Tag: vernietigen

Vernietiging van informatie

  door

De bewaartermijn van de informatie is afgelopen, we willen graag van de informatie af dus weggooien die handel. Misschien toch goed om nog even stil te staan bij de wijze waarop we op een zo veilig mogelijke manier van die informatie af komen. Wij hebben de informatie dan niet meer nodig, maar voor anderen kan die nog steeds erg interessante informatie bevatten.

De vraag is logischerwijs:
Wordt na afloop van de bewaartermijn de informatie conform de gestelde eisen/voorschriften vernietigd?

De gestelde vraag omvat meerdere delen van vernietiging. Allereerst zullen we eisen moeten stellen aan de vernietiging van informatie. Deze eisen vertalen we naar voorschriften waarbij we natuurlijk ook nog rekening houden met de classificatie van de informatie. Met zeer vertrouwelijke gegevens willen we natuurlijk extra voorzichtig omgaan.

Bij het vernietigen van informatie moeten we onderscheid maken in de digitale en niet digitale informatie en we zullen passende vernietigingsmethoden moeten kiezen die er voor zorgen dat ongeautoriseerden niet de beschikking kunnen krijgen over de informatie.

De niet digitale informatie, laten we het hier beperkt houden tot alles wat er op papier staat, versnipperen we met een shredder en de restanten komen in een papierbak die vervolgens op een veilige manier wordt afgevoerd. En voor de feestgangers onder ons: nee, de snippers mogen jullie niet als confetti gebruiken bij het volgende feestje. Versnipperen en vervolgens veilig afvoeren (door een daarin gespecialiseerd bedrijf) zou voldoende waarborgen moeten bieden om de informatie niet meer te kunnen gebruiken.

Het apart verzamelen van vertrouwelijke informatie in vuilnisbakken om die vervolgens in een keer op te halen kan nog steeds risico’s met zich meebrengen. Is het echt vertrouwelijk, versnipper het dan toch maar eerst. Want waar zetten we de bakken met vertrouwelijke informatie neer? Staan die aan de kant van de weg totdat de ophaaldienst komt? Of staan ze achter slot en grendel zodat toegang beperkt is? Willen we hier echt een risico lopen? Het antwoord hangt natuurlijk af van de mate van vertrouwelijkheid van de informatie.

Digitale informatie is natuurlijk een ander verhaal. Er zijn verschillende manieren om die informatie op te slaan en dus ook verschillende manieren om weer van die informatie af te komen. “Ctrl + Alt + Delete” is niet veilig genoeg. Nee, we moeten de informatie eerst verschillende malen overschrijven met 0-en en 1-en, hoe vaak we dat doen en welke methode we hiervoor gebruiken hangt natuurlijk weer af van de classificering.

Maar als we de schijven hebben overschreven, wat doen we dan met die schijven? Gooien we die gewoon bij het grofvuil of halen we die eerst nog langs een sterke magneet? Boren we er gaatjes in of gooien we ze door een shredder? Verbranden of verzuren we ze? Allemaal keuzes en veel van die keuzes kunnen we combineren. Daarin moeten we natuurlijk ook weer niet doorschieten

Hoewel er vele ingewikkelde manieren zijn om informatie definitief te vernietigen hebben we geen hogere wiskunde nodig om de kaders op papier te zetten. Hebben we het weer over “laag hangend fruit” dan hebben we er hier weer een te pakken. De uitvoering volgt dan vanzelf wel.

Een interessante afsluiter (althans dat vind ik): met informatie die ergens fysiek aanwezig is (of die nu digitaal of niet digitaal is maakt dan niet uit) kunnen we nog wel wat, daar zijn allerlei methodes voor te bedenken. Maar hoe vernietigen we nu die informatie die in de hoofden van (ex-)medewerkers zit? Kunnen we hun hersencapaciteit ook niet overschrijven of door een shredder halen? Daarom gaan de komende blogs meer in op de personele beveiliging, laten we beginnen met de gedragscodes…

Middelen voor het behandelen, opslaan, versturen en vernietigen van informatie

  door

We blijven aan de slag met informatie en maken vandaag onderscheid in het behandelen, opslaan, versturen en vernietigen van informatie. Dit is, op hoofdlijnen, de levenscyclus van informatie…maar uiteraard pas nadat de we informatie hebben gecreëerd. Bij al deze stappen moeten we de beveiliging van die informatie in het achterhoofd houden.

