Wat is geheimenbeheer?

Geheimenbeheer is het proces van het organiseren, beheren en beveiligen van IT-infrastructuurgeheimen. Hiermee kunnen organisaties veilig geheimen opslaan, verzenden en controleren. Geheimenbeheer beschermt geheimen tegen onbevoegde toegang en zorgt ervoor dat de systemen van een organisatie goed werken. Een Secrets Manager is een veilig opslagsysteem en een enkele bron van waarheid voor geprivilegieerde gegevens, API-sleutels en andere zeer vertrouwelijke informatie die in IT-infrastructuren wordt gebruikt.

Lees verder om meer te weten te komen over geheimenbeheer en wat u kunt doen om de gegevensomgeving van uw bedrijf te beschermen.

Wat is een geheim?

In een IT-gegevensomgeving zijn geheimen niet-menselijke geprivilegieerde gegevens, meestal gebruikt door systemen en apps voor authenticatie of als invoer van een cryptografisch algoritme. Met geheimen kunnen apps en systemen gegevens verzenden en diensten aan elkaar vragen. Ze ontsluiten apps, diensten en IT-bronnen die zeer vertrouwelijke informatie en geprivilegieerde systemen bevatten.

Tot de normale typen geheimen behoren:

Niet-menselijke aanmeldingsgegevens
Verbindingstekenreeksen voor databases
Cryptografische sleutels
Toegangsgegevens tot cloudservices
API-sleutels (Application Programming Interface)
Toegangstokens
SSH (Secure Shell)-sleutels

Waarom is geheimenbeheer belangrijk?

Geheimenbeheer is een best practice voor cyberbeveiliging waarmee u consequent beveiligingsbeleid afdwingt voor niet-menselijke authenticatiegegevens, zodat alleen geverifieerde en geautoriseerde entiteiten toegang hebben tot bronnen met vertrouwelijke gegevens en zeer vertrouwelijke apps en systemen. Met een geheimenbeheertool hebben organisaties een duidelijk overzicht waar geheimen zich bevinden, wie er toegang tot heeft en hoe ze worden gebruikt.

Naarmate organisaties groeien, stuiten IT- en DevOps-teams op een probleem dat secrets sprawl (verspreiden van geheimen) wordt genoemd. Dit komt voor wanneer een organisatie te veel geheimen heeft om te beheren, en die geheimen zich door de hele organisatie verspreiden en op onveilige locaties met onveilige methoden worden opgeslagen. Zonder een gecentraliseerd geheimenbeheerbeleid of -tool, beheert elk team binnen een organisatie zijn of haar geheimen onafhankelijk, wat kan resulteren in slecht beheerde geheimen. Ondertussen missen IT-beheerders gecentraliseerd inzicht, controleerbaarheid en beheer over de opslag en het gebruik van deze geheimen.

Best practices geheimenbeheer

Omdat er zoveel geheimen zijn (Sommige organisaties kunnen wel duizenden SSH-sleutels hebben), is het gebruik maken van een geheimenbeheeroplossing zoals Keeper Secrets Manager^® echt een must. Met een geheimenbeheertool worden geheimen op één versleutelde locatie opgeslagen, waardoor organisaties eenvoudig hun geheimen kunnen traceren, openen, beheren en controleren.

Maar een technisch programma kan echter maar tot op zekere hoogte helpen! Naast het aanstellen van een Secrets Manager moeten organisaties ook de best practices voor geheimenbeheer volgen.

Beheer privileges en geautoriseerde gebruikers

Na het centraliseren en beveiligen van uw geheimen met een geheimenbeheeroplossing, is de volgende stap om ervoor te zorgen dat alleen bevoegde mensen en systemen er toegang tot hebben. Dit wordt bereikt via Role-Based Access Control (RBAC). RBAC definieert rollen en machtigingen op basis van de taakfunctie van een gebruiker binnen de organisatie om de systeemtoegang tot het systeem voor geautoriseerde gebruikers te beperken. RBAC helpt voorkomen dat onbevoegde gebruikers toegang tot geheimen krijgen.

Organisaties moeten ook de privileges voor deze geheimen beheren vanwege hun toegang tot zeer vertrouwelijke gegevens. Als privileges verkeerd worden beheerd, lopen organisaties risico op misbruik van privileges zoals bedreigingen van binnenuit en laterale bewegingen van cybercriminelen binnen hun netwerk. Ze moeten toegang met minimale privileges implementeren - een cyberbeveiligingsconcept dat gebruikers en systemen net genoeg toegang tot vertrouwelijke bronnen geeft om hun werk te doen, en niet meer. De beste manier om privileges te beheren en toegang met minimale privileges te implementeren, is met een Privileged Access Management (PAM)-tool.

Roteer geheimen

Veel organisaties gebruiken statische geheimen waardoor te veel gebruikers er in de loop van de tijd toegang tot hebben. Om te voorkomen dat geheimen worden gecompromitteerd of misbruikt, moeten organisaties regelmatig geheimen rouleren volgens een vooraf vastgesteld schema om hun levensduur te beperken. Het roteren van geheimen beperkt de hoeveelheid tijd dat een gebruiker toegang heeft tot de geheimen, waardoor ze net genoeg toegang hebben om hun werk te doen. Het voorkomt dat geheimen per ongeluk uitlekken als gevolg van nalatige of kwaadwillende gebruikers. Organisaties moeten ook geheimen beschermen met sterke en unieke wachtwoorden en multi-factor-authenticatie.

Maak onderscheid tussen geheimen en identificaties

Organisaties moeten elk geheim binnen hun organisatie inventariseren om ervoor te zorgen dat ze beveiligd zijn tegen onbevoegde toegang. Daarbij moeten ze tijdens het inventariseren echter onderscheid maken tussen geheimen en identificaties.

Een identificatie is hoe een Identity Access Management (IAM)-systeem of andere entiteit naar een digitale identiteit verwijst. Gebruikersnamen en e-mailadressen zijn veelvoorkomende voorbeelden van identificaties. Identificaties worden vaak vrij binnen en zelfs buiten een organisatie gedeeld. Ze worden gebruikt om algemene toegang te verlenen tot de bronnen en systemen van de organisatie.

Geheimen daarentegen zijn zeer vertrouwelijk. Als een geheim wordt gecompromitteerd, kunnen bedreigers het gebruiken om toegang te krijgen tot zeer geprivilegieerde systemen, en kan de organisatie grote of zelfs catastrofale schade oplopen. Geheimen moeten strikt worden gemonitord en gecontroleerd om onbevoegde toegang tot vertrouwelijke gegevens en systemen te voorkomen.