De Security hit van het moment is BYOD. Voor die twee security.nl lezers die er nog niet over lastiggevallen zijn, het staat voor Bring Your Own Device. Door IT-ers en beveiligingsmensen al lollig verbasterd tot Bring Your own Disaster. Want weet je wel hoeveel virussen je op die manier binnenkrijgt? Mobile devices doen vanzelfsprekend aan wisselende contacten, en dat doen ze zonder de digitale condomerie van antivirusproducten die de organisatie gekozen heeft. Wil je een security officer een slapeloze nacht bezorgen, dan moet je dus melden dat BYOD 'ingevoerd' gaat worden.

Ik zou eerlijk gezegd rustig verder slapen. Veel 'Own Devices' zijn feitelijk veiliger dan de gemiddelde zakelijke XP-laptop met IE6 voor compatiblity en met een zelf in elkaar gekleuterde web app. Sommige privéspullen zijn Trusted Platforms zoals de Blackberry en de iPhone met alle beveiligingsvoordelen van dien. Ja, ook daar zijn virussen voor, maar de 'viruscount' lig heel veel lager dan voor een pc-platform dat we allemaal kennen.

BYOD als Security probleem heeft onderhand mythische proporties. Terwijl het eigenlijk oude wijn in nieuwe zakken is. Het gaat namelijk over Port Security en dat probleem bestaat al jaren. Het is alleen zelden echt opgelost. Voor draadloze netwerken zie je nog wel af en toe een redelijke oplossing, maar prik je netwerktouwtje maar in een willekeurige ethernetpoort in een willekeurig kantoorpand en je snapt wat ik bedoel. Met de komst van computer accounts in de directory is er weliswaar een logon, maar dat is geen aanloggen op 'het netwerk', dat is aanloggen op het Windows-deel daarvan. Al sinds de opkomst van de pc en het netwerk geldt dat het aansluiten op het netwerk van eigen apparatuur gewoon lukt. Het probleem was vroeger wel minder dringend dan nu natuurlijk. Er liepen gewoon veel minder mensen rond met een portable 'sjouwable' pc dan nu met een mobiele telefoon.

Waar het om gaat is toegang tot je informatie. Mobile Device Management MDM is niet toereikend. Informatiebeveiliging in een mobiele omgeving vraagt beveiliging op informatieniveau, niet op device niveau.

Als je de oplossingen uit de markt bekijkt zie je dat BYOD als een discussie over de netwerk perimeter gebracht wordt. Ze doen een VPN naar een digitale slagboom en ze doen een emulatie van het netwerk met een portal of een terminal server. Daar gaat het dus juist niet om. We weten sinds Jericho dat de netwerkperimeter meer fictie dan feit is.

Maar goed, de vraag op de perimeter is hoe een eigen device te onderscheiden van een door de baas verstrekt apparaat. De meeste MDM-oplossingen negeren deze kernvraag, en focussen zich op policy enforcement. De onderliggende aanname is dat een device 'goed is' als de policies afgedwongen zijn. Dat is een interessante gedachte: een apparaat mag op het netwerk als er een wachtwoord op de screensaver zit en het device gewiped wordt na drie mislukte Pincodes. Kan goed zijn, daar niet van, maar het heeft er veel van dat de policies die toevallig in het apparaat zitten hier maatgevend zijn. Want welke organisatie heeft nu een wipe policy op de laptops staan? Of op de thuis-pc van de medewerker die aan het Nieuwe Werken doet? Wiens Dropbox wordt automatisch gewiped? Want het is uiteindelijk geen device vraag, het gaat om de inzet van eigen middelen ten bate van de baas. Niet alleen je eigen Device, maar ook je eigen data in een cloud applicatie zoals LinkedIn of je thuis wifi netwerk met je zakelijke telefoon. Zeg maar Bring your own Ding.

Wat er nu geroepen wordt rond dit onderwerp klinkt allemaal erg onvolwassen. Het komt niet verder dan puntoplossingen die bepaald worden wat bepaalde techniek toevallig in huis heeft. Weinig doordacht, inderdaad. Organisaties zullen vanzelf ontdekken dan een reeks puntoplossingen naast elkaar vooral hoge kosten maar weinig veiligheid brengt. Het is al snel goedkoper om iedereen een iPad van de zaak te geven.

Voor we volwassen kunnen omgaan met niet-bedrijfseigen apparatuur en informatievoorzieningen, al dan niet in de cloud, hebben we als beveiligers nog veel meer vraagstukken op te lossen.

