Management special BYOD hulpmiddelen Door: Bram Semeijn
BYOD hulpmiddelen IT-managers grijpen betrekkelijk makkelijk naar technische hulpmiddelen om BYOD-apparatuur onder controle te krijgen. Dat kan echter ten koste gaan van de gebruikerservaring. Wat kan software zoals mobile device management je organisatie bieden? En hoe zorg je ervoor dat je er niet te ver mee gaat? Wanneer een IT-manager mobiele apparaten in een BYOD (bring your own device) programma onder controle wil krijgen, heeft hij een ruime keus aan technologische oplossingen. Hij kan de mobiele apparatuur bijvoorbeeld voorzien van mobile device management. Bovendien kan hij toegangscontrole uitvoeren op het bedrijfsnetwerk. Toch is het verstandig om niet te zeer door te schieten in het nemen van maatregelen, want een te scherp beveiligingsbeleid kan de gebruiker in de weg zitten. Zo kunnen gebruikers het hinderlijk vinden wanneer ze niet met de eigen applicaties mogen werken. Ook zien ze het als een inbreuk op hun privacy wanneer de eigen telefoon na verlies plotseling leeggemaakt wordt. IT-afdelingen moeten daarom goed nadenken welke veiligheids- en beheersmaatregelen ze gaan nemen en welke rol ze techniek daarin laten spelen. Welke maatregelen moet je nemen? En hoe zorg je ervoor dat je er niet te ver in gaat? Bottom up Hoewel mobiel werken de business wellicht allerlei voordelen geeft, ligt het op zichzelf niet direct voor de hand om het mobiele werken te faciliteren met een BYOD-programma. Zelf de uitgifte van apparatuur regelen geeft de IT-afdeling immers meer grip op de apparaten. Toch kan het toestaan van privé apparatuur binnen de muren van het zakelijke netwerk aantrekkelijk zijn. Mensen vinden het op de eerste plaats gewoon eenvoudiger om met eigen apparatuur te werken. Ze kennen die het beste en hoeven het functioneren van het apparaat niet opnieuw te leren. Bovendien kan een bedrijf met BYOD een bepaalde besparing op het oog hebben. De levensduur van een mobiele telefoon is doorgaans relatief kort en de kosten kunnen oplopen wanneer ze zelf al die apparaten gaan aanschaffen. Ook kan een BYOD-programma onderdeel zijn van het nieuwe werken. Volgens product marketing manager Fred van Slooten van ICT-business partner Peak-IT komt dat laatste betrekkelijk veel voor. Bedrijven die het nieuwe werken in willen voeren willen daar vaak niet fors in investeren. Medewerkers de eigen privé-apparatuur mee laten nemen kan dan een uitkomst zijn, vertelt hij. Daarnaast hebben bedrijven vaak een productiviteitsvoordeel voor ogen. Medewerkers die ook s avonds of in hun vrije tijd kunnen werken zijn productiever en je kan dat bereiken door medewerkers in een bedrijf de mogelijkheid te geven om op privé apparatuur te werken. 2
In verreweg de meeste gevallen is BYOD echter niet een van bovenaf opgelegd beleid. Het is een fenomeen waar de IT-afdeling mee te maken heeft, zonder dat er duidelijke beleidskaders zijn. Zo ervaart ook ICT- consultant Rene Voortwist van Ictivity. Voortwist adviseert bedrijven bij het aanschaffen en implementeren van mobiele veiligheidsoplossingen en het opstellen van BYOD-beleid. Wanneer we door een organisatie worden benaderd, speelt negen van de tien keer het volgende scenario. Een raad van bestuur of een gemeenteraad, in ieder geval de top van het bedrijf, besluit dat ze met tablets willen werken, want dat werkt prettig tijdens het vergaderen. Ze leggen vervolgens een verzoek neer bij de IT-afdeling om dat in orde te maken. Die zorgen daarvoor, het is immers de managementtop. Binnen de kortste keren wil