Veel bedrijven zijn tegenwoordig volledig afhankelijk van de gegevens die zijn opgeslagen op hun netwerkservers, pc's, laptops, mobiele apparaten en cloudproviders. Een deel van deze gegevens bevat waarschijnlijk persoonlijke informatie en/of vertrouwelijke bedrijfsinformatie.
Hier bespreken we een aantal aandachtspunten bij het beoordelen van de beveiliging van uw computersystemen met betrekking tot toegangscontrole. De Algemene Verordening Gegevensbescherming (AVG) stelt het beveiligingsbeginsel vast, dat u 'passende technische en organisatorische maatregelen' moet nemen bij de veilige verwerking van persoonsgegevens. Dit wordt ook herhaald als het zesde beginsel van de Data Protection Act (DPA) 2018, die de AVG aanvult en ook een 'vereiste stelt dat persoonsgegevens op een veilige manier moeten worden verwerkt'.
Daarom is het voorkomen van ongeoorloofde of onbedoelde toegang tot de persoonsgegevens die u verwerkt een belangrijke stap in de richting van naleving van de regelgeving.
Toegangsbeveiliging
Goede toegangscontrole tot de computers en het netwerk minimaliseert het risico op diefstal of misbruik van gegevens.
Toegangscontrole kan worden onderverdeeld in twee hoofdgebieden:
- Fysieke toegang – controle over wie het pand mag betreden en wie toegang heeft tot persoonsgegevens
- Logische toegang – controles om ervoor te zorgen dat medewerkers alleen toegang hebben tot de juiste software, gegevens en apparaten die nodig zijn om hun specifieke functie uit te voeren.
Fysieke toegang
Naast fysieke toegangscontroles zoals sloten, alarmen, beveiligingsverlichting en camerabewaking, zijn er ook andere overwegingen, zoals de manier waarop de toegang tot het pand wordt gecontroleerd.
Bezoekers mogen niet zomaar rondlopen, tenzij onder strikt toezicht.
Zorg ervoor dat computerschermen niet van buitenaf zichtbaar zijn.
Gebruik netwerkbeleid om ervoor te zorgen dat werkstations en/of mobiele apparaten vergrendeld zijn wanneer ze onbeheerd zijn of niet worden gebruikt.
Zorg ervoor dat een mobiel apparaat op afstand kan worden geblokkeerd als het verloren raakt.
Mobiele apparaten zijn klein en daardoor risicovol. Gevoelige gegevens moeten daarom altijd worden versleuteld en de toegang tot de dienst moet worden beveiligd met een pincode of wachtwoord.
Het kan nodig zijn om de toegang tot USB-apparaten en optische lees- en schrijfstations uit te schakelen of te beperken.
Het kan nodig zijn om netwerkpoorten te blokkeren via RADIUS-servers of andere netwerkhardware om te voorkomen dat onbevoegde apparatuur via een kabel op het netwerk wordt aangesloten.
Ten slotte dient informatie op papier op een veilige manier te worden vernietigd.
Logische toegang
Er moeten logische toegangsmethoden worden toegepast om ervoor te zorgen dat medewerkers niet meer toegang hebben dan nodig is voor de uitvoering van hun taken.
Gevoelige gegevens moeten worden versleuteld en de toegang tot deze gegevens moet worden beheerd via netwerkbeveiliging, toegangscontrolelijsten en gebruikersprofielen.
De toegang tot bepaalde applicaties en mappen kan ook per gebruiker beperkt moeten worden.
Ten slotte kan het nodig zijn om bepaalde apparaten op bepaalde machines te vergrendelen, bijvoorbeeld via groepsbeleid in Windows of een beheertoepassing van derden.
Wachtwoorden
Een wachtwoordbeleid bestaande uit een gebruikersnaam en wachtwoord is een goede praktijk.
Deze helpen bij het identificeren van een gebruiker op het netwerk en maken het mogelijk om de juiste machtigingen toe te wijzen.
Om wachtwoorden effectief te laten zijn, moeten :
- relatief lang zijn (d.w.z. acht tekens of meer)
- bevatten een mix van alfabetische, numerieke en speciale tekens (zoals &^”)
- Regelmatig wijzigen via automatische wachtwoordvernieuwingsopties
- worden verwijderd of gewijzigd wanneer een werknemer vertrekt
- Kan worden gebruikt op individuele bestanden zoals spreadsheets of tekstverwerkingsdocumenten die persoonlijke informatie bevatten
- worden binnen uw systemen versleuteld met behulp van een sterk versleutelingsalgoritme
en zou NIET moeten
- Gebruik een algemeen wachtwoord (dus hetzelfde voor alle applicaties of voor alle gebruikers)
- worden op 'post-it'-briefjes geschreven die op het toetsenbord of scherm zijn geplakt
- bestaat uit veelvoorkomende woorden of uitdrukkingen, of de bedrijfsnaam.
- wordt per e-mail verzonden, tenzij het slechts een tijdelijk wachtwoord betreft (zonder aanvullende informatie zoals waarvoor het dient en wat de gebruikersnaam is)
- Mag niet als platte tekst in uw systemen worden opgeslagen.
Toegang controleren
Hoewel het geen wettelijke verplichting is onder de AVG, draagt het registreren en monitoren van gegevens (en de wijzigingen die daarin worden aangebracht) aanzienlijk bij aan de naleving van artikel 32 van de AVG.
Door uw gegevensverwerking te controleren, kunt u het volgende beoordelen, rapporteren en bewijzen:
- wie heeft toegang gehad tot de gegevens en wanneer
- Hoe vaak de gegevens worden geraadpleegd en of deze frequentie van toegang passend is
- In geval van onbedoeld gegevensverlies, dient u te controleren welke wijzigingen zijn aangebracht en door wie.
Hoewel zowel de AVG als de DPA 2018 niet precies aangeven welke maatregelen u moet nemen, is het raadzaam om een technische oplossing te overwegen die aansluit bij uw behoeften en die van de gegevens die u verwerkt.
