Cryptografie klinkt als het domein van specialisten, maar wat er in de praktijk van een toeleverancier wordt gevraagd, is standaardfunctionaliteit die vooral aangezet moet worden.
Waarom is een onversleutelde laptop een datalek?
Omdat de vinder of dief van een onversleutelde laptop bij alles kan wat erop staat, inloggegevens en klantdata inbegrepen. Met schijfversleuteling (BitLocker op Windows, FileVault op Mac) is dezelfde kwijtgeraakte laptop alleen een vervelende kostenpost.
De maatregel is: versleuteling standaard aan op elk apparaat dat de deur uit kan, centraal afgedwongen in plaats van per toestel geregeld, en af en toe controleren dat het overal nog actief is. Die controle is wat een klantaudit wil zien.
Wat betekent versleuteld verzenden concreet?
HTTPS op uw website en portalen, versleutelde verbindingen (TLS) voor e-mail en bestandsuitwisseling, en verouderde protocollen uit. Voor de meeste bedrijven is dit grotendeels al zo; de valkuilen zitten in oude uitzonderingen, zoals een FTP-koppeling van jaren terug of een intern portaal dat nog op http draait.
Een leverancier die klantdata onversleuteld over de lijn stuurt, heeft op een vragenlijst weinig uit te leggen en veel op te lossen; andersom is dit een van de makkelijkste vinkjes om aantoonbaar goed te hebben.
Moeten back-ups ook versleuteld zijn?
Ja. Een onversleutelde back-up bij een externe partij is een datalek in de wachtstand: alle bedrijfsdata, netjes gebundeld, op infrastructuur die u niet beheert. Schakel versleuteling in op de back-upopslag en leg vast waar de sleutels worden bewaard, want een versleutelde back-up waarvan de sleutel alleen in het hoofd van een vertrokken beheerder zat, is bij herstel niets waard.
Moet e-mail met klantgegevens versleuteld verstuurd worden?
Tussen mailservers gebeurt dat tegenwoordig standaard met TLS, en voor de meeste correspondentie is dat genoeg. Het wordt een ander verhaal zodra u gevoelige gegevens verstuurt: medische gegevens, personeelsdossiers, grote bestanden met klantdata. Daar wordt verwacht dat u een beveiligde uitwisselmethode gebruikt in plaats van een bijlage, met een link die verloopt en een ontvanger die zich identificeert.
De meest voorkomende bevinding op dit punt is trouwens niet technisch maar menselijk: bestanden die naar het verkeerde adres gaan. Een korte instructie over wat er wel en niet als bijlage de deur uit mag, hoort daarom bij dit onderwerp net zo goed als het protocol. Zie training van medewerkers.
Welke algoritmen en sleutellengtes zijn goed genoeg?
De wet noemt geen algoritmen, want die veroudert. Wat er staat is dat u de stand van de techniek volgt. Praktisch: TLS 1.2 als ondergrens en TLS 1.3 waar het kan, AES-256 voor opslag, en oude protocollen zoals SSL, TLS 1.0 en 1.1 uitgeschakeld.
U hoeft dit niet zelf te bepalen. De standaardinstellingen van uw besturingssysteem en uw hostingpartij zijn hier meestal in orde; het werk zit in het opsporen van de uitzonderingen die ooit met de hand zijn aangezet. Een externe scan van uw domein laat dat in een paar minuten zien, en de uitkomst is meteen een bewijsstuk voor het aantonen van effectiviteit.
Gelden dezelfde eisen voor telefoons en usb-sticks?
Voor telefoons en tablets wel, en dat is meestal al geregeld: moderne toestellen versleutelen hun opslag standaard zodra er een toegangscode op staat. De maatregel is dan ook niet het versleutelen zelf maar het afdwingen van die toegangscode, plus de mogelijkheid om een verloren toestel op afstand te wissen.
Losse gegevensdragers zijn het lastigere geval. Een usb-stick met klantdata die in een taxi blijft liggen, is precies het scenario waar deze maatregel voor bedoeld is. De eenvoudigste lijn is: geen bedrijfsgegevens op losse dragers, uitwisselen gaat via een beveiligde omgeving. Kan dat in uw werk niet, sta dan alleen versleutelde dragers toe en noteer dat als regel in het gebruikersreglement; zie training van medewerkers.
Hoe dit onderwerp samenhangt met back-ups en continuïteit en de rest van de zorgplicht leest u in de tien maatregelen.