Onlangs heb ik een interview gehouden met Erik van Veen van Symantec. Hij is verantwoordelijk voor de technische tak van Symantec in Nederland en heeft mij bijgepraat over de ontwikkelingen binnen het bedrijf. Het is inmiddels alweer twee jaar geleden dat ik op bezoek was bij Symantec in San Francisco, daar werd destijds een kijkje in de keuken gegund en getoond hoe het bedrijf tegen het beveiligingslandschap aankeek en waar het volgens Symantec naartoe zou bewegen. Ik was dan ook erg benieuwd hoe het staat met de productontwikkelingen waar twee jaar geleden over werd uitgeweid maar we sindsdien akelig weinig over hebben gehoord.
30 tot 40 procent minder managers
Symantec heeft de afgelopen twee jaar veel veranderingen ondergaan. De voormalige CEO, Steve Bennett, heeft het complete bedrijf gereorganiseerd. Hij heeft ongeveer 10 procent van de arbeidsplaatsen (1700) geschrapt. Het mes is vooral gezet in het aantal managers dat het bedrijf kende, in totaal zijn er nu 30 tot 40 procent minder managers werkzaam bij Symantec. De organisatie is echter wel veel efficiënter geworden. Een van de onderdelen waar Symantec niet in heeft gesneden is ontwikkeling, dat blijft uiteindelijk de belangrijkste tak van het bedrijf. De analisten zijn erg tevreden met de reorganisatie, want hoewel de omzet is gedaald, is de winst juist flink gestegen. De marges zijn er stukken op vooruitgegaan, onder andere omdat er minder salaris moet worden opgehoest. Het doel van Symantec is een marge van 30 procent en deze is nu bijna behaald.
Nu wordt er gezocht naar een nieuwe CEO, maar volgens Van Veen zal deze de strategie van het bedrijf niet radicaal gaan wijzigen. Er liggen een tiental proposities waar het bedrijf druk mee bezig is en die liggen redelijk vast. Het bedrijf heeft een duidelijk strategie waar het naartoe wil en deze is grotendeels ontwikkeld op basis van de wensen van de klanten van Symantec. Er is dan ook geen reden om hiervan af te wijken.
Op de vraag wat voor Symantec belangrijker is -de consument of de zakelijke klant- koos Van Veen voor beiden. Het bedrijf ontwikkelt voor beide groepen producten en is ook in beide opzichten erg succesvol. Als gekeken wordt naar de omzetverdeling, dan ligt deze ook vrijwel gelijk. De verschillen zijn vrij klein waardoor er ook op financieel niveau geen reden is om een bepaalde groep belangrijker te vinden.
Symantec Critical System Protection goedkoper alternatief voor verlengen ondersteuning Windows XP
Uiteraard zijn we ook dieper ingegaan op de producten van Symantec en welke op dit moment echt waardevol en toepasbaar zijn. Een daarvan is Symantec Critical System Protection, met dit pakket van ongeveer 35 euro per pc kan een systeem compleet worden vergrendeld tot een beperkt aantal taken en processen. Dit pakket is dan ook een goed alternatief voor overheden en bedrijven die nog met een aantal Windows XP-machines zitten die niet op zeer korte termijn kunnen worden gemigreerd. Volgens Van Veen kost het ongeveer 1,5 dag om een profiel te bouwen voor een client binnen een bedrijfsnetwerk met Critical System Protection. Dit profiel kan vervolgens worden uitgerold naar alle clients en hierdoor kunnen deze alleen nog bepaalde processen uitvoeren en bepaalde bestanden en databases die van te voren zijn goedgekeurd benaderen. Alle andere processen en acties worden door de Symantec-software geblokkeerd. Hierdoor kan een Windows XP-client worden omgebouwd tot een soort van domme client die alleen geschikt is om gedefinieerde taken uit te voeren. Aangezien het verlengen van de ondersteuning van Windows XP normaal gesproken 200 euro per pc kost en dit pakket ongeveer 35 euro per pc, is dat een fikse besparing.
