WiFi is niet zozeer een risico op zich, het wordt er slechts
evident door dat veel bedrijven sowieso geen security-beleid
hebben. Dat de gateways via welke men totnutoe met de
buitenwereld verbonden was over het algemeen standaard enige
beveiliging boden (overigens vaak van twijfelachtig niveau,
en meestal jarenlang niet onderhouden) is bij deze bedrijven
nooit een kwestie van beleid geweest. En ook daar merkt men
intrusion an sich nauwelijks, gewoonweg omdat er geen
monitoring plaatsvindt. Onbeveiligde wireless ap's verlagen
de drempel en de pakkans aanzienlijk, aan de andere kant
moet de inbreker er voor wel fysiek in de buurt zijn, dat
sluit al een heleboel potentiele indringers uit.

Bij de bedrijven waar je zo wireless kunt binnenwandelen,
kun je waarschijnlijk met een beetje inspanning ook via de
vaste verbinding binnenkomen.

De vraag is in hoeverre bedrijven zich daar uberhaupt zorgen
om zullen gaan maken. Kantoren werden voorheen fysiek ook
nauwelijks beveiligd totdat er op grote schaal laptopjes
begonnen te verdwijnen. En daarbij ging het de dieven om de
hardware, niet om de inhoud. Bewaken van informatie heeft
nooit een hoge prio gehad.

Het zou interessanter zijn als iemand overtuigend kon
aantonen dat bedrijven ook echt iets te vrezen hebben van
matige netwerk-beveiliging. En met betrekkking tot WiFi met
name of openliggende AP's daadwerkelijk tot meer incidenten
leidt, want dat is nog maar helemaal de vraag. Tot die tijd
zal de beveiliging een sluitpost blijven.

Voorlopig komt het aantal openliggende AP's (meestal met de
naam 'default'.... ) op bedrijfsterreinen en in
kantoorgebouwen mij wel goed uit, zolang UMTS en GPRS nog zo
duur zijn..... ;-)

Het is onjuist te veronderstellen dat wanneer je wireless een bedrijf binnen
kunt wandelen je dit ook via de vaste verbinding zou kunnen doen. De vaste
verbinding kan namelijk nog zo goed beveiligd zijn, maar als werknemers
zelf een wireless verbinding openzetten dan valt er door de sysadmin weinig
aan te doen. Hetzelfde geldt overigens ook voor modem verbindingen; hoe
vaak komt het niet voor dat een werknemer mbv telefoon en modem een
verbinding opzet terwijl hij/zij tegelijkertijd ook met het bedrijfsnetwerk
verbonden is...

Laatst kwam een collega binnen op het netwerk van een bedrijf om de hoek.
Blijkbaar hebben ze niet van WEP gehoord of ze weten het niet in te stellen!

Naam:Clemens.

Ik denk dat Anoniem de "keutel bij de schone kant oppakt". De beveiliging is
in een doorsnee bedrijf van erbarmelijk niveau. Bij de meeste
thuisgebruikers is het helemaal om te huilen. Als we in medisch opzicht ook
zo met besmetting risico 's zouden omspringen, lag heel Nederland te bed.
Het wordt tijd dat er adequate software ontwikkeld wordt, die dit probleem bij
de wortel kan aanpakken.

Dat de besmetting in vele gevallen via e-mail plaatsvindt geeft helemaal te
denken. Alle verspreiders van spam zouden zo snel mogelijk aangepakt
moeten worden via aanpassing van wetgeving. Alleen mail verspreiden via
geconditioneerde betrouwbare providers, die alle ellende en de aanbieders
ervan in kaart kunnen brengen.

Zal ik even een andere draad oppakken (lachen, wireless....draad...sorry).......

Bedrijven hebben de laatste jaren te kampen gehad met steeds snellere
informatievoorzieningen. Steeds nieuwe mensen, omdat de andere
beheerders elders een betere baan kregen of gewoon een slecht beleid over
het geheel. Punten die anderen ook aangaven.

ICT kost geld, net als het bouwen van een huis. Als je een huis bouwt, ga je
een architect inschakelen. Huizen van de jaren 30 vorige eeuw hadden niet
eens een badkamer, soms zelfs maar een toilet buiten of zo (bijkeuken).
Sanitaire voorzieningen waren dus erg slecht. Hoe kwam dat? Geen
vooruitzichten van nieuwe eisen.

In de ICT is het net zo. Sommige bedrijven hebben al jaren een goede
infrastructuur, maar die is verouderd ten op zichte van nu. Oude systemen
(Unix, VMS, AS/400 (S36)), die toen wel voldeden, maar nu niet aansluiten bij
bijv. WiFi. Ook nieuwe systeembeheerders zijn niet opgegroeid met die oude
technieken. Wat mis je dan?

Door het tempo waar nieuwe structuren worden aangeboord en worden
benut wordt beveiliging inderdaad een sluitpost. Kennis is er soms niet, de
mogelijkheden te beperkt of er is gewoon geen tijd voor omdat de voortgang
bewaakt moet worden (roll-out van een paar maanden kost geld, geld).

Hier zie je dus, dat over een oude structuur niet zomaar even een nieuw
beleid gelegd kan worden zonder met tonnen te gaan moeten smijten. Zelfs
als de kennis in huis is om het aan te kunnen passen (combo senior/medior
beheer), dan nog moet de top toestemming geven hier geld aan te besteden.

Wacht dus maar tot men te maken krijgt met een "kapotte leiding" die overal
ineens gaat lekken. Dweilen met de kraan open en ineens is er geld voor. Ja,
ze moeten zich er tegen gaan verzekeren of het goed dichtsmeren.

- Unomi -

Kun jij mij een realistisch scenario schetsen van een
bedrijf met een gezond security-beleid (dus ook met
spelregels en sancties voor werknemers, want die zijn en
blijven security-risico #1) waar dit soort ongein plaatsvind?

Ja, heb er al vele gezien. Laatste geval was een werknemer die toch e-mail
wilde lezen toen de vaste lijn eruit lag. Dus telefoonlijn in de laptop geplugd
terwijl die tegelijkertijd aan het interne net hing. Een lijstje met spelregels
was er wel, maar vervelend dat het de directeur betrof. Overigens is de
preventieve werking van zo'n lijstje beperkt, wel is het makkelijker om achteraf
sancties te treffen of de schade te verhalen maar dan is het al te laat.