Fysieke toegangsbeveiliging: essentieel in het speelveld van informatiebeveiliging!

Fysieke beveiliging (van bedrijfsmiddelen) is onlosmakelijk verbonden met informatiebeveiliging. Dat heeft echter niet altijd iedereen even scherp op de radar staan. Wanneer het gaat over informatiebeveiliging of cybersecurity dan wordt al snel de associatie gemaakt met digitale beveiliging. Toch is dat maar een stukje van het hele informatiebeveiligings-speelveld. Om je informatiebeveiliging goed op orde te krijgen, dien je ook de fysieke toegangsbeveiliging in te regelen. Het is belangrijk dat er een geïntegreerde aanpak is tussen fysieke en digitale beveiliging om kwetsbaarheden te minimaliseren. In dit artikel vertellen we wat dit precies omvat en welke methoden je hiervoor kunt gebruiken.

Fysieke toegangsbeveiliging is als het ware ‘het tegengaan van elke mogelijke lokale bedreiging van gebouwen, materiaal en werknemers’. Daarbij is onderscheid te maken tussen onopzettelijke en opzettelijke dreigingen:

Onopzettelijke bedreigingen kunnen tegengegaan worden door bijvoorbeeld brandveiligheidsmaatregelen te treffen, back-ups in te regelen en bijvoorbeeld en business continuity plan (BCP) in te regelen. Opzettelijke dreigingen zijn daarentegen lastiger tegen te gaan, met name omdat je niet weet wanneer ze zich voordoen, op welke manier en door wie. Criminelen vinden telkens weer andere manieren uit en dat maakt het erg onvoorspelbaar.

Voor beide vormen van dreigingen kun je fysieke beveiligingsmaatregelen treffen met als doel om bezittingen en informatie te beschermen tegen kwaadwillenden. Zo is (gevoelige) bedrijfsinformatie veilig en heeft de organisatie in kaart wie er (wanneer) toegang heeft tot welke informatie.

Fysieke beveiliging is onder de verdelen in twee domeinen:

In en om een bedrijfspand kun je allerlei fysieke beveiligingsmaatregelen treffen, zoals toegangsbadges, een alarm, een slot op de deur, afgesloten ruimten, afgesloten archiefkasten, camera’s, bezoekersregistratie etc. Maar je kunt daarnaast ook maatregelen treffen om toegang tot systemen, zoals een netwerk, domein of applicatie, te beveiligen. Dit valt onder ‘logische toegangsbeveiliging’.

Wat, net als bij informatiebeveiliging in zijn geheel, bij fysieke toegangsbeveiliging van groot belang is, is de houding en het gedrag van de mens. Je kunt nog zoveel maatregelen implementeren; als men het alarm vergeet in te schakelen, een toegangsbadge uitleent, de kast niet sluit of een computer niet vergrendelt, dan hebben alle maatregelen weinig zin. Het is daarom van essentieel belang dat medewerkers zich houden aan de maatregelen en er verantwoordelijk mee omgaan. Om dat te bereiken is het zaak om medewerkers bewust te maken door middel van training en opleiding.

Onder fysieke beveiliging vallen een aantal fysieke beveiligingsmaatregelen. We benoemen er hieronder een aantal en leggen uit wat het inhoudt:

Wie heeft er (geautoriseerd) toegang tot fysieke en/of digitale middelen, systemen of ruimten? Je kunt dit opsplitsen in twee vormen:

Door toegangscontrole toe te passen kun je bepalen wie (wanneer) wel en geen toegang heeft tot een pand, ruimte of zone. Bij een ruimte kan gedacht worden aan een serverruimte, bij een zone bijvoorbeeld aan een magazijn. Toegangscontrole kan ook ingeregeld worden per functie of rol in een toegangsmatrix. Zo breng je in kaart welke functies toegang hebben tot welke panden, ruimten en zones. Per zone kun je meerdere toegangscontroles moeten uitvoeren, zoals vingerscan, pincode en badge.

Toegangscontrole geldt overigens niet alleen voor fysieke locaties, maar ook voor digitale locaties. Ook in systemen, bestandsmappen en dergelijke kan onderscheid gemaakt worden tussen functies die wel en geen toegang hebben. Denk daarom goed na wie bij welke informatie moet kunnen en wie niet en neem ook dat mee in je beleid en matrix.

Ook het afspreken van kantooruren valt onder informatiebeveiliging. Toegang buiten kantooruren kan namelijk issues opleveren met betrekking tot een ingeschakeld alarmsysteem, maar ook met het oog op bedrijfshulpverlening. Wanneer je op een locatie moet zijn buiten kantooruren, zorg dan in elk geval dat hier toestemming voor is verleend.

Door (actief) te observeren, monitoren en controleren van een locatie, activiteit of systeem kun je ongewenste activiteiten signaleren en/of voorkomen. Dit kan zowel op fysieke locaties, door beveiliging met camera’s, beveiligingspersoneel, sensoren etc., alsmede digitaal waarbij gedacht kan worden aan monitoren van netwerken, systemen, informatie om cyberaanvallen te voorkomen door o.a. netwerkbewaking, logging en een intrusion detection system (IDS).

Om informatie binnen je panden en in je online systemen beter te beveiligingen, kun je een clean desk en clear screen beleid toepassen. Daarmee wordt de kans op dat een ongeautoriseerd persoon aan de haal gaat met vertrouwelijke informatie, zowel fysiek als digitaal, aanzienlijk kleiner. Een clean desk en clear screen beleid zorgt ervoor dat informatie, zowel fysiek als digitaal, en apparaten zoals laptops, mobiele telefoons, niet onbeschermd worden achtergelaten in persoonlijke en publieke ruimten zodra iemand die verlaat.

Ook bezoekersregistratie is een vorm van fysieke toegangsbeveiliging. Laat bezoekers nooit alleen in een bedrijfspand rondlopen, maar begeleidt ze en blijf toezicht houden. Bij grotere panden kun je ook werken met bezoekersregistratie of een bezoekerspas inregelen waarbij de bezoeker bepaalde restricties heeft (zoals toegang tot bepaalde ruimten of zones). Op die manier weet je ook altijd wie er in het pand is (geweest) bij calamiteiten of wanneer er een incident heeft plaatsgevonden.

Zoals eerder in dit artikel benoemd is fysieke (toegangs)beveiliging een onderdeel van informatiebeveiliging dat wel eens over het hoofd wordt gezien. Zorgelijk, want zoals je uit dit blog kunt opmaken is fysieke beveiliging net zo essentieel als digitale beveiliging. Al tref je nog zoveel maatregelen, als iemand gegevens kan stelen uit je bedrijfspand of toegang heeft tot een onbeveiligde computer, dan kan dat grote gevolgen hebben. Het is dus belangrijk om je informatiebeveiliging, inclusief fysieke beveiliging, op orde te brengen! En net zo belangrijk: de maatregelen kenbaar te maken bij je medewerkers en hen bewust te maken van hun verantwoordelijkheid en juiste manier van handelen hierin.

Wil je aan de slag met informatiebeveiliging? Specifiek een ISO 27001 managementsysteem optuigen of onderhouden? Of je fysieke beveiliging eens kritisch onder de loep nemen? Neem gerust contact met ons op. Onze adviseurs zijn hierin gespecialiseerd en helpen je graag verder met het op verhogen van de informatieveiligheid binnen jouw organisatie!