De meeste organisaties pakken mobiele beveiliging op de verkeerde manier aan. Ze beginnen bij het apparaat – welk model, welk besturingssysteem, welk MDM-platform – en werken van daaruit terug. Het resultaat is een lappendeken van beveiligingsmaatregelen die zijn aangebracht op consumentenhardware die nooit is ontworpen voor de bedreigingsomgeving waarin deze wordt gebruikt.
Het juiste uitgangspunt is niet het apparaat zelf, maar de vraag: wat moet dit apparaat beschermen, tegen wie en onder welke omstandigheden? Het antwoord op die vraag bepaalt de architectuur, en de architectuur bepaalt het apparaat. Deze verschuiving in het denkkader vormt het verschil tussen mobiele beveiliging als productbeslissing en mobiele beveiliging als strategische beslissing.
Waarom reactieve beveiliging niet meer werkt
De bedreigingsomgeving is sneller veranderd dan de meeste beveiligingsstrategieën zich hebben kunnen aanpassen. Zero-click-exploits brengen zelfs volledig bijgewerkte apparaten in gevaar zonder enige interactie van de gebruiker. Deepfake-phishingaanvallen zijn steeds moeilijker te onderscheiden van legitieme communicatie. Door de staat gesteunde actoren richten zich specifiek op de persoonlijke apparaten van werknemers, juist omdat die apparaten zich buiten de beveiligingsperimeter bevinden waarin organisaties hebben geïnvesteerd.
Standaardbeveiligingsmaatregelen – zoals MDM, antivirussoftware en bewustwordingstrainingen – zijn gericht op bekende aanvalspatronen op apparaten die niet zijn ontworpen voor omgevingen met hoge beveiligingseisen. Ze zijn noodzakelijk, maar helaas niet toereikend. De kloof tussen wat deze maatregelen bieden en wat geavanceerde aanvallers kunnen doen, wordt steeds groter, en organisaties die zich niet bewust zijn van die kloof lopen een niet-kwantificeerbaar risico.
Vier filosofieën, vier zekerheidsniveaus
Mobiele beveiliging is geen kwestie van één enkele beslissing. Verschillende organisaties hebben te maken met verschillende bedreigingen, en verschillende functies binnen dezelfde organisatie brengen verschillende risico’s met zich mee. In de praktijk betekent dit dat er geen pasklare oplossing bestaat; er is een breed spectrum, variërend van basisbeveiliging voor berichtenverkeer tot bescherming op hardwareniveau voor de meest gevoelige omgevingen.
- Het eerste niveau bestaat uit een apparaat voor consumenten waarop een beveiligde berichtenapp is geïnstalleerd. End-to-end-versleuteling voorkomt afluisteren van de communicatie, maar er is geen controle over het onderliggende apparaat, het besturingssysteem en de app-omgeving. Dit volstaat voor persoonlijk gebruik met weinig gevoelige informatie, maar is niet geschikt voor communicatie binnen organisaties waarbij gevoelige gegevens betrokken zijn.
- Het tweede niveau voegt apparaatbeheer op bedrijfsniveau toe: een MDM- of EMM-platform dat configuratiebeleid afdwingt, de toegang tot applicaties beheert en integreert met de identiteitsinfrastructuur van het bedrijf. Hiermee wordt het configuratie- en beleidsprobleem aangepakt, want het apparaat wordt nu wel beheerd, maar is nog niet beveiligd.
- Het derde niveau is een volledig gestuurde architectuur op het classificatieniveau „Restricted“. Dit houdt in: een gehard besturingssysteem, een strikt gerouteerde, permanent actieve VPN en volledig apparaatbeheer; dit alles draait op gecertificeerde hardware. De beveiligingseigenschappen van het apparaat worden niet alleen bepaald door softwarebeleidsregels, maar ook door de architectuur van de stack zelf. Dit is het niveau dat vereist is voor organisaties die echt gevoelige informatie verwerken in het kader van NIS2, EU Restricted of gelijkwaardige kaders.
- Het vierde niveau biedt op hardware gebaseerde beveiliging en een architectuur met twee besturingssystemen voor classificatie op het niveau ‘Confidential’. Geclassificeerde en bedrijfsomgevingen worden op hardwareniveau gescheiden, met geverifieerde opstartprocedure en cryptografische beveiliging op elke laag. Dit is de architectuur voor defensie, nationale veiligheid en bescherming op topniveau tegen gerichte, door staten gesteunde bedreigingen.
Zero Trust is geen product. Het is een principe.
Op alle vier de niveaus geldt hetzelfde uitgangspunt: geen enkel apparaat, geen enkele gebruiker en geen enkele netwerkverbinding mag standaard als betrouwbaar worden beschouwd. Zero Trust toegepast op mobiele apparaten houdt in dat de integriteit van het apparaat, de identiteit van de gebruiker en de netwerkcontext voortdurend worden gecontroleerd voordat toegang tot welke bron dan ook wordt verleend. Dit betekent dat een apparaat dat verbinding maakt vanuit een onbekend netwerk anders wordt behandeld dan een apparaat dat verbinding maakt vanuit een bekende omgeving, en dat het beleid dat dit afdwingt technisch van aard is, en niet procedureel.
Dit is van belang omdat de perimeter in feite niet meer bestaat. Een apparaat dat vanuit een hotel in Brussel toegang krijgt tot bedrijfssystemen bevindt zich in dezelfde beveiligingssituatie als een apparaat dat verbinding maakt vanuit een coworkingruimte in Amsterdam. De toegangscontroles moeten deze realiteit weerspiegelen.
Hoe dit er in de praktijk uitziet
Secure Mobile Sentyron is opgebouwd rond deze ‘architectuur-eerst’-benadering. In plaats van één enkel apparaat of platform aan te bieden, biedt het vier oplossingen die zijn afgestemd op de vier hierboven beschreven zekerheidsniveaus: Secure Messaging voor organisaties die soevereine, versleutelde communicatie nodig hebben zonder hun apparaatpark te vervangen; Mobile Trusted voor gecertificeerde, veilige communicatie op vertrouwde Android-hardware zonder vendor lock-in; Mobile EMM voor organisaties die gecertificeerde mobiele beveiliging nodig hebben die volledig is geïntegreerd in de bestaande bedrijfsinfrastructuur; en Mobile Mission voor de hoogste vertrouwelijkheidseisen, met door hardware afgedwongen domeinscheiding op speciaal voor dit doel gebouwde apparaten.
De juiste oplossing hangt af van wat u wilt beveiligen, tegen wie u het wilt beveiligen en binnen welke operationele beperkingen uw organisatie opereert. Die vragen moeten eerst worden beantwoord voordat er over producten kan worden gesproken.
De kwestie van de volwassenheid
De meeste organisaties bevinden zich ergens tussen niveau één en niveau twee op het hierboven beschreven spectrum. Veel organisaties hebben MDM nog niet consequent geïmplementeerd voor hun gehele apparaatpark, en sommige beschikken helemaal niet over een architectuur voor mobiele beveiliging.
De weg vooruit betekent niet dat je meteen naar het hoogste beveiligingsniveau moet springen. Het vereist een eerlijke beoordeling van waar je nu staat, hoe de realistische dreiging voor je organisatie eruitziet en wat de volgende concrete stap is. Voor de meeste organisaties is die stap het opzetten van een beheerde basis: apparaatbeheer, eindpuntbeveiliging en verplichte versleuteling op alle bedrijfsapparaten.
Vanuit die basis kan de architectuur verder worden uitgebouwd tot het beveiligingsniveau dat de dreigingsomgeving en het regelgevingskader daadwerkelijk vereisen. NIS2 heeft dat kader expliciet vastgelegd. De achttien kritieke sectoren die nu onder het toepassingsgebied vallen, zijn wettelijk verplicht om maatregelen te nemen met betrekking tot mobiele communicatiemiddelen. De organisaties die deze verplichting zien als een drijfveer voor daadwerkelijke verbetering van hun architectuur, in plaats van als een formaliteit die ze moeten afvinken, zullen daadwerkelijk veilig zijn.