Klein innovatief bedrijf; hoe beheer doen?

[Inspired]

Situatie;

Klein innovatief bedrijf; 150 FTE op dit moment. Eén vestiging waar ongeveer 75 man zit. De rest zit remote. Van Japan tot de US en daartussen. Nu nog een on-prem AD met sync naar Azure/O365. Maken veel gebruik van allerlei cloud diensten maar ook nog een paar on-prem applicaties. Veel BYOD (niet in domain dus.) en een mix van OS. (70% WIN/25% MAC/5% Linux) De meeste remote users kopen zelf een laptop lokaal en gaan aan het werk. Op dit moment (dus) geen goed overzicht van assets, en status qua updates/encryptie etc.

Vraag;

Wat zijn nu mogelijke oplossingen voor dit vraagstuk? Met name op gebied van IAM & beheer van devices. Persoonlijk zou ik het liefst naar een cloud oplossing willen. Helaas is Azure AD nog geen optie volgens MS. Zijn er mensen met ervaring met Jumpcloud? On-prem apps zullen steeds meer verdwijnen en riching cloud gaan. Nu aan het kijken naar uitbreiding met Intune maar nut van de on-prem AD is steeds minder. Of is voor deze setting Azure AD only toch een optie?

[Question Mark]

Je focussed nu al redelijk op oplossingen, maar inventariseer eerst eens wat je wilt. Welke problemen ervaar je nu, en welke (security)requirements zijn allemaal vereist?

Je noemt er drie (patching, cmdb en encryptie), maar er zullen vast meer zijn.

Jullie maken nu gebruik van BYOD. Is het dan wel een handige keuze om verantwoordelijk te zijn voor dit soort type apparaten?

[ralpje]

Inspired schreef op donderdag 17 januari 2019 @ 11:00:
Helaas is Azure AD nog geen optie volgens MS.

Waarom niet?

[Inspired]

Question Mark schreef op donderdag 17 januari 2019 @ 11:24:
Je focussed nu al redelijk op oplossingen, maar inventariseer eerst eens wat je wilt. Welke problemen ervaar je nu, en welke (security)requirements zijn allemaal vereist?

Je noemt er drie (patching, cmdb en encryptie), maar er zullen vast meer zijn.

Jullie maken nu gebruik van BYOD. Is het dan wel een handige keuze om verantwoordelijk te zijn voor dit soort type apparaten?

In principe is het in het algemeen het beheer van devices, in de breedste zin. Deployen van software/policies is minder van belang. Security baseline implementeren is op dit moment belangrijkste aandachtpunt.

BYOD is vanuit beheer niet het handigst nee. Maar in de praktijk is het ondoenlijk om devices te shippen naar iedereen. Daar is het bedrijf te klein voor. Om bv met HP/Dell een contract an te gaan. Ook wil het bedrijf medewerkers zelf de keus geven. (Binnen bepaalde grenzen.)

ralpje schreef op donderdag 17 januari 2019 @ 11:27:
[...]


Waarom niet?

Nou ja, ten eerste omdat MS dit ook niet support. Daarnaast kun je on-prem resources niet managen of centraal toegang tot verlenen. Je kunt wel het nodige met Windows 10 systemin maar met veel meer niet als ik het goed heb. Maar mocht iemand dit toch gedaan hebben hoor ik het graag!

[ Voor 17% gewijzigd door Inspired op 17-01-2019 11:43 ]

[HKLM_]

Inspired schreef op donderdag 17 januari 2019 @ 11:37:
[...]


In principe is het in het algemeen het beheer van devices, in de breedste zin. Deployen van software/policies is minder van belang. Security baseline implementeren is op dit moment belangrijkste aandachtpunt.

BYOD is vanuit beheer niet het handigst nee. Maar in de praktijk is het ondoenlijk om devices te shippen naar iedereen. Daar is het bedrijf te klein voor. Om bv met HP/Dell een contract an te gaan. Ook wil het bedrijf medewerkers zelf de keus geven. (Binnen bepaalde grenzen.)