echter de rest van de organisatie ook met de eigen tablet kunnen werken. En dan wordt het voor IT ineens een moeilijk vraagstuk. Tien raadsleden van een tablet voorzien is immers nog wel te overzien, maar wanneer de hele organisatie met tablets gaat werken wordt het een stuk onoverzichtelijker en duurder. En dan komt BYOD in beeld, want dan kunnen ze het beheer en de kosten voor de apparatuur voor een deel door de gebruiker zelf laten regelen. De BYOD-problemen Dat zelf meenemen van apparatuur brengt echter ook risico s met zich mee. Op de eerste plaats zijn er de veilig heidsrisico s. Een smartphone of tablet kan iemand nu eenmaal makkelijker ergens laten liggen dan een desktop en ook het aantal mogelijke virusinfecties voor mobiele apparaten neemt iedere jaar toe. Zo n beetje alle grote antivirus leveranciers produceren per kwartaal en half jaar rapporten waarin ze vermelden dat er wereldwijd een snelle toename is in de beschikbare mobiele malware. Een extra probleem is ook dat de beveiliging van BYOD-apparaten voor een groot deel de verantwoordelijkheid is van de medewerkers zelf, terwijl een bedrijf wel op kan draaien voor de schade van een datalek. Volgens Martijn van Lom, general manager bij Kaspersky Labs, is dat een zorgelijke ontwikkeling. BYOD betekent vaak dat IT-afdelingen de verantwoordelijkheid voor het beheer en de beveiliging van het apparaat afschuiven. Ze vinden dat de gebruikers er zelf voor moeten zorgen dat er een passwoord is ingesteld en erop toezien dat ze met de laatste versies van applicates en besturingssystemen werken. Voor een Chief Security Officer is zoiets natuurlijk niet wenselijk. Ook het ondersteunen van allerlei verschillende toestellen is volgens Van Lom is een belangrijk probleem voor een IT-afdeling. Vroeger werkte iedereen op een Microsoft-desktop, maar tegenwoordig is dat niet meer zo. Smartphones draaien op ios en Android en de versies zijn bovendien per apparaat verschillend. Je hebt veel meer kennis nodig van al die systemen en applicaties en daar schiet het nog wel eens tekort. Bijkomend probleem is ook dat mensen werk gaan verrichten met eigen software, terwijl een bedrijf niet per definitie een licentie heeft voor die applicaties. Het bedrijf is dan wel aansprakelijk. Volgens Voortwist is BYOD voor IT-afdelingen vooral moeilijk omdat er vaak geen beleid is. BYOD is vooral complex omdat het aan een groot aantal beleidsterreinen raakt, zoals security, HR en informatiebeleid, zegt hij. En de ITafdeling krijgt daar dan vervolgens vragen over. Welke data mag ik op mijn ipad zetten? Mag ik ook buiten de muren van het kantoor verbinding maken met het bedrijfsnetwerk? Welke applicaties gaat de IT-afdeling ondersteunen? En welke niet? Dat zijn vragen waar een IT-afdeling niet direct antwoord op kan geven. Dichttimmeren. of eigen verantwoordelijkheid? Veel IT-afdelingen reageren op de BYOD-problemen door verregaande beveiligingsmaatregelen te nemen. Ze beginnen met het verbieden van applicaties of geven privé-apparaten maar zeer beperkt toegang. Ook schaft men allerlei mobile device management oplossingen aan, waarbij men zich alle rechten voorbehoudt om er acties mee uit te voeren op het privé-apparaat van de gebruiker. Volgens van Slooten werkt dat echter vaak averechts. Wanneer je zonder vooropgezet plan een MDM-oplossing aanschaft, kan in een later stadium blijken dat deze niet past bij de wensen van de organisatie. Bovendien 3
