gebruikers, werd mobiel internet pas echt mogelijk en werden de zakelijke toepassingen steeds interessanter. Door middel van e- mail push technologie werd het mogelijk om te ontvangen op mobiele telefoons (op zogenaamde smartphones zoals een Blackberry of iphone). Met de komst van UMTS (Universal Mobile Telecommunications System) is er een techniek voorhanden waarmee volwaardig mobiel internet mogelijk is. De snelheden (384 Kb - 2 Mb per seconde) zijn groot genoeg om te kunnen spreken van een breedbandverbinding. Hiermee is de weg vrij om internet toepassingen toegankelijk te maken voor NOREA,

2 mobiele gebruikers. Internet-bankieren middels een mobiele telefoon is al geen uitzondering meer, en het kijken naar live-televisie uitzendingen via internet is sinds enige tijd ook mogelijk. Voor zakelijke toepassingen is echter veelal een computer of laptop noodzakelijk. Het gebruik van een UMTS-insteekkaart in een laptop maakt het voor mobiele gebruikers mogelijk om op elke gewenst moment en elke willekeurige locatie verbinding te leggen met het bedrijfsnetwerk. Medewerkers kunnen hierdoor toegang krijgen tot in principe alle bedrijfsapplicaties - en opgeslagen data. Draadloze technieken Draadloze datacommunicatie is in vergelijking tot de mobiele variant, direct afgeleid van de meest voorkomende netwerktechnologie die bekend staat onder de naam ethernet. Ethernet is het onderliggende netwerk waarmee computers met elkaar communiceren als ze in een Local Area Network (LAN) met elkaar verbonden zijn met behulp van netwerkkaarten en netwerkkabels. Echter in het geval van een draadloos netwerk (Wireless-LAN ofwel W-LAN) zijn de netwerkkabels overbodig, aangezien de communicatie verloopt via radiogolven. Hiervoor wordt op internationaal niveau gebruik gemaakt van de IEEE standaard. De afgelopen jaren zijn diverse varianten van deze standaard vastgesteld met telkens een hogere maximale bandbreedte (b/a/g-variant voor respectievelijk 11/54/54 Mbit per seconde). Een draadloos netwerk wordt over het algemeen gebruikt als verlengstuk van het intern bekabeld bedrijfsnetwerk. Hierbij kan het zowel toegepast worden als aanvulling op het interne netwerk vanuit het oogpunt van gemak voor de medewerkers / flexwerkers, of als extra voorziening voor bezoekers om verbinding te kunnen maken met het internet. Deze laatste toepassing is vergelijkbaar met openbare locaties waar bezoekers of reizigers middels hun laptop verbinding kunnen maken met het draadloze netwerk en van daaruit via het internet kunnen communiceren met de buitenwereld. Het gebruik van draadloze netwerken beperkt zich echter niet alleen tot openbare locaties of kantooromgevingen. Dankzij de lage prijzen van de benodigde hardware en de eenvoudige installatie, worden deze netwerken ook steeds vaker in privé situaties gebruikt. Thuis de zakelijke s lezen vanaf je luie stoel of zelfs vanuit de tuin is hiermee mogelijk geworden. Aan het gebruik van mobiele en draadloze internettoegang zijn voordelen en nadelen verbonden. De voordelen zitten met name in de hoek van gemak en flexibiliteit. Voor de eindgebruikers is de flexibiliteit van groot belang aangezien het voor hem of haar niet meer uitmaakt waar hij precies werkt. Dankzij een Blackberry of iphone is de altijd bij de hand en middels een draadloos netwerk is het versturen of ophalen van bestanden ook tijdens een dienstreis geen enkel probleem. Voor een organisatie kan het gebruik van een draadloos netwerk economische voordelen geven, omdat bespaard kan worden op de aanschaf en vooral installatie van relatief dure netwerkbekabeling. En het het beschikbaar stellen van