Slimme beveiliging voor de zakelijke smartphone als digitale sleutelbos

In dit artikel:

Een zakelijke smartphone geeft medewerkers toegang tot veel meer dan e-mail: ook agenda’s, cloudbestanden, betaalapps, bedrijfschat en authenticatiemiddelen staan vaak op hetzelfde toestel. Daardoor kan het verlies of misbruik van één telefoon gevolgen hebben voor meerdere systemen en zelfs voor klanten of zakelijke relaties.

Beveiliging moet daarom al bij de inrichting van het toestel en het mobiele beleid worden meegenomen. Een sterke toegangscode en biometrische ontgrendeling vormen een eerste verdedigingslaag, maar beschermen niet automatisch de accounts achter de apps. Belangrijke diensten moeten daarom afzonderlijk worden beveiligd met tweestapsverificatie en unieke wachtwoorden. Organisaties moeten bovendien herstelcodes en alternatieve herstelmogelijkheden buiten de telefoon bewaren, zodat verlies van het toestel niet ook de toegang tot accounts blokkeert.

Alle zakelijke smartphones horen onder dezelfde beveiligingsafspraken te vallen. Bedrijven moeten vastleggen welke apps en gegevens medewerkers nodig hebben, welke rechten zij krijgen en hoe die rechten worden ingetrokken bij functiewijziging, vertrek of verlies van een toestel. Het principe van minimale toegang beperkt de schade wanneer een telefoon of account wordt misbruikt. Centraal beheer kan helpen om instellingen, apps en updates bij grotere aantallen toestellen consequent te regelen; ook kleinere bedrijven moeten in elk geval duidelijk bepalen wie hiervoor verantwoordelijk is.

Een buitgemaakt account vormt een extra risico, omdat criminelen daarmee geloofwaardige berichten kunnen sturen. Bij eerder gemelde fraude werden echte hotelaccounts en reserveringsgegevens misbruikt voor overtuigende WhatsApp-berichten. Daarom verdienen e-mail, klantomgevingen en andere kanalen waarmee namens een organisatie wordt gecommuniceerd bijzondere bescherming. Phishing kan bovendien niet alleen via e-mail komen, maar ook via sms, WhatsApp en QR-codes. Medewerkers doen er goed aan onverwachte verzoeken om in te loggen, te betalen of gevoelige informatie te delen via een bekend kanaal te controleren, in plaats van de meegestuurde link te gebruiken. Ook de Rijksoverheid waarschuwt hiervoor.

Tijdige updates van het besturingssysteem en zakelijke apps zijn onderdeel van goed dagelijks beheer, vooral wanneer beveiligingslekken worden opgelost. Daarnaast moet vooraf een procedure bestaan voor verlies of diefstal: wie wordt gewaarschuwd, hoe wordt de verbinding geblokkeerd, welke accounts worden veiliggesteld en kan bedrijfsinformatie op afstand worden gewist? De procedure moet ook regelen hoe een vervangend toestel weer toegang krijgt tot mail, authenticatie en noodzakelijke apps. Zo blijft mobiel werken praktisch zonder dat één verloren smartphone de sleutel tot de hele organisatie wordt.