Versleuteling van gegevens in rust niet mogelijk? Een CISO-gids voor robuuste compenserende beheersmaatregelen

De auditbevinding belandde met een bekende dreun op het bureau van CISO Sarah Chen. Een kritieke legacydatabase die omzet genereerde en het operationele hart vormde van de productielijn van het bedrijf, ondersteunde geen moderne versleuteling van gegevens in rust. De onderliggende architectuur was tien jaar oud en de leverancier had al lange tijd geen beveiligingspatches meer geleverd. De auditor kwalificeerde dit terecht als een significant risico. De aanbeveling luidde: “Versleutel alle gevoelige gegevens in rust met algoritmen die gangbaar zijn in de sector.”

Voor Sarah was dit niet alleen een technisch probleem, maar een bedrijfscontinuïteitscrisis. Een upgrade van het systeem zou maanden uitval en miljoenen aan kosten betekenen, en was voor de raad van bestuur geen optie. Tegelijkertijd was het onaanvaardbaar om een grote hoeveelheid gevoelige intellectuele eigendom onversleuteld te laten; het was een duidelijke afwijking van hun managementsysteem voor informatiebeveiliging (ISMS).

Dit is de praktijk van cybersecurity: perfecte oplossingen zijn zeldzaam en compliance kan niet worden gepauzeerd. Het gebeurt wanneer kritieke back-upbestanden op legacysystemen worden opgeslagen, wanneer een belangrijke SaaS-aanbieder zich beroept op “technische beperkingen”, of wanneer high-performance toepassingen bezwijken onder de overhead van versleuteling. Het schoolboekantwoord “versleutel het gewoon” botst vaak met de weerbarstige werkelijkheid.

Wat gebeurt er dus wanneer de primaire, voorgeschreven beheersmaatregel niet beschikbaar is? Dan accepteert u het risico niet zomaar. U bouwt een slimmere, veerkrachtigere verdediging met compenserende beheersmaatregelen. Dit gaat niet om excuses, maar om het aantonen van volwassen, risicogebaseerd beveiligingsmanagement dat bestand is tegen de strengste audittoetsing.

Waarom versleuteling van gegevens in rust een kritieke eis is

Versleuteling van gegevens in rust is een fundamentele beheersmaatregel in alle moderne beveiligingsraamwerken, waaronder ISO/IEC 27001:2022, GDPR Article 32, NIS2, DORA en NIST SP 800-53 SC-28. Het doel is eenvoudig maar cruciaal: opgeslagen gegevens onleesbaar maken wanneer fysieke of logische verdedigingsmaatregelen falen. Een verloren back-uptape of een gestolen server met onversleutelde gegevens is niet alleen een technische misstap; het is vaak een wettelijk meldplichtig datalek.

De risico’s zijn duidelijk en aanzienlijk:

• Diefstal of verlies van draagbare media zoals USB-sticks en back-uptapes.
• Blootstelling van gegevens op onbeheerde, vergeten of legacyapparaten.
• Onmogelijkheid om native schijf- of databaseversleuteling toe te passen in specifieke SaaS-, cloud-, OT- of legacycontexten.
• Herstelrisico’s wanneer encryptiesleutels verloren raken of verkeerd worden beheerd.

Deze vereisten zijn niet alleen technisch; het zijn ook wettelijke verplichtingen. GDPR Article 32 en DORA Articles 5 en 10 erkennen versleuteling expliciet als een “passende technische maatregel”. NIS2 benoemt versleuteling als basislijn voor het waarborgen van systeem- en informatie-integriteit. Wanneer deze primaire verdediging niet haalbaar is, verschuift de bewijslast naar de organisatie om aan te tonen dat de alternatieve maatregelen even effectief zijn.

Van één afvinkpunt naar gelaagde verdediging

De reflexreactie op een auditbevinding zoals die van Sarah is vaak paniek. Maar een goed gestructureerd ISMS anticipeert op dergelijke situaties. Sarah belde niet als eerste het infrastructuurteam; ze opende het Beleid inzake cryptografische beheersmaatregelen van haar organisatie, een document dat was opgesteld met behulp van de enterprise-sjablonen van Clarysec. Ze ging direct naar de bepaling die de basis vormde voor haar strategie.

