veilig computernetwerk

[Naessens]

Al heel lang vraag ik mij af waarom bedrijven, zoals VDL, geen netwerk gebruiken dat niet aangesloten is op internet.
Het lijkt mij, dat een bedrijf beter twee netwerken kan hebben, dan één dat krampachtig moet beveiligd worden.
Een eigen netwerk, met dus eigen servers, dat ook niet indirect (gemeenschappelijk geheugen) verbonden is met internet, kan niet gehackt worden.
Dat betekent wel dat werknemers, die wel internet nodig hebben, twee computers nodig hebben en dat andere geen toegang meer hebben tot het internet.
Als bedrijfs gegevens naar een toeleverancier moeten, dan mag dat alleen via een éénrichtings verbinding, zoals een soort telex, of via een data drager.
E-mails en afspraken kunnen gewoon via internet.

[Xilvo]

En dan willen mensen toch een bestand van het interne netwerk via mail versturen. Of een ontvangen bestand op het interne netwerk zetten. Dan pakken ze even een USB-stick en oops! dan blijkt een virus/worm mee gekopieerd te zijn.

Menselijk gedrag krijg je niet makkelijk fool-proof.

[Annelogica]

Menselijk gedrag krijg je niet makkelijk fool-proof.

Klopt, de PC's in het bedrijf waar ik werk zijn allemaal dicht getimmerd daar kun je geen USB stick of andere apparatuur met opslag op uitlezen. Er zijn maar een paar PC's waar dat op kan. We kunnen verder alles downloaden maar om het te installeren heb je weer rechten nodig...
Beveiligen ontkom je gewoon niet aan. Het probleem zou bij de bron aangepakt moeten worden, dus de software en de hackers.

[klazon]

Een dubbel systeem installeren. Een werksysteem en een backupsysteem.
Het werksysteem hangt normaal aan het internet, het backupsysteem is dan los.
's Nachts het werksysteem los van het internet en dan koppelen aan het backupsysteem en een backup maken.
Als het werksysteem dan gehackt wordt ben je hoogstens de informatie van 1 dag kwijt en als je bestanden gegijzeld worden staan ze nog vrij beschikbaar op de backup.

[HansH]

Een dubbel systeem installeren. Een werksysteem en een backupsysteem.
Het werksysteem hangt normaal aan het internet, het backupsysteem is dan los.

Is dat niet nu al de gebruikte werkwijze bij bedrijven die hun data serieus nemen?

[klazon]

Dat zou je denken, maar er vinden nog steeds bestandsgijzelingen plaats waarbij losgeld wordt betaald om toch maar verder te kunnen. Dus niet elk bedrijf werkt met een stand-alone backup.

[Ger]

Je kunt prima een virus schrijven welke zich pas na X tijd manifesteert. Sterker nog: ik heb het idee dat dit de meest gebruikte methodeis, juist om te zorgen dat backups vanzelf ook corrupt raken.

[Rola]

Zo gebeurt dat ook, je bent zo een maand of meer werk kwijt

[tempelier]

En dan willen mensen toch een bestand van het interne netwerk via mail versturen. Of een ontvangen bestand op het interne netwerk zetten. Dan pakken ze even een USB-stick en oops! dan blijkt een virus/worm mee gekopieerd te zijn.

Menselijk gedrag krijg je niet makkelijk fool-proof.

Er zijn bedrijven die zelfs dat onmogelijk hebben gemaakt.
Er zitten dan op de computers geen aansluit mogelijkheden.

Veel van die bedrijven zullen er wel niet (meer) zijn denk ik.

[Ger]

Die scheiding van netwerken vindt wel degelijk plaats, maar niet vaak. Dat is vanwege de afweging tussen werkbaarheid in de praktijk versus veiligheid.

Absolute veiligheid is alleen praktisch haalbaar door de computers niet te gebruiken. Da's onwerkbaar natuurlijk. Ga je er wel mee werken, dan krijg je te maken met input, een elke vorm van input is een potentieel risico. Zelfs al zet je mensen aan het werk om alle te ontvangen data over te typen, dan nog moet je die mensen maar vertrouwen en moeten ze ook voldoende onderlegd zijn om niet per ongeluk de aanval over te typen... Je praat immers niet over simpele Word documenten maar vaak over gestructureerde data die dan alsnog automatisch verwerkt moet kunnen worden. En zelfs daarin kunnen aanvallen zitten. Voor de geïnteresseerden; serialized input uitpakken kan objecten in het geheugen overschrijven.

En laten we wel wezen: met de hoeveelheid data die zelfs een klein bedrijf te verwerken heeft, wil je dat echt niet door mensen laten overtypen. Dat kost klauwen met geld en niet te vergeten: tijd. Tijd van mensen die dan geestdodend werk gaan doen en alleen daardoor al fouten zullen maken, met alle kosten van dien.

Ik heb het onlangs nog van dichtbij gezien; een service die wij gebruikten als input voor ons systeem heeft enige tijd plat gelegen. Om toch door te kunnen hebben we de tijd overbrugd met een uitzendkracht. Dat ging best OK, maar kostte natuurlijk wel veel geld en de input kwam vertraagd binnen.

Wat ik maar wil zeggen: input in welke vorm dan ook levert risico's op en je wil die risico's afdekken op een manier die zich verhoudt tot het effect. Maar heel zelden is dat te rechtvaardigen door het compleet gescheiden te houden van de buitenwereld. Doorgaans zijn firewalls, virusscanners, en andere protocollen voldoende.

Vergelijk het met je huis. Ultiem veilig als je een flink alarmsysteem aanlegt, de hele straat afsluit en een blik bewakers opentrekt om alles nog in de gaten te houden. Maar dan lever je voor die veiligheid wel privacy, woongenot en een hoop geld in. Doorgaans nemen we dus genoegen met een slot op de deur.