Beveiliging van bedrijfssoftware

Aanmelden: de voordeur

Wie kan aanmelden als uw medewerker, heeft alles wat die medewerker heeft. Daarom begint beveiliging bij de aanmelding. Een tweede factor naast het wachtwoord, zoals een code op de telefoon, houdt de meeste aanvallen met gestolen wachtwoorden tegen. Centrale aanmelding via SSO betekent dat medewerkers één account hebben voor meerdere toepassingen en dat u dat account op één plaats kunt afsluiten bij vertrek. Vermijd gedeelde accounts: als vijf mensen als magazijn aanmelden, weet u nooit wie wat deed. Het vraagt een kleine extra handeling per dag, en dat is de prijs die veel bedrijven ten onrechte niet willen betalen.

Rechten: niet iedereen hoeft alles te zien

Het principe is eenvoudig: iedereen krijgt de toegang die nodig is voor zijn werk, en niet meer. In de praktijk groeien rechten aan. Iemand verving ooit een collega en hield de toegang, een stagiair kreeg voor het gemak beheerdersrechten. Dat vergroot de schade bij een gestolen account en bij gewone vergissingen. Goede software werkt met rollen die u per functie instelt, en laat u ook beperken wat iemand mag exporteren of verwijderen. Loop de lijst van gebruikers en hun rollen op vaste momenten na. Het is saai werk van een halfuur dat meer oplevert dan menig duur beveiligingsproduct.

Onder de motorkap: updates, versleuteling en testen

Software bestaat uit lagen: besturingssysteem, databank, bouwstenen van derden en de eigen code. In elke laag worden geregeld kwetsbaarheden ontdekt, en wie niet bijwerkt, laat bekende gaten openstaan. Vraag wie de updates uitvoert en hoe snel. Gegevens horen versleuteld te zijn tijdens het versturen en bij opslag, en wachtwoorden mogen nooit leesbaar bewaard worden. Bij maatwerk is het de taak van de bouwer om invoer te controleren en bekende aanvalstechnieken af te dekken, en om dat te laten nakijken. Een onafhankelijke beveiligingstest voor toepassingen die van buitenaf bereikbaar zijn, is een redelijke vraag.

Zien wat er gebeurt en weten wat te doen

Geen enkele beveiliging is sluitend. Daarom telt ook hoe snel u iets opmerkt en hoe u reageert. Een logboek dat aanmeldingen, wijzigingen en exports registreert, maakt het mogelijk achteraf te reconstrueren wat er gebeurde, en is ook nuttig bij gewone discussies over wie een prijs aanpaste. Meldingen bij ongewoon gedrag, zoals veel mislukte aanmeldingen of een export midden in de nacht, geven u een voorsprong. Spreek vooraf af wie beslist om een systeem af te sluiten, wie de leverancier belt en wie klanten inlicht. Combineer dat met back-ups die buiten het bereik van een aanvaller staan.