Interview Kees Plas (Terremark): ‘Regel meer veiligheid in het datacenter’

De ontwikkelingen die plaatsvinden op het gebied van cloud, BYOD en Big Data roepen steeds nieuwe vraagstukken op op het gebied van veiligheid. Want de veiligheidsmaatregelen die daarbij nodig zijn kunnen ten koste gaan van de efficiency. Dat probleem kan voorkomen worden door meer databeveiliging te regelen in het datacenter. Executive People sprak hierover met Kees Plas, Director Security Services van Terremark.

Kees Plas werkt sinds september 2011 bij Terremark. Hij is daar in de regio EMEA verantwoordelijk voor de security in het business-aanbod. De security packages die Terremark ontwikkelt worden tevens onderdeel van het portfolio van moederbedrijf Verizon, dat besloten heeft om alle security en de IT professional services onder te brengen bij Terremark.

De datacenterleverancier heeft het afgelopen jaar een forse groei doorgemaakt, van duizend naar drieduizend medewerkers, die een klantenbestand bedienen dat is gegroeid van duizend tot vijfduizend. Tegelijkertijd is de oorspronkelijke datacenterbusiness uitgebreid naar een breder aanbod aan IT-dienstverlening.

“We zien drie trends die grote invloed hebben op onze business”, aldus Kees Plas. “Dat zijn cloud, bring your own device en big data. Die drie hebben allemaal een duidelijke link met security. Bring your own device bijvoorbeeld is een verschijnsel waar veel organisaties mee worstelen, ze moeten er iets mee doen.”

Beperkingen omzeilen
Door de wildgroei aan devices in organisaties neemt de vraag naar security-oplossingen sterk toe. “We zien dat de smartphone een trusted device is geworden, maar tegelijkertijd doen de bezitters er meer mee dan alleen werken. Hoe ga je daarmee om als organisatie?

Want gebruikers gaan beperkingen omzeilen. Zo wordt bijvoorbeeld door gebruikers af en toe mail geforward naar webmail als ze geen mail mogen lezen op hun device. Waar het op neerkomt is dat je door het aanbrengen van restricties in de toegang de voordelen van bring your own device al snel teniet doet.”

BYOD moet voor veel organisaties nog volwassen worden. De noodzaak er een strategie voor te ontwikkelen wordt versterkt door het nieuwe werken, waardoor een groot aantal flexwerkers ontstaat. Steeds minder medewerkers zijn in loondienst bij organisaties. Als ZZP-er krijgen zij geen laptop van de zaak, maar moeten ze wel in de bedrijfssystemen kunnen komen. “We zien dat die toegang op afstand steeds belangrijker wordt, maar daar ontstaat wel een botsing tussen security en efficiëntie.”

“Ook werknemers zelf functioneren steeds vaker als een soort ZZP-er binnen de eigen organisatie. In feite moeten zij ervoor zorgen dat ze de juiste tools hebben om de taak uit te voeren die van hen verwacht wordt in een bedrijf. Medewerkers krijgen zo veel meer eigen verantwoordelijkheid, organisaties sluiten als het ware een SLA af met de eigen werknemers. Dat leidt tot ecosystemen die steeds groter worden. Het gaat niet meer alleen om het bedrijf en zijn partners, maar ook om medewerkers en flexwerkers.”

Evenwicht
De tools die nodig zijn om deel te nemen aan dat ecosysteem moeten veilig zijn. “Je kunt geen privacygevoelige informatie in Dropbox zetten. Dit betekent dat organisaties op zoek gaan naar een evenwicht tussen de controls en de efficiency. De beweging naar cloud leidt tot de behoefte om device-onafhankelijk informatie op te vragen. Dit verklaart waarom Verizon de security-layer bij Terremark heeft neergelegd. Want uit alle onderzoeken naar virtualisatie en cloud blijkt dat security voor de gebruikers een van de belangrijkste issues is.”

