Cybersecurity scheiden van IT-beheer: is dat verstandig?

Hedendaags worstelen veel bedrijven met een belangrijke vraag op het gebied van informatiebeveiliging. Stel, je hebt als bedrijf al een IT-beheerder in dienst of gecontracteerd. Deze zorgt ervoor dat je computers, netwerken en servers soepel draaien. Maar nu groeit het besef dat er meer aandacht nodig is voor cybersecurity. De vraag die dan rijst: laat je je bestaande IT-beheerder deze extra taken oppakken, of is het verstandiger om een aparte leverancier in te schakelen die gespecialiseerd is in cybersecurity om het risico af te dekken? Een gesprek met Stef Liethoff van SBL Cyber Monitoring.

Taken van IT-beheerders versus cybersecurity leveranciers

IT-beheerders zijn verantwoordelijk voor het dagelijks beheer en onderhoud van de IT-infrastructuur, waarbij beveiliging een integraal onderdeel vormt van al hun taken. Bij het installeren en configureren van hardware en software zorgen ze bijvoorbeeld voor geautoriseerde toegang, implementeren ze firewalls, en segmenteren ze netwerken. Een belangrijke taak is het toewijzen en beheren van gebruikersrechten om zo risico’s te beperken. Daarnaast zorgen ze ervoor dat systemen up-to-date blijven met beveiligingsupdates.

Cybersecurityleveranciers bouwen voort op deze basis en richten zich op meer geavanceerde en gespecialiseerde beveiligingstaken. Hun werkzaamheden omvatten vaak het volgende:

• Consultancy over verdere beveiligingsverbeteringen
• Geautomatiseerde analyse van inkomende alerts
• Continue monitoring op geavanceerde malware-infecties
• Incident-response-coördinatie bij complexe cyberaanvallen
• Diepgaande training en bewustwording rond cyberdreigingen

De groeiende complexiteit van IT-omgevingen

Er zijn drie verschillende technologievormen te identificeren die bedrijven vaak gebruiken:

1. Traditionele IT (computers, laptops, servers)
2. Productieautomatisering (OT – Operational Technology)
3. IoT (slimme apparaten, mobiele telefoons)

Deze drie verschillende technologievormen onderscheiden we omdat ze alle drie een andere functie hebben. De diversiteit aan technologieën brengt unieke uitdagingen met zich mee. Traditionele IT-systemen vereisen andere beveiligingsmaatregelen dan OT-systemen of IoT-apparaten.

Vooral in de maakindustrie, zien we een groei van het aantal IoT apparaten – zoals sensoren en camera’s – en ook moderniseert langzaam de OT-omgeving. Dat geeft cybercriminelen een groter aanvalsoppervlak, en dus een grotere kans om het bedrijf te hacken. Er zijn immers meer systemen die vanaf het internet benaderd kunnen worden, waardoor het risico toeneemt.

Wanneer is scheiding verstandig?

Als jouw bedrijf een groot aanvalsoppervlak heeft, dan is het zeker een goed idee om een securitypartij in de arm te nemen die alle systemen monitort. Zij houden dan in de gaten of er rare netwerkstromen zijn, en of iemand dus probeert binnen te komen.

Is dat niet het geval? Dan hangt de noodzaak voor een aparte cybersecuritycontrole af van de specifieke risico’s en de sector waarin een bedrijf opereert. Als jouw bedrijf veel wordt aangevallen vanwege de sector – bijvoorbeeld voor bedrijfsgeheimen of om de boel plat te leggen – dan heb je specialistische kennis nodig.

Daarbij is het goed om een specifieke securitypartij te hebben die controleert of de IT-beheerder alles goed heeft opgezet. Dit ‘vier-ogen-principe’ kan beveiligingslekken aan het licht brengen die anders onopgemerkt zouden blijven.

Bovendien kan een gespecialiseerde cybersecuritypartij vaak sneller inspelen op nieuwe bedreigingen en trends in het cybercriminaliteitslandschap. Ze hebben vaak toegang tot uitgebreide threat intelligence netwerken en kunnen deze kennis direct toepassen op de specifieke situatie van een bedrijf.

Eén leverancier die het overzicht bewaakt over een complexe IT-omgeving

Naarmate IT-omgevingen complexer worden, kan het logisch zijn om externe partijen in te schakelen. Des te logischer wordt het om één trusted advisor in te brengen. Dat je zegt: hou jij het overzicht over al die partijen om te zien of ze zich goed en veilig verbinden en binnen mijn organisatie het werk doen wat ze moeten doen.

Er is een groot risico verbonden aan de versnippering van beveiliging. Hoe smaller en specifieker het stukje is dat wordt uitbesteed, hoe lastiger het wordt om te zorgen dat alles eromheen wel goed geregeld wordt. Bijvoorbeeld:

1. Een maakbedrijf besteedt de beveiliging van hun mobiele apparaten uit aan een externe partij. Deze implementeert strenge toegangscontroles op alle bedrijfstelefoons. Tijdens een belangrijke handelsbeurs in het buitenland kunnen de sales medewerkers echter niet bij de presentaties op hun telefoons komen, omdat de beveiligingsinstellingen toegang blokkeren vanuit het buitenland. Het bedrijf mist hierdoor potentiële deals.
2. Een externe cybersecurity firma installeert een geavanceerde firewall om het bedrijfsnetwerk te beschermen tegen aanvallen van buitenaf. De firewall blokkeert echter ook het verkeer dat nodig is voor de remote monitoring en onderhoud van een productiemachine. Als gevolg hiervan kunnen technici de machine niet op afstand bedienen of problemen diagnosticeren, wat leidt tot ongeplande stilstand en productieverlies.

Alles komt terug bij: wat zijn nou écht je risico’s?

De kernvraag blijft: wat zijn de daadwerkelijke risico’s voor jouw bedrijf? Het verkleinen of vereenvoudigen van je IT-omgeving kan op zichzelf al risico’s verminderen. Bij een complexe IT-omgeving of in sectoren die vaak doelwit zijn van cyberaanvallen, kan externe expertise waardevol zijn.

De beslissing om cybersecuritycontrole te scheiden van IT-beheer moet gebaseerd zijn op een grondige analyse van de eigen capaciteiten, specifieke risico’s en beschikbare middelen. Een hybride model, waarbij interne IT-teams samenwerken met externe experts, kan voor sommige bedrijven ideaal zijn.