De Covid-19-pandemie heeft veel bedrijven gedwongen een VPN te gebruiken om telewerken mogelijk te maken. Probleem: ze waren niet noodzakelijkerwijs klaar. De oorzaak: de ondermaatse servers, gebrek aan training en slechte praktijken. Telecomexpert en ORSYS-trainer Charlie Le Hoangan* bespreekt VPN, een essentieel apparaat voor de cyberbeveiligingsstrategie van bedrijven.
Terwijl telewerken in Frankrijk nog een geïsoleerde praktijk was, zorgde Covid-19 ervoor dat bedrijven een beslissende wending namen. Binnen een paar dagen zag een meerderheid van de werknemers, vooral leidinggevenden, die op afstand konden werken, hun werkomgeving naar huis verhuizen.
Om al zijn medewerkers thuis te laten blijven en toch toegang te houden tot het interne netwerk, heeft een bedrijf echter maar één oplossing: de VPN. Voor sommigen is het al ingevoerd, anderen hebben hun systeem moeten aanpassen aan het aantal telewerkers... of er zelfs voor het eerst interesse in moeten tonen. “Toen de crisis uitbrak”, legt Charlie Le Hoangan, consultant en trainer bij ORSYS, uit: “Bedrijven waren er niet klaar voor. Ze deden wat ze konden om zich aan te passen aan het telewerken toen ze daartoe gedwongen werden en ondervonden eenvoudigweg logistieke problemen. »
Het verlenen van toegang aan medewerkers betekent het opzetten van een systeem, zowel op het bedrijfsterrein als op laptops.
Wat is een VPN?
VPN, of “Virtual Private Network”, is geen nieuwe technologie. “We beschikken al heel lang over de technische middelen om telewerken te implementeren. Het probleem komt meer voort uit weerstand op managementniveau”, specificeert Le Hoangan.
Een VPN“ wordt gebruikt om privégebruik van een openbaar of gedeeld netwerk mogelijk te maken. In de praktijk geeft de VPN de telewerker toegang tot het netwerk van zijn bedrijf via het openbare netwerk door een beveiligde virtuele pijp te creëren. » Het idee is dat telewerkers toegang krijgen tot de tools, applicaties of servers van hun bedrijf alsof ze daar fysiek aanwezig zijn.
Verwarring tussen “on-site” VPN en “online” VPN?
VPN's worden vaak gezien als online tools waarmee u anoniem kunt worden op internet. De verwarring verrast ook Charlie Le Hoangan: “Het doel is helemaal niet hetzelfde. Wat deze ‘online VPN’-diensten verkopen is anonimisering; ze stellen de gebruiker die niet wil worden opgemerkt of getraceerd, in staat verbinding te maken via een server die als relay fungeert. De term “VPN” is in dit geval puur commercieel. »
Ondermaatse VPN's?
Het massale gebruik van telewerken heeft vaak geleid tot problemen met de VPN-grootte. Geconfronteerd met dit soort toestroom is serververzadiging onvermijdelijk.
Een effectieve VPN voor de lange termijn kan niet worden geïmproviseerd. “Om het aantal toegangen te vergroten, is het bedrijf verplicht zichzelf zwaarder uit te rusten, met professionele apparatuur en servers die zo groot zijn dat ze duizenden verbindingen kunnen ondersteunen. We moeten daarom overstappen van een eenvoudige installatie van software voor een handjevol mensen naar veel duurdere apparatuur die er niets meer mee te maken heeft. (…) De rekenkracht die nodig is voor het versleutelen van communicatie is veel groter en moet met geschikte machines gebeuren. »
VPN in de praktijk
Op bedrijfsniveau
Het eerste probleem? Veelvoorkomende misvattingen over veiligheid... “Een VPN is niet noodzakelijkerwijs veilig. Sommige technieken zorgen alleen voor verkeersscheiding. Het gebruik van een veilige VPN betekent dat er cryptologietechnieken zijn geïmplementeerd om de gegevens op een vereenvoudigde manier te versleutelen zodat deze niet kunnen worden onderschept. »
Hiervoor kan het bedrijf de oplossing hebben om een beroep te doen op een operator. Om verbinding te maken met het bedrijfsnetwerk zullen telewerkers dus de systemen van de operator gebruiken. Zij zijn degenen die het verkeer zullen scheiden. Dit is wat wij noemen “Vertrouwde” VPN. Maar om deze techniek op een veilige manier te gebruiken, moet het bedrijf zich ook ter plaatse uitrusten. Dat wil zeggen dat u om te beginnen clientsoftware op de computers van uw medewerkers moet installeren. Het maakt een veilige dialoog mogelijk met de VPN-servers die op het terrein zijn geïnstalleerd (sleuteluitwisseling, cryptologie, enz.). Zodra alles klaar is, hoeft de telewerker alleen nog maar de software te activeren die op zijn laptop is geïnstalleerd.
Op individueel niveau
Individueel is het net zo belangrijk om een aantal basis-best practices voor VPN te hebben. “Je moet niet vergeten dat het een hulpmiddel is om verbinding te maken met het bedrijf. Van daaruit kan alles wat u doet invloed hebben op het bedrijf. Dit betekent dat je de VPN alleen voor strikt professioneel gebruik moet openen.. Het moet worden gesneden voor elk persoonlijk gebruik, en denk na ook om het aan het einde van zijn werkdag af te sluiten. Partitie. Een aanval of inbraak via uw computer terwijl de VPN actief is, heeft gevolgen voor de servers van het bedrijf. »
Als het om cybersecurity gaat, zijn bewustwording en regelmatige training van medewerkers essentieel. En het VPN-probleem is geen uitzondering. Het verlenen van toegang tot de VPN-client aan uw medewerkers betekent immers dat u de ruimte van het bedrijfsnetwerk uitbreidt. Onder deze omstandigheden moet het niet minder veilig zijn. Een goede, slecht geconfigureerde of slecht gebruikte tool is niet langer een troef maar een risico.
Vooral omdat, voor Le Hoangan, de VPN verder zal worden gedemocratiseerd met de praktijk van telewerken: “De gezondheidscrisis en de daaruit voortvloeiende opsluiting hebben ons doen begrijpen dat telewerken tegenwoordig onvermijdelijk wordt. Het anticiperen op de introductie van telewerken betekent echter dat we onszelf de middelen hebben gegeven om de tools die daarmee gepaard gaan correct en op de meest veilige manier te ontwikkelen: een optimale configuratie van VPN’s, maar ook van firewalls, de installatie van antivirus in communicatiesystemen, enz. » Omdat de VPN uiteindelijk slechts één hulpmiddel is in een enorm systeem dat moet worden opgezet. En je moet ergens beginnen.
* Charlie de Hoagan
Telecomspecialistisch adviseur. Na tien jaar voor grote fabrikanten te hebben gewerkt, creëerde hij in 1989 zijn eigen structuur, waarmee hij zijn adviesdiensten op het gebied van computernetwerken aanbiedt, en in het bijzonder op het gebied van beveiliging. Het was ook sinds 1989 dat hij begon met het geven van trainingen over dezelfde onderwerpen.
Onze beste opleiding
- VPN-beveiliging, draadloos en mobiliteit, samenvatting
- Cisco, implementatie van MPLS-oplossingen
- Fortinet, netwerkbeveiliging