‘Opzetten van beveiliging is niet ingewikkeld’

Security is een zeer belangrijk thema in de ICT. Soms wordt deze discussie over beveiliging echter ingewikkelder gemaakt dan eigenlijk nodig is. Dat bleek tijdens de onlangs gehouden ‘GIS Tech 2014’. Tijdens deze conferentie demonstreerden Ernst Bostelaar en Theo Michielse, respectievelijk system architect en business consultant bij de leverancier van GIS-software Esri Nederland, een pragmatische aanpak waarmee een goede balans kan worden gevonden tussen veiligheid, functionaliteit en kosten.

Regelmatig verschijnen berichten in de media over gegevens die ‘op straat’ gevonden zijn en over gevoelige gegevens die een cybercrimineel via een eenvoudige inbraakactie kon ‘meenemen’. Cloud computing is in opmars en met tal van nieuwe mogelijkheden nemen ‘dus’ ook de risico’s rond informatiebeveiliging toe. Ernst Bostelaar is er duidelijk over: “Het delen van geo-informatie vanuit de cloud, met bijvoorbeeld ArcGIS Online, is een mooie oplossing. Om het veilig te maken zodat maximaal van de voordelen kan worden geprofiteerd moet je natuurlijk wel goed nadenken over wie je toegang geeft tot welke gegevens.”

Magische driehoek

Het startpunt bij het aan de slag gaan met security zijn twee vragen: ‘Wat willen we beveiligen?’ en: ‘Hoe gaan we die beveiliging vervolgens opzetten?’. Theo Michielse legt uit: “De antwoorden op deze vragen moeten afgezet worden tegen de ‘magische driehoek’ van de security: het spanningsveld tussen de mate van beveiliging, de bruikbaarheid en de kosten van het systeem. Er moet meestal een balans worden gevonden, want én veilig én functioneel én goedkoop zal niet altijd haalbaar zijn.”

Prijskaartje

Op basis van een risicoanalyse kan in termen van beschikbaarheid, integriteit en vertrouwelijkheid het gewenste niveau van informatiebeveiliging worden bepaald. Er moet worden geïnvesteerd om te zorgen dat alleen geautoriseerde personen toegang krijgen en dat vertrouwelijke gegevens niet uitlekken. Aan een stabiel systeem met gegarandeerd constante 24/7-beschikbaarheid hangt een prijskaartje. Investeren in aanvullende beveiligingsmaatregelen is niet altijd nodig, want er zijn vaak al heel wat voorzieningen ‘in huis’. Het gaat er dan vooral om dat kennis wordt opgedaan van beveiliging en de toepassing van die kennis in het project. Beveiligingsrisico’s zijn beheersbaar door de security goed te testen.

Eigen infrastructuur of in de cloud

System architect Bostelaar laat een plaatje zien van een uitgewerkt scenario. “Onderin zijn informatiebronnen zichtbaar. Dat zijn in de wereld van Esri: gegevens en kaarten. In het midden staan manieren om deze uit te wisselen: services die een kaart of een analyse maken. Bovenaan staan de gebruikers, die overal, altijd en met elk soort apparaat informatie willen opvragen. Daarbij kan het HTTPS-protocol worden gebruikt om te zorgen dat vertrouwelijke gegevens versleuteld worden verstuurd.”

Bostelaar legt uit dat de robuuste onderkant van deze architectuur met data en services de eigen infrastructuur van een organisatie kan zijn, maar dat deze ook in de cloud kan staan, waarmee een deel van het beheer uit handen is genomen.

Authenticatie en autorisatie

Bij het gebruik van services wordt eerst de identiteit van de gebruiker bepaald, zegt Bostelaar: “Wie ben je en wat mag je doen? Vaak wordt gekozen om authenticatie door een webserver uit te laten voeren, zodat single sign-on mogelijk wordt. Autorisatie gaat over de vraag wat iemand mag. Een gebruiker heeft een bepaalde rol en zo wordt bepaald of toegang wordt verleend.” Michielse vult aan: “Dat zien we in zowel ArcGIS Online als bij server-oplossingen: gebruikers worden ingedeeld in groepen. Zo kun je heel eenvoudig een kaart beschikbaar stellen aan een bepaalde afdeling binnen de eigen organisatie.”

Wie beheert toegang?

De zogenoemde ‘identity store’ is voor ArcGIS for Server de plek waar gebruikers en rollen worden beheerd. Soms wordt er voor gekozen om een GIS-applicatiebeheerder verantwoordelijk te maken voor het beheer hiervan. Dit biedt de afdeling dan de flexibiliteit om snel een nieuwe gebruiker of rol aan te laten maken die alleen voor GIS relevant is. Zo kan een login worden gemaakt om medewerkers van een externe partij toegang te geven tot een voor hen bedoelde ‘map service’. Een andere mogelijkheid is om gebruik te maken van de centrale Active Directory of LDAP-server van de organisatie. In dat geval zal een systeembeheerder vanuit de IT-afdeling verantwoordelijk zijn voor het beheer van deze centrale plek met gebruikers en rollen.

Beveiliging van gegevens

De gegevens die we buiten de organisatie beschikbaar willen stellen, kunnen voor dit doel in de cloud veilig worden beheerd. Datasets die bedoeld zijn voor extern gebruik, worden dan gekopieerd naar de cloud. Gegevens kunnen natuurlijk ook vanuit de eigen organisatie naar buiten worden gepubliceerd. Vaak wordt dan gekozen om te werken met een interne en een externe server. Door verder met twee verschillende (geo)databases te werken, is de interne data gescheiden van de externe data. Technisch is geregeld dat de externe server geen toegang heeft tot de (geo)database met interne gegevens. Software als ArcGIS biedt een replicatiemechanisme dat ervoor zorgt dat extern opgevraagde gegevens altijd up-to-date zijn.

Best eenvoudig

De stapsgewijze uitleg van system architect Ernst Bostelaar en business consultant Theo Michielse maakt duidelijk dat het opzetten van beveiliging niet erg ingewikkeld hoeft te zijn. “Als we vooraf maar goed nadenken over de wensen, een ontwerp maken en alles toetsen. Het is vooral een kwestie van vertrouwd worden met de voorzieningen van het platform en deze op de juiste manier toepassen.”