Managed hosting door True

Informatiebeveiliging in de cloud

Wat er niet is kun je ook niet kwijtraken

Het wordt druk in de cloud. Naast productieomgevingen belanden test-en analyseomgevingen ook steeds vaker in de cloud. Daarmee is wel een nieuw vraagstuk ontstaan. Hoe borg je de privacy van klanten in deze situatie? In dit artikel gaan we hierop in, uitgangspunt daarbij: wat er niet is, kan ook niet gestolen worden of kwijtraken.

Dat het steeds drukker wordt in de cloud zal voor niemand als een verrassing komen. Het in de cloud beheren van productieomgevingen lijkt inmiddels eerder regel dan uitzondering. De laatste tijd zien we ook steeds meer test- en analyseomgevingen in de cloud belanden.

Op- en afschalen

Dat laatste is een logische ontwikkeling. Dit soort omgevingen moeten schaalbaar zijn en daar is de cloud uitermate geschikt voor. Het ene moment heb je veel testomgevingen nodig omdat je midden in een groot ontwikkeltraject zit. Ieder team zijn eigen testomgeving is dan opeens een reële mogelijkheid. Op andere momenten ben je vooral bezig met het reguliere beheer en dan zijn al die omgevingen niet nodig. De cloud maakt het mogelijk om snel en eenvoudig op en af te schalen.

Gegevens op straat?

Daarmee is wel een nieuw vraagstuk ontstaan. Hoe borg je de privacy van je klanten in deze situatie? Hoe zorg je dat hun gegevens niet op straat komen te liggen? Extra trigger hierbij is de Wet Meldplicht Datalekken. Organisaties zijn sinds 1 januari vorig jaar verplicht om datalekken te melden bij de Autoriteit Persoonsgegevens. Voor datalekken vanuit de cloud geldt dit natuurlijk onverkort.

Daar komt bij: voor test- en analyseomgevingen is het risico op een datalek groter. Er zijn vaak meer gebruikers actief dan in een productieomgeving. Bovendien hebben gebruikers er vaak meer rechten, omdat zij dingen moeten kunnen doen die op productie niet zijn toegestaan (bijvoorbeeld het bewust creëren van fouten). En dit allemaal búiten je eigen goed beveiligde domein.

Nachtmerrie

Vanuit informatiebeveiligingsperspectief heeft deze situatie alle ingrediënten in zich voor een nachtmerrie. Om te voorkomen dat die nachtmerrie werkelijkheid wordt, zijn er twee dingen die je in elk geval moet doen.

1) Denk goed na welke data je in je test- of analyseomgeving echt nodig hebt. Moeten bijvoorbeeld allerlei historische documenten (denk aan adreswijzigingen etc.) ook op een testomgeving beschikbaar zijn? Is het niet voldoende als je alleen het actuele adres hebt? Door op deze manier kritisch naar de vastgelegde data te kijken wordt de impact van een datalek kleiner. Bijkomend voordeel is dat de omvang van de dataset verkleind kan worden en je kunt besparen op storage.  

2) Neem aanvullende maatregelen om die ‘subset’ te beveiligen.

Oplossing zit in data

Omdat in een testomgeving de vrijheidsgraden van een gebruiker hoger zijn, voldoen veel ‘standaard’ beveiligingsmaatregelen (monitoring, logging etc.) minder goed. De oplossing zit voor dergelijke omgevingen veel meer in de data zelf. Door gevoelige gegevens slim te anonimiseren of te pseudonimiseren, kun je de impact van een datalek tot nul reduceren.

Anonimiseren of pseudonimiseren betekent dat de data onherleidbaar wordt gemaakt – unieke personen zijn er niet meer in te herkennen – terwijl de voorspellende waarde van de data intact blijft. Met andere woorden: het profiel van de klant blijft ongewijzigd maar het is niet meer mogelijk om te zien wie hij is.

Juist in een cloudomgeving biedt dit grote voordelen. Want wat er niet is, kan ook niet gestolen worden of kwijtraken. Ongeacht de regio waar je data uiteindelijk staat, weet je zeker dat een datalek geen impact heeft op je klanten. En dat is toch waar informatiebeveiliging om draait?

Dit artikel is afkomstig van Computable.nl (https://www.computable.nl/artikel/5939878). © Jaarbeurs IT Media.
?

 

Jouw reactie


Je bent niet ingelogd. Je kunt als gast reageren, maar dan wordt je reactie pas zichtbaar na goedkeuring door de redactie. Om je reactie direct geplaatst te krijgen, moet je eerst rechtsboven inloggen of je registreren

Je naam ontbreekt
Je e-mailadres ontbreekt
Je reactie ontbreekt
Computable Expert
Eric  Hoefman

drs. Eric Hoefman
managing partner, EntrD. Expert van Computable voor de topics Datamanagement, Development en Security.
Hele profiel

Lees meer over:
Vacatures

Stuur door

Stuur dit artikel door

Je naam ontbreekt
Je e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×