Volgens het Beleid inzake cryptografische beheersmaatregelen beschrijft paragraaf 7.2.3 expliciet het proces voor het definiëren van:

“Specifieke compenserende beheersmaatregelen die moeten worden toegepast”

Deze bepaling is de beste bondgenoot van een CISO. Ze erkent dat een uniforme beveiligingsaanpak tekortschiet en biedt een goedgekeurd pad om risico’s te behandelen. Het beleid staat niet op zichzelf. Zoals vermeld in bepaling 10.5 is het direct gekoppeld aan het Beleid inzake gegevensclassificatie en etikettering, dat “de classificatieniveaus definieert, zoals Vertrouwelijk en gereguleerd, die specifieke versleutelingsvereisten activeren.”

Deze koppeling is cruciaal. De gegevens in de legacydatabase waren geclassificeerd als “Vertrouwelijk”; daarom werd het ontbreken van versleuteling gesignaleerd. Sarahs opdracht was nu duidelijk: bouw een zodanig robuuste verdedigingslaag van compenserende beheersmaatregelen dat het blootstellingsrisico tot een aanvaardbaar niveau wordt beperkt.

Een verdedigbare strategie ontwerpen met de Zenith Blueprint

Versleuteling is een hoeksteen van moderne beveiliging, maar zoals Clarysec’s Zenith Blueprint: een 30-stappenroadmap voor auditors in stap 21 uitlegt, gaat beheersmaatregel 8.24 Gebruik van cryptografie niet simpelweg over “encryptie aanzetten”. Het gaat om “cryptografie verankeren in het ontwerp, het beleid en het levenscyclusbeheer van de organisatie.”

Wanneer één onderdeel van het ontwerp faalt, namelijk de legacydatabase, moeten het beleid en de levenscyclusaspecten compenseren. Sarahs team gebruikte dit raamwerk om een meerlaagse verdediging te ontwerpen die erop was gericht te voorkomen dat de gegevens ooit hun beveiligde, zij het onversleutelde, container zouden verlaten.

Compenserende beheersmaatregel 1: preventie van gegevensverlies (DLP)

Als u de gegevens niet kunt versleutelen waar ze zich bevinden, moet u ervoor zorgen dat ze die locatie niet kunnen verlaten. Sarahs team implementeerde een oplossing voor preventie van gegevensverlies (DLP) als digitale poortwachter. Dit was geen eenvoudige netwerkregel, maar een geavanceerde, inhoudsbewuste beheersmaatregel.

Met behulp van Clarysec’s Zenith Controls: de cross-compliancegids configureerden zij het DLP-systeem op basis van de richtlijnen voor ISO/IEC 27001:2022 beheersmaatregel 8.12 Preventie van gegevenslekken. De regels waren direct gebaseerd op 5.12 Classification of information. Alle gegevens die overeenkwamen met de schema’s van de als “Vertrouwelijk” geclassificeerde informatie in de legacydatabase, werden automatisch geblokkeerd bij overdracht via e-mail, webuploads of zelfs bij kopiëren en plakken naar andere toepassingen.

Zoals Zenith Controls toelicht:

“Preventie van gegevensverlies (DLP) is fundamenteel afhankelijk van nauwkeurige gegevensclassificatie. Beheersmaatregel 5.12 zorgt ervoor dat gegevens worden gelabeld op basis van gevoeligheid… DLP is een gespecialiseerde vorm van continue monitoring, gericht op gegevensbeweging… 8.12 kan encryptiebeleid afdwingen voor gegevens die de organisatie verlaten, zodat gegevens, zelfs als ze worden geëxfiltreerd, onleesbaar blijven voor onbevoegde partijen.”

Deze beheersmaatregel wordt in meerdere raamwerken erkend en is te koppelen aan GDPR Art. 32, NIS2 Art. 21, DORA Art. 10 en NIST SP 800-53 SI-4. Door deze maatregel te implementeren, creëerde Sarahs team een krachtige beschermingsschil die ervoor zorgde dat de onversleutelde gegevens geïsoleerd bleven.

