Het kan u bijna niet ontgaan zijn: een groot lek in Microsoft’s e-mailproduct Exchange zorgde ervoor dat duizenden Nederlandse e-mailservers zeer kwetsbaar waren voor hackers. Microsoft publiceerde een update die zo snel mogelijk uitgevoerd moest worden om het lek te dichten. Op ons e-mailplatform was dit dan ook snel gebeurd. Maar wat schetst mijn verbazing? Weken nadat de update is uitgebracht, is nog altijd 10% van de Exchange servers niet ge-update en zijn ruim 1200 servers in Nederland geraakt door het lek. Hoe komt dat?
Snel handelen
In mijn uitleg doe ik wat aannames, gebaseerd op mijn ervaring met hoe bedrijven reageren op dit soort situaties. Individuele gevallen zullen daar dus niet helemaal aan voldoen, dus bij deze alvast mijn disclaimer.
Het updaten van kritische systemen, zoals de e-mail, doet u niet lichtzinnig. Maar ook belangrijke Windows updates voor de werkplekken komen niet altijd gelegen. Zeker als u alles in eigen beheer heeft in een kleine omgeving, kan het moeten uitvoeren van zo’n update, mogelijk ongewenste gevolgen voor de business hebben.
Op ons cloudplatform heeft elke server meerdere redundante collega servers die het werk overnemen als er eentje opnieuw moet opstarten, vanwege bijvoorbeeld een update. Maar iemand die zijn eigen systemen in de kast heeft staan, heeft die luxe wellicht niet. Daarbij komt het mogelijk een paar uur offline gaan van de e-mail midden op de dag, waarschijnlijk altijd nét even niet gelegen.
Maar ja, wat moet u dan als beheerder? Nog uren wachten tot de werkdag voorbij is, die late doorwerkers thuis klaar zijn, en dan ‘s nachts aan de slag? Dan hebben de hackers vaak nog 12 tot 24 uur extra de tijd gehad om je ongezien te grazen te nemen.
Alles begint bij veiligheid
Ik wil graag een inkijkje geven in hoe wij dit soort afwegingen maken. Wij hebben besloten om de update direct zo snel mogelijk door te voeren. Ja, daarbij bestond er een gecalculeerd risico op downtime. Maar door heldere communicatie en de redundante opzet van onze e-mailomgeving, hebben we de impact hiervan kunnen beperken. Er was uiteindelijk overigens geen downtime voor onze gebruikers.
Wij nemen dat gecalculeerde risico, omdat we liever hebben dat uw e-mail misschien een uurtje niet werkt, dan dat uw naam morgen in de krant staat als slachtoffer van deze hack. Een hack die dus te voorkomen was met goed updatebeheer. Dat bedoelen wij, als we zeggen dat alles voor ons begint bij veiligheid.
Uitbesteden of zelf doen
Maar nu even terug naar die beheerder die het zelf moest regelen, maar z’n servers niet opnieuw mocht opstarten midden op de dag. Wat moet hij nou doen? Ik zie voor hem drie opties:
ICT delen uitbesteden
Veel ICT oplossingen, zoals e-mail, zijn inmiddels zo universeel van aard, dat er eigenlijk geen goede reden meer is om alles zelf te doen. De locatie van de data kan vaak gewoon bepaald worden, dus alles blijft in Nederland als u dat wilt. U heeft als beheerder geen omkijken meer naar de updates en onderhoud. Bij uitbesteding aan een hoogwaardige dienstverlener, krijgt u gewoon een SLA met beschikbaarheidsafspraken. De dienstverlener zorgt voor de technische inrichting, zodat iedereen altijd kan blijven doorwerken, u hoeft enkel de afspraken nog te controleren. U kunt zich nu richten op strategie, innovatie of verbeteringen van de bedrijfsvoering. Veel leuker dan het resetten van een gebruikerswachtwoord toch?
Update beheer automatiseren en uitbesteden
Een middenweg tussen alles de deur uit en alles zelf doen, is een deel van het takenpakket uitbesteden. Bijvoorbeeld door het updaten en de monitoring uit te besteden. De infrastructuur blijft dan op uw eigen locatie, maar (bijvoorbeeld) onze technici houden op de achtergrond een extra oogje in het zeil en voeren het nodige onderhoud en updates uit. U weet dan zeker dat werkplekken en servers altijd ge-update worden als het snel nodig is. Als een update een hele grote impact heeft, adviseren wij u over het beste moment voor de update. U hakt vervolgens zelf de knoop door over wanneer wij met de update aan de slag gaan.
Intern beleid verbeteren
In het moderne IT-landschap kan en mag veiligheid niet meer ondergeschikt zijn aan beschikbaarheid. Het kan namelijk allebei tegelijk, maar dat vraagt wel iets van de organisatie. De beheerder moet de ruimte krijgen om hier beleid op te kunnen maken, (de beheerder bepaalt of een onderbreking geoorloofd is, niet de gebruiker) en de infrastructuur moet redundant uitgevoerd kunnen worden. Dit heeft meer voeten in de aarde, en is vaak duurder dan uitbesteden, maar voor wie graag zelf aan z’n servers blijft sleutelen, is dit wel de veiligste methode.
Kleine kans, grote impact
Er is, voor wie niet langer overvallen wil worden door dit soort gebeurtenissen, dus wat te kiezen. Maar laat een korte onderbreking van de werkdag niet langer het argument zijn om de veiligheid van uw organisatie te grabbel te gooien. De kans op een hack is klein, maar het kan écht iedereen overkomen.
Weten hoe wij uw organisatie kunnen helpen het beheer te vereenvoudigen en uw ICT veiliger te maken? Neem contact met ons op voor een adviesgesprek.
