Cyber Security voor Banken & verzekeraars

Voor een bank of verzekeraar is vertrouwen de kern van het product. Dat betekent dat de beveiliging van data, systemen en werkplek aan de kern van je propositie liggen. Vroeger betekende security vooral dat je mensen in je gebouwen zaten, met toegangscontrole en een zwaarbeveiligd bedrijfsnetwerk. Maar de omstandigheden zijn veranderd. Mensen werken steeds meer thuis en remote en ze gebruiken een groot aantal verschillende devices, waaronder ook privé-apparatuur. HR-dossiers, financiële data en klantgegevens zijn ineens in te zien vanaf keukentafel, koffiehuis of vakantie-adres.

Steeds meer van je infrastructuur staat daarnaast open naar de buitenwereld. SaaS-toepassingen en cloud-infra hebben geen ‘perimeter’ meer, je kunt daar geen ‘hek’ omheen zetten. Het openstellen van apps en data naar je klanten en medewerkers stelt ze ook open naar cybercriminelen. Dat is de reden dat financials de overstap aan het maken zijn van de ‘safe harbor’-aanpak naar ‘zero-trust security’, het paradigma waarbij iedere aanroep en iedere data-uitwisseling in principe verdacht kan zijn en geverifieerd moet worden. Of de gebruiker nu binnen je bedrijf is of erbuiten.

De techniek voor zero-trust beveiliging is er, maar het gebruikersgedrag blijft achter. Er is daarvoor veel meer communicatie en training nodig. Maar ook de regelgeving blijft achter, waardoor je enerzijds bezig bent met het afschermen van cloud-applicaties, bijvoorbeeld met multi-factor authentication (MFA) en anderzijds nog steeds moet voldoen aan de beveiligingseisen die DNB stelt aan je thuisnetwerk. Dit vraagt om creativiteit. En dat is echt een andere manier van naar security kijken.

Het maken van nieuw beleid is belangrijk. Mogen mijn mensen vanuit het buitenland bij hun data? Welke data mogen landsgrenzen over of de EU uit en welke niet? Welke medewerkers kunnen thuiswerken? Welke data moeten (nog) on-premises blijven? Maar het is nog belangrijker om de focus van security te verschuiven van afschermen, bijvoorbeeld met firewalls en antivirus, naar anticiperen, detecteren en reageren. Vreemde datastromen, van buiten naar binnen, maar ook intern in je organisatie, moeten meteen gesignaleerd worden. Wat dat betreft zitten de meeste financiële instellingen nog midden in het leer- en adoptieproces.