Compenserende beheersmaatregel 2: datamaskering voor niet-productiegebruik

Een van de grootste risico’s voor legacygegevens is het gebruik ervan in andere omgevingen. Het ontwikkelteam had regelmatig gegevens uit het productiesysteem nodig om nieuwe applicatiefuncties te testen. Het rechtstreeks verstrekken van onversleutelde, vertrouwelijke gegevens was uitgesloten.

Hier greep Sarah terug op stap 20 van de Zenith Blueprint, waarin 8.11 Data masking wordt behandeld. De gids merkt op dat auditors nadrukkelijk zullen vragen: “Gebruikt u ooit echte persoonsgegevens in testsystemen? Zo ja, hoe worden die beschermd?”

Op basis van deze richtlijnen implementeerde Sarahs team een strikte procedure voor datamaskering. Elke gegevensextractie die door het ontwikkelteam werd aangevraagd, moest door een geautomatiseerd proces dat gevoelige velden pseudonimiseerde of anonimiseerde. Namen van klanten, bedrijfseigen formules en productiemetrieken werden vervangen door realistische maar fictieve gegevens. Deze ene beheersmaatregel verwijderde een groot deel van het aanvalsoppervlak, doordat de gevoelige gegevens nooit in hun oorspronkelijke vorm buiten de streng gecontroleerde productieomgeving kwamen.

Compenserende beheersmaatregel 3: geharde fysieke en logische beheersmaatregelen

Nu gegevenslekken en niet-productiegebruik waren aangepakt, richtte de laatste verdedigingslaag zich op het systeem zelf. Op basis van de principes van 7.10 Storage media uit Zenith Controls behandelde Sarahs team de fysieke server als een hoogbeveiligd bedrijfsmiddel. Hoewel 7.10 vaak wordt geassocieerd met verwisselbare media, zijn de principes voor levenscyclusbeheer en fysieke beveiliging hier volledig toepasbaar.

Zoals Zenith Controls hierover opmerkt:

“ISO/IEC 27002:2022 biedt uitgebreide richtlijnen onder bepaling 7.10 voor het veilig beheren van opslagmedia gedurende hun volledige levenscyclus. De norm adviseert organisaties een register bij te houden van alle verwisselbare media…”

Volgens deze redenering werd de server verplaatst naar een afzonderlijk, afgesloten rack in het datacenter, alleen toegankelijk voor twee bij naam aangewezen senior engineers. Fysieke toegang vereiste registratie bij binnenkomst en werd bewaakt met CCTV. Aan de netwerkzijde werd de server geplaatst in een gesegmenteerd “legacy”-VLAN. Firewallregels werden geconfigureerd om standaard al het verkeer te weigeren, met één expliciete regel die communicatie uitsluitend toestond vanaf de aangewezen applicatieserver op een specifieke poort. Deze vergaande isolatie verkleinde het aanvalsoppervlak drastisch en maakte de onversleutelde gegevens onzichtbaar en ontoegankelijk.

De audit tegemoet treden: een verdedigbare strategie vanuit meerdere invalshoeken presenteren

Toen de auditor terugkwam voor de opvolging, presenteerde Sarah geen excuses. Ze presenteerde een volledig risicobehandelingsplan, inclusief documentatie, logboeken en live demonstraties van de compenserende beheersmaatregelen van haar team. Een audit is geen eenmalige gebeurtenis; het is een gesprek dat door verschillende lenzen wordt gevoerd, en een CISO moet op elke lens zijn voorbereid.

De ISO/IEC 27001-auditorlens: De auditor wilde de operationele effectiviteit zien. Sarahs team demonstreerde hoe het DLP-systeem een ongeautoriseerde e-mail blokkeerde, liet het datamaskeringsscript draaien en verstrekte logboeken van fysieke toegang die waren vergeleken met werktickets.

De GDPR- en privacylens: De auditor vroeg hoe gegevensminimalisatie werd afgedwongen. Sarah toonde de geautomatiseerde scripts voor veilige verwijdering van gecachete gegevens en het pseudonimiseringsproces voor alle gegevens die het productiesysteem verlaten, in lijn met GDPR Article 25 (gegevensbescherming door ontwerp en door standaardinstellingen). Het Beleid inzake cryptografische beheersmaatregelen voor mkb-organisaties wijst de DPO expliciet de verantwoordelijkheid toe om “ervoor te zorgen dat encryptiebeheersmaatregelen aansluiten op gegevensbeschermingsverplichtingen onder Article 32 van de GDPR.”

De NIS2/DORA-lens: Dit perspectief richt zich op operationele weerbaarheid. Sarah presenteerde de resultaten van back-up- en hersteltests voor het geïsoleerde systeem en beveiligingsaddenda van de leverancier voor de legacysoftware, waarmee zij proactief risicobeheer aantoonde zoals vereist door NIS2 Article 21 en DORA Article 9.

De NIST/COBIT-lens: Een auditor die deze raamwerken gebruikt, kijkt naar governance en metrieken. Sarah presenteerde het bijgewerkte risicoregister met formele acceptatie van het restrisico (COBIT APO13). Ze koppelde DLP aan NIST SP 800-53 SI-4 (System Monitoring), netwerksegmentatie aan SC-7 (Boundary Protection), en toegangscontrole aan AC-3 en AC-4. Daarmee toonde zij aan dat, hoewel SC-28 (Protection of Information at Rest) niet rechtstreeks werd gehaald, een gelijkwaardige set beheersmaatregelen was ingericht.

Belangrijk auditbewijs voor compenserende beheersmaatregelen

Om hun strategie effectief toe te lichten, bereidde Sarahs team bewijsmateriaal voor dat aansloot op wat auditors zoeken.

Door op deze verschillende perspectieven te anticiperen, veranderde Sarah een mogelijke non-conformiteit in een demonstratie van beveiligingsvolwassenheid.

Een praktische samenvatting voor uw volgende audit

Om de strategie duidelijk en verdedigbaar te maken, stelde Sarahs team een samenvattende tabel op in het risicobehandelingsplan. Het is een aanpak die elke organisatie kan toepassen.

Cross-compliance in één oogopslag

Een sterke strategie met compenserende beheersmaatregelen is verdedigbaar binnen alle belangrijke raamwerken. Clarysec’s Zenith Controls biedt de crosswalk-mapping om te zorgen dat uw verdedigingsmaatregelen universeel worden begrepen en geaccepteerd.

Conclusie: maak van uw zwakste schakel een sterkte

Het verhaal van de niet-versleutelbare legacydatabase is geen verhaal van falen. Het is een verhaal van volwassen, intelligent risicobeheer. Door geen genoegen te nemen met een simpel “het kan niet”, veranderde Sarahs team een aanzienlijke kwetsbaarheid in een toonbeeld van verdediging in de diepte. Zij bewezen dat beveiliging niet draait om het afvinken van één vakje met het label “versleuteling”. Het gaat om het begrijpen van het risico en het bouwen van een doordachte, gelaagde en auditeerbare verdediging om dat risico te beperken.

Uw organisatie zal onvermijdelijk een eigen versie van deze legacydatabase hebben. Wanneer u die vindt, beschouw die dan niet als een blokkade. Zie het als een kans om een veerkrachtiger en beter verdedigbaar beveiligingsprogramma te bouwen.

Klaar om uw eigen robuuste, auditklare beheersingskader te bouwen? Begin met de juiste basis.

• Beoordeel uw beleidsecosysteem met de uitgebreide beleidstoolkits van Clarysec.
• Verken Zenith Blueprint: een 30-stappenroadmap voor auditors als leidraad voor uw implementatie.
• Gebruik Zenith Controls: de cross-compliancegids om ervoor te zorgen dat uw verdedigingsmaatregelen vanuit elke invalshoek standhouden.

Neem contact op met Clarysec voor een workshop op maat of een volledige cross-compliancebeoordeling. Want in het huidige regelgevingslandschap is voorbereiding de enige beheersmaatregel die telt.

Referenties:

• Beleid inzake cryptografische beheersmaatregelen
• Beleid inzake cryptografische beheersmaatregelen voor mkb-organisaties
• Beleid inzake gegevensclassificatie en etikettering
• Zenith Blueprint: een 30-stappenroadmap voor auditors
• Zenith Controls: de cross-compliancegids