Hij erkent dat er risico’s bestaan. “Niets is bij security honderd procent zeker. Wanneer je een machine in je eigen kelder in een afgesloten kast zet kan niemand erbij. Maar daar ben je niet effectief mee. Hoe toegankelijker je het maakt, hoe productiever je bent. Elke agent die je toevoegt brengt echter een zekere mate van risico met zich mee. Het invoeren van meer controls, zoals nu vaak gebeurt, leidt paradoxaal genoeg tot het introduceren van meer risico’s. Want als je het voor mensen moeilijker maakt om ermee te werken gaan ze zelf op zoek naar onveilige omwegen. Steeds passwords wijzigen bijvoorbeeld zorgt ervoor dat mensen het gaan vergeten, en dus de neiging  krijgen ze op te schrijven.”

De oplossing is volgens Plas een andere benadering van security. Niet een wildgroei aan barrières, maar controle vanuit het datacenter. “Dat dit werkt zien we bijvoorbeeld bij een klant van ons, een grote energiemaatschappij. Zij halen hun winst uit de handel energie, wat betekent dat ze snel, zonder latency, altijd acces willen voor juiste mensen op het juiste moment. Zij breken daarom juist de barrières af, en gaan vanuit het datacenter controleren.”

“Dat is ook onze visie: regel meer datacentric. Het gaat tenslotte om de data, die benaderd wordt door mensen, infrastructuur en applicaties. Je moet dus veel zaken beveiligen, en dat wordt steeds meer naarmate je verder bij de data vandaan gaat. De ideale situatie is dus eigenlijk dat je alles open gooit, en toch veilig bij de data komt. Haal de barriers en access controls weg die laag op laag op laag zijn neergezet. Die zijn niet kosteneffectief, en je kunt toch steeds moeilijker controleren wat er allemaal gebeurt aan de poort.”

Waarde van data
“De oplossing is de next generation firewall, SEM of SIEM genaamd (dit staat voor Security Event Management en Security Information Event Management). Wij plaatsen devices in het netwerk die op applicatieniveau controleren wat er gebeurt.” Volgens Plas is het daarbij essentieel dat je eerst in kaart brengt wat de waarde is van data.

“Wanneer je generiek controls invoert controleer je alles, ook zaken die helemaal niet belangrijk zijn. Dan verlies je het overzicht. Het is dus zaak om eerst te kijken wat van waarde is. Marktinformatie bijvoorbeeld is voor een beursgenoteerd bedrijf cruciaal wanneer het nog onder embargo is, maar niet als die data zes maanden oud is. Dan heb je niet meer de allerhoogste en duurste beveiliging nodig. Je moet dat beveiligen dus met beleid doen.“

Dit sluit aan bij de ontwikkelingen rond identities. “Je moet weten wie wie is, en welke rol diegene heeft. Wat mag hij wel en niet. In praktijk zien we dat het misgaat in situaties waarin deze informatie statisch blijft, en na verloop van tijd dus niet meer actueel is. Het moet juist een niet-statisch systeem zijn, dat is de uitdaging. Wij zijn daarom nu in de VS bezig met de identity service Starfish, en hier met UIS (Universal Identity Service). Er is behoefte aan een trusted party aan wie je dat kunt uitbesteden, en die rol kunnen wij vervullen.”

Daarmee zijn we weer terug bij het ecosysteem, en de eigen devices die mensen gebruiken om toegang te krijgen tot data. “Dat kun je managen in het datacenter. Opvallend is dat er traditioneel veel focus ligt op wie er bij de data komt, maar niet op wat er vervolgens met die data gebeurt. Als er een kopie van data wordt gemaakt door iemand die er wel bij mag wordt dat niet getriggerd, terwijl er juist situaties denkbaar zijn waarin dan alle alarmbellen moeten afgaan. Kijk dus hoe de data wordt gebruikt. Dat vraagt veel kennis en capaciteit, maar dergelijke behavioral controls kunnen veel schade voorkomen.”