19
Jan

Datalekken. Een probleem waarvoor een oplossing is

Sinds 1 januari 2016 zijn bedrijven en overheden verplicht melding te doen bij de Autoriteit Persoonsgegevens als er sprake is van een ernstig datalek. De Autoriteit Persoonsgegevens was tot begin dit jaar het College bescherming persoonsgegevens.

Wat is een datalek?

Bij een datalek gaan persoonsgegevens verloren zonder dat dit de bedoeling is van de organisatie die de data beheert. Het kan gaan om vernietiging, wijziging of vrijkomen van persoonsgegevens. De Autoriteit Persoonsgegevens heeft een digitaal Meldloket om een datalek te melden. De Autoriteit Persoonsgegevens heeft tegelijk met de ingangsdatum van de meldplicht datalekken een boetebevoegdheid. De maximale boete die de toezichthouder kan opleggen, bedraagt € 820.000,-.

Schade

Vertrouwen is een basisvoorwaarde in de relatie tussen bedrijven en overheden enerzijds en klanten en burgers anderzijds. Dat vertrouwen kan een enorme deuk oplopen als zich een ernstig datalek voordoet.

Een datalek hoeft niet meteen te betekenen dat een systeem gehackt is. Dat kan, maar de voorbeelden zijn eigenlijk veel ‘dichter bij huis’. Hoe vaak hebben we niet in de krant gelezen dat een medewerker van het OM thuis wil werken aan zijn dossiers en een usb-stick meeneemt. Bij verlies ervan, kunnen heel gevoelige persoonsgegevens vrijkomen. Hetzelfde is het geval als een medewerker van een bedrijf zijn laptop in de trein vergeet en hierdoor alle bedrijfsgegevens verliest. Of uit dienst getreden medewerkers hebben nog steeds het wachtwoord in bezit waarmee ze toegang hebben tot vertrouwelijke documenten. Niet denkbeeldig, want zelfs in de met vele beveiligingsprotocollen beveiligde omgeving van de nationale politie heeft een medewerker jarenlang toegang gehad tot vertrouwelijke gegevens waarop hij geen recht meer had.

Wachtwoorden vormen geen afdoende beveiliging

Op documentniveau is het vanaf Office 2007 eenvoudig informatie te beveiligen. In Word kunt u een document beveiligen met een wachtwoord. Hoewel een wachtwoord wel zorgt voor een redelijke versleuteling, is het niet mogelijk om vanuit de organisatie een minimaal beveiligingsniveau af te dwingen. De mogelijkheid om bepaalde eisen te stellen aan wachtwoorden ontbreekt.

Is het wachtwoord eenmaal bekend bij onbevoegde personen, dan is meteen de informatie – ook op alle kopieën van dat document – niet langer veilig. Een wachtwoord lost uw probleem dus niet afdoende op en het risico op datalekken blijft bestaan.

Digital Rights Management

Gelukkig is er nu wel een afdoende middel om datalekken op documentniveau te voorkomen. Dat kan met Azure AD RMS. Het staat voor Active Directory Rights Management Services. Een document beveiligd met Azure AD RMS kan alleen worden geopend als er contact wordt gezocht met de Office 365 servers van Microsoft. Dat betekent dat het document fysiek in uw bezit is, maar dat de codes om het document te ontgrendelen door Microsoft worden beheerd. Samen met Microsoft kunt u het beveiligingsniveau van uw organisatie afdwingen. Microsoft heeft dus geen inzage in uw document, maar beheert slechts de sleutel, de toegang tot het document.

Zie het als een waardetransportauto. De bestuurder heeft geen toegang tot de kluis, maar bestuurt slechts de auto. Het hoofdkantoor heeft de knop om de kluis te openen. Iedere keer als iemand een kopie maakt van de waardetransportauto (het Office document), dan wordt de kluis meegekopieerd. Iedere kopie zal contact moeten zoeken met het hoofdkantoor om de kluis te openen.

Dat betekent dat u toegangsrechten van documenten die niet meer in uw bezit zijn, kunt intrekken. Bijvoorbeeld als een medewerker op staande voet is ontslagen en die medewerker heeft zijn of haar laptop nog niet ingeleverd. Niet alleen de documenten op die laptop worden dan geblokkeerd, ook alle documenten die rondzwerven op USB-sticks en wellicht pas jaren later opduiken, worden geblokkeerd. Fysieke toegang tot het document om het te blokkeren is niet meer nodig!

De voordelen van Azure AD RMS

Gebruiksgemak

Als de gebruiker met Microsoft Office al is ingelogd in Office 365, dan heeft hij direct toegang tot alle beveiligde documenten met dezelfde sleutel. Het proces is volledig transparant voor de gebruiker. Ook het aanzetten van de beveiliging kan heel gemakkelijk. Het kost de gebruiker slechts enkele muisklikken.

Auditing

Probeert iemand een document te openen, dan is dat terug te zien door de beheerders.

Beveiliging

Azure AD RMS beheert niet alleen toegangsrechten, maar ook de encryptie. Microsoft beschikt niet over de documenten, maar alleen over de toegangssleutels. Als een document over een onveilig medium reist (bijvoorbeeld een USB-stick of een e-mail), dan is het document toch goed beveiligd.

Achteraf

Omdat Microsoft het beveiligingsproces regelt, kunnen toegangsrechten worden gewijzigd ook als het document al weg is. Zelfs van ex-medewerkers die de documenten allang op een eigen USB stick hebben staan. En dat kan natuurlijk ook andersom: wilt u iemand juist wel toegang verschaffen, maar is het document al naar die persoon verstuurd? Dan kan de toegang alsnog worden toegekend.

Stelt u eens voor: u hebt een ernstig maar gesignaleerd datalek. Zonder Azure AD RMS zou u dit datalek hebben moeten melden. Nu is de informatie dankzij Azure AD RMS nog steeds beveiligd. Dat scheelt u veel geld aan uitgebreide audits, een boete en zelfs schadevergoedingen.

Abonnement op Azure AD RMS licentie, een geringe investering in veiligheid

Het is niet zo dat Azure AD RMS de oplossing is voor alle beveiligingsrisico’s. Azure AD RMS is een onderdeel van een volledig pakket van beveiligingsoplossingen. Azure AD RMS is wel een prachtige oplossing om datalekken te voorkomen. De kosten voor een abonnement kunnen nauwelijks een bezwaar zijn. Voor slechts enkele tientjes per jaar per medewerker is gevoelige informatie veiliggesteld.

WestConnect kan niet alleen Azure AD RMS voor uw organisatie implementeren, wij kunnen u natuurlijk een volledig pakket aan preventie- en beveiligingsmaatregelen aanbieden om de risico’s en de gevolgen van een datalek zo veel mogelijk te voorkomen en te beperken.

Interesse

Wilt u meer weten over wat Azure AD RMS voor uw organisatie kan betekenen? Of wilt u weten of uw organisatie gevoelige informatie afdoende beveiligt? Bel of mail WestConnect voor meer informatie over Azure AD RMS of over een audit van uw huidige beveiliging van gevoelige informatie.

 

No Comments

Leave a Comment

Your email address will not be published. Required fields are marked *

Contact