overtreden werknemers de regels gewoon wanneer ze te zeer in hun gebruik beperkt worden. Zo bleek uit onderzoek van Fortinet dat 51 procent van de werknemers van 21 tot 32 jaar beleidsregels rond BYOD breekt. Mensen verzinnen gewoon workarounds, zegt van Slooten. De veiligheidsrisico s worden alleen maar groter. Stel nu dat gebruikers niet mogen syncen met hun mail of geen alternatief hebben voor dropbox. Dan gaan ze data forwarden naar hun mail. Als IT-afdeling zal je de gebruiker toch ook een deel van de verantwoordelijkheid voor de beveiliging moeten geven. Dat begint in de eerste plaats bij het opstellen van een BYOD-beleid. Zelfs bedrijven van 2000 tot 3000 werknemers hebben vaak geen mobiel veiligheidsbeleid of BYOD beleid, zegt René Voortwist. Wanneer dat het geval is, is een gesprek aangaan met de HR-afdeling het eerste wat een IT-afdeling moet doen. Gezamenlijk moet je dan een aantal sleutelvragen beantwoorden. Wie heeft toegang tot welke gegevens? Hoe gaan we toestellen ondersteunen? Welke bedrijfsapplicaties stellen we beschikbaar en hoe doen we dat? De antwoorden op dit soort vragen vormen het BYOD-beleid. Dat beleidskader verwerk je vervolgens in een gebruikersovereenkomst die je mensen laat tekenen wanneer ze hun privé-toestel aanmelden bij de IT-afdeling. Het idee achter zo n gebruikersovereenkomst is in ieder geval dat de gebruiker kennis heeft genomen van de regels. Ook kan je zo voor elkaar krijgen dat mensen toestemmen in het installeren van een mobile device management oplossing op hun toestellen. Een gebruikersovereenkomst alleen is echter niet voldoende. Het is ook belangrijk dat mensen bewust worden van beveiligingsrisico s en ervoor zorgen dat ze verstandig met apparatuur omgaan, stelt van Slooten. BYOD betekent meer vrijheid en met meer vrijheid komt ook meer verantwoordelijkheid. Medewerkers moeten daarom actief worden geïnformeerd over de risico s rond BYOD en het beleid dat het bedrijf voert. Wat ook helpt is het bieden van alternatieven voor populaire applicaties. Een ICT-afdeling die bijvoorbeeld liever niet wil dat er met Dropbox gewerkt wordt, kan er beter voor zorgen dat er een corporate variant is die door hen beheerd wordt. Zo voorkom je dat mensen uiteindelijk achter je rug toch die applicaties gebruiken. 4
Het netwerk Goede afspraken en awareness alleen is niet voldoende. De IT-afdeling moet BYOD ook faciliteren door mede werkers in staat te stellen de eigen apparatuur te beveiligen. Bovendien moeten er ingrepen gedaan worden in het netwerk om ervoor te zorgen dat alle mobiele apparaten toegang kunnen krijgen. Volgens van Slooten zijn die netwerkingrepen van groot belang. Onze visie is dat je de infrastructuur niet moet inrichten op de apparaten die op het netwerk zitten, maar op de applicaties en de data waarmee gewerkt wordt, zegt hij. Van Slooten staat een gecentraliseerde netwerkinfrastructuur voor, waarbij mensen middels een virtuele desktop toegang krijgen tot applicaties en data in het netwerk. Het WiFi-netwerk zelf is open en iedereen erop kan in principe toegang krijgen tot het internet. Ook voor de technische ondersteuning is dat wenselijk. De IT-afdeling houdt zich bezig met het onderhoud van de virtuele omgeving, terwijl de medewerkers zelf de verantwoordelijkheid hebben voor hun eigen apparaat. Break-and-fix ondersteuning, zoals je dat vroeger veelal had, gaat verdwijnen ten behoeve van dit nieuwe model. Mobile Device Management BYOD-apparaten zijn idealiter ook voorzien van mobile device management software. Volgens van Lom zijn dergelijke oplossingen tegenwoordig erg belangrijk. Het aantal bedreigingen op het gebied van mobiele malware groeit en het