Veilig, gelekt, gestolen, verloren – Wat is de status van jouw data?

Over het algemeen worden gegevens als veilig of gelekt gezien. Deze onderverdeling wordt ook aangehouden door de toezichthouder. Elke status die anders is dan veilig wordt gezien als een datalek. Door deze opdeling wordt echter een belangrijke nuance gemist. Bijvoorbeeld, als een bedrijf door een storing alle personeelsgegevens verliest, zal de toezichthouder dit als een datalek zien, terwijl in het algemene taalgebruik het woord “datalek” suggereert dat een derde partij toegang heeft gekregen tot de gegevens en niet dat er gegevens verloren zijn.

Er is daarom een noodzaak om heldere termen te gebruiken om verschillende soorten datalekken van elkaar te onderscheiden. Een systeem1 dat recent veel gediscussieerd wordt2, verdeelt de mogelijke veiligheidsstatussen in vier groepen: veilig, gelekt, gestolen en verloren.

Termen voor toegangscontrole

De onderstaande tabel geeft kort weer welke statussen mogelijk zijn, en wie er per status toegang heeft tot de gegevens. De term “eigenaar” moet gelezen worden als iedereen die rechtmatig toegang zou moeten hebben tot de gegevens, en “aanvaller” iedereen die geen toegang zou moeten hebben.

Veilig

Definitie: Alleen rechtmatige gebruikers hebben toegang.

Dit is de gewenste situatie. Iedereen die toegang zou moeten hebben heeft dat ook, en geen andere gebruikers of systemen hebben toegang.

Gelekt

Definitie: Er is zowel rechtmatige als onrechtmatige toegang

Dit is waar de meeste mensen aan denken bij het woord datalek. De rechtmatige gebruikers hebben de toegang die ze zouden moeten hebben, maar anderen hebben dat ook. Deze status zegt niets over of de rechtmatige gebruikers van het lek op de hoogte zijn.

Gestolen

Definitie: Er is alleen onrechtmatige toegang

Dit is een situatie zoals na een ransomware aanval waar de aanvallers eerst de data hebben gedownload. In deze situatie heeft de rechtmatige gebruiker geen toegang tot de gegevens, maar een aanvaller dat wel.

Verloren

Definitie: Niemand heeft toegang

Wanneer niemand toegang heeft tot de gegevens dan zijn deze verloren. Dit komt vaak doordat deze bewust of per ongeluk door een gebruiker zijn verwijderd.

Doel

Door het gebruik van een simpele en heldere taxonomie wordt het makkelijker om over datalekken te communiceren en redeneren. De termen zijn eenvoudig te begrijpen en corresponderen met het algemene taalgebruik. Door deze categorisering toe te passen, kan een bedrijf ook gericht onderzoeken hoe data van een bepaalde status naar een andere status kan veranderen en welke maatregelen er eventueel moeten worden genomen.

De status “veilig” is altijd de gewenste situatie. Er is niet per se een algemene rangschikking mogelijk van de andere statussen. Hierbij moet altijd naar de betreffende gegevens worden gekeken. Afhankelijk van hoe gevoelig de data is, kan de status “gelekt” ongewenst zijn en “verloren” catastrofaal. In andere situaties kan het beter zijn dat de gegevens verloren gaan dan dat ze in verkeerde handen komen.

Verschil tussen verloren en verwijderd

Het kan lijken alsof “verloren” de gewenste situatie zou kunnen zijn, bijvoorbeeld bij persoonsgegevens die door een bedrijf zijn opgeslagen, maar na een bepaalde tijd volgens een beleid of regelgeving verwijderd moeten worden. Dit moet echter niet als verloren gezien worden. Op het moment dat de gegevens verwijderd worden, behoort het bedrijf niet meer tot degenen die toegang zouden moeten hebben.

Een bedrijf kan bijvoorbeeld geboortedatum en andere persoonsgegevens nodig hebben om een product of dienst te leveren. Na een bepaalde tijd worden deze gegevens verwijderd door het bedrijf. Het bedrijf behoort dan ook niet meer tot de groep die toegang zou moeten hebben tot deze gegevens en de gegevens zijn nog steeds bij de persoon zelf bekend en beschikbaar. De status is na verwijdering bij het bedrijf dus nog steeds veilig. Dit geeft ook meteen aan dat een bedrijf een datalek veroorzaakt wanneer oude (persoons)gegevens niet tijdig verwijderd worden.

Uitbreiding

Net zoals veel simpele vuistregels en algemene adviezen is het altijd van belang om deze aan te passen aan het betreffende bedrijf, met de mensen, systemen en gegevens die zich daarbinnen bevinden. De vier groepen zijn breed en het kan nuttig zijn om op basis van de bedrijfsgegevens en –risico's hier aanpassingen en onderverdelingen in te maken. Bijvoorbeeld, er kan onderscheid gemaakt worden tussen de mogelijkheid tot inzage en de mogelijkheid tot wijzigen. Ook kan er een onderverdeling gemaakt worden in de groepen rechtmatige gebruikers omdat er verschillende risicopatronen tussen die groepen bestaan.