Belangrijkste punten
- Mobiele risico’s draaien steeds vaker om blootstelling van gegevens: de grootste dreigingen van vandaag hebben te maken met hoe informatie wordt benaderd, gedeeld en verloren raakt, niet met hoe devices worden gebruikt.
- Volledige controle over een device is niet altijd passend: bij persoonlijke devices en devices voor gemengd gebruik is het onpraktisch en impopulair om alles op slot te zetten.
- Informatiegerichte controles beschermen gegevens overal: de aandacht verschuift naar het beveiligen van informatie, ongeacht wie eigenaar is van het device.
- Deze verschuiving verandert governance en vertrouwen: verantwoordelijkheid, privacyverwachtingen en handhavingsmodellen veranderen allemaal mee.
- Succes hangt af van afstemming met gebruikers: strategieën werken het best wanneer de doelen voor gegevensbescherming aansluiten op de manier waarop gebruikers echt werken.
Iedereen heeft tegenwoordig een telefoon, van jong tot oud. En hoewel dat nu “normaal” lijkt, was dat enkele jaren geleden nog niet zo. Het gebruik van mobiele telefoons, zeker in een professionele omgeving, werd pas echt populair toen hybride werken gemeengoed werd. Destijds waren traditionele modellen voor mobiele beveiliging gebouwd rond controle over het device – uiteraard in de veronderstelling dat de organisatie zowel de hardware als het risico in handen had. (Daar gaan we dieper op in in dit artikel: Verwachtingen rond hybride werken versus de realiteit van IT: nieuw rapport legt scherpe bevindingen bloot).
Maar nu BYOD-beleid voortdurend evolueert, klopt die aanname niet meer in moderne MSP’s. IT-experts merken dat naarmate eigendoms- en gebruikspatronen veranderen, een device volledig vergrendelen (bijvoorbeeld) niet altijd het juiste antwoord is. Dat heeft geleid tot een subtiele verschuiving richting strategieën voor mobile information governance, waarbij de bescherming van de gegevens die er echt toe doen voorop staat, waar die gegevens zich ook bevinden.
Waarom controle gericht op het device tekortschiet
Volledige controle over een device werkt het best wanneer een organisatie eigenaar is van de hardware en bepaalt hoe die wordt gebruikt. Dat is logisch: u kunt alleen beheersen wat u zelf bezit.
En toch hoeven we alleen maar naar moderne bedrijven te kijken om te zien waar de eerste barsten ontstonden. Devices in persoonlijk eigendom brachten privacyzorgen met zich mee, omdat gebruikers niet wilden dat hun werkgever hun foto’s, berichten of persoonlijke apps beheerde. Devices voor gemengd gebruik maakten die grenzen nog vager en maakten het bijzonder lastig, zo niet onmogelijk, om strikte controles af te dwingen zonder het dagelijkse gebruiksgemak aan te tasten. Daar komt bij dat regionale wet- en regelgeving kan beperken wat organisaties mogen monitoren of beheren op persoonlijke endpoints. (Bekijk Een uitgebreide gids voor de bescherming van klantgegevens voor een diepgaandere bespreking.)
In deze scenario’s zorgt handhaving op deviceniveau vaak voor wrijving. Gebruikers verzetten zich ertegen, de adoptie daalt en IT-teams besteden meer tijd aan het afhandelen van klachten dan aan het verminderen van echte risico’s.
Informatie als het werkelijke risico-oppervlak
Wanneer zich mobiele incidenten voordoen, wordt de schade zelden veroorzaakt door het device zelf (hoewel dat wel degelijk gebeurt). Vrijwel altijd hangt die samen met wat er gebeurt met de gegevens die misbruikt zijn – bekijk onze IT Horror Stories maar eens om te zien hoeveel bedrijven dit hebben meegemaakt.
Gevoelige of persoonlijk identificeerbare informatie kan door de verkeerde app worden benaderd, via onbeveiligde kanalen worden gedeeld en op het dark web worden verkocht of verloren gaan wanneer een device van eigenaar wisselt. Die risico’s bestaan ongeacht of het device volledig vergrendeld is of licht beheerd wordt. Door u op informatie te richten in plaats van op hardware, pakt u het echte probleem aan in plaats van de symptomen.
Door te beschermen hoe gegevens worden benaderd, opgeslagen en gedeeld, kunnen organisaties hun blootstelling verkleinen, zelfs wanneer ze het endpoint niet volledig in handen hebben.
Waar informatiegerichte governance de nadruk op legt
Modern beheer van mobiele informatie vraagt om stevigere datagovernance. In plaats van het device zelf te beheersen, sturen IT-leiders op de manier waarop zij relevante (en zakelijke) gegevens beheren. Het doel is het risico te verkleinen zonder het hele device over te nemen.
- Werkgegevens beschermen in plaats van het hele device: beleid wordt toegepast op de bedrijfsinformatie zelf, zoals bedrijfsbestanden, e-mails of apps. Zo kunnen organisaties beveiligen wat ertoe doet zonder persoonlijke gegevens aan te raken.
- Bepalen hoe gegevens worden benaderd: regels leggen vast wie werkgegevens mag openen, onder welke voorwaarden en vanuit welke apps. Dat helpt ongeautoriseerde toegang te voorkomen, zelfs als het device zelf niet strak vergrendeld is.
- Beperken hoe gegevens worden gedeeld of gekopieerd: informatiegerichte controles kunnen acties beperken zoals het kopiëren van gegevens naar persoonlijke apps of het delen ervan via onbeveiligde kanalen. Dat vermindert onbedoelde lekken zonder normaal devicegebruik te blokkeren.
- Werk- en privé-inhoud scheiden: bedrijfsgegevens blijven binnen vastgelegde grenzen, terwijl persoonlijke inhoud privé blijft. Die scheiding is cruciaal om het vertrouwen van gebruikers te behouden, zeker op devices in persoonlijk eigendom.
- Beleid consistent toepassen op alle devices: omdat de controles de gegevens volgen, gelden dezelfde regels of de gebruiker nu een telefoon, tablet of een ander endpoint gebruikt. Daarmee wordt governance voorspelbaarder en eenvoudiger te beheren.
- De verantwoordelijkheid verschuiven naar governance in plaats van blokkades: beveiliging draait om heldere regels, eigenaarschap en data lifecycle management in plaats van harde technische beperkingen. Teams richten zich meer op het bepalen van wat er moet gebeuren dan op het afdwingen van wat gebruikers niet mogen.
Deze aanpak maakt device management niet overbodig, maar verlegt wel het zwaartepunt. Het device wordt de houder, terwijl de gegevens de prioriteit worden.
Overwegingen rond vertrouwen, privacy en UX
Informatiegerichte strategieën werken alleen als gebruikers ze begrijpen. Een effectief datagericht beveiligingsmodel is een model waarin alle partijen weten wat er wordt beschermd en welke gegevens precies worden gemonitord.
Daarom is het cruciaal dat uw IT-organisatie duidelijk communiceert over vertrouwen, privacy en UX. Gebruikers moeten weten welke gegevens onder het beleid vallen, waarom dat belangrijk is en wat de organisatie wel en niet kan zien. Wanneer persoonlijke inhoud echt met rust wordt gelaten en beleid zich consistent gedraagt, zijn gebruikers veel eerder bereid mee te werken.
Slechte communicatie kan daarentegen zelfs de beste technische controles ondermijnen en leiden tot shadow IT of het ontwijken van beleid.
Wanneer een informatiegerichte aanpak passend is
Voor alle duidelijkheid: informatiegerichte benaderingen zijn niet altijd passend, zeker niet voor bedrijven met strikte regels over het type hardware dat hun medewerkers gebruiken – denk aan sterk gereguleerde sectoren waar het gebruik van persoonlijke devices voor bedrijfskritische gegevens sterk wordt afgeraden. Ze zijn ook ineffectief wanneer devices één vast doel dienen, zoals een POS-systeem of een kiosk. In die scenario’s is volledige controle over het device noodzakelijk.
Dat gezegd hebbende zijn deze strategieën erg populair in omgevingen waar eigendom en gebruik van devices gemengd zijn. Ze zijn vooral effectief wanneer:
- Medewerkers persoonlijke devices voor werk gebruiken (BYOD): wanneer gebruikers zelf eigenaar zijn van hun telefoon of tablet, is volledige controle over het device vaak niet acceptabel. Door in plaats daarvan werkgegevens te beschermen, verkleinen organisaties het risico zonder de persoonlijke levenssfeer te schenden.
- Externe of tijdelijke medewerkers toegang nodig hebben: externe gebruikers hebben vaak beperkte toegang tot specifieke informatie nodig. Met gegevensgerichte controles verleent u die toegang eenvoudiger zonder brede devicerechten weg te geven.
- Werk en privégebruik nauw verweven zijn: veel gebruikers wisselen de hele dag tussen privé- en werk-apps. Informatiegerichte controles maken die flexibiliteit mogelijk en beschermen tegelijk gevoelige bedrijfsgegevens.
- De gevoeligheid van gegevens per rol verschilt: niet elke gebruiker heeft toegang nodig tot hetzelfde informatieniveau. Governanceregels kunnen zich aanpassen aan rol, context of risico in plaats van elk device gelijk te behandelen.
De belangrijkste conclusie is dat geen enkele strategie in elke situatie past. De meest effectieve programma’s voor beveiliging van mobiele devices stemmen de aanpak af op het eigendomsmodel, de verwachtingen van gebruikers en het risico in de praktijk, in plaats van overal hetzelfde controlemodel op te leggen.
Veelvoorkomende valkuilen bij governance
Omdat deze strategieën sterk afhangen van uw use case, vraagt u zich misschien af welke u voor uw specifieke behoeften moet invoeren. Van strategie veranderen kan immers nieuwe uitdagingen met zich meebrengen als het niet zorgvuldig gebeurt.
Enkele veelvoorkomende uitdagingen waar organisaties tegenaan lopen:
- Aannemen dat informatiecontroles alle devicerisico’s wegnemen: gegevens beschermen is cruciaal, maar devices doen er nog steeds toe. Als teams apparaatgezondheid, toegangspaden of basale beveiligingshygiëne negeren, ontstaan er blinde vlekken, zelfs met sterke gegevenscontroles.
- Onduidelijke verantwoordelijkheid voor eigenaarschap en lifecycle van gegevens: als niet duidelijk is wie eigenaar is van bedrijfsgegevens, wie toegang mag goedkeuren of wie verantwoordelijk is voor opschonen en intrekken, wordt handhaving inconsistent. Daardoor ontstaat vaak een kloof tussen beleid en praktijk.
- Te veel beloven op het gebied van privacy: gebruikers vertellen dat persoonlijke gegevens onaangeroerd blijven werkt alleen als het beleid zich ook precies zo gedraagt. Voelen de controles indringend of onvoorspelbaar aan, dan loopt u het risico het vertrouwen van medewerkers razendsnel te verliezen.
- De verschuiving als puur technisch behandelen: een strategiewijziging vraagt om geactualiseerd beleid, heldere communicatie en overeenstemming tussen IT, security en de business over hoe met gegevens moet worden omgegaan.
In de praktijk staat of valt information governance net zozeer met mensen en processen als met technologie. Duidelijke verwachtingen, gedeelde verantwoordelijkheid en eerlijke communicatie wegen net zo zwaar als de controles zelf.
Goed beheer van mobiele informatie in stand houden
Nu mobiele omgevingen blijven veranderen, stappen veel organisaties af van volledige controle over het device en richten ze zich op het beschermen van de informatie zelf. Die verschuiving weerspiegelt veranderingen in eigendom, privacyverwachtingen en risico’s in de praktijk. Door te begrijpen waarom deze overgang plaatsvindt, kunnen teams beveiligingsstrategieën kiezen die praktisch zijn, vertrouwen wekken en aansluiten bij de manier waarop mensen echt werken.
Gerelateerde onderwerpen:
