Privacy by design: Toegangsbeveiliging

Hoe neem ik privacy mee bij het ontwikkelen van een dienst of in mijn dagelijkse werkzaamheden? En welke bijpassende securitymaatregelen zijn er in een specifiek geval geschikt? Denk je nu “wat een goede vragen, maar ik heb geen idee”, geen nood! Wij, Sophia van het privacyteam en Helma van het securityteam, nemen je in deze en de komende blogposts mee en leggen uit hoe je beide aspecten volgens Privacy by Design tackelt. Privacy by Design betekent dat je privacybescherming bij het ontwerp van je systeem of dienst meeneemt. Een belangrijk onderdeel ervan is het beveiligen van je persoonsgegevens met securitymaatregelen. In dit artikel behandelen wij het onderwerp toegangsbeveiliging.

Wat is toegangsbeveiliging?

In onze vorige blogpost hebben we encryptie besproken als een manier om je gegevens te beschermen door ze onleesbaar te maken. Een andere belangrijke manier om gegevens te beschermen tegen onbevoegde toegang, wijziging én diefstal is door de toegang tot je gegevens te beperken. Dit heet ook wel Identity & Access Management (IAM). Je identificeert, authenticeert en autoriseert personen om toegang te krijgen tot de gegevens die zij nodig hebben. Er zijn twee vormen: logische en fysieke toegangsbeveiliging. Logische toegangsbeveiliging gaat over digitale systemen en dat heeft de focus in deze blogpost.

Identificatie en authenticatie

Om toegang te kunnen krijgen tot digitale systemen, moet je jezelf ‘presenteren’. Dat doe je bijvoorbeeld door te zeggen: ik ben pietje.puk@surf.nl. De volgende stap is dat je ook ‘bewijst’ dat je Pietje Puk bent. Dat gebeurt via authenticatie, bijvoorbeeld door een wachtwoord in te voeren. Tegenwoordig bestaat de authenticatie vrijwel altijd uit multifactorauthenticatie: je voert een wachtwoord in en aanvullend gebruik je een token zoals de Tiqr-app. Deze dubbele stap maakt de kans op misbruik drastisch kleiner.

Autorisatie in toegangsbeveiliging

Nadat je door het authenticatieproces bent, worden de rechten toegekend die bij jouw rol/functie horen. Denk daarbij aan need-to-know, least privilege*. Dat klinkt makkelijker dan dat het is, want toegang beperken binnen een bron is moeilijk en je moet het ook toepassen als iemand van functie verandert, uit dienst treedt, rechten nodig heeft die afwijken van de standaard of als je bijvoorbeeld functiescheiding moet toepassen.  

Rechten

Zodra iemand een account heeft, kunnen toegangsrechten worden verstrekt. Dat vindt plaats op basis van de afspraken van de organisatie waarbij een procedure is gekozen die ook rekening houdt met wet- en regelgeving, zoals het toepassen van Privacy by Design. In ons eerder gepubliceerde artikel legden we al uit dat je bijvoorbeeld een gemaskeerd veld kunt tegenkomen, daar waar een collega met andere rechten dat veld wel kan uitlezen als dit nodig is voor het werk.

Valkuil bij toegangsbescherming

Ook al zijn de juiste rollen en rechten toegekend, vaak is het makkelijk om persoonsgegevens uit het systeem/de applicatie te halen voor verder gebruik. Hierdoor onttrek je de gegevens aan de bescherming van het IAM. Hierin schuilt het risico dat je persoonsgegevens exporteert en uitwisselt met anderen voor een doel dat voor jou legitiem lijkt, terwijl het dat misschien niet is. Het kan ook zijn dat het doel legitiem is, maar dat de methode van uitwisseling niet veilig genoeg is, afhankelijk van de data in de export.

Je moet dus steeds checken of de uitwisseling is toegestaan en of je daarvoor de juiste methode gebruikt. In een ideale situatie hoef je nooit zelf handmatig data te exporteren om te delen, maar hebben degenen die de data nodig hebben zélf toegang. Verder helpt het als gegevens in de metadata** bescherming krijg via technieken als Data Loss Prevention (DLP), waardoor het delen van bepaalde gegevens soms niet lukt door die bescherming.

Het inrichten van een IAM-systeem is misschien iets technisch, maar een goed IAM-systeem omvat in de eerste plaats een goede governance nu het ICT-landschap steeds ingewikkelder wordt. Er moet worden nagedacht over hoe je medewerkers, relaties, ketenpartners en apparaten op een doordachte manier kunt verbinden, met aandacht voor wet- en regelgeving.

Tips & tricks toegangsbescherming

• Autorisatie volgens need-to-know/least-privilege inrichten
  Voorbeeld: de rechten CRUDIE (Create, Read, Update, Delete, Import, Export) ken je los van elkaar toe. Bijvoorbeeld: iemand met alleen leesrechten ‘R’ kan raadplegen, maar niet downloaden. Iemand met de rechten ‘RE’ kan dat wel. Het ontwerp van de applicatie moet dit ondersteunen. Datamasking kan hier ook uitkomst bieden.
• Autorisatieschema’s vaststellen en zowel inhoud als uitvoering controleren via een PDCA-cyclus.
• Afwijkende rechten volgens vierogenprincipe toekennen.
• Uitzonderingen zijn zoveel mogelijk tijdelijk.
• Gebruik technieken als Data Loss Prevention (DLP), vertrouwelijkheidslabels en Information Rights Management (IRM).
• Gebruik multifactorauthenticatie (MFA).
• Verwijder rechten (zo mogelijk geautomatiseerd) als ze niet meer nodig zijn.
• Gegevensscheiding/partitioneren: de mogelijkheid beperken om grote hoeveelheden gegevens  in  een keer binnen en buiten de organisatie te verspreiden door gefragmenteerde opslag, in plaats van concentreren van alle gegevens in één database.
• Medewerkers die exportmogelijkheden hebben, worden aanvullend getraind: ze moeten weten onder welke voorwaarden en op welke manier zo’n export kan plaatsvinden.
• Zorg ervoor dat interne en externe koppelingen in beeld zijn, zodat de broneigenaar weet of er (persoons)gegevens worden gedeeld met externe organisaties.
• Gebruik privacyvriendelijke credentials voor identiteitsbeheer (Attribute Based Credentials).
• Controleer of afspraken worden gevolgd (PDCA)

*  Need-to-know: je krijgt toegang tot de bron die je nodig hebt,
    Least privilege: beperkt de rechten van de toegang tot de bron tot wat je nodig hebt.

** Metadata is informatie over de gegevens zelf, maar niet over de inhoud (bijvoorbeeld: tijdstip verzonden mail, grootte van de bijlage, mailadres ontvanger, vertrouwelijkheidslabel, etc.)

Leestip: Privacy Design Strategies (The Little Blue Book) van Jaap Henk Hoepman van de Radboud Universiteit. Hier gratis te downloaden.

Privacyvriendelijke instellingen

We hebben het tot nu toe gehad over manieren om gegevens te beschermen. In dit artikel kijken we ook naar privacyvriendelijke instellingen in je applicatie en bekijken we wat een passend beschermingsniveau is (risicogebaseerd).