Versleuteling op laptops en https op je site
Cryptografiebeleid klinkt als iets voor een bank. Voor een bedrijf van twaalf man gaat het om twee dingen: staat de schijf van elke laptop versleuteld, en loopt alles wat je site of portaal doet over https.
Bij de meeste bedrijven staat dit grotendeels al aan zonder dat iemand het heeft aangezet. Windows en macOS doen het uit zichzelf, en een moderne hostingpartij levert https standaard.
Het werk zit dus niet in het aanzetten maar in het nagaan en het opschrijven. En daar zit ook de waarde: een gestolen laptop is een incident, of een vervelend nieuwtje, en dat verschil is precies de versleuteling.
Versleuteling aanzetten op alle laptops
Een versleutelde laptop die in de trein blijft liggen, is een verloren laptop. Een onversleutelde is een datalek, want iedereen kan de schijf eruit halen en uitlezen.
Op Windows heet het BitLocker, op macOS FileVault. Op een zakelijke Windows-laptop staat het vaak aan, maar niet altijd: bij de goedkopere thuisversies van Windows is het soms niet ingeschakeld.
Vergeet de telefoons niet. Een moderne telefoon met een pincode of vingerafdruk is versleuteld; een toestel zonder schermvergrendeling niet.
Bewaar de herstelsleutel ergens anders dan op de laptop zelf. Bij Windows kan dat in het beheeraccount, anders op papier in de kluis.
- 01Kijk per laptop of BitLocker of FileVault aan staat.
- 02Zet het aan waar dat niet zo is.
- 03Controleer of alle telefoons met bedrijfsmail een schermvergrendeling hebben.
- 04Sla de herstelsleutels op buiten het apparaat.
De website en het klantportaal volledig over https laten lopen
https is niet alleen het slotje op de homepage. Het gaat erom dat elke pagina en elk formulier erover loopt, en dat wie http intikt automatisch naar https wordt gestuurd.
Op oudere sites blijft er vaak een deel achter: een inlogpagina, een oud formulier, een subdomein van een leverancier. Dat is precies waar gegevens overheen gaan.
Een certificaat is bij vrijwel elke hostingpartij gratis en het vernieuwt zichzelf. Loopt het toch af, dan ziet elke bezoeker een waarschuwing; zet daarom een herinnering als je host het niet automatisch doet.
- 01Tik je site in met http ervoor en kijk of je naar https wordt gestuurd.
- 02Loop de belangrijkste pagina's en formulieren langs, inclusief het inlogscherm.
- 03Vergeet subdomeinen niet, ook die van een leverancier.
- 04Controleer of het certificaat zichzelf vernieuwt.
Nagaan waar versleuteling nu wel en niet aan staat
Weet je het niet, dan is het antwoord in je dossier niet vastgesteld. Dat is eerlijk, en het is ook precies het antwoord dat je opdrachtgever niet wil lezen.
Het nagaan kost een uur. Loop de laptops langs, kijk bij de telefoons, tik de website in, en vraag je IT-partner naar de server en de back-up.
Vraag ook waar de back-up staat en of die versleuteld is. Een versleutelde laptop met een onversleutelde kopie ernaast lost niets op.
- 01Maak een lijst van alle apparaten en diensten met bedrijfsgegevens.
- 02Zet er per regel bij: versleuteld, niet versleuteld, of weet ik niet.
- 03Zoek de regels met weet ik niet als eerste uit.
- 04Zet de rest op je plan van aanpak.
Vastleggen waar versleuteling wordt toegepast
Dit is het stukje beleid. Een half A4 waarop staat: op onze laptops staat schijfversleuteling aan, onze telefoons zijn vergrendeld, ons verkeer loopt over https, en onze back-up is versleuteld.
Zet erbij wie het controleert en hoe vaak. Een keer per jaar is genoeg, en het past bij dezelfde ronde als de risicoanalyse.
Is er een uitzondering, schrijf die op met de reden. Een oude machine op de werkvloer die niet te versleutelen is, is een bekende uitzondering; een onbekende is een gat.
- 01Schrijf vier regels: laptops, telefoons, verkeer, back-up.
- 02Zet de uitzonderingen erbij, met de reden.
- 03Noteer wie het controleert en wanneer.
- 04Zet er een datum en een naam onder.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt of laptops versleuteld zijn en of je verkeer over https loopt. Twee regels van je half A4 zijn het antwoord.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Staat schijfversleuteling standaard aan op Windows?
- Op zakelijke Windows-laptops vaak wel, maar niet altijd, en bij de goedkopere thuisversies regelmatig niet. Kijk het per apparaat na in plaats van het aan te nemen. Op macOS heet het FileVault en staat het meestal aan.
- Is een slotje in de browser genoeg?
- Dat slotje zegt iets over die ene pagina. Waar het om gaat is dat elke pagina en elk formulier over https loopt, dat http automatisch doorstuurt, en dat subdomeinen niet vergeten zijn. Daar blijft op oudere sites vaak iets achter.
- Moet ik mijn e-mail versleutelen?
- Het transport tussen mailservers is bij de gangbare aanbieders al versleuteld. Berichtversleuteling per mail is voor de meeste kleine bedrijven niet proportioneel. Stuur echt gevoelige stukken via een beveiligde link in plaats van als bijlage.
- Is mijn back-up ook versleuteld?
- Vraag het na bij de partij die hem maakt, want dit wordt het vaakst overgeslagen. Een versleutelde laptop met een onversleutelde kopie ernaast levert niets op. Schrijf het antwoord op, ook als het nee is.
- Hoe lang moet een cryptografiebeleid zijn?
- Een half A4. Vier regels over laptops, telefoons, verkeer en back-up, de uitzonderingen met hun reden, en wie het wanneer controleert. Meer heeft een bedrijf van deze omvang niet nodig en kan het ook niet waarmaken.