Veilig, gelekt, gestolen, verloren – Wat is de status van jouw data?

Over het algemeen worden gegevens als veilig of als gelekt beschouwd. Deze tweedeling wordt ook gehanteerd door toezichthouders. Elke status die afwijkt van “veilig” wordt beschouwd als een datalek. Deze indeling laat echter een belangrijke nuance achterwege. Bijvoorbeeld, wanneer een bedrijf door een storing alle personeelsgegevens verliest, zal de toezichthouder dit als een datalek beschouwen, terwijl in het gangbare taalgebruik het woord “datalek” suggereert dat een derde partij toegang heeft gekregen tot de gegevens en niet dat gegevens verloren zijn gegaan.

Er is daarom een noodzaak om heldere termen te gebruiken om verschillende soorten datalekken van elkaar te onderscheiden. Een systeem1 dat recent veel gediscussieerd wordt2, verdeelt de mogelijke veiligheidsstatussen in vier groepen: veilig, gelekt, gestolen en verloren.

Termen voor toegangscontrole

De onderstaande tabel geeft kort weer welke statussen mogelijk zijn, en wie er per status toegang heeft tot de gegevens. De term “eigenaar” moet gelezen worden als iedereen die rechtmatig toegang zou moeten hebben tot de gegevens, en “aanvaller” iedereen die geen toegang zou moeten hebben.

Veilig

Definitie: Alleen rechtmatige gebruikers hebben toegang.

Dit is de gewenste situatie. Iedereen die toegang zou moeten hebben heeft dat ook, en geen andere gebruikers of systemen hebben toegang.

Gelekt

Definitie: Er is zowel rechtmatige als onrechtmatige toegang

Dit is waar de meeste mensen aan denken bij het woord datalek. De rechtmatige gebruikers hebben de toegang die ze zouden moeten hebben, maar anderen hebben dat ook. Deze status zegt niets over of de rechtmatige gebruikers van het lek op de hoogte zijn.

Gestolen

Definitie: Er is alleen onrechtmatige toegang

Dit is een situatie zoals na een ransomware aanval waar de aanvallers eerst de data hebben gedownload. In deze situatie heeft de rechtmatige gebruiker geen toegang tot de gegevens, maar een aanvaller dat wel.

Verloren

Definitie: Niemand heeft toegang

Wanneer niemand toegang heeft tot de gegevens dan zijn deze verloren. Dit komt vaak doordat deze bewust of per ongeluk door een gebruiker zijn verwijderd.

Doel

Het gebruik van een eenvoudige en duidelijke taxonomie maakt het gemakkelijker om te communiceren over en redeneren over datalekken. De termen zijn eenvoudig te begrijpen en komen overeen met het gangbare taalgebruik. Door deze categorisatie toe te passen, kan een bedrijf ook gericht onderzoeken hoe gegevens van de ene status naar de andere kunnen veranderen en welke maatregelen mogelijk moeten worden genomen.

De status “veilig” is altijd de gewenste situatie. Er kan echter geen algemene rangschikking worden gemaakt voor de andere statussen. Hierbij moet altijd naar de relevante gegevens worden gekeken. Afhankelijk van de gevoeligheid van de gegevens kan de status “gelekt” ongewenst zijn en “verloren” catastrofaal. In andere situaties kan het beter zijn dat de gegevens verloren gaan dan dat ze in verkeerde handen vallen.

Verschil tussen verloren en verwijderd

Het kan lijken alsof “verloren” de gewenste situatie zou kunnen zijn, bijvoorbeeld bij persoonsgegevens die door een bedrijf zijn opgeslagen maar volgens een beleid of regelgeving na verloop van tijd moeten worden verwijderd. Dit moet echter niet als “verloren” worden beschouwd. Op het moment dat de gegevens worden verwijderd, behoort het bedrijf niet langer tot de entiteiten die toegang zouden moeten hebben.

Een bedrijf kan bijvoorbeeld de geboortedatum en andere persoonsgegevens nodig hebben om een product of dienst te leveren. Na verloop van tijd worden deze gegevens door het bedrijf verwijderd. Het bedrijf behoort dan ook niet meer tot de groep die toegang zou moeten hebben tot deze gegevens, terwijl de gegevens nog steeds bij de persoon zelf bekend en beschikbaar zijn. De status is na verwijdering bij het bedrijf dus nog steeds veilig. Dit benadrukt ook meteen dat een bedrijf een datalek veroorzaakt wanneer oude (persoons)gegevens niet tijdig worden verwijderd.

Uitbreiding

Net zoals veel eenvoudige vuistregels en algemene adviezen, is het altijd belangrijk om deze aan te passen aan het specifieke bedrijf, met de mensen, systemen en gegevens die daarbinnen aanwezig zijn. De vier categorieën zijn breed en het kan nuttig zijn om op basis van de bedrijfsgegevens en –risico's aanpassingen en onderverdelingen te maken. Bijvoorbeeld, er kan onderscheid worden gemaakt tussen de mogelijkheid tot inzage en de mogelijkheid tot wijzigen. Ook kan er een onderverdeling worden gemaakt binnen de groepen rechtmatige gebruikers, omdat er verschillende risicopatronen bestaan tussen die groepen.