draadloos internet voor bezoekers is natuurlijk een chique visitekaartje dat mooi meegenomen is. Naast deze voordelen kennen deze technologieën echter ook enkele nadelen. Het gebruik van mobiele of draadloze internettoegang brengt namelijk risico s met zich mee voor de vertrouwelijkheid, integriteit en beschikbaarheid van de bedrijfsgegevens en de diensten of verbindingen. Mobiele internettoegang is in principe overal om ons heen; zodra we er op inhaken doen we mee. s met wellicht vertrouwelijke informatie worden automatisch doorgezet naar de mobiele telefoon. De organisatie als geheel en de eindgebruiker als betrokken individu dient zich hier dus terdege van bewust te zijn. Voor draadloze technieken geldt dat een draadloos netwerk niet stopt bij de muren of deuren NOREA,

3 van een bedrijfsgebouw. Een dergelijk netwerk kan soms op vrij grote afstand nog bereikbaar zijn voor ongenodigden of onbevoegden. Het risico hiervan kan enerzijds zijn dat het dataverkeer wordt afgeluisterd, en anderzijds dat het netwerk wordt misbruikt voor ongeoorloofde/criminele praktijken. Voor zowel mobiele als draadloze internettoegang geldt dan ook dat adequate beveiligingsmaatregelen noodzakelijk zijn. Tot slot kan nog als nadeel worden genoemd dat mobiele en draadloze internettoegang niet altijd beschikbaar is. Helaas is er nog geen 100% landelijke dekking voor wat betreft GSM, GPRS of UMTS, en ook draadloze netwerken zijn niet altijd even betrouwbaar qua performance als een bekabeld netwerk. Aandachtspunten voor het management Het management dient het besluit om al dan niet gebruik te maken van mobiel of draadloos internet te kunnen nemen op basis van een gedegen risicoanalyse en een bijbehorende business case. De business case dient allereerst duidelijk te maken wat de toepassing van deze technieken oplevert voor de organisatie en haar medewerkers. Deze opbrengsten dienen zo concreet mogelijk opgesomd en vooral onderbouwd te worden. De hiermee gepaard gaande investeringen dienen op haar beurt zo volledig en inzichtelijk als mogelijk weergegeven te worden. Voorts dient de business case aandacht te schenken aan de operationele en organisatorische consequenties en risico s die gelopen worden. Ook de noodzakelijke randvoorwaarden voor een succesvolle invoering van mobiele of draadloze internet technieken dienen duidelijk en zo volledig mogelijk voor het voetlicht van het management gebracht te worden. Ten aanzien van de risico s die gelopen worden, dient een risicoanalyse een zoveel mogelijk volledig beeld te geven van de financiële en operationele risico s die gelopen worden en de (on)mogelijkheden om deze risico s af te dekken. Op basis hiervan kan de organisatie beslissen om bepaalde (additionele) maatregelen te implementeren, (rest)risico s te accepteren of besluiten om de invoering niet door te laten gaan. Indien besloten wordt om gebruik te gaan maken van mobiele of draadloze diensten, dienen hiervoor interne beleidsuitgangspunten en gebruikersrichtlijnen opgesteld te worden. Hierbij dient aandacht geschonken te worden aan de eisen die vanuit de organisatie gesteld worden aan de te gebruiken diensten en op welke wijze hieraan tegemoet kan worden gekomen door de technologische mogelijkheden. Deze technologische mogelijkheden dienen inpasbaar te zijn in het reeds bestaande ITlandschap en de (beveiligings)kaders waarbinnen nieuwe technologieën ingevoerd kunnen worden. Denk bijvoorbeeld aan het al dan niet toestaan van encryptie mogelijkheden en eventuele beperkingen in het gebruik van bepaalde websites. Het toepassen van en aansluiten op reeds bestaande best practices en standaarden