Stel nu dat iemand met een eigen device voor je werkt via het bedrijfsnetwerk en dat er vanaf dat device aanvallen op het serverpark van de CIA plaatsvinden? Dan krijg je heus wel gedonder. Wat als de thuis-pc van de Nieuwe Werker de C&C van een groot botnet blijkt dat het toevallig op je concurrent voorzien heeft? En als een medewerker de mp3s op de iPad deelt met de hele wereld, thuis en op de zaak, krijgt je bedrijf dan Tim Kuik van de Stichting Brein op bezoek?

Als eerste zal de beleidsfabriek op dit onderwerp springen: Er Moet Nieuw Beleid Komen. Beleid als universeel wonderdrankje.

Nou, nee. Als beleid gerelateerd is aan het device dan is het wel erg tijdelijk beleid. Je wilt ook geen ander beleid per type device - hoeveel beleidsdocumenten wil je er op na houden? Er hoeft al helemaal geen aanvullend beleid te komen over ongewenste content en aanpalende handelingen, zoals mp3s delen. Het gaat in dit voorbeeld immers om evident illegaal gedrag, ongeacht het apparaat.

Het vervelende van beleid is dat je het moet handhaven. En dat is bij BYOD nog veel moeilijker dan in een traditionele omgeving. De huidige houding van corporate beveiliging zal gebruikers er vooral weerhouden om te werken op hun eigen ding. Heb ik zelf ook. Ik mag van mijn baas mijn zakelijke e-mail op mijn eigen telefoon lezen, mits ik een screensaver password, een Phone Home appje zodat we een verloren toestel kunnen terugvinden en een wipe functie heb. Dat wil ik helemaal niet. Het is mijn privémachine en de baas mag mijn privédata helemaal niet wissen. En die pincode iedere keer intikken.... kansloos. Dan maar geen zakelijke e-mail op mijn telefoon, dus de klant of prospect moet maar wachten tot ik achter mijn laptop zit.

Als je de lijn doortrekt naar thuiswerken wordt al snel helemaal te zot. Dan ben ik als beheerder van mijn eigen thuisnetwerk zeker verantwoordelijk en aansprakelijk wat er daarvandaan allemaal gebeurt? Voor wat mijn huisgenoten op het internet uitspoken bijvoorbeeld. En dan krijg ik ook de schuld als de buren mijn WiFi printer van HP gehackt hebben en zo meeliften op mijn verbinding. Straks komt Corporate Security nog met Deep Packet Inspection kijken of het allemaal wel door de beugel kan wat hier thuis gebeurt. Nee dank u.

Wat wij beveiligers over het hoofd zien is dat BYOD en Het Nieuwe Werken grote voordelen voor bedrijven hebben. Mensen zetten eigen middelen in, zodat de organisatie die niet hoeft te kopen of te beheren. Medewerkers doen, zo blijkt, werkdingen in hun eigen tijd. Ze beantwoorden bijvoorbeeld een vraag van een klant op zondagmiddag op een terrasje met een latte macchiato. Zonder dat ze de uren schrijven. Dat is goed. Dat is goedkoper. Daar moet je blij mee zijn. Bedenk ook dat mensen over het algemeen beter zorgen voor hun eigen spullen dan voor die van de baas: je eigen iPad raak je minder snel kwijt dan de duurdere Dell van de zaak. BYOD en HNW zijn goede ontwikkelingen en daarom niet tegen te houden.

Het huidige treiterbeleid van Security is dus niet de weg om te gaan. BYOD categorisch tegenhouden omdat het onveilig is, is een bestuurlijk zwaktebod en zonder stevige beveiliging helemaal niet af te dwingen. De vraag is wat er eigenlijk beveiligd wordt: de baas of de baan? Als eigen devices op het netwerk mogen, waarom zou een bedrijf nog computers beschikbaar stellen? Dat kost allemaal geld, en er zijn een boel mensen nodig om dat allemaal maar uit te rollen. Als mensen eigen clouddiensten meenemen, waarom zou ik daar als bedrijf dan nog allemaal dure voorzieningen neer zetten?

Het is logisch dat IT-ers benadrukken hoe gevaarlijk BYOD is. En dat het uiteindelijk heel duur is en het reputatierisico gigantisch. Natuurlijk. Maar wat we nu zien is misbruik van Security argumenten - BYOD is vooral een gevaarlijke concurrent van de traditionele IT afdeling. De Security vraagstukken zijn verre van nieuw, bestaan ook zonder BYOD en hadden al lang opgelost moeten zijn. En kunnen zijn.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns