Belangrijkste punten
- Een “secure browser” en een “enterprise browser” zijn niet hetzelfde en als u de verkeerde kiest voor uw behoeften, verspilt u budget en ontstaan er beveiligingsproblemen.
- De browser is tegenwoordig het belangrijkste aanvalsvlak binnen de enterprise, maar de meeste organisaties beschikken nog steeds niet over beveiligingsmaatregelen op sessieniveau.
- Er zijn vier benaderingen voor browserbeveiliging (beheer van bestaande browsers, extensies, RBI en enterprise browsers) en de meeste organisaties hebben er meer dan één nodig.
- In de beveiligingspolicy van uw browser moet het probleem worden omschreven voordat u een aanbieder of product gaat beoordelen.
- De juiste strategie stemt elke tool af op een specifieke gebruikersgroep en een specifiek risiconiveau, in plaats van één enkele oplossing voor iedereen.
U heeft de termen “secure browser” en “enterprise browser” waarschijnlijk wel eens horen vallen tijdens een IT-vergadering of een bijeenkomst met aanbieders en u heeft zich wellicht wel eens afgevraagd of ze hetzelfde betekenen. Alle enterprises moeten toch wel een secure browser gebruiken, toch?
Nou, niet helemaal. Er zijn enkele nuances waarmee u rekening moet houden. In deze gids leggen we uit wat een secure browser is, hoe deze verschilt van een enterprise browser en hoe u kunt bepalen welke (of welke combinatie) uw organisatie werkelijk nodig heeft.
Waarom de browser tegenwoordig een beveiligingsrisico vormt
Nog niet zo lang geleden (of zo’n 40 jaar geleden, volgens CERN) zag het World Wide Web het levenslicht, en daarmee ook de browser, die in wezen niet meer was dan een ‘venster’ op het internet. Tegenwoordig is dit de plek waar de meeste van uw medewerkers het grootste deel van hun werk doen. Ze loggen in op SaaS-apps, verwerken persoonlijk identificeerbare informatie (PII), gebruiken AI-tools en verifiëren hun identiteit in financiële systemen. En dat allemaal binnen één browsertabblad.
Door deze verschuiving is de browser uitgegroeid tot de meest invloedrijke en tegelijkertijd het minst beveiligde programma binnen de enterprise. Een Senior Principal Analyst bij Gartner beschreef webbrowsers zelfs als de “belangrijkste toegangsmethode voor de meeste moderne bedrijfsapplicaties”, maar toch beschouwen veel organisaties ze nog steeds als passieve tools zonder policyhandhaving op sessieniveau. Traditionele firewalls en vroege VPN’s waren bijvoorbeeld nooit ontworpen om te zien wat er binnen een browsersessie gebeurt. Het is juist die blinde vlek waar aanvallers zich op richten.
Het aantal aanvallen via de browser neemt sterk toe. Alleen al dit jaar was er bij ongeveer 48% van de geanalyseerde incidenten sprake van activiteiten via de browser, volgens Palo Alto Networks. Erger nog: IT-experts constateren dat cybercriminelen organisaties nu vier keer sneller weten te infiltreren dan vorig jaar.
Het is duidelijk dat de browser de nieuwe perimeter is. De vraag is hoe u die kunt beveiligen.
Wat is een beveiligingspolicy voor browsers?
Voordat u producten met elkaar vergelijkt, is het handig om inzicht te krijgen in het concept dat de basis voor uw beslissing zou moeten vormen: een beveiligingspolicy voor browsers.
In wezen is een beveiligingspolicy voor browsers niets anders dan een reeks regels die bepaalt hoe browsers binnen uw organisatie worden geconfigureerd, gecontroleerd en gebruikt. Het behandelt zaken als welke browsers zijn goedgekeurd, hoe extensies worden beheerd, welke websites gebruikers mogen bezoeken, of persoonlijke synchronisatie is toegestaan, hoe downloads en uploads worden afgehandeld en wat er gebeurt als een gebruiker vanaf een niet-beheerd device toegang probeert te krijgen tot een gevoelige app.
Zonder deze policy kopen IT-teams vaak tools aan voordat ze het probleem duidelijk hebben omschreven. Het resultaat is ofwel over-engineering (zoals het inzetten van een volledige enterprise browser terwijl strengere Chrome-instellingen ook zouden hebben volstaan) ofwel under-engineering (zoals aannemen dat de ingebouwde browser prima is omdat “die door IT wordt beheerd”).
Secure browser versus enterprise browser
Hoewel de termen vaak door elkaar worden gebruikt, is een ‘secure browser’ niet hetzelfde als een ‘enterprise browser’.
Wat is een secure browser?
Een secure browser is in wezen een browser die beter is beveiligd tegen de gevaren van het open internet. De filosofie erachter is eenvoudig: Het internet is een vijandige omgeving en bij de ontwikkeling van de meeste browsers voor consumenten is geen rekening gehouden met blootstelling aan risico’s voor enterprises. Een secure browser lost dit op door dagelijks beschermingslagen in of rondom de browserervaring in te bouwen.
In de praktijk kan dit er als volgt uitzien:
- URL- en inhoudfiltering om de toegang tot bekende schadelijke of ongepaste websites te blokkeren.
- anti-phishingbeveiliging die waarschuwt voor diverse aanvallen op inloggegevens, zoals dumping van inloggegevens of credential stuffing.
- bescherming tegen malware om drive-by-downloads te voorkomen.
- beperkingen voor het downloaden en uploaden om te bepalen hoe bestanden binnen en buiten een browsersessie worden verplaatst.
- klembordbeperkingen om te voorkomen dat gevoelige inhoud op onbetrouwbare locaties wordt geplakt.
Belangrijk is dat een secure browser niet per se een apart product hoeft te zijn. Het kan een bestaande browser zijn, zoals Chrome of Edge, die is geconfigureerd en beveiligd met de beveiligingspolicy en waarvan de naleving wordt afgedwongen via een van de beste tools voor endpoint management. Toch is het belangrijkste onderscheidende kenmerk dat beveiligingsmaatregelen voor browsers voornamelijk naar buiten gericht zijn. Ze beschermen gebruikers tegen de inhoud op het internet en richten zich minder op het reguleren van wat gebruikers doen binnen de applicaties die ze gebruiken.
Wat is een enterprise browser?
Een enterprise browser is een veel ambitieuzer concept. Het beschermt gebruikers niet alleen tegen internetbedreigingen, maar verandert de browser zelf in een volledig beheerde enterprise-werkplek, waar IT-teams gecentraliseerde controle hebben over toegang, gegevensverkeer, sessiegedrag, de levering van applicaties en gebruikersactiviteiten.
Concreet kunnen enterprise browsers het volgende doen:
- kopiëren en plakken per toepassing beperken of toestaan.
- screenshots blokkeren die op besturingssysteemniveau worden afgedwongen (en niet alleen als policy-aanbeveling).
- weergegeven inhoud van een watermerk voorzien om ongeoorloofde screenshots te voorkomen.
- het downloaden en uploaden van bestanden beheren met gedetailleerde, contextgebaseerde regels.
- afdrukken beheren.
- extensies beheren.
- interne applicaties aanleveren zonder dat een VPN nodig is.
- met identiteitsproviders voor enterprises integreren, zoals Okta, om SSO en MFA te ondersteunen.
- als toegangsbeheerslaag fungeren voor externe medewerkers en BYOD-gebruikers die anders een VDI-sessie of VPN-verbinding nodig zouden hebben.
Deze mate van controle is echt krachtig, maar brengt (uiteraard) ook aanzienlijke nadelen met zich mee. Gartner schat dat momenteel minder dan 10% van de organisaties een beveiligde enterprise browser gebruikt. Dit heeft verschillende redenen, waaronder de noodzaak om gebruikers te laten overstappen van Chrome of Edge, browsers die veel medewerkers nu al gebruiken. Dit leidt niet alleen tot moeilijkheden bij de invoering, maar ook tot een grote financiële investering die vooraf nodig is, aangezien organisaties op grote schaal gratis consumentenbrowsers moeten vervangen door browsers met een licentie.
Waarom dit onderscheid in de praktijk van belang is
Inzicht in deze verschillen heeft directe gevolgen voor uw IT-budget, efficiëntie en workflows. Een bedrijf dat een enterprise browser inzet terwijl het eigenlijk secure-browserinstellingen nodig heeft, heeft het probleem te ingewikkeld gemaakt en onnodige hindernissen voor gebruikers gecreëerd. Aan de andere kant heeft een bedrijf dat genoegen neemt met het aanscherpen van zijn Chrome-policy terwijl het een enterprise browser nodig heeft voor zijn groep externe medewerkers, het probleem onvoldoende aangepakt en daardoor een reële blootstelling van gegevens in stand gehouden.
In de praktijk betekent dit dat de juiste vraag niet “Moet ik kiezen voor een secure browser of een enterprise browser?” is, maar: “Wat is eigenlijk het probleem dat ik probeer op te lossen?”
Als het antwoord luidt: “Onze gebruikers klikken op schadelijke links en we hebben geen inzicht in hun internetactiviteiten”, dan is een secure browser wellicht de betere keuze. Is uw antwoord daarentegen: “We hebben 500 externe medewerkers die vanaf niet-beheerde laptops toegang hebben tot klantgegevens, en we hebben geen controle op sessieniveau over wat ze doen”, dan is een enterprise browser een veel betere keuze.
Toch is het eerlijke antwoord in de meeste organisaties, ongeacht hun omvang, dat beide problemen zich voordoen bij verschillende gebruikers, devices en applicaties. Daarom wordt er in de meest doordachte beveiligingsstrategieën voor browsers meestal gekozen voor een combinatie van verschillende benaderingen in plaats van één enkele oplossing voor iedereen.
Even vergelijken
Secure browser | Enterprise browser | |
| Hoofddoel | Vermindert de blootstelling aan internetbedreigingen | Controleert de browser als een beheerde werkplek |
| Focus | Veiligere toegang tot het internet | SaaS-beheer, gegevensbescherming, sessiebeheer |
| Typische gebruikers | Internetgebruikers met een hoog risico, onderzoekers | Externe medewerkers, BYOD-gebruikers, gereguleerde teams, callcenters |
| Belangrijkste maatregelen | URL-filtering, het blokkeren van malware, bescherming tegen phishing en downloadbeperkingen | Regels voor kopiëren en plakken, het blokkeren van screenshots, watermerken, app-distributie, DLP |
| Impact op de gebruikerservaring | Matig: surfen voelt meestal veiliger aan, maar blijft vertrouwd. | Hoger: u moet mogelijk overschakelen naar een andere browser. |
| Vervangt het de huidige browser? | Niet per se | Waarschijnlijk wel, ja, vooral voor de doelgroep |
| De beste keuze | Wanneer het belangrijkste probleem onveilig surfgedrag is | Wanneer de browser de belangrijkste werkomgeving wordt |
Vier benaderingen voor browserbeveiliging
Er zijn vier belangrijke benaderingen op het gebied van browserbeveiliging en als u weet welke het beste aansluit bij uw specifieke zakelijke situatie, kunt u de juiste keuze maken.
Bestaande browsers beheren
Veel organisaties kunnen de beveiliging van hun browser aanzienlijk verbeteren zonder Chrome of Edge te vervangen. Als uw devices al worden beheerd via een MDM of Groepspolicy, kunt u automatische updates afdwingen, niet-ondersteunde browserversies blokkeren, extensies beheren, persoonlijke synchronisatie beperken, bedrijfsprofielen verplicht stellen en downloadregels instellen. En dat zonder een nieuw product.
Dit werkt goed wanneer devices volledig worden beheerd, er al voorwaardelijke toegang is ingesteld voor gevoelige apps en beveiligingsteams voldoende inzicht hebben in de browseractiviteit. Dit zorgt doorgaans voor de minste weerstand bij de invoering, omdat medewerkers de browsers blijven gebruiken die ze al kennen. Het enige “addertje onder het gras” is dat u gedisciplineerde workflows nodig hebt voor policy-handhaving, rapportage en herstel om ervoor te zorgen dat dit alles ook echt blijft werken.
Beveiligingsextensies voor browsers
Beveiligingsextensies voor browsers werken als een aanvulling op bestaande browsers en voegen een extra beveiligingslaag toe zonder dat u van browser hoeft te wisselen. Deze extensies bieden beveiligingsteams realtime phishingdetectie, DLP-maatregelen, inzicht in shadow SaaS, AI-gebruik, monitoring en browsertelemetrie.
Hun troeven zijn snelheid en flexibiliteit. Extensies kunnen sneller worden geïmplementeerd dan een volledige vervanging van de browser en zijn geschikt voor niet-beheerde en BYOD-devices zonder dat er endpoint-agents nodig zijn.
Extensies mogen echter niet worden beschouwd als een universele vervanging voor enterprise browsers. Ze hebben beperkingen wat betreft beveiligingsmaatregelen op besturingssysteemniveau, zoals het aanbrengen van watermerken of het blokkeren van screenshots.
Remote browser isolation (RBI)
Met remote browser isolation worden browseractiviteiten volledig buiten het device om uitgevoerd. Wanneer een gebruiker een website bezoekt, wordt de pagina uitgevoerd in een cloudgebaseerde container. Pas dan wordt er een veilige visuele stream naar het scherm van de gebruiker gestuurd. De eigenlijke webcode verschijnt nooit op het lokale scherm.
Hierdoor is RBI uiterst effectief tegen zero-day-exploits, drive-by-downloads en andere cyberbeveiligingsbedreigingen die berusten op het lokaal uitvoeren van kwaadaardige code. Het is met name zeer geschikt voor gebruikers met een hoog risico die niet-beheerde devices gebruiken.
Het nadeel is echter dat RBI voor extra vertraging kan zorgen, compatibiliteitsproblemen met complexe webapps kan veroorzaken en bij schaalvergroting hogere kosten met zich mee kan brengen. De meeste IT-experts zijn het er dan ook over eens dat RBI het beste werkt als een gerichte beveiligingsmaatregel, die alleen op risicovolle sessies wordt toegepast in plaats van als een algemene oplossing voor al het webverkeer.
Enterprise browsers
Enterprise browsers hebben de volledige controle over de weergavelaag (het deel van de browser dat de inhoud daadwerkelijk op het scherm weergeeft), waardoor ze meer controle kunnen uitoefenen zonder in te grijpen in de onderliggende applicatie.
Dit maakt enterprise browsers uiterst nuttig voor externe medewerkers en externe aanbieders, BYOD-medewerkers, callcenters en BPO-omgevingen en gereguleerde gebruikers die met gevoelige financiële of medische gegevens werken.
Toch blijft het een uitdaging om deze oplossing toe te passen. Het vervangen van de browsers van gebruikers gaat gepaard met een uitgebreide implementatieplanning, compatibiliteitstests, een toename van het aantal helpdeskverzoeken en weerstand bij de gebruikers. De kosten van volledige bedrijfslicenties kunnen ook een flinke uitdaging vormen voor kleinere bedrijven.
Secure-browserinstellingen die elke organisatie zou moeten standaardiseren
Ongeacht welke architectuur u kiest, zijn er basisinstellingen voor een secure browser die elke organisatie ten zeerste wordt aangeraden toe te passen.
Deze instellingen omvatten:
- automatische browserupdates
- handhaving van de minimumversie
- lijsten met toegestane en geblokkeerde extensies
- instellingen voor veilig surfen en bescherming tegen phishing
- site-isolatie waar nodig
- vereisten voor beheerde profielen
- beperkingen bij browsersynchronisatie
- regels voor wachtwoordopslag en automatisch invullen
- downloadbeperkingen
- machtigingen voor camera, microfoon, locatie en klembord
- pop-up- en omleidingsinstellingen
- DNS- en netwerkbeveiligingsinstellingen
- policies voor inloggen via de browser
- maatregelen tegen gegevensverlies voor gevoelige apps
- vereisten voor logging en rapportage
Deze instellingen lijken eenvoudig, maar de meeste bedrijven ontdekken aanzienlijke tekortkomingen wanneer ze deze daadwerkelijk controleren.
Het belang van integriteitscontroles van browsers
Een concept dat onvoldoende aandacht krijgt, is de integriteitscontrole van de browser: een proces waarbij wordt gecontroleerd of een browser aan de beveiligingseisen voldoet voordat toegang tot een gevoelige toepassing wordt verleend.
Zie het als voorwaardelijke toegang, maar dan op browserniveau. Voordat een gebruiker toegang krijgt tot uw financiële systeem of het portaal met patiëntendossiers, controleert het systeem of dit via een goedgekeurde browser gebeurt en of de devicestatus aan de vereisten voldoet.
Deze controles kunnen ook het volgende verifiëren:
- browserversie
- status bijwerken
- status van het beheerde profiel
- goedgekeurde browsertypen
- extensie-inventaris
- risicovolle of onbekende extensies
- status van beveiligingsinstellingen
- policy inzake wachtwoordopslag
- synchronisatiestatus van de browser
- device posture
- gebruikersidentiteit
- sessierisico
- policy compliance
- of de browser beheerd, beperkt beheerd of niet-beheerd is
Integriteitscontroles van browsers zijn vooral nuttig op de grens tussen identiteitsverificatie en het daadwerkelijke sessiebeheer. Zero-trust-architectuur die de identiteit van de gebruiker verifiëren maar de browsersessie niet controleren, zorgen voor een aanzienlijke blinde vlek, die door deze integriteitscontroles wordt opgelost.
Het resultaat van een integriteitscontrole kan variëren van volledige toegang tot beperkte toegang (alleen-lezen), het omleiden van de sessie via RBI tot het volledig blokkeren van de toegang, afhankelijk van wat de controle laat zien. (IT-teams moeten deze resultaten vooraf vastleggen in hun beveiligingspolicy voor browsers.)
Hoe kiest u de juiste aanpak?
De ‘beste’ beveiligingsarchitectuur voor een browser bestaat meestal niet uit slechts één enkele tool, maar uit een combinatie die is afgestemd op uw risicoprofiel en gebruikersgroep.
We raden aan om te beginnen met de gebruikers van uw beheerde devices. Als devices zijn geregistreerd, de policy wordt afgedwongen en er voorwaardelijke toegang is ingesteld, dan kunnen strenge browserinstellingen en een beveiligingsextensie voor het grootste deel van het personeel voldoende zijn.
Als u echter gaat samenwerken met externen, aanbieders en BYOD-gebruikers, dan moet u uw policy wellicht aanpassen. Deze gebruikers openen bedrijfsapps vanaf niet-beheerde devices waarop u geen endpoint-agents kunt installeren of de juiste device posture kunt afdwingen. Een enterprise browser die speciaal voor deze doelgroep is geïmplementeerd, biedt de IT-afdeling controle op sessieniveau zonder dat volledig device management nodig is.
Voor gebruikers met een hoog risico of sessies waarbij onbekende webcontent betrokken is, biedt RBI effectieve bescherming. Ook gereguleerde teams (zoals die in de financiële sector of de gezondheidszorg) kunnen baat hebben bij enterprise browsercontrole of strikte DLP-policies op basis van extensies.
De meest doordachte aanpak combineert deze opties. Een bedrijf kan Chrome en Edge voor de meeste medewerkers beheren, een beveiligingsextensie voor de browser gebruiken om phishing te detecteren en inzicht te krijgen in AI-gebruik in de hele organisatie, RBI inzetten voor niet-gecategoriseerde websites en een enterprise browser gebruiken die specifiek bedoeld is voor gereguleerde doelgroepen. Het belangrijkste is dat elke tool overeenkomt met een gedefinieerd gebruiksscenario in de beveiligingspolicy van de browser.
Checklist voor bedrijfsteams
Houd er rekening mee dat het op orde brengen van de beveiliging van uw browser een continu proces is. Deze checklist moet regelmatig nagekeken en bijgewerkt worden, maar kan nu al als uitgangspunt dienen.
- Breng in kaart welke browsers er op de beheerde device worden gebruikt.
- Stel de goedgekeurde browsers vast per gebruikersgroep en gebruikssituatie.
- Zorg ervoor dat updates automatisch worden geïnstalleerd en blokkeer niet-ondersteunde versies.
- Controleer alle geïnstalleerde extensies aan de hand van een duidelijke lijst met toegestane extensies.
- Schakel persoonlijke synchronisatie uit wanneer dit een risico op gegevenslekken met zich meebrengt.
- Beheer de browser-native wachtwoordopslag. (Het is aan te raden om het opslaan van inloggegevens voor het bedrijf in persoonlijke browserprofielen te verbieden. Degelijk credential management vereist dat door het bedrijf beheerde profielen uitsluitend voor zakelijke doeleinden worden gebruikt.)
- Pas voorwaardelijke toegang toe op gevoelige SaaS-apps.
- Stel vereisten vast voor de integriteitscontrole van de browser voor uw risicovolle workflows.
- Stuur onbekende of niet-gecategoriseerde websites langs RBI voor gebruikers met een hoog risico.
- Gebruik browserbeperkingen voor externe medewerkers en gereguleerde gebruikers.
Veelgemaakte fouten die u beter vermijdt
- Een tool kiezen voordat er een policy is vastgesteld: Als u een enterprise browser aanschaft zonder eerst in kaart te brengen welke gebruikers, apps en gegevensworkflows dat niveau van controle daadwerkelijk nodig hebben, leidt dat doorgaans tot een implementatie die slechts een fractie van het personeel bereikt, terwijl u wel de volledige platformkosten moet betalen.
- “Secure browser” en “enterprise browser” als hetzelfde beschouwen: ze bieden oplossingen voor verschillende problemen van verschillende gebruikers. Als u deze twee door elkaar haalt, leidt dat ertoe dat de oplossing ofwel te ingewikkeld wordt, ofwel dat er daadwerkelijke problemen ontstaan.
- Dezelfde instellingen toepassen op alle gebruikers: een ontwikkelaar, een medewerker van de klantenservice, een financieel analist en een extern medewerker hebben allemaal verschillende risicoprofielen en verschillende behoeften op het gebied van browserbeveiliging.
- Browserextensies en persoonlijke profielen negeren: veel IT-teams investeren fors in netwerk- en endpointbeveiliging, terwijl ze extensies ongemoeid laten en toestaan dat persoonlijke Google- of Microsoft-profielen bedrijfswachtwoorden synchroniseren met devices thuis.
- Vertrouwen op browserinstellingen zonder handhaving of rapportage: zonder een manier om te controleren of die instellingen daadwerkelijk worden toegepast, gemonitord en hersteld wanneer ze afwijken. De policy bestaat wel op papier, maar niet in de praktijk.
- Externe medewerkers, BYOD-gebruikers en uitzendkrachten over het hoofd zien: deze groepen lopen vaak het grootste risico en vallen gemakkelijk uit de boot.
- RBI gebruiken bij te veel verkeer: Remote browser isolation is zeer effectief voor sessies met een hoog risico, maar leidt tot aanzienlijke vertraging en compatibiliteitsproblemen wanneer deze op grote schaal wordt toegepast bij het dagelijkse surfen.
- Browser-alerts niet koppelen aan beveiligingsworkflows: telemetrie van de browser heeft alleen zin als er actie op wordt ondernomen. Signalen op browserniveau moeten worden geïntegreerd in uw SIEM, SOAR of beveiligingsworkflows en mogen niet in een apart dashboard blijven staan dat niemand bekijkt.
- Bedrijfsapplicaties niet testen voordat strenge instellingen worden toegepast: het aanscherpen van de browserinstellingen zonder eerst de compatibiliteit te controleren met de webapps waar uw teams van afhankelijk zijn, is een gegarandeerde manier om helpdesktickets te genereren en het vertrouwen in het beveiligingsteam te ondermijnen.
Bepalen welk type browser het meest geschikt is voor uw organisatie
Er is geen eenduidig antwoord op de vraag: “Wat is beter: een secure browser of een enterprise browser?” En dat is eigenlijk goed nieuws, want het betekent dat u niet per se hoeft te investeren in een volledige browserimplementatie voor de hele organisatie om uw beveiligingsniveau aanzienlijk te verbeteren.
De slimste aanpak is om eerst een beveiligingspolicy voor browsers op te stellen en in te voeren, waarin duidelijk wordt vastgelegd hoe browsers zich moeten gedragen, wie welk niveau van controle nodig heeft en wat er gebeurt als er iets misgaat. Zodra dat policy er is, wordt het veel gemakkelijker om de juiste tool (of een combinatie van tools) te vinden.
Verwante onderwerpen:
