De sleutel tot veilige data

In de cloud, op harde schijven, mobiele apparaten, USB-sticks of externe drives; data staan tegenwoordig overal. Van bedrijven (lees: IT-afdelingen) wordt bovendien verwacht dat deze data centraal worden beheerd en beveiligd, en ze altijd beschikbaar zijn. Maar welke regels je ook opstelt en hoe goed je personeel ook traint, tegen diefstal en bewuste datalekken kun je je eigenlijk niet wapenen. Je kunt er als IT-afdeling wel voor zorgen dat de kans zo klein mogelijk wordt dat data op drives in verkeerde handen vallen, en wel door op een juiste manier gebruik te maken van versleuteling.

Full Disk Encryption versus SED

Data-encryptie bestaat in veel verschillende vormen, maar Full Disk Encryption is zonder twijfel het veiligst en het makkelijkst te beheren. Helaas staat deze variant ook synoniem aan prestatievermindering. Maar met de introductie van self-encrypting drives (SED’s) werd dit probleem opgelost. De apparaten zijn een stuk veiliger geworden, omdat de coderingssleutels voor de apparaten op de fysieke schijf zelf zijn opgeslagen. De coderingsfunctie is geïmplementeerd in silicium in plaats van in software, waardoor encryptie goedkoper en veiliger wordt. Omdat de sleutel onlosmakelijk verbonden is met het apparaat, wordt het extraheren van de sleutel virtueel onmogelijk.

Het centraal beheren van deze encrypties is dus een stuk eenvoudiger (en veiliger) geworden. Er zijn hierbij echter vier zaken waar je als IT-afdeling op moet letten.

1. Centraal beheer encryptie én apparaten

Allereerst is het belangrijk dat zowel de encryptie als de betreffende apparaten centraal kunnen worden beheerd. Het gaat dan niet alleen om de versleuteling, maar ook om de toegang tot het platform: goede beveiliging en controle van het cryptografische platform zijn essentieel. Het is wellicht overbodig om te melden, maar een cryptografisch platform moet sowieso redundant worden opgezet – je moet te allen tijde voorkomen dat je op één paard (lees: server) wedt.

2. Stabiel framework

Aan de gebruikerskant moet de versleuteling en beveiliging zo duidelijk mogelijk zijn. Oponthoud bij eindgebruikers veroorzaakt productiviteitsverlies, en dat kost niet alleen geduld, maar ook geld. Alle gegevens op de drive moeten toegankelijk blijven, maar tegelijkertijd ook beschermd zijn tegen verlies of diefstal. Oplossingen als BitLocker en VeraCrypt zijn enerzijds robuust en veilig, maar anderzijds complexer om te beheren. Bovendien hebben zij vaak geen onafhankelijk framework voor implementatie op schaal en zijn ze veelal beperkt tot een enkel besturingssysteem.

Een gedegen framework is zowel onafhankelijk als eenvoudig in gebruik. Een van de meest erkende frameworks is TCG (Trusted Computing Group) Opal. TCG Opal is de standaard voor apparaatbeveiliging. Het is ontworpen voor mobiele apparaten en laptops, en wordt industriebreed en door meerdere besturingssystemen ondersteund.

Ook SSD’s (solid-state drives), zoals de Kingston UV500-serie, en harde schijven maken er inmiddels gebruik van. Apparaten die voldoen aan de Opal-standaard zijn veilig versleuteld op firmwareniveau. Door de versleuteling naar de schijven te verplaatsen, wordt de prestatievermindering tot een minimum beperkt, aangezien het intensieve rekenwerk wordt uitgevoerd door ASIC (Application Specific Integrated Circuits). Pas als de TCG Opal-functionaliteit is ingeschakeld, wordt het méér dan een SSD.

3. Management matters

Managementtools zijn minstens zo belangrijk als de standards en frameworks die gebruikt worden. Tools die integreren met het TCG Opal framework maken een centraal beheer en een transparante gebruikerservaring mogelijk. Met slechts een wachtwoord of een druk op de knop kan een gebruiker aan de slag. Het framework bestaat uit twee delen in een client-serverconfiguratie. De clients zijn de laptops die gecertificeerde drives hebben, de server gebruikt de gekozen applicatie en het framework om te communiceren met de client en beheert zo de SSD. Door gebruik te maken van een oplossing als Opal wordt de versleutelingscomplexiteit verpakt in een reeks beheertools.

4. Tools en faciliteiten

Door een apparaat te koppelen aan een externe locatie en bijbehorende managementtools, kun je de schijf met een druk op de knop leegmaken op afstand. Deze extra beveiligingsslag komt vooral van pas bij verlies of diefstal. Dankzij gecentraliseerd sleutelbeheer hebben de helpdeskmedewerkers de middelen om de versleutelingsinfrastructuur te beheren. Daarnaast zijn er krachtige softwareoplossingen aan het werk die voor constante bewaking en beheer van de schijven zorgen. Zo wordt de beheerder of helpdesk gealarmeerd bij een mogelijke (naderende) storing.

De vraag hoe gegevens moeten worden beveiligd is complex. Het staat buiten kijf dat versleuteling moet worden meegenomen in de standaard IT-activiteiten zonder de doorgroei te belemmeren of het risico te lopen om gegevens te verliezen. Gelukkig zijn er frameworks beschikbaar die helpen dit op een praktische manier te beheren.

Uiteindelijk is optimale apparaatversleuteling een mix van goed ontworpen bedrijfsprocessen en ondersteunende technologie. Gecentraliseerd beheer is van essentieel belang voor tevreden eindgebruikers en tegelijkertijd minimale kosten voor de dienstverlening en ondersteuning. Een framework als TCG Opal met top-level SED-leveranciers maakt het hele proces gelukkig veel eenvoudiger.