Al eens naar virtuele desktops gekeken? Kan iedereen zijn eigen device hebben en maken ze via rdp verbinding met hun desktop welke beheerd is door het hoofdkantoor. Laptop defect? geen issue want geen data, laptop gestolen? geen issue want geen data. Nieuwe kopen en met 5 minuten weer aan het werk.

Voordeel van Virtuele desktops is tevens dat je als bedrijf 1x iets aanpast. Bijvoorbeeld Security updates en iedereen dit gelijk heeft. Tevens als applicaties etc

[ Voor 15% gewijzigd door HKLM_ op 17-01-2019 11:46 ]

[Artbij]

VDI lost alle problemen op. Of apps publishen.

[Inspired]

HKLM_ schreef op donderdag 17 januari 2019 @ 11:44:
[...]


Al eens naar virtuele desktops gekeken? Kan iedereen zijn eigen device hebben en maken ze via rdp verbinding met hun desktop welke beheerd is door het hoofdkantoor. Laptop defect? geen issue want geen data, laptop gestolen? geen issue want geen data. Nieuwe kopen en met 5 minuten weer aan het werk.

Voordeel van Virtuele desktops is tevens dat je als bedrijf 1x iets aanpast. Bijvoorbeeld Security updates en iedereen dit gelijk heeft. Tevens als applicaties etc

Met name de mensen in het buitenland zijn road warriors. Dus; veel onderweg, vliegtuig in, bij klanten waar niet altijd een goede verbinding voor handen is. Naar prospects in landen waar internet een stuk minder is dan hier bijvoorbeeld. Daar komt bij dat er veel cloud diensten gebruikt worden. Mensen gaan dan geen VDI opstarten maar gewoon met bv SFDC aan de slag. Of zie ik dit verkeerd?

[Question Mark]

HKLM_ schreef op donderdag 17 januari 2019 @ 11:44:
[...]


Al eens naar virtuele desktops gekeken? Kan iedereen zijn eigen device hebben en maken ze via rdp verbinding met hun desktop welke beheerd is door het hoofdkantoor. Laptop defect? geen issue want geen data, laptop gestolen? geen issue want geen data. Nieuwe kopen en met 5 minuten weer aan het werk.

Netwerk Latency gaat wel een vervelend dingetje worden voor de 75 remote workers. Wordt qua business case dan vrij lastig om in verschillende regions een VDI/RDS oplossing te deployen, ook in Azure.

Inspired schreef op donderdag 17 januari 2019 @ 11:37:
[...]
In principe is het in het algemeen het beheer van devices, in de breedste zin. Deployen van software/policies is minder van belang. Security baseline implementeren is op dit moment belangrijkste aandachtpunt.

Waar zou je security baseline uit bestaan?

Bitlocker kan een voorbeeld zijn, maar wordt geimplementeerd door een policy, waarvan je aangeeft dat deze minder van belang is. Waar wil je dan Bitlocker recovery keys gaan opslaan? Daarnaast stelt Bitlocker eisen aan Windows versies, en moet je voor Mac's al gaan zoeken naar een andere optie voor disk-encryption.

[Wannial]

Wellicht al eens naar intune gekeken?
VD zou ik in dit geval ook niet zo snel naar kijken, idd vanwege de door Question Mark aangegeven (mogelijke) latency issues. gezien ze all over the workd zitten.

[ Voor 57% gewijzigd door Wannial op 17-01-2019 12:09 ]

[Inspired]

Question Mark schreef op donderdag 17 januari 2019 @ 11:50:

[...]

Waar zou je security baseline uit bestaan?

Bitlocker kan een voorbeeld zijn, maar wordt geimplementeerd door een policy, waarvan je aangeeft dat deze minder van belang is. Waar wil je dan Bitlocker recovery keys gaan opslaan? Daarnaast stelt Bitlocker eisen aan Windows versies, en moet je voor Mac's al gaan zoeken naar een andere optie voor disk-encryption.

Met name de basics; inderdaad encryptie/AV/patches/password. Dit zou eventueel door Intune (gedeeltelijk) opgelost kunnen worden.

[Frogmen]

Persoonlijk zou ik ook kijken naar de mogelijkheden van Google G suite samen met RDS oplossingen voor applicaties.

