De organisatie beschikt over allerlei soorten systemen en netwerken om de processen goed uit te kunnen voeren. Voor een buitenstaander lijkt het misschien of de hele informatiestroom uit een groot netwerk bestaat maar toch zitten er grenzen aan die netwerken die we moeten bewaken. Denk alleen maar aan het verschil tussen ons interne netwerk en het internet. Twee netwerken met grensbewaking er tussen. We moeten deze netwerken gescheiden houden om de vertrouwelijke informatie te beschermen.
De vraag die hier bij hoort is:
Zijn er beperkingen voor gebruikers tot delen van de vertrouwelijke informatie (netwerkscheiding)?
Zonder in te gaan op allerlei netwerk typologieën kunnen we onderscheid maken in het interne netwerk en het internet, ons eigen netwerk en het netwerk van onze leveranciers en afnemers en ons operationele en test netwerk. De termen zijn hier overigens wat vereenvoudigd, maar we willen het niet moeilijker maken dan nodig en het gaat om de basis ideeën.
Uiteraard is er een firewall geïnstalleerd die de grens tussen ons netwerk en het internet beveiligd. Het gaat hier te ver om op de details in te gaan, maar over het inrichten van een dergelijke grens (die vele malen verder gaat dan die firewall alleen) zijn hele studies te voeren. Voor het gemak gaan we er vanuit dat er een veilige grens is ingericht.
Vervolgens zien we dat meer en meer in de keten gewerkt wordt. Leveranciers en afnemers maken gebruik van de informatie die in onze systemen is opgeslagen. Zij zitten dus al op ons netwerk, maar we willen zeker niet dat ze bij al onze informatie kunnen. Heb jij er goed zicht op wie bij welke informatie kan en wat daarvoor nodig is? Zetten we alle informatie zomaar open voor leveranciers en afnemers of voeren we goede analyses uit en geven we ze alleen die informatie die ze echt nodig hebben? Uiteraard evalueren we geregeld of ze deze informatie nog nodig hebben…want de wereld verandert continu.
Als laatste gaan we hier in op het verschil tussen het operationele netwerk en de testomgeving. Deze mogen niet door elkaar lopen omdat ze elkaar kunnen beïnvloeden. Je moet er bijvoorbeeld niet aandenken dat we vergeten een patch te testen waardoor onze productieomgeving uit de lucht gaat. Het medicijn (de patch) is in dat geval misschien wel erger dan de kwaal.
Maar ook de gegevens op onze testomgeving moeten we selecteren. Willen we met (een kopie van onze) productiegegevens werken in de testomgeving of maken we fictieve gegevens aan? Als we besluiten om met kopieën van de echte omgeving te werken, zitten hier dan ook de vertrouwelijke gegevens tussen? De financiële gegevens, de privacygevoelige gegevens..willen we die in onze testomgeving terug zien?
Over netwerken en netwerkscheidingen kun je boeken vol schrijven en je kunt er vele studies naar doen. Dat gaat hier te ver (en eerlijk gezegd is het ook niet mijn specialisme). Nee, willen we het echt goed aanpakken dan halen we er een specialist bij. Iemand die weet hoe je de grensbewaking in moet richten, iemand die weet hoe je de gegevens op de testomgeving beveiligd en iemand die analyseert bij welke gegevens onze leveranciers en afnemers moeten kunnen. De kans dat je zo’n expert vindt is klein, waarschijnlijk heb je meerdere mensen nodig om de technische en procedurele maatregelen goed in te richten…een project…en daar heb je dan ook nog een goede projectmanager voor nodig.