Twee verschillende computersystemen, twee gescheiden netwerken en twee keer zoveel servers lijkt misschien overdreven, maar voor Cryptography Research is het dé manier om hackers en malware buiten de deur te houden. Het A-netwerk bevat alle gevoelige gegevens en bedrijfsgeheimen en is niet met het internet verbonden. Het B-netwerk wordt gebruikt voor e-mail, surfen en andere internetactiviteiten. Het bedrijf begon tien jaar geleden met het gescheiden netwerk, toen het met zeer gevoelige klantgegevens te maken kreeg. "We moesten beslissen of we de met de buitenwereld verbonden infrastructuur wilde beveiligen, of een parallel systeem bouwen. We zijn zeer blij met de gemaakte keuze en hebben nooit teruggekeken", zegt opricht en president Paul Kocher.

Door deze opzet is het onmogelijk voor een drive-by download of gerichte aanval om toegang tot de broncode en andere gevoelige gegevens te krijgen. De meeste werknemers hebben een laptop voor internetactiviteiten en een desktop voor het werken met zakelijke en klantgegevens. De laptop wordt zoals de meeste bedrijfscomputers behandeld en beschikt over een virusscanner, firewall en andere beveiligingssoftware.

E-mail
Alle e-mail op het B-netwerk wordt van de server gehaald en op een lokale versleutelde harde schijf bewaard. Zelfs als de schijf wordt gestolen, kan de aanvaller zonder private key nog steeds niet de inhoud lezen. Ook de desktops op het A-netwerk zijn van virusscanner en firewall voorzien, maar er draait geen hardwarematige firewall om aanvallers van buiten op afstand te houden. Alleen een interne host-gebaseerde firewall is actief. Voor beide netwerken zijn gebruikersnaam en wachtwoord vereist.

Werknemers op het A-netwerk gebruiken VNC om met een virtuele desktop verbinding te maken. Als werknemers gevoelige informatie naar klanten moeten mailen, versleutelen ze het met PGP, kopiëren het bestand op een USB-stick, en versturen het via het B-netwerk. De klant ontsleutelt de e-mail en leest de inhoud. In het geval de klant geen encryptie gebruikt, krijgt hij de data via Fed Ex of op een andere offline manier. Na het gebruik van de USB-stick wordt die volledig gewiped. Daarnaast draait de webserver in een apart datacentrum en bevat geen gevoelige informatie. Om misbruik door personeel tegen te gaan, wordt iedereen grondig gescreend.

Kosten
De kosten voor het gehele netwerk liggen twee keer zo hoog, omdat alles in tweevoud moeten worden aangeschaft, van licenties tot printers en bedrading. Maar de kosten voor beveiligingssoftware zijn lager dan bij andere bedrijven, die hun bedrijfsgeheimen tegen aanvallen vanaf het internet proberen te beschermen, zo merkt IT-directeur Tory Kallman op. Hij moet twee keer zoveel computers beheren. "Maar ik hoef niet na te denken over of geld uit te geven aan ongepatchte zero-day lekken voor ons stand alone netwerk." Kallman beveiligt nog steeds het B-netwerk, maar daar is geen echt gevoelige informatie op te vinden. "Dus kan ik 's nachts wat makkelijker slapen."

Het nadeel voor werknemers is dat het iets langer duurt om gegevens met klanten te delen, maar voor het bedrijf is het de moeite waard. Toch is het niet voor elk bedrijf de ideale oplossing. "Soms sluit een groot bedrijf een groep zoals human resources af, of een aantal mensen, om zo de impact van netwerkaanvallen te beperken", zegt Kocher. "Maar een bedrijf zoals Google kan dit niet doen, omdat het bij hen draait om het internet. Je kunt Google's diensten niet benaderen als je dit doet. Onze opvatting is het tegenovergestelde van de cloud computing visie."