Veel ondernemers gaan ervan uit dat versleuteling gewoon werkt zodra de ICT-leverancier het heeft ingesteld. Een slotje in de adresbalk van de browser, een vinkje ‘versleuteld’ in de mailserver, klaar. Maar een slot zonder sleutelbeheer beschermt eigenlijk niemand. De vraag is niet of iets versleuteld is. De vraag is wie de sleutel heeft, waar die ligt, en wat er gebeurt als hij verloopt, kwijtraakt of in verkeerde handen komt.
Een slot is zinloos zonder sleutelbeheer
Versleuteling, ofwel encryptie, zorgt ervoor dat gegevens onleesbaar zijn voor iedereen die niet over de juiste sleutel beschikt. Die sleutel kan een digitaal certificaat zijn, een wachtwoord, of een stukje code dat ergens op een server staat. Zonder sleutel geen toegang, dat is het idee. Maar een sleutel die niemand beheert, is net zo nuttig als een huissleutel die ergens in de tuin ligt. Hij doet zijn werk pas als iemand weet waar hij is, wie hem mag gebruiken, en wanneer hij vervangen moet worden.
In de praktijk zien wij dat veel bedrijven niet weten hoeveel sleutels en certificaten ze eigenlijk hebben. Ze zitten verspreid over mailservers, websites, VPN-verbindingen, back-upsystemen en cloudtoepassingen. Vaak zijn ze ooit door een leverancier ingesteld en daarna nooit meer bekeken. Dat werkt, tot het moment dat het niet meer werkt.
Waarom ‘het staat aan’ niet genoeg is
Een certificaat heeft een houdbaarheidsdatum. Verloopt het ongemerkt, dan kan e-mailverkeer plotseling als onbetrouwbaar worden gemarkeerd, een website onbereikbaar worden, of een koppeling tussen systemen vastlopen. Dat gebeurt meestal op het ongelukkigste moment, bijvoorbeeld midden in een drukke periode, simpelweg omdat niemand de vervaldatum in de agenda had staan.
Nog lastiger wordt het als de sleutel zelf bij een externe partij ligt zonder dat helder is wie daar verantwoordelijk voor is. Een leverancier die ‘het wel goed zal doen’ is geen beleid. Het is een aanname. En aannames over beveiliging houden geen stand zodra er iets misgaat, of zodra een toezichthouder of klant vraagt hoe je dit precies geregeld hebt.
Eerst meten, dan pas beleid
Wij geloven dat je geen beleid kunt maken over iets wat je niet in beeld hebt. Dat geldt voor versleuteling net zo goed als voor elk ander onderdeel van je ICT. Daarom beginnen wij altijd met meten: welke versleuteling wordt waar toegepast, welke certificaten zijn er, wanneer verlopen ze, en wie beheert ze nu eigenlijk.
Dat overzicht klinkt misschien als een formaliteit, maar het is precies het stuk dat bij de meeste bedrijven ontbreekt. Zonder dat overzicht weet je niet waar je kwetsbaar bent, en kun je dus ook niet aantonen dat je het goed geregeld hebt. Dat laatste wordt steeds belangrijker, ook met het oog op aantoonbaarheid richting NIS2. Niet omdat een vinkje op een lijst moet staan, maar omdat je zelf wilt weten dat je grip hebt op je eigen gegevens.
Eigenaarschap voordat je iets verplicht stelt
Zodra het overzicht er is, volgt de volgende vraag: wie is eigenaar van welke sleutel, in de dagelijkse praktijk. Wie krijgt een melding als een certificaat over drie maanden verloopt? Wie mag een nieuwe sleutel aanvragen, en wie keurt dat goed? Een eenvoudige afspraak is vaak al genoeg, zolang die voor iedereen duidelijk is.
Hier geldt hetzelfde als bij elk ander beveiligingsvraagstuk: beleid komt voor techniek, en mensen neem je mee voordat je iets verplicht stelt. Een technische oplossing die niemand begrijpt of waar niemand zich verantwoordelijk voor voelt, verwatert binnen een jaar. Leg daarom eerst vast wie waarvoor verantwoordelijk is, en zorg dat die persoon ook echt in staat is om op tijd te handelen.
Wat je nu concreet kunt doen
Begin met een eenvoudige inventarisatie. Vraag je ICT-partner, of wie dat ook beheert, om een lijst van alle certificaten en sleutels die in gebruik zijn: op de website, in de mail, in VPN-verbindingen, in koppelingen tussen systemen. Zet daarbij de vervaldatum, en noteer wie verantwoordelijk is voor vervanging.
Kijk vervolgens kritisch naar waar sleutels bij een externe partij liggen zonder dat jij of iemand in je organisatie daar zicht op heeft. Vraag expliciet na wie daar de sleutel beheert en hoe je daar inzicht in krijgt. Maak, zodra het overzicht compleet is, afspraken over wie meldingen krijgt en wie actie onderneemt. Dat is geen eenmalige actie, maar iets wat je periodiek herhaalt, net zoals je een brandblusser periodiek laat controleren.
Versleuteling is een van de domeinen waar wij bij Motics in denken. Het hoort bij een breder beeld van hoe je bedrijf met gegevens en toegang omgaat, en vraagt onderhoud, geen eenmalige instelling. Pas als je weet wat er is, wie het beheert en wanneer het verloopt, wordt versleuteling wat het hoort te zijn: een slot waar jij de sleutel van hebt.
Een paar vragen die we vaak krijgen
Moet ik alle versleuteling zelf beheren, of mag een leverancier dat doen?
Een leverancier mag het beheer prima uitvoeren, dat is vaak ook praktischer. Belangrijk is dat jij weet welke sleutels er zijn, wie ze namens jou beheert en dat je daar afspraken over hebt vastgelegd. Zonder die afspraken ben je afhankelijk van het geheugen van één persoon bij een externe partij.
Wat gebeurt er als een certificaat ongemerkt verloopt?
Dat verschilt per situatie, maar vaak merk je het pas als iets uitvalt: e-mail die niet meer aankomt, een website met een waarschuwing, of een koppeling tussen systemen die vastloopt. De schade zit meestal niet in het incident zelf, maar in de tijd die het kost om te ontdekken wat er precies mis is.
Is dit alleen belangrijk voor bedrijven die onder NIS2 vallen?
Nee. Overzicht over je versleuteling is voor elk bedrijf nuttig, ongeacht of je formeel onder NIS2 valt. NIS2 maakt het alleen zichtbaarder dat je dit overzicht moet kunnen laten zien, maar de reden om het te doen ligt vooral in het beschermen van je eigen gegevens.
Hoe weet ik of onze huidige versleuteling eigenlijk wel goed geregeld is?
Dat weet je pas zeker na een inventarisatie van wat er is, waar het staat en wie het beheert. Een gevoel van ‘het zal wel goed zitten’ is precies het soort aanname waar wij vraagtekens bij zetten. Pas met een helder overzicht kun je het aantoonbaar maken in plaats van ervan uit te gaan.
Wil je weten hoe het met de versleuteling en het sleutelbeheer binnen jouw bedrijf is geregeld? Wij helpen je graag met het overzicht dat daarvoor nodig is.