voor het beveiligen van draadloze diensten dient zoveel mogelijk als uitgangspunt genomen te worden. Tijdens de uitrol en in gebruik name van mobiele en draadloze internettoegang, dienen de eindgebruikers voldoende training te krijgen. Gebruikers van apparatuur of diensten dienen gewezen te worden op de mogelijke risico s en gevaren die deze technologieën met zich mee brengen. Ook gedragsrichtlijnen voor de eindgebruikers dienen opgesteld en gecommuniceerd te worden. Hiermee kan duidelijk gemaakt worden wat voor de organisatie wel of niet acceptabel is rondom het gebruik (bijvoorbeeld het al dan niet toestaan van privégebruik of gewenste gedragingen). NOREA,

4 Aandachtspunten voor de IT-auditor Rondom de besluitvorming voor het al dan niet in gebruik nemen van mobiele of draadloze internet technieken en diensten, kan een IT auditor waardevolle bijdrage leveren. Een IT auditor kan een objectieve mening geven over de haalbaarheid van een business case en de betrouwbaarheid van de uitgevoerde risicoanalyse. Zodoende kan de IT auditor bijdragen aan een objectieve besluitvorming. De invoering en implementatie van mobiele of draadloze internet diensten en technieken zal gezien de omvang en complexiteit veelal projectmatig gemanaged worden. De IT auditor is in staat om de projectbeheersing aan een nader onderzoek te onderwerpen waardoor de kans van slagen van het project vergroot kan worden en de projectrisico s adequaat en tijdig gemanaged kunnen worden. De IT auditor kan hierbij een actieve Quality Assurance rol vervullen in het project of meer als buitenstaander op de mijlpaalmomenten van het project een review uitvoeren op zowel de inhoudelijke als de procesmatige aspecten van het project. Zodra het project is afgerond en de mobiele of draadloze internet technieken en diensten zijn ingevoerd zal vanuit het management de vraag ontstaan naar de uiteindelijke beheersing ervan. Indien hierbij de kwaliteitsaspecten exclusiviteit, integriteit, beschikbaarheid en controleerbaarheid van belang zijn, dan heeft de kennis, inzet en kunde van de IT auditor vanzelfsprekend een grote toegevoegde waarde. Ook de betrouwbaarheid van de getroffen technische beveiligingsmaatregelen kunnen een waardevol object van onderzoek zijn voor de IT auditor. Achtergrondinformatie Wireless LAN-netwerken: een introductie, M. Kroos, R. Kramer, de EDP-Auditor nr. 4, 2004 Wireless LAN-netwerken: risico s en maatregelen, M. Kroos, R. Kramer, de EDP-Auditor nr. 1, 2007 Mobiel communicatie op de werkvloer - locatie-onafhankelijk werken, C. Hendriks, J. Arno Oosterhaven, Academic Service, 2005 The business case for Enterprise-Class Wireless LANs, D. Castaneda, O. Mac Alasdair, C. Vinckier, Cisco Press, G Wireless Network, C. Smith, D. Collins, Osborne - McGraw-Hill, 2007 Wireless Information Networks - Architecture, Resource Management, and Mobile Data, J. Holtzman, Kluwer Academic Publishers, 1996 Over de auteur: Ing. T.G.A. (Twan) van Rhee RE Twan van Rhee (1972) is sinds 2008 werkzaam als Audit Manager IT binnen de Internal Audit Department (IAD) van Océ-Technologies B.V. Hij is verantwoordelijk voor de planning en uitvoering van alle IT audits wereldwijd voor Océ. Het onder de aandacht brengen van strategische IT risico s bij het verantwoordelijke management is hierbij zijn drijfveer. Zijn ervaring heeft hij vanaf 1999 opgedaan als IT auditor bij EDP AUDIT POOL (nu onderdeel van de Rijksauditdienst). Hij heeft daarbij in diverse rollen een breed scala van opdrachten uitgevoerd. Twan heeft tevens enkele bijdragen geleverd aan publicaties op het gebied van security en IT auditing. NOREA,

5 NOREA,