Het pijnlijke aan hardware die de deur uitgaat, is dat niemand zich er verantwoordelijk voor voelt. De gebruiker heeft een nieuw apparaat en is tevreden. De beheerder heeft de nieuwe laptop uitgerold en die taak afgevinkt. De oude staat in een kast, in een doos bij de receptie, of thuis bij een medewerker die hem “nog wel even zou terugbrengen”.
Ondertussen staat er van alles op. Documenten in mappen die nooit gesynchroniseerd zijn, exports uit het boekhoudpakket, een map met scans, opgeslagen wachtwoorden in de browser, mailarchieven. Bij een apparaat dat vier jaar in gebruik is geweest, is de inhoud van die schijf een redelijke doorsnede van wat er in de organisatie omgaat.
Verdwijnt zo’n apparaat, dan is dat juridisch geen incident bij je leverancier. Het is een incident bij jou. De AVG legt de verantwoordelijkheid voor passende beveiliging bij de organisatie die de gegevens verwerkt, en die verantwoordelijkheid stopt niet op het moment dat een apparaat is afgeschreven. Een laptop die is afgeschreven in je boekhouding, is niet afgeschreven in je risicoregister.
Wissen is iets anders dan verwijderen
Hier zit het grootste misverstand. Bestanden naar de prullenbak slepen en die legen verwijdert de verwijzing naar de data, niet de data zelf. Een schijf snel formatteren is evenmin een betrouwbare methode om gevoelige gegevens te wissen: het maakt de ruimte beschikbaar, maar de inhoud staat er tot die ruimte wordt overschreven. Met vrij verkrijgbare hulpprogramma’s is daar een aanzienlijk deel van terug te halen.
Voor moderne SSD’s is ook het oude advies van “een paar keer overschrijven” niet meer het juiste antwoord. Die schijven verplaatsen data intern, houden reserveblokken achter de hand en laten zich niet volledig benaderen via het bestandssysteem. Wat wel werkt, is de ingebouwde wisopdracht van de schijf zelf, of het weggooien van de sleutel bij een schijf die versleuteld is opgeslagen. Het Amerikaanse NIST onderscheidt in zijn richtlijn voor het schonen van opslagmedia drie methoden: Clear, Purge en Destroy. Welke methode passend is, hangt onder meer af van het type opslagmedium, de gevoeligheid van de gegevens en wat er daarna met het apparaat gebeurt.
Dat laatste is minder vaak nodig dan gedacht, en het is de duurste optie. Een apparaat dat vernietigd wordt, levert niets meer op en de milieuwinst van hergebruik verdwijnt ermee.
Versleutel nu, dan is wissen straks eenvoudig
De beste voorbereiding op het einde van de levensduur tref je aan het begin. Als de schijf van elke werkplek vanaf dag één goed versleuteld is en de sleutels veilig worden beheerd, daalt het risico bij verlies enorm. Dat kan betekenen dat een melding aan de toezichthouder of aan de betrokkenen niet nodig is, maar dat hangt af van de omstandigheden en van je eigen risicobeoordeling. Het verlies zelf beoordeel en documenteer je hoe dan ook. Bij het afvoeren is het weggooien van de sleutel daarna al een groot deel van het werk.
In de praktijk kom ik nog regelmatig organisaties tegen waar versleuteling wel aanstaat op de laptops van de directie, maar niet op die van de buitendienst. Dat is precies de verkeerde volgorde: de apparaten die het meest onderweg zijn, raken het vaakst kwijt.
Leg vast wat er gebeurt
Een proces voor afgedankte apparatuur hoeft niet ingewikkeld te zijn. Vier afspraken volstaan voor de meeste organisaties.
Eén: er is een lijst. Elk apparaat staat erop met serienummer, gebruiker en status. Zonder zo’n lijst kun je nooit aantonen wat er met welk apparaat is gebeurd, en bij een incident is dat precies de vraag die gesteld wordt.
Twee: er is één plek waar apparaten heen gaan als ze uit gebruik worden genomen, en er is één persoon die ze daar ophaalt. Een doos bij de receptie is geen afspraak.
Drie: er wordt gewist volgens een vastgelegde methode, en daar komt een bewijs van. Doe je het zelf, leg dan per apparaat vast welke methode is gebruikt en wanneer. Besteed je het uit, vraag dan om een rapport per serienummer. Een partij die alleen een factuur stuurt zonder te benoemen wat er per apparaat is gebeurd, levert je geen bewijs.
Vier: leg vast wat er met de apparaten daarna gebeurt. Verkoop, inruil of hergebruik binnen de organisatie is prima, maar dan moet duidelijk zijn dat het wissen vóór dat moment is gebeurd, en niet erna.
Ook bij inkoop geldt het omgekeerd
Wie jong gebruikte hardware koopt, zou dezelfde vragen moeten stellen aan de andere kant van de transactie. Hoe is dit apparaat gewist, en kun je dat aantonen? Een leverancier die daar geen helder antwoord op heeft, verkoopt je mogelijk een schijf met de restanten van de vorige eigenaar erop. Dat is niet alleen een risico voor die vorige eigenaar: het zegt vooral iets over hoe zorgvuldig er met jouw toekomstige apparaten zal worden omgegaan.
De hardware die je organisatie verlaat, zegt uiteindelijk meer over je informatiebeveiliging dan het beleid dat je hebt opgeschreven. Beleid dat stopt bij het uitrollen van een nieuwe laptop, is beleid met een open einde.
Dit is een ingezonden bijdrage van Danny Remmerswaal, eigenaar van Hardware Point. Klik hier voor meer informatie over de oplossingen van het bedrijf.