[Deveon]

Inspired schreef op donderdag 17 januari 2019 @ 11:37:
[...]


Nou ja, ten eerste omdat MS dit ook niet support. Daarnaast kun je on-prem resources niet managen of centraal toegang tot verlenen. Je kunt wel het nodige met Windows 10 systemin maar met veel meer niet als ik het goed heb. Maar mocht iemand dit toch gedaan hebben hoor ik het graag!

Met Azure AD misschien niet, maar Microsoft kan je wensen prima faciliteren met andere diensten (obv Azure diensten).

Maar zoals eerder genoemd; formulier eerst je probleem en zoek daarna een oplossing.

[ Voor 7% gewijzigd door Deveon op 17-01-2019 12:02 ]

[Inspired]

Frogmen schreef op donderdag 17 januari 2019 @ 11:57:
Persoonlijk zou ik ook kijken naar de mogelijkheden van Google G suite samen met RDS oplossingen voor applicaties.

Hoe lost dit het issue met de (BYOD) devices op?

Wannial schreef op donderdag 17 januari 2019 @ 11:55:
Wellicht al eens naar intune gekeken?
VD zou ik in dit geval ook niet zo snel naar kijken, idd vanwege de door Question Mark aangegeven (mogelijke) latency issues. gezien ze all over the workd zitten.

stuur me anders een DM, ik werk voor MS en kan je wel aan een van mijn azure AD collega's koppelen.

Ja, zijn we naar aan het kijken nu. Ik DM je wel even.

[vso]

Question Mark schreef op donderdag 17 januari 2019 @ 11:24:
Je focussed nu al redelijk op oplossingen, maar inventariseer eerst eens wat je wilt. Welke problemen ervaar je nu, en welke (security)requirements zijn allemaal vereist?

Je noemt er drie (patching, cmdb en encryptie), maar er zullen vast meer zijn.

Jullie maken nu gebruik van BYOD. Is het dan wel een handige keuze om verantwoordelijk te zijn voor dit soort type apparaten?

@Inspired tja wat hieroven staat negeer je helemaal naar mijn idee 150 man is echt een moment om een serieus te gaan kijken hoe de boel aanpakt op een professionele manier

Je zegt bv dat 24x7 internet connected een uitdaing is terwijl je met cloud(en dus ook vdi) meuk aan komt zetten beetje tegenstrijdig.

Veiligheid is alleen maar mogelijk als je elke factor rekening houd dus .. ga je disk encryptie doen, en geen VDI loop je een groter risico belangrijke informatie te verliezen omdat de data op een laptop staat. en verwachten dat je medewerkers zich houden aan de regel "je zal elke 5 seconden op de backup knop duwen" tja ..dat gaat niet werken in de praktijk soms wil je wel een feestje met iets te veel alcohol hebben

Nogmaals jij zal scenario's moeten maken waarbij de risico's zo duidelijk mogelijk zijn voor management om een richting op te gaan.

[Frogmen]

[quote]Inspired schreef op donderdag 17 januari 2019 @ 12:02:
[...]


Hoe lost die het issue met de (BYOD) devices op?

Misschien door te zorgen dat het geen issue is. Anders gezegd je beveiliging en veiligheid verleggen zodat een issue met een device niet verder komt dan het device en een herinstallatie door de user het oplost.
Zal hier vast geen waardering voor krijgen maar denk wel dat het de toekomst is. Zie hoor teveel ellende (lees mensen die hun werk niet kunnen doen) door dichtgetimmerde devices, waardoor mensen soms erg creatief worden, tot complete schaduwsystemen aan toe.

[Inspired]

vso schreef op donderdag 17 januari 2019 @ 12:06:
[...]


@Inspired tja wat hieroven staat negeer je helemaal naar mijn idee 150 man is echt een moment om een serieus te gaan kijken hoe de boel aanpakt op een professionele manier

Je zegt bv dat 24x7 internet connected een uitdaing is terwijl je met cloud(en dus ook vdi) meuk aan komt zetten beetje tegenstrijdig.

