De diepere lagen van versleuteling

0

In films is alles mooier en beter dan in de werkelijkheid. Zo weet iedere IT-manager dat een tiener met een laptop niet in staat is om meerdere lagen encryptie te kraken, tenzij die laptop is aangesloten op een of andere supercomputer en de tiener jaren de tijd heeft om te wachten. Toch maken relatief weinig bedrijven gebruik van encryptie, laat staan op meerdere lagen.

Veel bedrijven zijn vooral druk bezig om de slechteriken buiten te houden in plaats van te focussen op het beschermen van gegevens voor de hackers die allang binnen zijn. Een veelgehoord argument is dat data zich binnen de veilige muren van het bedrijfspand bevindt en er een wachtwoord nodig is om er toegang toe te krijgen. Die houding snijdt geen hout meer in een wereld waar cloud oprukt en er steeds minder data binnen de eigen bedrijfsmuren staat.

Encryptiesleutels

Een belangrijke uitdaging voor organisaties is de balans tussen veiligheid en gebruiksvriendelijkheid. Bovendien is het beheer van de encryptiesleutels een voortdurende worsteling. Encryptiesleutels moeten worden beschermd tegen verlies, corruptie en onbevoegde toegang. Dat betekent dat de sleutels veilig moeten worden bewaard, regelmatig moeten worden veranderd en dat de toegang van gebruikers tot specifieke sleutels goed moet worden ingericht.

Encryptie is de grootste uitdaging voor een IT-afdeling. Dat komt doordat er talloze niveaus en lagen zijn waarop data versleuteld moet worden. Het is belangrijk om te weten of iemand fysiek bij de datadrager kan komen waar versleutelde gegevens op staan. Als de drager relatief eenvoudig ontvreemd (of verloren) kan worden, kunnen kwaadwillenden de data mogelijk decrypten. Een probleem dat vooral voor laptops geldt. Data op diskniveau versleutelen zorgt ervoor dat in het geval van diefstal of verlies er geen data van de harde schijf kan worden gehaald.

Ingelogde systemen

Vervolgens moet het besturingssysteem worden bekeken en hoe dat op de rest van het systeem ingrijpt. Hoe eenvoudig is het om naar een pc, laptop of server te lopen waar iemand al op is ingelogd? Hoewel data op de harde schijf versleuteld is, kan iemand op die manier toch data uit het systeem halen. Veel commerciële software beschikt niet standaard over encryptie, dus wanneer iemand naar een laptop kan lopen die nog aanstaat, kan er eenvoudig een usb-stick in gestoken worden waar informatie naartoe kan worden gekopieerd. Ook als de data op diskniveau wordt versleuteld, is op deze manier de data onversleuteld toegankelijk. Daarom is ook encryptie op databaseniveau of bestandsniveau onontbeerlijk.

Diepgravende encryptie

Waar een IT-afdeling eveneens rekening mee moet houden is het beheer van de server. Biedt de cloudleverancier een manier om een VPN te gebruiken om het netwerk te benaderen? Gebruik VPN om op het private netwerk te komen, maak gebruik van een sterk cryptografisch algoritme en beheer de servers over de VPN zodat je geen kwetsbare diensten over het internet hoeft te gebruiken waar iedereen kan meekijken. Veel bedrijven realiseren zich onvoldoende het risico dat ze lopen door geen encryptie te gebruiken. Cybercriminelen lopen altijd voor de fanfare uit. Zorg dat je ze bijbeent of te snel af bent.

Door Pieter Lacroix, managing director bij Sophos.

Sophos
Sophos makes IT security simple with next-generation solutions that protect networks, servers, and devices, wherever they are. Today, more than 100 million users in 150 countries and a global network of channel partners trust Sophos to deliver simple solutions to complex security challenges. Focused on innovation and backed by a global network of SophosLabs threat intelligence centers and industry-leading support, Sophos delivers solutions that are simple to deploy, maintain, and manage, enabling organizations to focus on performance and growth. Sophos — Security made simple.