De vraag van vandaag is daarom:
Zijn er middelen beschikbaar om informatie en vertrouwelijke informatie conform de gestelde eisen te behandelen, op te slaan, te versturen en te vernietigen?

Nadat we de informatie gemaakt hebben moeten we er iets mee doen. Die informatie heeft immers een doel omdat het anders gewoon gegevens waren gebleven. Overigens moeten we aan gegevens natuurlijk ook beveiligingseisen stellen omdat anders onbevoegden daar informatie van maken die ons lelijk kan verrassen.

Maar goed, we hebben het dus over het behandelen, opslaan, versturen en vernietigen van de informatie. Bij deze stappen zijn bijvoorbeeld de voorschriften van belang zodat de mensen ook daadwerkelijk weten wat er van hen verwacht wordt. Maar op deze voorschriften zijn we eerder al ingegaan, dus we gaan er vanuit dat deze inmiddels ook zijn opgesteld. Zo niet, dan is dat de eerste stap.

We hebben nu voorgeschreven hoe men met de informatie om dient te gaan. Daarvoor moeten we ze dan wel de middelen ter beschikking stellen. Anders staat het leuk op papier maar kunnen de medewerkers er niet zoveel mee.

Schrijven we dus voor dat de gegevens veilig opgeslagen moeten worden dan moeten we nadenken hoe we dat zo makkelijk mogelijk maken voor de medewerkers. Wordt het een centrale sharepoint omgeving waarop automatisch encryptie wordt toegepast of mag het ook op de laptops van afzonderlijke medewerkers worden opgeslagen? En hoe zorgen we er dan voor dat de informatie goed beveiligd is? Hoe zorgen we dan dat we back-ups maken van die informatie? Hoe zorgen we voor autorisatiebeheer?

Hier komt uiteraard ook weer de classificatie (of rubricering) van de informatie om te hoek kijken. Daarnaast moeten we goed nadenken over welke medewerker in welke rol bij welke informatie moet kunnen. Niet iedereen hoeft immers bij de informatie en niet iedere medewerker heeft dezelfde rollen te vervullen binnen de organisatie. Ja, we zullen er toch aan moeten geloven om ons te verdiepen in Role Based Access Control en dat is makkelijker gezegd dan gedaan. Hiervoor zullen we eerst inzicht moeten hebben in onze medewerkers (op ieder moment, dus ook de nieuwe medewerkers en de medewerkers die net uit dienst zijn getreden). Daarna moeten we bekijken welke rollen zij vervullen en welke informatie ze daarbij nodig hebben.

Voor een kleine of middelgrote organisatie nog wel te doen, maar als de organisatie groter wordt, worden de aantallen ook groter en moeilijker up-to-date te houden.

Speciale aandacht moeten we besteden aan het versturen en vernietigen van de informatie. Mogen we geheime gegevens bijvoorbeeld via de mail versturen? En passen we daar dan encryptie op toe? Of mag deze informatie alleen maar persoonlijk overhandigd worden? En hoe praktisch is dat dan? We moeten afwegen wat praktisch is voor de medewerker en veilig voor de organisatie. Daarbij maken we keuzes die we ondersteunen met middelen om het voor de medewerkers mogelijk te maken.

Het vernietigen van informatie is de laatste stap in de levenscyclus van de informatie. Na verloop van tijd is de informatie niet meer actueel en niet meer nodig. Buiten wat gegevens die we wettelijk 5 of 7 jaar moeten bewaren, kunnen we andere stukken informatie met een gerust hart vernietigen. Vertrouwelijke informatie gooien we natuurlijk niet zomaar bij het oud papier. Het risico op “dumpster diving” is te groot. En wie denkt dat dat in Nederland niet gebeurt, moet ik teleurstellen…het is een groter risico dan je denkt. Informatie op papier halen we natuurlijk door een shredder en digitale informatie wissen we ook met veilige middelen (bijvoorbeeld door ze verschillende malen te overschrijven). Alleen “deleten” volstaat niet en het is zelfs mogelijk om informatie te halen van schijven die we verbrand hebben, hoewel we natuurlijk ook weer niet door moeten schieten.

De levenscyclus van informatie…interessante stappen waarbij we na moeten denken over hoe we daar mee omgaan. Niet door zoveel mogelijk te verbieden (op papier) of door zoveel mogelijk beperkende maatregelen in te voeren. Nee, door te kijken wat praktisch is voor de medewerkers en veilig voor de organisatie. Het optimum hierin vinden is makkelijker gezegd dan gedaan en er lijkt een hefboomwerking in te zitten: hoe praktischer voor de medewerker hoe onveiliger…hoe veiliger voor de informatie hoe onpraktischer voor de medewerkers. Feit is wel dat als we allerlei beperkende maatregelen nemen de medewerker zo creatief wordt om er omheen te werken…en dat is nu juist wat we willen voorkomen.

Fysiek vernietigen harde schijf laat data achter

  door

Het fysiek vernietigen van een harde schijf is geen gegarandeerde beveiligingsmethode dat aanwezige gegevens ook echt weg zijn…Uit onderzoek van Ontrack zou blijken dat slechts 49% van de bedrijven systematisch gegevens wist. Daarvan doet 85% dit niet op veilige wijze…“Driekwart van de bedrijven verwijderen bestanden, herformatteren of vernietigen schijven, of “weten niet” hoe zij vertrouwelijke gegevens wissen (bron).

Natuurlijk zou ik in kunnen gaan op hoe onveilig dit wel niet is, maar volgens mij is dat wel duidelijk. Toch moeten we het één en ander nuanceren. Je kunt natuurlijk discussiëren over vertrouwelijkheid en wat dat nu helemaal is. Maar feit blijft dat het merendeel van de organisaties geen duidelijke classificatie schema’s voor informatie heeft en als ze ze al hebben worden ze door de medewerkers niet goed toegepast.

We weten dus helemaal niet wat voor onze organisatie vertrouwelijk is, waar dat ligt opgeslagen en hoe dat wordt vernietigd. Voordat we dus willen weten of het veilig vernietigd wordt zullen we eerst moeten achterhalen welke gegevens ons nu echt kunnen schaden. Daarbij moet intern eerst de vertrouwelijkheidsdiscussie gevoerd worden. Laten we eerlijk zijn: een staatsgeheim van Defensie is vele malen meer vertrouwelijk dan het recept van de plaatselijke oliebollenbakker. Maar is dat wel zo? Eén staatsgeheim dat uitlekt via bijvoorbeeld een Wikileaks is natuurlijk knap lullig en kan een grote impact hebben voor Nederland. Maar als de oliebollenbakker die al jaren op 1 in de AD oliebollentest staat zijn recept kwijt raakt dan kon het best wel eens zo zijn dat hij volgend jaar de test niet wint…zeg het maar: welke impact is groter? Is maar net vanuit welk oogpunt je het bekijkt natuurlijk.

Kortom: voordat we echt ingaan op het veilig vernietigen van informatie moeten we het wel steeds blijven nuanceren. We moeten eerst nadenken over welke informatie we nu echt vertrouwelijk vinden en leggen dat vast in classificatieschema’s. Dan leren we het personeel hoe daar echt mee moet worden omgegaan en we zijn al een stuk verder. We vernietigen ook niet alle papieren documenten door te te shredderen, daar maken we ook onderscheidt. Waarom zouden we dat met digitale informatie dan niet doen?

Maar goed, omdat we hier ook graag oplossingen aandragen. Wat dan wel veilig is, volgens Ontrack?
Volgens hem zijn een degausser of speciale datavernietigingssoftware de veiligste methoden voor het verwijderen van gegevens. Een zeer populair programma voor het verwijderen van gegevens op mediadragers is het gratis Darik’s Boot And Nuke (DBAN), dat zowel vanaf een cd als USB-stick is te starten.