‘Security cloudleveranciers staat of valt met keten’

Nu steeds meer bedrijven hun IT bij cloudleveranciers onderbrengen, verschuift een belangrijk deel van de inrichting en uitvoering van beveiliging naar deze partijen. “Maar beveiliging kent diverse specialismen. Datacenters gebruiken daarom gespecialiseerde partners om de veiligheid van data van klanten te garanderen”, aldus Jeroen Renard, Security Officer van Previder.

Voor de meeste organisaties is het optimaal beschermen van bedrijfskritische IT-oplossingen in eigen beheer praktisch ondoenlijk. De vereiste expertise, zowel in het digitale domein als de fysieke wereld, is zo specifiek en daarmee zo kostbaar, dat als beveiliging geen kernactiviteit is, uitbesteding verstandiger is. “Voor datacenters geldt dit tot op zekere hoogte hetzelfde”, zegt security officer Jeroen Renard van Previder. “Zij richten zich op het leveren van infrastructuur-, cloud- en IT-diensten. Security is daar onderdeel van, maar is niet per definitie hun specialisme. Het is daarom beter om, waar nodig, partners in te schakelen. De specifieke kennis die zij toevoegen aan de beveiligingsketen van datacenters bepaalt uiteindelijk de sterkte van de algehele security.”

Fysieke beveiliging

Hoewel ‘cloud’ nogal zweverig klinkt, is een datacenter uiteindelijk niets meer dan een goed beveiligd pakhuis met heel veel servers op een fysieke locatie. De eerste schakel in de beveiligingsketen bestaat daarom uit het controleren van fysieke toegang. Van hekken, deuren en sloten, tot een bewaker die controleert of er geen ongeautoriseerde personen toegang krijgen tot een datacenterlocatie. “Vooral dit laatste vereist professionele partners en niet zomaar werknemers van datacenters. Voor een goede fysieke beveiliging is het van belang dat altijd de juiste protocollen worden gevolgd en dat de beveiligers gecertificeerd zijn. Deze werkzaamheden passen meestal niet binnen de bedrijfscultuur van datacenters”, stelt de security officer van de datacenter- en cloudspecialist.

Stroomuitval en brand

Stroomvoorziening is de levensader van datacenters en dus kan een grote storing ernstige gevolgen hebben voor de dienstverlening van klanten. Noodstroomvoorziening in de vorm van accu’s en aggregaten, veelal dubbel uitgevoerd, garandeert dat datacenters in de lucht kunnen blijven bij een stroomuitval. Deze voorzieningen moeten regelmatig door partners worden getest en onderhouden. “Ook zijn er goede afspraken met toeleveranciers noodzakelijk, zoals voor het leveren van de diesel voor de backup-generatoren. Bij een langdurige stroomstoring moet de dieselvoorraad immers tijdig weer worden aangevuld.”, zegt Renard. “Een ander risico is brand. Argon-blussing is hier de standaard. Bij incidenten wordt dit gas met hoge druk in de datacenters geblazen om het vuur te doven. Omdat dit edelgas chemisch nergens mee reageert, is het onschadelijk voor de apparatuur en het personeel. De kosten voor een dergelijke blussing zijn hoog, en deze systemen worden dan ook regelmatig door de toeleveranciers getest om fouten te voorkomen.”

Hackers en pentesting

Een probleem van software is dat er vrijwel altijd zwakheden in de beveiliging te vinden zijn. Hackers proberen continu kwetsbaarheden in software bloot te leggen om deze mogelijk te misbruiken. Het goed bijhouden van beveiligingsupdates is daarom zeer belangrijk, vindt de security officer van Previder. “Pentesting door een externe partij is een uitstekend middel om de beveiliging van een infrastructuur te controleren. Pentesters zijn ethische hackers die hun security-kennis en hackvaardigheden op aanvraag voor klanten toepassen om zwakheden te ontdekken voordat kwaadwillende hackers dit doen. Datacenters schakelen vaak zelf pentesters in, maar klanten die hun eigen infrastructuur beheren, zouden dit ook moeten doen. Externe gespecialiseerde partijen die de beveiliging controleren, kunnen vervolgens gaten in de beveiliging vinden en dichten voordat ze daadwerkelijk worden misbruikt.”

Bescherming DDoS-aanvallen

De infrastructuur van datacenters vormt vanzelfsprekend een aantrekkelijk doelwit voor hackers en andere kwaadwillenden. Deze infrastructuur, maar ook die van klanten, wordt regelmatig met Distributed Denial of Service (DDoS)aanvallen of gerichte digitale inbraakpogingen bestookt. “DDoS-aanvallen zijn een veel voorkomende techniek om IT-infrastructuren plat te leggen door er grote volumes dataverkeer heen te sturen. Gelukkig zijn daarvoor dienstverleners als de Nationale anti-DDoS Wasstraat waar datacenters gebruik van kunnen maken. Deze instantie kan DDoS-verkeer realtime omleiden, waardoor de dienstverlening niet wordt verstoord.”

Klantspecifieke firewalls

Firewalls bestaan al sinds eind jaren ‘80 en hebben sindsdien al vele evoluties doorgemaakt. De huidige generatie kan dataverkeer op verschillende netwerkniveaus controleren en heeft geavanceerde technieken om netwerkverbindingen te beveiligen. “Datacenters leveren meestal diverse varianten, afhankelijk van de wensen van de klanten. Zo zijn er op zichzelf staande firewalls met een specifieke configuratie, maar ook geavanceerde varianten die volledig door cloudleveranciers worden beheerd. Fortigate biedt bijvoorbeeld een firewall-oplossing, die door datacenters ‘managed’ aan klanten kan worden doorgeleverd. Zij profiteren hiermee van de kennis en ervaring die datacenters hebben opgebouwd bij het inrichten en beheren ervan. Vaste security-leveranciers zijn essentieel om het maximale uit de gebruikte oplossingen te halen, en een veilige en betaalbare dienst te kunnen leveren”, aldus Renard.

Datacenters hebben meestal een Security Operations Center (SOC), ofwel een centrale afdeling die continu de beveiliging van de infrastructuur en het dataverkeer bewaakt. In dit centrale zenuwstelsel komen alle security-operaties bij elkaar, en staat een team van specialisten 24/7 klaar om in te grijpen bij incidenten. Dat team gebruikt hierbij ook informatie van security-leveranciers, die wereldwijde trends in netwerkstoringen en cyberaanvallen delen. Dit geeft het SOC inzicht in het wereldwijde cybersecurity-landschap, wat helpt bij het beschermen van de eigen infrastructuur en die van klanten.

Kennisdeling en transparantie

“Samenwerking en kennis delen met IT-partners is cruciaal voor datacenters en cloudleveranciers. Niet alleen om hun kennis over de gebruikte oplossingen op peil te houden, maar ook om gezamenlijk de markt op te gaan”, stelt Jeroen Renard. “Denk hierbij aan kennissessies en het organiseren van evenementen, maar ook aan samenwerking bij projecten. Eindklanten hebben veel behoefte aan kennis en advies over security, en dat is dus een ideale gelegenheid om hen te informeren over de werking en het optimaal inzetten van security-oplossingen. Wees altijd transparant over security, want dit schept vertrouwen. Geef informatie over de gebruikte beveiligingstechnologie, maar ook over fysieke controle en procedures, technische configuraties en ontdekte zwakheden of bugs in software. Door te laten zien dat je hier als dienstverlener continu mee bezig bent, krijgen klanten nooit het gevoel dat de veiligheid van hun IT-oplossingen en data in het geding zijn”, zo besluit de security officer van Previder

Op de hoogte blijven van ontwikkelingen in de IT-branche? Meld je nu gratis aan voor het kennisnetwerk en ontvang blogs, uitnodigingen voor roundtables en webinars.






Jeroen Renard

Jeroen Renard is Security Officer bij de Odin Groep en Previder. Voorafgaand aan deze functie heeft hij onder meer ruim 15 jaar als IT auditor gewerkt bij grotere accountantskantoren. Het adviseren over, en uitdragen van security standaarden binnen de organisatie maakt het werk leuk en het is voor Jeroen een uitdaging om veranderingen te brengen waar het moet en ondersteunend te zijn waar het kan.



Blijf op de hoogte!

Wil jij op de hoogte blijven van vacatures, traineeships en loopbaanontwikkeling?
Meld je dan aan voor de nieuwsbrief.

aanmelden