Veiligheid is alleen maar mogelijk als je elke factor rekening houd dus .. ga je disk encryptie doen, en geen VDI loop je een groter risico belangrijke informatie te verliezen omdat de data op een laptop staat. en verwachten dat je medewerkers zich houden aan de regel "je zal elke 5 seconden op de backup knop duwen" tja ..dat gaat niet werken in de praktijk soms wil je wel een feestje met iets te veel alcohol hebben

Nogmaals jij zal scenario's moeten maken waarbij de risico's zo duidelijk mogelijk zijn voor management om een richting op te gaan.

VDI, en apps lokaal met gebruik van cloud toepassingen is niet hetzelfde in mijn optiek. Iemand kan prima een export uit SFDC draaien en met Office op de laptop in het vliegtuig verder. Met VDI niet. Idee is ook om het nu beter aan te pakken. Vandaar de vraag naar ervaringen/oplossingen.

Frogmen schreef op donderdag 17 januari 2019 @ 12:07:
[quote]Inspired schreef op donderdag 17 januari 2019 @ 12:02:
[...]


Hoe lost die het issue met de (BYOD) devices op?

Misschien door te zorgen dat het geen issue is. Anders gezegd je beveiliging en veiligheid verleggen zodat een issue met een device niet verder komt dan het device en een herinstallatie door de user het oplost.
Zal hier vast geen waardering voor krijgen maar denk wel dat het de toekomst is. Zie hoor teveel ellende (lees mensen die hun werk niet kunnen doen) door dichtgetimmerde devices, waardoor mensen soms erg creatief worden, tot complete schaduwsystemen aan toe.

Je krijgt hiermee toch data op laptops? Hoe wil je dan de beveiliging verleggen?

[ Voor 24% gewijzigd door Inspired op 17-01-2019 12:33 ]

[Frogmen]

Hoeft niet je zou 100% online kunnen werken. Anders heb je slechts tijdelijke lokale kopien die gesynced worden. Je geeft aan dat er gebruikers zijn die niet altijd 100% online kunnen werken, dat is een risico en een veiligheid. Maar zonder risico inventarisatie kom je hier niet, want je hebt eigenlijk nog geen idee wat en waartegen je je moet beveiligen. Mijn achtergrond is meer non-it security en safety maar het proces is generiek. Als je een sommige it'ers een huis zou laten beveiligen dan wordt het Fort Knox en niemand wil daarin wonen.

[vso]

Inspired schreef op donderdag 17 januari 2019 @ 12:32:
VDI, en apps lokaal met gebruik van cloud toepassingen is niet hetzelfde in mijn optiek. Iemand kan prima een export uit SFDC draaien en met Office op de laptop in het vliegtuig verder. Met VDI niet. Idee is ook om het nu beter aan te pakken. Vandaar de vraag naar ervaringen/oplossingen.

je werkt lokaal met een export is wellicht niet je wens, want je wilt "online' met die zooi zodat het 24*7 beschikbaar is. wat lokaal bijgewerkt word betekend dat de offline data nieuwer is dan online.

*knip*. Je hebt gelijk, maar dit mag iets vriendelijker.
management moet duidelijk stellen. "in het vliegtuig moet men kunnen werken zonder afhankelijkheid van internet" of "men mag alleen maar werken via 24*7 beschikbare system(en)" .. dat is dus hoe je werkt. maar nog niet de vraag ja maar updates, patches en andere werkzaamheden ..

jij zal dus aan de hand van jou kennis van het bedrijf een aantal scenario's moeten schetsen en toetsen of dit de werkelijkheid 90% benaderd en aan de hand van die scenario's zet je voor jou uit welke problemen en dus oplossingen mogelijk zijn.
en je hoeft niet 100% waterdicht te zijn, laat opties open om op te schieten .. maar zorg wel dat jou punten gedekt & benoemd zijn

[ Voor 4% gewijzigd door rens-br op 18-01-2019 12:54 ]

[Question Mark]

Inspired schreef op donderdag 17 januari 2019 @ 13:19:
[...]


*knip*.

Toch heeft hij een heel goed punt. De requirement om ook offline te kunnen werken, of in gebieden met slechte internetdekking is een heel erg belangrijke, maar staat niet in de topicstart genoemd.

