Cryptografiebeleid

Het document waarin staat welke gegevens u versleutelt, met welke technieken, en hoe u de sleutels beheert. Dat laatste is het onderdeel dat vrijwel altijd ontbreekt.

Wat erin hoort

• welke gegevens versleuteld moeten worden, in rust en tijdens transport
• welke algoritmen en sleutellengtes u toestaat, en welke niet meer
• welke protocollen zijn toegestaan voor verkeer van en naar buiten
• wie sleutels aanmaakt, bewaart en mag gebruiken
• hoe sleutels worden vervangen en wat er gebeurt bij verlies
• hoe herstelsleutels bewaard worden en wie erbij kan

Wie stelt het vast

Vaststelling gebeurt door de verantwoordelijke voor informatiebeveiliging. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, want aanbevelingen over algoritmen veranderen sneller dan de meeste documenten. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

twee tot drie pagina's. Verwijs voor de toegestane algoritmen naar de actuele aanbevelingen in plaats van een vaste lijst.

Fouten die er het vaakst in zitten

• Encryptie staat aan maar sleutelbeheer is nergens vastgelegd.
• De herstelsleutel van de back-up staat in het systeem dat is uitgevallen.
• Verouderde protocollen staan nog aan omdat ooit een systeem ze nodig had.
• Een vaste lijst algoritmen in het beleid die na twee jaar achterhaald is.

De drie vragen die het beleid beantwoordt

1. Wat versleutelen wij? Werkplekken en mobiele apparatuur, back-ups, gegevens onderweg naar buiten, en gegevens van klanten in rust. Per categorie een regel, meer niet.
2. Waarmee? Verwijs naar de actuele aanbevelingen van het NCSC in plaats van zelf een lijst algoritmen bij te houden. Leg wel vast welke protocollen expliciet níét meer zijn toegestaan.
3. Wie beheert de sleutels? Per sleutelsoort: wie maakt hem aan, waar staat hij, wie kan erbij, wie is de vervanger, en hoe vaak wordt hij vervangen. Dit is het deel dat vrijwel overal ontbreekt.

Zet bij elke herstelsleutel expliciet waar hij bewaard wordt en bevestig dat die plek los staat van wat de sleutel moet ontsluiten.

De sleutel mag niet in het slot blijven zitten

Er is één vraag die dit hele beleid samenvat: als het systeem dat u wilt herstellen niet beschikbaar is, kunt u er dan nog bij de sleutel? Bij een verrassend aantal organisaties is het antwoord nee, omdat de sleutel netjes is opgeslagen in precies de omgeving die is uitgevallen.

Bewaar sleutels dus bewust buiten wat ze moeten beschermen, en leg vast wie erbij kan als de eerste persoon onbereikbaar is. Dat is geen ingewikkelde maatregel maar hij wordt zelden geregeld.

Controleer wat er echt aanstaat

Beleid beschrijft wat toegestaan is; de werkelijkheid wijkt daar bijna altijd van af. Laat periodiek uw eigen buitenkant scannen op verouderde protocollen. Dat kost weinig en levert vrijwel altijd iets op dat al jaren aanstond zonder dat iemand het wist.

Verhouding tot de Cyberbeveiligingswet

Dit is maatregel 8 van de zorgplicht. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Bijlage A bevat een maatregel over cryptografie waarin sleutelbeheer expliciet genoemd wordt. Zie de ISO 27001-checklist voor het volledige overzicht.

De fout die buiten het zicht van ICT ontstaat

De meest voorkomende fout die niet op een checklist staat: het cryptografiebeleid is geschreven met het kantoor in gedachten, en apparatuur die daarbuiten valt wordt vergeten. Een laptop die een medewerker thuis gebruikt, een privételefoon waarmee zakelijke e-mail wordt gelezen, of een oude laptop die is doorgegeven aan een nieuwe medewerker zonder dat iemand de versleuteling heeft gecontroleerd.

Dat soort apparatuur valt vaak buiten het zicht van wie het beleid heeft geschreven, simpelweg omdat er geen overzicht van bestaat. Het gevolg is dat het beleid op papier compleet is en in de praktijk een gat heeft precies op de plek waar apparatuur het vaakst kwijtraakt: onderweg, thuis, of bij een medewerker die uit dienst gaat. Combineer dit met netwerksegmentatie, zodat een aanvaller die één segment binnenkomt niet meteen bij alle sleutels kan.

Los dit op door mobiele apparatuur expliciet te benoemen in het beleid, inclusief privéapparatuur die zakelijk gebruikt wordt, en door versleuteling standaard aan te zetten bij uitgifte in plaats van dit aan de gebruiker over te laten.

Verschil met het back-upbeleid

Cryptografiebeleid en back-upbeleid raken elkaar op het punt van de sleutel die een back-up ontsleutelt. Het cryptografiebeleid legt vast hoe die sleutel wordt beheerd: wie hem aanmaakt, waar hij bewaard wordt, wie erbij kan. Het back-upbeleid legt vast wat er wordt gekopieerd en hoe vaak. Zonder cryptografiebeleid weet u niet of die back-up wel te openen is op het moment dat u hem nodig heeft, bijvoorbeeld omdat de enige plek waar de sleutel stond, tegelijk met de rest is uitgevallen.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Welke algoritmen zijn nog acceptabel?

Volg de actuele aanbevelingen van het NCSC in plaats van een vaste lijst vast te leggen. Verwijs in uw beleid naar die bron.

Moet ik alles versleutelen?

Nee, waar passend. Onderbouw vanuit uw risicoanalyse waar u het wel en niet doet.

Vallen privételefoons van medewerkers onder dit beleid?

Als er zakelijke gegevens op staan, wel. Neem dat expliciet op, ook als het gaat om alleen zakelijke e-mail.

Wie controleert of versleuteling ook echt aanstaat?

Wijs dat toe aan één rol en laat het meelopen in de kwartaalcontrole van toegang en apparatuur, niet als losstaande actie.

Wat doe ik met oude laptops die worden doorgegeven?

Controleer bij overdracht altijd opnieuw of versleuteling aanstaat en of oude gegevens zijn gewist. Ga niet uit van de vorige instelling.