Security en privacy bij BYOD - DSpace at Open Universiteit

1. Inleiding
Dit onderzoek gaat over informatiebeveiliging bij invoering van het Bring Your
Own Device (BYOD) concept binnen organisaties. BYOD houdt in dat werknemers
hun eigen mobiele apparaten (devices), die ze zelf hebben aangeschaft, kunnen
en mogen gebruiken voor zakelijke doeleinden zoals email, opslag van bedrijfsgegevens
en toegang tot het intranet. Mobiele apparaten die voornamelijk
geschikt zijn voor BYOD zijn smartphones, tablets en notebooks.
Deze mobiele apparaten zijn in relatief korte tijd zeer populair geworden. Ze zijn
krachtig, rijk aan functionaliteit, gebruiksvriendelijk en daardoor ook zeer
geschikt voor zakelijk gebruik. Doordat de ontwikkelingen op het gebied van
consumentenelektronica sneller zijn gegaan dan de corporate IT-afdeling bereid
was bij te houden, zijn werknemers op een gegeven moment hun eigen mobiele
apparaten mee gaan nemen naar de werkvloer. Uit onderzoek (Schadler, Brown,
Gray & Burns, 2009) blijkt namelijk dat werknemers productiever zijn bij gebruik
van eigen apparatuur. Bovendien bespaart de IT-afdeling op aanschafkosten van
hardware. BYOD is overigens ook een populair onderwerp voor vakliteratuur, zie
de referenties in hoofdstuk 8.
Tot zover lijkt BYOD alleen maar voordelen te bieden. Er kleven echter ook twee
belangrijke nadelen aan, namelijk informatiebeveiliging en privacy. Een uniek
kenmerk van BYOD t.o.v. de laptop van de zaak, is dat het mobiele apparaat
geen eigendom is van de organisatie, maar van de medewerker zelf. Hierdoor
heeft de organisatie er initieel dan ook geen enkele controle en/of bevoegdheid
over en kan daardoor niet, of slechts deels, het organisatiebreed beveiligingsbeleid
afdwingen en bekrachtigen. De bedrijfsgegevens die op het mobiele
apparaat van de medewerker staan, evenals de toegang die het hiertoe
faciliteert, behoren echter wel toe aan de organisatie. Doordat de organisatie
geen zeggenschap heeft over het apparaat, is het de regie kwijt over de
beschikbaarheid, integriteit en vertrouwelijkheid van de bedrijfsgegevens. BYODapparaten
kunnen hierdoor een ernstig beveiligingslek vormen. Er ontstaat
bovendien een interessant spanningsveld tussen wat de organisatie wel/niet kan
en mag afdwingen bij een mobiel apparaat waar het zelf geen eigenaar van is.
Daarnaast is het maar de vraag in hoeverre de medewerker toestaat dat de
organisatie controle heeft over zijn/haar bezit, evenals de toegang tot
privédocumenten en -bestanden.
Het doel van dit verkennende en inductieve onderzoek is het in kaart brengen
van hoe organisaties de informatiebeveiliging (security) rondom BYOD hebben
geregeld, zowel op strategisch (beleid) als tactisch (maatregelen) niveau.
Daarnaast wordt de invloed hiervan op de privacy van de werknemers
onderzocht. Het onderzoek is uitgevoerd in het kader van de afstudeeropdracht
voor de masteropleiding Business Process Management & IT aan de Open
Universiteit. Allereerst wordt in hoofdstuk 2 de probleemstelling gedefinieerd
zodat de vraagstelling en doelstelling helder is. Hierna wordt de gehanteerde
methode van onderzoek in hoofdstuk 3 beschreven zodat duidelijk wordt hoe te
werk is gegaan. Vervolgens worden de resultaten van zowel de literatuurstudie
als het empirische onderzoek gepresenteerd in hoofdstuk 4 en 5. Daarna worden
conclusies getrokken en aanbevelingen gedaan in hoofdstuk 6. De scriptie eindigt
in hoofdstuk 7 met een reflectie op het product en het proces.
Pagina | 8