Het is lastig advies geven als net dit soort informatie ontbreekt.

En dat er kritische vragen gesteld worden, wil niet zeggen dat men niet naar je luistert. Als ik even naar mijzelf kijk doe ik dit ook in mijn dagelijks werk. Als mensen mij een globale vraag gaan stellen, ga ik net zo lang door met het stellen van kritische vragen totdat ik heel duidelijk weet wat men nu precies wil. Pas dan ben ik in staat om goed te helpen.

Dat de requirement om ook offline te kunnen werken nu wel bekend is, komt juist doordat er kritische vragen gesteld worden.

[ Voor 14% gewijzigd door rens-br op 18-01-2019 12:54 ]

[vso]

Inspired schreef op donderdag 17 januari 2019 @ 13:19:
[...]


Volgens mij is mijn vraag duidelijker dan je antwoord. Maar dank voor de verhelderende visie op hoe het op GoT gaat tegenwoordig. De rest bedankt voor de input.

idd wat @Question Mark zegt. en heeft niks met GOT te maken.

Maar er is geen standaard, alleen als je het hele idee van het volgende plaatje niet kent.


En ik snap best dat in jou beleving je vraag duidelijk is, maar iedereens referentie kader is anders en krijg je dus andere vragen/antwoorden dan waar je bij stil staat..

Hierom is het advies dus ook (en het doel van het plaatje) probeer eerst de vraag helder te hebben en dan naar de oplossing te werken

[Rob Krauts]

Er zijn suggesties gedaan, maar een Managed Service Platform is wellicht een optie voor jullie. Vooral geschikt voor BYOD en is niet gebonden aan locatie. Je installeert een stukje software op het device (laptop/pc/tablet/smartphone), deze wordt aangemeld op een platform/dashboard waar je als beheerder kunt inloggen en policies per site (bv V.S. of NL) of per device kunt maken en beheren. Bij de policies moet je denken aan wachtwoordbeleid, virusscanner, patches en updates etc.

[Inspired]

Question Mark schreef op donderdag 17 januari 2019 @ 13:35:
[...]

Toch heeft hij een heel goed punt. De requirement om ook offline te kunnen werken, of in gebieden met slechte internetdekking is een heel erg belangrijke, maar staat niet in de topicstart genoemd.

Het is lastig advies geven als net dit soort informatie ontbreekt.

En dat er kritische vragen gesteld worden, wil niet zeggen dat men niet naar je luistert. Als ik even naar mijzelf kijk doe ik dit ook in mijn dagelijks werk. Als mensen mij een globale vraag gaan stellen, ga ik net zo lang door met het stellen van kritische vragen totdat ik heel duidelijk weet wat men nu precies wil. Pas dan ben ik in staat om goed te helpen.

Dat de requirement om ook offline te kunnen werken nu wel bekend is, komt juist doordat er kritische vragen gesteld worden.

Kritische vragen is het probleem niet, dat weet je zelf ook wel. Dit soort opmerkingen zijn verre van constructief in mijn beleving.

*knip*.

[ Voor 9% gewijzigd door rens-br op 18-01-2019 12:26 ]

[rens-br]

Modbreak:

Het mag allemaal wat vriendelijker mensen. Het is vrijdagmiddag, de zon schijnt en het is bijna weekend. Zullen we gewoon elkaar in de waarde laten?

Wordt het allemaal een stuk leuker van.

[tjelleaz]

Je moet eens kijken naar de Symantec Endpoint Protecion Cloud, in combinatie met intune.
Met de symantec endpoint kan je ook encryptie doen, toestel wipen, ..
Met Intune kan je dan het verdere beheer doen van apps ed.

[Guru Evi]

Je bent een innovatief bedrijf, denk innovatief over de structuur van je bedrijf na. Een 'klassieke' oplossing (antivirus/encryptie met centraal beheer etc) gaat niet (goed) werken - ik bestuur zelf een relatief onafhankelijke groep mensen, je moet in dezelfde zienswijze kunnen denken van je 'klanten'.

