Wat je vanuit de werkplek kunt doen aan NIS2 compliance

Het zal niemand nog zijn ontgaan: oktober 2024 moet de NIS2-richtlijn geïmplementeerd zijn. Voor de ene organisatie een groter project dan voor de andere organisatie, een deel van de (overheids)organisaties was immers al onderdeel van de eerste NIS-richtlijn. Het doel is om uiteindelijk de ‘digitale en economische weerbaarheid’ van EU-lidstaten te vergroten. De werkplek, de bijbehorende gebruiksomgeving en de applicaties spelen hier een cruciale rol in. Waarom is dat, en hoe draagt ‘modern’ werkplekbeheer bij aan het behalen van de NIS2 doelstellingen?

32% van security incidenten komt door gebrek aan patches

Verouderde applicaties zijn kwetsbaar. Toch heeft zo’n 66% van de grotere bedrijven geen interne processen of regelgeving rondom patch management. Zo bleek maar liefst 32% van de security incidenten in de maand oktober van dit jaar dan ook veroorzaakt door een gebrek aan patches of door slecht configuratiemanagement. Daarnaast vormen menselijke fouten ook een grote bron van geslaagde aanvallen; men klikt ergens op en aanvallers kunnen gemakkelijk bij bedrijfs(gevoelige) data. Indien een medewerker geen toegang nodig heeft tot bepaalde applicaties of data, kan het dichtzetten van deze toegang risico’s beperken.

Maar waarom wordt dan niet gepatcht of beter geconfigureerd? Met name patchen en updaten wordt als tijdrovend en risicovol gezien. Beheerders zijn bang voor productiviteitsverlies. En dat is zorgelijk, want patchen, updaten of het configureren van een conditioneel toegangsbeleid hoeft niet veel tijd te kosten of downtime te veroorzaken.

Bovenstaande voorbeelden vormen al voldoende aanleiding om met behulp van NIS2 een aantal zaken aan te scherpen. Zeker nu de structuur van de werkplek steeds complexer wordt (lees: modern en/of hybride), is efficiënt en ‘modern’ werkplekbeheer onmisbaar.

Risicovol en tijdrovend

Binnen ’traditioneel’ werkplekbeheer nemen applicatie packaging en image management een grote rol in. Software wordt verpakt en in een image ‘gebakken’ en daarna uitgeleverd naar eindgebruikers. Vaak heeft elke groep gebruikers een eigen golden image met daarin een set van configuraties en applicaties, waardoor diezelfde ene patch of update voor ieder individueel image opnieuw doorgevoerd moet worden. En dat proces kost tijd en is risicovol: het image openbreken, de update doorvoeren, opnieuw packagen en het image weer distribueren. Indien er iets niet goed gaat, moet dit hele proces teruggedraaid worden en opnieuw doorlopen worden. En als dat nodig is, dan kost het inderdaad productiviteit van medewerkers en is de werkplek bovendien nog langer kwetsbaar.

Modern werkplekbeheer

Om de beheeruitdagingen rondom beveiliging te adresseren is het belangrijk om de werkplek efficiënter te gaan beheren middels ‘modern beheer’, zoals o.a. omschreven door Gartner. Hierbij worden bijvoorbeeld cloud-gebaseerde oplossingen voor werkplekbeheer omarmd waardoor meer flexibiliteit, schaalbaarheid en ruimte voor automatisering ontstaat. Ook het bekijken van de werkplek als een modulair of ‘gelaagd’ geheel helpt hierbij. Door applicaties en de gebruikersomgeving los te koppelen van het OS en in een eigen laag te plaatsen, wordt de werkplek minder complex en beter beheersbaar, wat ten goede komt aan het voldoen aan de NIS-richtlijnen.

Applicaties en gebruikers onafhankelijk van elkaar beheren

Met behulp van deze gelaagdheid kunnen applicaties en de gebruikersomgeving losgekoppeld worden van het OS, waardoor met name het image- en applicatie management sterk vereenvoudigd wordt. Beheerders kunnen applicaties eenvoudig updaten zonder de base images aan te hoeven raken. Beide onderdelen ‘leven’ afzonderlijk van elkaar in hun eigen laag en kunnen platformonafhankelijk op alle Windows werkplekken uitgeleverd worden. De betreffende applicaties tonen en gedragen zich alsof ze traditioneel zijn geïnstalleerd, zonder het besturingssysteem te vervuilen.

Dit geldt ook voor de gebruikersomgeving: deze bestaat ook als losse laag en kan daardoor zelfstandig en eenvoudig beheerd worden. Conditionele toegang, het meenemen van persoonlijke instellingen of OS-migraties worden daarmee vereenvoudigd en risico’s beperkt.

De richtlijnen en de implementatie daarvan

Ter illustratie: het Nationaal Cyber Security Centrum geeft acht technische basismaatregelen om je voor te bereiden op de invoering van de NIS2. Door applicaties en de gebruikersomgeving in eigen lagen te laten bestaan, en dus modern te beheren, worden er vier direct geadresseerd, te weten:

• ‘Richt patchmanagement in’ – het advies is om een (geautomatiseerd) proces in te richten rondom updates. Zoals hierboven beschreven maakt modern beheer de weg vrij voor meer automatisering van updates, maar ook het sneller, vaker en efficiënter doorvoeren van updates doordat applicaties niet in images verpakt zitten.
• ‘Beperk het aanvalsoppervlak’ – Door gebruik te maken van de context van de gebruiker, kan beter worden geanticipeerd op beveiligingsrisico’s. Bijvoorbeeld door applicaties enkel binnen de kantooromgeving te tonen, of enkel aan bepaalde gebruikers. Vaak hebben gebruikers nu toegang tot applicaties die ze niet nodig hebben.
• ‘Pas sterke authenticatie toe’ – Het implementeren van conditionele toegang tot applicaties of data, bijvoorbeeld gecombineerd met OAuth,kan eenvoudig binnen de gebruikerslaag geconfigureerd worden, zonder dat extra images of packages gedistribueerd hoeven worden.
• ‘Bepaal wie toegang heeft tot uw data en diensten’ – Kortgezegd geeft de richtlijn aan: Geef medewerkers alleen toegang tot informatie en systemen die nodig zijn voor het uitvoeren van hun taak. Dit beperkt de gevolgen van gebruikersfouten. Daarnaast beperkt het de bewegingsruimte van kwaadwillenden, mochten ze toch weten binnen te dringen. Dit valt natuurlijk te configureren maar zou binnen traditioneel beheer erg veel tijd vragen. Wanneer persoonlijke instellingen onafhankelijk van het device, het OS of andere werkplekonderdelen toegepast worden, wordt beheer vereenvoudigd en risico’s beperkt.

Zorg er dus voor dat de organisatie voorbereid is om de gebruikersomgeving en applicaties adaptief en modulair te beheren. Zo heb je voldoende technische mogelijkheden om ook vanuit de werkplek bij te dragen aan NIS2 compliance.

Dit is een ingezonden bijdrage van Liquidware. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.