Symantec zet flink in op platformonafhankelijke mobiele beveiliging
Bring your own device (BYOD) is helemaal hot bij veel bedrijven, maar het zorgt ook voor de nodige risico’s. Bedrijfsgegevens kunnen zeer gemakkelijk uitlekken of via diensten worden gedeeld waar menig werkgever niet blij van wordt. Gevoelige zakelijke gegevens op Dropbox of iCloud opslaan is voor veel partijen niet wenselijk.
Symantec heeft daarom een beveiligingsproduct ontwikkeld voor mobiele apparaten. Hiermee is het mogelijk om de eigen zakelijke apps in een beveiligde versleutelde container te plaatsen, zodat alle gegevens binnen een app niet langer zijn uit te lezen door andere apps op een toestel. Ook stelt Symantec een App Store beschikbaar van waaruit een hele lading beveiligde en versleutelde apps beschikbaar worden gesteld die de normale apps kunnen vervangen. Zo is er een eigen beveiligde contactlijst en mailclient. Maar ook zijn er samenwerkingen met bestaande apps die binnen een beveiligde container zijn gehangen zoals Polaris Office. Als een werknemer gebruikmaakt van de beveiligde apps van Symantec is er veel meer controle over de gevoelige bedrijfsgegevens. Daarnaast heeft Symantec in veel apps de mogelijkheid geschrapt om gegevens te delen via bijvoorbeeld Dropbox, alsook de mogelijkheid om data te kopiëren en te plakken naar openbare diensten.
De aanpak zorgt ervoor dat de persoonlijke en zakelijke omgeving dwars door elkaar lopen, maar op een manier dat de bedrijfsgegevens toch veilig zijn. Symantec geeft aan dat dit beter werkt dan een afgescheiden omgeving omdat je dan de workflow van de gebruiker verstoort. Samsung kiest met Knox 2.0 (review) bijvoorbeeld voor een dergelijke aanpak waarbij de standaard Android-omgeving je persoonlijke omgeving is en je daarnaast een complete beveiligde Android-omgeving hebt voor alle zakelijke gegevens. Persoonlijk zie ik daar ook wel de voordelen van in, omdat de scheiding dan harder is, wat mij juist prettiger lijkt. Het grote verschil is echter dat Norton werkt op alle Androids, iPhones en Windows Phones en dat Knox van Samsung alleen werkt op een select aantal smartphones van het merk zelf.
Mobiele beveiliging voor consumenten is vergelijkbaar met beveiliger in winkelcentrum
In elk geval timmert Symantec ook in mobiel opzicht hard aan de weg. Voor consumenten stellen de mobiele producten van Symantec, maar ook van alle concurrenten, eigenlijk niet zoveel voor. Wat deze apps doen is namelijk controleren welke apps je op je smartphone hebt geïnstalleerd en vervolgens kijken of deze apps een slechte reputatie hebben, of erg veel rechten van je smartphone eisen. Mocht dit het geval zijn, dan waarschuwen de beveiligingsproducten daarvoor.
Aangezien de mobiele besturingssystemen zeer gesloten zijn kunnen de beveiligingsbedrijven geen software ontwikkelen die ook echt ingrijpt als een app malafide acties wil uitvoeren, iets wat op de pc wel mogelijk is. Het komt een beetje overeen met een beveiliger in een winkelcentrum: De software mag kijken, waarschuwen en roepen, maar niet ingrijpen of aanhouden.
Dat de beveiligingsproducten niet in kunnen grijpen is allesbehalve ideaal, het enige alternatief wat dan overblijft is het versleutelen van de specifieke applicaties en bijbehorende data, dat is waar Symantec zich dan ook op richt. Symantec gebruikt daarvoor een eigen applicatiewinkel met beveiligde apps, alle apps zijn versleuteld via het AES256-encryptieprotocol.