Begin ook eens met een framework aan te wijzen waar je je wettelijk of contractueel moet aan houden Is het NIST, ISO, HIPAA, ENISA RM/RA, ... en wil je een doosje aantikken op papier of daadwerkelijk verbeteringen aanbrengen? En als je iets wil verbeteren, wat valt er te verbeteren, heb je al een lek of verlies gehad vanwege de beveiliging, een boete, een klant verloren? Indien zo, waar ben JIJ verkeerd gegaan - een beveiligingsprobleem is niet het probleem van je 'domme' medewerkers die overal klikken, het is de persoon verantwoordelijk voor beveiliging.

De eerste stap, nadat je weet waar je aan begint, is het onderwijzen van je bedrijf (helemaal van boven naar beneden). Een goede oplossing (in het Engels) daarvoor is Habitu8.io.

De technische oplossing gaat zichzelf aangeven. Wat is een goede technische oplossing? Veiligheid dat niet in de weg zit van iemand anders werk, eenmaal je iemands vrijheid inperkt of hun werk blokkeert, vinden ze er zelf wel een omzeiling VOOR ze naar de helpdesk bellen en dan is je werk voor niets. Wij gebruiken zelf Cylance omdat we weten dat de impact nietig is, vroeger was het Sophos en wilden 40% van de werknemers het niet eens installeren omdat het hun machine onbruikbaar maakte, zelfde probleem met encryptie of upgrades forceren, als deze dingen het werk trager maken of als het onnodig is, waarom dit door de strot te duwen?

Als je met developers werkt, misschien een oplossing in Docker - iedereen checkt uit dezelfde repository de werkomgeving die voldoende beveiligd is maar nog steeds oneindig aanpasbaar, je kan de data at-rest met encryptie regelen. Meestal zijn developers slim genoeg om zelf hun veiligheid aan te pakken, iemand die constant over je schouder ziet willen ze ook niet.

Als het allemaal kantoorwerkers zijn die data invoeren, waar ben je bang voor, zijn het staatsgeheimen, medisch informatie? Een degelijke (gesynchroniseerde) opslag met versies en een goed werkende antivirus is soms genoeg. Een goed systeem kan ervoor zorgen dat alles binnen de applicatie(s) wordt verwijderd of versleuteld en je kan een systeemcheck inbouwen zodat het niet draait zonder bepaalde veiligheidsmaatregelen (zoals een specifieke Windows update of antivirus).

[unezra]

Los van een topic op Tweakers, praat ook met een aantal partijen / ICT dienstvlerleners hierover.

Het is zeker goed zelf na te denken over de businesscase, maar denk vanuit de functionele requirements vanuit de organisatie en bedenk daar aan het eind een technische oplossing bij. Kijk ook naar je TCO over meerdere jaren, dat blijft een belangrijk ding. (Maar niet zaligmakend, het gaat logischerwijs over mer dan alleen TCO, de TCO kan prima hoger zijn als je dat terugverdient in verbetering van de ICT dienstverlening, etc.)

Misschien niet onbelangrijk om te kijken is wat er nu aan hard- en software is en te kijken naar EOL data daarvan. Dat heeft bij ons de oriënterende fase van een van de grootste projecten die ik tot nu toe heb gedaan gevoed. (We zijn nu in de oriënterende fase.) Kleiner bedrijf overigens, minder dan 50 FTE en zuiver NL gebaseerd, met een groot deel van de mensen dagelijks op kantoor, maar wel met de mogelijkheid om thuis te werken.

In deze fase ben ik én zelf aan het nadenken (wie weet volgt er nog een topic), maar ben ik ook intensief in gesprek met een aantal ICT dienstverleners die ik wel aan geef welke oplossingsrichtingen ik aan denk én welke investeringsuitdaging er aan zit te komen, maar ook nadrukkelijk de vrije hand geef en vraag een oplossing aan te bieden die zij al beste zien voor onze organisatie.

Ik vraag ze letterlijk in mijn schoenen te gaan staan en met de kennis die zij in huis hebben, de oplossing aan te bieden waar zij het meest in geloven. Daarin mogen ze heel ver gaan, zolang het uitgangspunt maar blijft "lagere kosten, betere ICT dienstverlening".