door Paul van Erp 5 jaar geleden

Een tablet of smartphone is ideaal voor zakelijk gebruik. Je hebt altijd je agenda en email op zak. Bovendien kun je er eenvoudig documenten op raadplegen of bewerken. Bij de overheid zijn de mobiele devices dan ook in opmars. Steeds meer ambtenaren hebben een laptop, tablet of smartphone waarmee ze overal en altijd aan de slag kunnen.

Papierloos vergaderen
Met je mobiele device kun je eenvoudig papierloos vergaderen. Een nieuwe manier van vergaderen waar ook gemeenten graag op overstappen omdat het een veilig en milieuvriendelijk alternatief is voor de papieren variant. Met een iPad of smartphone in de hand kost vergaderen geen bergen papier en inkt meer. Je hoeft geen tijd meer te besteden aan het uitprinten, kopiëren en opbergen (of vernietigen) van de stukken. Ook kunnen er geen vertrouwelijke stukken blijven rondslingeren bij de koffiemachine of in de vergaderkamer.

Niet alleen maar handig
Hoewel het nieuwe werken ook bij de overheid allerlei voordelen heeft, brengt het gebruik van mobiele devices ook de nodige IT-security risico’s met zich mee. Veel gemeenten worstelen hiermee. Een belangrijk aspect daarin is de manier waarop smartphones en andere devices aan hun medewerkers verstrekt worden. Er zijn verschillende scenario’s mogelijk die elk hun eigen voor- en nadelen hebben.

Zakelijke gegevens op een privétoestel
Bij Bring Your Own Device (BYOD) gebruiken ambtenaren hun privé toestel ook zakelijk. Het voordeel hiervan is dat de gemeente minder kosten heeft. Het nadeel is dat het toestel eigendom blijft van de ambtenaar terwijl er wel bedrijfskritische gegevens op staan. Dat kan leiden tot problemen. Als organisatie kun je weinig eisen stellen aan de manier waarop werknemers hun privébezittingen beveiligen. De wet meldplicht datalekken stelt strenge eisen aan organisaties als het gaat om het beveiligen van vertrouwelijke persoonsgegevens, maar slechts weinig mensen zijn zich voldoende bewust van de risico’s op datalekken door verlies, diefstal of cybercrime van hun smartphone. Een andere belangrijke vraag is wat er gebeurt met het eigen device als iemand uit dienst gaat of ontslagen wordt? Mag het toestel dan zomaar worden gewist?

Dan toch maar een toestel van de zaak
Om dit soort risico’s te omzeilen, kiezen veel organisaties voor het concept: Choose Your Own Device (CYOD). Daarbij kiest een medewerker zijn eigen device uit binnen de kaders die de organisatie bepaalt. Hoewel het toestel zowel zakelijk als privé gebruikt kan worden, blijft het eigendom van de werkgever. Dat betekent dat hij het toestel kan beveiligen volgens eigen beleid. Bovendien kan de organisatie het toestel gewoon wissen als een medewerker ontslagen wordt, of uit dienst gaat. De kans op datalekken is hiermee niet verdwenen, maar wel minder groot geworden.

Mobile Device Management
Of het nu gaat om BYOD of CYOD, het opslaan van gevoelige informatie op de smartphones en tablets van werknemers brengt altijd risico’s met zich mee. Deze kunnen worden ingeperkt door een zogenaamde Mobile Device Management (MDM) oplossing.

Bedrijfspolicy Veilig Mobiel Internetten
Met MDM kan een IT-afdeling op afstand de mobiele apparaten van medewerkers beveiligen, monitoren en beheren. Dit kan door op verschillende niveaus (bijvoorbeeld per team, locatie, medewerker, functiegroep) regels in te stellen. Mag een gebruiker zelf applicaties installeren op zijn mobiel? Mag hij of zij verbinding maken met een onbeveiligd WIFI netwerk? Met een MDM kun je dit soort zaken centraal regelen. En dat niet alleen. Het is ook mogelijk apparaten op afstand te vergrendelen of te wissen.

Container oplossing
Het implementeren van een MDM is een belangrijke eerste stap om de zakelijke mobiele apparaten te beveiligen. Het blijft echter verre van ideaal om privé en zakelijke gegevens op één device te hebben. Een manier om bedrijfsgegevens goed af te schermen, is ze te plaatsen in een container oplossing. Dat is een beveiligde omgeving op je mobiele device die slechts met een extra wachtwoord kan worden benaderd. De beveiligde omgeving staat helemaal op zichzelf. Er is geen uitwisseling mogelijk met de omgeving erbuiten. Gegevens uit je zakelijke omgeving kunnen daardoor niet meer terechtkomen in je persoonlijke mailbox, Dropbox of andere toepassingen die je privé gebruikt. Een bijkomend voordeel van zo’n container oplossing is dat de bedrijfsgegevens op afstand van het apparaat gewist kunnen worden zonder dat privégegevens verloren gaan. Handig als iemand uit dienst gaat!

Ons advies
De inrichting van een Mobile Device Management systeem kan het begin zijn van de security oplossing voor veilig, mobiel werken. Van daaruit zou je kunnen kijken naar het inrichten van containers voor extra beveiliging. IT-security is een complex samenspel van vele factoren. Als je wilt starten met het inrichten van een IT-securitybeleid,  ga dan niet meteen voor de totaaloplossing. Kies liever voor een stapsgewijze aanpak.

Dit is een tweede artikel uit een drieluik over IT-security en de overheid. Bekijk het eerste artikel: Veilig mailverkeer moet cybercrime tegenhouden