risico op een virus neemt dus ook toe. Bovendien bieden mobiele apparaten minder beveiligings- en beheermogelijkheden dan Windows desktopcomputers. Beveiliging is standaard vaak een vier cijferige pincode die gemakkelijk te kraken is. Bovendien zijn de beheermogelijkheden op het ios platform minder uitgebreid dan die van de Windows wereld. Zaken als schermen overnemen door de beheerafdeling is niet mogelijk. Mobile device management software kan dergelijke problemen oplossen. Er zijn echter erg veel verschillende producten op de markt en welke oplossing het beste bij een bedrijf past hangt af van hoe de apparaten precies gebruikt worden. Een IT-manager kan daarbij onder andere letten op de volgende zaken: Besturingssystemen: Een mobile device management oplossing moet werken op alle besturingssystemen en anders in ieder geval op de besturingssystemen van toestellen waarmee het bedrijf werkt. Virusscanner: Een virusscanner waarmee in ieder geval mobiele malware opgespoord kan worden. Met name voor het Android-platform neemt de mobiele malware snel toe. Een ander aspect waar rekening gehouden dient te worden is of de antivirus databank centraal gemanaged dient te worden. Van Lom is daar in ieder geval voorstander van. Applicatie distributie: De mogelijkheden om een enterprise app store in te richten en van daaruit applicaties te distribueren over de organisatie. Encryptie: Er moeten encryptiemogelijkheden zitten in de oplossing, zodat data versleuteld kan worden waar nodig. Je kan daarbij ook denken aan het encrypten van e-mails. Remote lock- and wipe: De mogelijkheid om op afstand een apparaat af te sluiten en leeg te laten halen door een IT-afdeling. Dat kan nodig zijn bij verlies van een toestel. 5
Mobile device management staat enigszins op gespannen voet met de privacyrechten van mensen. De software staat immers op privé-apparatuur en je kan als IT-afdeling ook ingrijpen op die apparaten. Met name het op afstand leeghalen van een toestel ligt gevoelig, vertelt van Lom. Sommige mobile device management oplossingen bieden de mogelijkheid om een zakelijk en een privé-domein aan te maken op het apparaat. Je kan dan bijvoorbeeld enkel die zakelijke omgeving leeghalen, wanneer dat nodig zou zijn. Volgens van Lom is het gevoerde beleid en de afspraken die gemaakt zijn met de gebruiker belangrijk voor de privacybescherming. Hoe je met remote lock en wipe omgaat is onderdeel van het veiligdheidsbeleid en verschilt per bedrijf. Je kan als bedrijf kiezen voor een oplossing die selective wipe ondersteunt, maar je kan ook afspraken maken met gebruikers waarin je je dat recht voorbehoudt. Hoe snel je tot wipen overgaat hangt ook sterk af van de data waarmee gewerkt wordt. De ene afdeling werkt nu eenmaal met bedrijfskritischer informatie dan de andere. Van Lom geeft aan dat de huidige generatie beveiligingsoplossingen veel meer ingaat op de rol van de gebruiker. Klassieke antivirusproducten die volledig ingericht en beheerd worden door IT zijn aan het verdwijnen. Tegen woordig heeft de gebruiker ook een rol bij het adequaat gebruiken van een beveiligingsoplossing. Gebruikers moeten onder andere in staat zijn om zelf gegevens te kunnen encrypten met behulp van het mobile device management programma. Bovendien is er veel meer mogelijk met de huidige generatie producten. Je wil een beveiligingsproduct waarmee je meerdere zaken kan regelen, zegt van Lom. System management. Applicatie controle. Encryptie. Het hoort er allemaal bij. Je wilt niet zes programma s, dan wordt het beheer alleen maar lastiger. 6