‘Mobiele apparatuur is zegen voor cybercrimineel’

Is het al lastig om de ouderwetse pc regelmatig te patchen, mobiele apparaten zijn nog lastiger, omdat het vaak niet zo maar kan. Veel mensen patchen hun mobiele apparatuur zelfs nooit. Toch is mobiel patch management heel belangrijk, zeggen de Computable-experts.

Mobiele apparaten zijn veel online en kennen dezelfde kwetsbaarheden als alle andere ict-apparatuur en software. ‘Ze hebben dezelfde mogelijkheden, rekenkracht en netwerkverbindingen als volwaardige computers. Hierdoor wordt mobiele apparatuur steeds meer voor diverse taken tegelijkertijd gebruikt en vrijwel altijd zowel voor privé als zakelijke doeleinden’, zegt  security consultant Erwin van der Zwan van QDMsecurity. Bovendien bevatten mobiele devices volgens Van der Zwan vaak een schat aan informatie, waaronder opgeslagen pin-codes en wachtwoorden of worden ze gebruikt als toegangs-token voor mobiel bankieren en telewerken. ‘Terwijl niemand ze beheert, patcht of in de gaten houdt of ze goed werken. Een zegen dus voor cybercriminelen’, zegt hij. 

Beveiligingslek

Volgens security evangelist voor G Data Security Labs Eddy Willems creëert het gebrek aan een goede patchmanagement-strategie van Google en zijn partners zelfs grote kansen voor malware-schrijvers. ‘Zodra Google een patch beschikbaar stelt, zijn alle malwareschrijvers geïnformeerd over het bijbehorende beveiligingslek. Omdat hardwarefabrikanten en verschillende telecomaanbieders erop staan om het Android-besturingssysteem naar hun eigen smaak te personaliseren, hebben zij vaak veel tijd nodig om de patches geschikt te maken voor hun eigen systemen, waardoor de eindgebruiker pas na maanden de gelegenheid heeft om de patch te installeren. In deze periode, hebben malwareschrijvers ruim de tijd om malware te ontwikkelen om het inmiddels bekende lek uit te buiten’, legt hij uit.

Fabrikanten kunnen volgens Willems de personificatie van Android dus beter achterwege laten, of in ieder geval zodanig versoberen, zodat de officiële patches van Google één op één kunnen worden doorgegeven aan de eindgebruiker. ‘Er zouden afspraken moeten worden gemaakt over de maximale tijdspanne die er tussen de release vanuit Google is en die van de fabrikanten naar de eindgebruiker. Verder zouden fabrikanten hun klanten met een ouder en niet meer te updaten toestel moeten informeren over beveiligingsrisico’s die zij lopen. Ook kunnen zij een beveiligingssuite aanbevelen die de smartphone op een andere manier kan beschermen tegen aanvallen’, zegt hij. 

Impact

Want slecht patchmanagement betekent volgens managing director Steven Dondorp van Northwave een continuïteitsbedreiging voor een onderneming. ‘Patches dichten de actuele kwetsbaarheden in de beveiliging en corrigeren fouten om verstoring van processen te voorkomen. Daarnaast brengen patches de business en mobiele gebruikers nieuwe functies. Ongepatchte systemen maken netwerken kwetsbaar voor onder andere aanvallen en lekken van data. Maar het management is zich niet altijd bewust van de impact op de business, de verantwoordelijkheid en aansprakelijkheid als een belangrijk element voor de naleving van regelgeving en compliance’, zegt hij.  

Het groeiende aantal mobiele gebruikers maken handhaving van de veiligheid en de kritische toegang tot ict-diensten op afstand volgens Dondorp complexer. ‘De apparatuur van deze gebruikers kan letterlijk de zwakste schakel vormen als deze niet voldoet aan het bijbehorende patchniveau. Want de verhouding tussen houderschap en eigenaarschap vormt bij mobiele apparatuur een lastige scheidslijn’, zegt hij. ‘Daarnaast hebben mobiele gebruikers vaak geen boodschap aan vertraagde verbindingen of patches die op de achtergrond worden geladen en een reboot vereisen. Prioritering en een manier definiëren van de wijze van patchen voor de mobiele devices is dus een belangrijk aspect binnen mobility.’