Innovaties op komst, maar nog niets aan te kondigen
Zoals eerder aangegeven was ik twee jaar geleden op bezoek bij Symantec, het bedrijf gaf toen aan dat de WiFi-connected devices in de jaren daarna zouden opkomen. Hoewel we nog geen grote revolutie hebben gezien, komen ze er wel degelijk nog steeds aan: koelkasten, magnetrons, wasmachines, koffiezetapparaten en auto’s die allemaal aan je thuisnetwerk komen te hangen via een WiFi-verbinding. Dit brengt nieuwe beveiligingsrisico’s met zich mee die ook zullen moeten worden afgedekt, dat moeten we niet overlaten aan de bedrijven die deze producten en voertuigen bouwen, maar aan de beveiligingsbedrijven die er verstand van hebben.
Symantec gaf twee jaar geleden al aan bezig te zijn met een oplossing hiervoor, alleen tot op de dag van vandaag is het sindsdien stil. Van Veen wilde bevestigen dat er nog steeds wordt gewerkt aan producten om dit soort apparaten te gaan beveiligen.
Hetzelfde geldt voor de samenwerking met Broadcom, die twee jaar geleden werd aangekondigd. Symantec gaf toen aan ook aanwezig te willen zijn op routers, omdat de router de beste plek is om het netwerkverkeer te beveiligen. Op de router komt het internetverkeer de woning binnen en daar kan verkeer worden onderschept als Symantec kan zien dat er kwade opzet in het spel is. Van Veen gaf aan dat Symantec niet afhankelijk is van de samenwerking met Broadcom voor toekomstige producten, om netwerkverkeer te beveiligen.
Helaas kan hij op dit moment niet dieper ingaan op de toekomstige producten van Symantec voor de thuisgebruiker. Behalve dat er het een en ander nog steeds in ontwikkeling is en dat we van de zomer weer wat nieuwe producten voor de consumentenmarkt gaan zien. Symantec lanceert elk jaar zijn nieuwe beveiligingssuites voor het aankomende jaar, mogelijk zit daar dit jaar ook een van de producten bij die het thuisnetwerk en de WiFi-connected devices gaan beveiligen. In elk geval blijf ik Symantec op de voet volgen en zodra er wel iets te melden valt wordt Techzine uiteraard ook op de hoogte gebracht door Symantec.
Voordat ik het interview met Symantec ben aangegaan heb ik ook de producten van Symantec nader bekeken en Norton Internet Security 2014 aan een review onderworpen. Ik heb mijn feedback gedeeld met Van Veen en aangegeven dat ik de 100 configuratie- en de aan-/uitschakelaars wel wat veel vond. Voor de IT-professional is het leuk dat een beveiligingspakket volledig naar de hand te zetten is, maar de meeste gebruikers verdwalen gewoon in alle configuratieschermen. Van Veen heeft aangegeven dat ze zich bij Symantec ook bewust zijn van de complexiteit van de software en dat in de 2015-versies grote veranderingen op komst zijn en dat de software een stuk gebruiksvriendelijker zal worden.
Conclusies
Symantec heeft sinds mijn beveiligingsupdate van 2012 helaas weinig nieuws waarnaar ik op zoek was. Waar ik hoopte dit jaar meer nieuws te kunnen brengen rond beveiliging voor met WiFi verbonden apparaten in huis of routerbeveiliging van Symantec, heeft het bedrijf vooral geïnvesteerd in een efficiëntere organisatie met veel minder personeel en een aantal zakelijke oplossingen. Wel liet Van Veen duidelijk doorschemeren dat hij deze zomer meer te vertellen heeft, we wachten dus nog even af.
Wat betreft beveiliging anno 2014: er is opnieuw een hoop veranderd. Waar twee jaar geleden nog vooral de aandacht uitging naar cybercriminelen, blijken nu de inlichtingendiensten ook veel verder te gaan dan we ooit hadden durven vermoeden. Het beveiligen van gegevens, of het nou gaat om persoonlijke- of bedrijfsgegevens, is ineens een stuk belangrijker geworden. Ook het vertrouwen dat we veilig zijn voor criminelen maar ook de autoriteiten heeft een flinke deuk opgelopen. Vandaar dat onderwerpen als encryptie, beveiligde verbindingen en wie er wel of geen toegang heeft tot bepaalde informatie weer de volledige aandacht krijgen.