Case TriOpSys | Topicus KeyHub

De aanleiding:

Uitval of compromittering van data is onacceptabel

TriOpSys is gespecialiseerd in advies, bouw en beheer van mission-critical IT-systemen voor organisaties die essentiële diensten leveren. TriOpSys opereert in de sectoren Defensie en Ruimtevaart, Openbare Orde en Veiligheid, en Verkeersmanagement systemen. Ze dragen het motto 'mission critical IT'. Dit houdt in dat hun systemen te allen tijde operationeel moeten blijven; uitval of compromittering van data is simpelweg onacceptabel. Om deze reden blijft TriOpSys voortdurend op de hoogte van nieuwe informatiebeveiligingsrichtlijnen, waaronder de aankomende NIS2-richtlijn.

De vraag:

Dieper inzicht en implementatie extra beveiligingslaag

Het project omvatte twee opeenvolgende fasen. In de eerste fase streefde TriOpSys naar een dieper inzicht in het beheer van digitale toegang tot privileged accounts, die gebruikt worden voor het beheren van klantomgevingen. Dit omvatte vragen als: door wie, wanneer en waarom worden de accounts gebruikt.

In de tweede fase richtte TriOpSys zich op het implementeren van een extra beveiligingslaag voor klantgegevens, aangezien deze gegevens niet continu voor iedereen toegankelijk moeten zijn. Voorheen bracht dit extra werk met zich mee voor de servicedesk, aangezien zij voortdurend moesten controleren of de juiste rechten waren toegekend of ingetrokken. Bovendien hadden de beheerders van klantgegevens geen duidelijk overzicht van wie toegang had tot welke data. Daarnaast was het aanvraagproces voor de juiste rechten omslachtig en tijdrovend, zowel voor het verkrijgen van toegangsrechten als voor het oplossen van problemen.

NIS2

NIS2: Veiligheid in de keten

De NIS2-regelgeving brengt belangrijke verplichtingen met zich mee voor organisaties, vooral als ze vallen onder de categorie essentiële en belangrijke bedrijven. TriOpSys valt onder de categorie essentiële en belangrijke bedrijven, aangezien ze vitale diensten leveren en toeleverancier zijn voor andere essentiële organisaties. Dit houdt in dat TriOpSys niet alleen haar eigen cyberbeveiliging moet versterken, maar ook verantwoordelijkheid draagt voor de digitale veiligheid binnen haar keten.
Als toeleveranciers en mkb-bedrijven kun je binnenkort verwachten dat klanten, die direct onder de NIS2-richtlijn vallen, eisen gaan stellen aan de cyberveiligheid van je bedrijf.

Omslachtig aanvraagproces

Dankzij KeyHub wordt het aanvraagproces verkort en gesimplificeerd. Hierdoor kan je zelf direct de juiste rechten aanvragen bij de juiste persoon.

Het verkrijgen van rechten kost veel tijd

Wat doet Topicus Keyhub hierin? Omdat jouw aanvraag direct bij de juiste databeheerder komt en hij een notificatie hierover krijgt. Kan een databeheerder snel bepalen of je toegang krijgt of niet.

Het verzamelen van alle documenten kost veel tijd

Met KeyHub kan je met één klik een auditrapport uitdraaien, met alle data en informatie over toegangsactiviteiten. Voor aantoonbaarheid compliance.

Het offboarden van werknemers brengt risico’s met zich mee

Het intrekken van rechten wordt vaak over het hoofd gezien, waardoor het offboarden van werknemers risico’s met zich meebrengt. Topicus KeyHub zorgt voor time limit, audit dashboard, auditing cycles instellen, en workflows voor onboarding, crossboarding en offboarding.

Auditability op digitaal toegangsbeheer naar klantomgevingen

Alles wat via KeyHub ontsloten wordt, is altijd inzichtelijk in de daarvoor bestemde dashboards. Uiteraard kunnen hiervan exports gemaakt worden. Dit geldt ook voor klantomgevingen. Dus, TriOpSys heeft inzicht in wat de engineers doen en kan de klant beperkt in de omgeving laten, om hier ook inzicht in te hebben.

Kwetsbaarheid van standaard rechtenset geven

Bij KeyHub worden toegekende rechten altijd beoordeeld door de eigenaar. Dus ook de standaard rechten. Het toekennen moet altijd geaccordeerd worden.

Bepalen van classificaties ten behoeve van IAM-workflows

Alle data en applicatie toegang is vanwege beleid geclassificeerd. Op basis van deze classificatie (denk aan DPIA) kan in KeyHub een classificatie toegekend worden. Hier moet een workflow rondom toegang aan voldoen. Als de workflow niet voldoet is dit direct inzichtelijk (denk aan JIT).

Het resultaat:

Veiliger, sneller en minder kosten

Door de implementatie van het IAM-platform van KeyHub zijn er workflows geïntroduceerd die het aanvragen en afwijzen van toegangsrechten snel, eenvoudig en gedocumenteerd (geaudit) maken. Zo heeft Topicus KeyHub de informatiebeveiliging van TriOpSys naar een hoger niveau getild. Door digitaal toegangsbeheer is TriOpSys in staat om vanuit een platform inzicht te krijgen in de toegang tot privileged accounts.TriOpSys kan aan alle klanten en partners verantwoorden dat zij, op een hoog niveau, de toegang tot hun data hebben beveiligd. Hierdoor dragen zij hun plicht aan ketenverantwoordelijkheid en zetten ze stappen om NIS2-compliant te zijn. Ze hebben nu:

In het kort:

De voordelen van KeyHub

Centraal inzicht op autorisaties: auditors hebben snel inzicht in wie toegang heeft tot welke bronnen en functionaliteiten, en kunnen ze indien nodig actie ondernemen.
Selfservice IAM: decentraal kunnen eindgebruikers zelf hun toegangsrechten beheren. Door verzoeken in te dienen voor benodigde toegang, wachtwoorden wijzigen en groepslidmaatschappen beheren.
Wachtwoordkluis: Topicus KeyHub maakt gebruik van geavanceerde encryptietechnieken om wachtwoorden veilig op te slaan. 
Gedetailleerde audittrail: het platform houdt een gedetailleerde audittrail bij van alle toegangsacties. 
Voldoen aan compliance-vereisten: de audittrail rapportage helpt bij het controleren of de toegangsactiviteiten in lijn is met de compliance-vereisten (ISO, BIO, AVG) en interne beleidsregels.
Integraties en ondersteuning: Topicus KeyHub kan naadloos worden geïntegreerd met bestaande systemen en applicaties, waardoor het gemakkelijk te implementeren is in jouw organisatie.

Zo kreeg TriOpSys inzicht in privileged accounts, data access en ownership

Zo kreeg TriOpSys inzicht in privileged accounts, data access en ownership

Uitdaging:
Inzicht hebben in wie, waarom en wanneer accounts gebruikt worden.

Aanpak:
IAM organisatiebreed inrichten.

Resultaat:
Digitaal toegang ingericht conform NIS2-beleid.

Uitdaging:
Inzicht hebben in wie, waarom en wanneer accounts gebruikt worden.

Aanpak:
IAM organisatiebreed inrichten.

Resultaat:
Digitaal toegang ingericht conform NIS2-beleid.

Uitval of compromittering van data is onacceptabel