Security en privacy bij BYOD - DSpace at Open Universiteit

management zijdelings betrokken. Bij één organisatie was tevens de
ondernemingsraad betrokken.
VR-16 Kunt u gedetailleerd beschrijven hoe dat proces, de totstandkoming
van de BYOD-implementatie en de informatiebeveiliging daaromheen,
tot stand is gekomen binnen uw organisatie?
Vier organisaties geven duidelijk aan dat BYOD voornamelijk is ontstaan vanuit
de werkvloer (bottom-up). Medewerkers namen zelf steeds meer hun eigen
smartphones en tablets mee, met de vraag of deze aan het organisatienetwerk
gekoppeld konden en mochten worden. Slechts bij één organisatie, de enige
waar BYOD nog niet officieel is toegestaan, initieerde de BYOD-gedachte topdown.
De Chief Information Officer heeft daar de opdracht gegeven BYOD te
verkennen.
VR-17 Hoe wijkt de informatiebeveiliging m.b.t. de implementatie van het
BYOD-concept binnen uw organisatie af van die bij mobiele apparaten
die geen eigendom zijn van de werknemers, maar uw IT-afdeling?
Vier organisaties vinden het concept en principe achter BYOD-security niet heel
verschillend t.o.v. generieke (mobiele) security. Deze organisaties zijn echter wel
van mening dat BYOD-security technisch anders aangepakt en benaderd moet
worden. Drie van deze vier organisaties noemen voornamelijk het
eigendomsrecht (juridisch) en de verminderde zeggenschap (controle en
beperkingen), als belangrijke, niet-technische verschillen. Slechts één organisatie
is expliciet van mening dat BYOD-security een compleet andere tak van sport is
dan generieke (mobiele) security.
VR-18 Kunt u de hoofdlijnen beschrijven, en de keuze hiervoor motiveren,
van het security-beleid dat binnen uw organisatie wordt gehanteerd
m.b.t. BYOD?
De antwoorden op de interviewvraag om de belangrijkste hoofdlijnen van de
BYOD security-beleid te beschrijven, lopen flink uiteen. Zo wordt o.a. gesproken
over een jaarlijkse audit en evaluatie, waarna het BYOD security-beleid wordt
aangepast. Bij ad-hoc ontwikkelingen of incidenten wordt het beleid echter wel
direct aangepast. Ook het uitgangspunt dat data-at-rest en data-in-transport
altijd veilig moet zijn, komt voorbij. Net zoals het uitgangspunt dat een eerste
aanmelding van een BYOD-apparaat altijd vanaf een vertrouwde locatie moet
gebeuren.
Eén organisatie, waar BYOD onderdeel is van de bedrijfscultuur, geeft aan dat er
helemaal geen security-beleid is, en er voorlopig ook niet zal komen. Een andere
organisatie, waar BYOD nog niet officieel is uitgerold, meldt dat ook het beleid
nog volop in ontwikkeling is. Een derde organisatie meldt dat er wordt gewerkt
met een verouderd security-beleid uit 2011 en de 2013 versie nog uitgewerkt
moet worden.
VR-19 Hoe effectief is dit security-beleid?
Pagina | 36