We discussiëren in de bestuurskamer over de inzet van AI, geavanceerde dataclassificatie en abstracte complianceregels. Echter, zolang de basis rammelt, blijft werkende data security een illusie. Echte data security overstijgt het applicatieniveau en raakt de diepste, fysieke lagen van onze IT-infrastructuur. Hoe bouw je een fundament dat strenge wetgeving doorstaat en gewapend is tegen de storm van morgen?
In dit tweede deel van ons rondetafelgesprek over data security, met experts van Dell Technologies, Fox-IT, Klarrio, Everpure, Thales en Veeam, duiken we wat dieper in de techniek. Wat al snel naar voren komt, is dat het beveiligen van bedrijfsdata niet op één manier kan. Er is geen magische tool of silver bullet te koop. Het beschermen van de kroonjuwelen eist een holistische blik op de gehele keten. Dat begint bij de meest tastbare basis: de hardware en het inzicht in de eigen systemen.
Zichtbaarheid als plicht
Binnen de securitywereld wordt er veel gesproken over het bouwen van een robuuste datastrategie, maar de harde realiteit is dat veel organisaties hiaten hebben in hun zichtbaarheid. Een hardnekkige ontwerpfout die vaak wordt gemaakt, is het volledig loskoppelen van databeveiliging en de fysieke infrastructuur. Floris Dankaart (Fox-IT) waarschuwt hiervoor, verwijzend naar het securitybasismodel CIA Triad, dat drie pijlers telt om systemen en data te beschermen. De pijlers zijn vertrouwelijkheid, integriteit en beschikbaarheid. Die zaken vallen of staan met de fundering. “Je kunt data security niet los zien van de onderliggende infrastructuur en hardware, omdat deze bepalen hoe effectief je je data kunt beveiligen”, aldus Dankaart.
Naast deze technische noodzaak, haalt de toenemende regeldruk vanuit Europa momenteel de laatste restjes vrijblijvendheid weg. Met de recente invoering van lokale wetgeving die voortvloeit uit de NIS2-richtlijn, worden organisaties in kritieke sectoren afgerekend op hun overzicht. Dankaart laat daar geen misverstand over bestaan: “De boodschap die luid en duidelijk tussen de regels van die wetgeving doorklinkt, is dat je móét weten wélke data je hebt en wáár deze zich in het netwerk bevindt. Zonder die kennis kom je er simpelweg niet meer mee weg.” Of organisaties dat inzicht nu vergaren via actieve netwerkmonitoring, passief scannen in operationele omgevingen of via sensoren in een Security Operations Center (SOC): het vormt de absolute, ononderhandelbare basis voordat er met verdere mitigatie kan worden gestart.
Versnippering is onwenselijk, een centrale bron beter
Toch ontbreekt dat feitelijke overzicht vaak. Marco Bal (Everpure) ziet dat dit mede komt door de dataversnippering die het afgelopen decennium is ontstaan. Bedrijfsdata is gestructureerd of ongestructureerd en is gedupliceerd over talloze on-premises servers en geïsoleerde SaaS-applicaties. Wat is de juiste versie? Wat is de juiste kopie? En hoe ga je al die data beschermen? “Om weer grip te krijgen, moeten we toe naar één robuuste single source of truth voor de data”, betoogt Bal. Uit die ene beveiligde, gecentraliseerde bron kunnen applicaties, AI-agents of gebruikers vervolgens veilig en gecontroleerd hun informatie putten.
Die verschuiving stelt overigens ook hoge eisen aan de storage zelf. Bal benadrukt dat het onderliggende hardwareplatform naadloos moet kunnen evolueren met nieuwe data-eisen. “Dit zonder dat je tegen het punt aanloopt dat je productieomgeving stil komt te staan omdat je niet meer verder kan”, schetst Bal. Een verouderd storageplatform dat de moderne security- en data-eisen niet kan bijbenen, wordt dan al snel een blok aan het been.
Veilige hardware
Omdat organisaties voor hun veiligheid sterk afhankelijk zijn van externe leveranciers, begint supply chain security volgens Dick Vonk (Dell Technologies) al bij de productie van hardware. Daar worden beveiligingsmaatregelen ingebouwd. “Tijdens de productie van bijvoorbeeld een backup-apparaat bouwen we in de fabriek al speciale beveiligingscode in en voeren we fysieke controles uit. Zodra zo’n apparaat bij de klant in het rack wordt opgestart, controleert het zelfstandig of het nog de originele onderdelen bevat en of er onderweg in de supply chain wellicht ongemerkt iets aan het geheugen of de netwerkkaarten is gemanipuleerd.”
Zo zet Dell Technologies Secured Component Verification in om na te gaan of de geleverde hardware overeenkomt met de oorspronkelijke specificaties. Ook wordt gekeken of er aanwijzingen zijn dat er tijdens de productie of het transport mee is geknoeid. Zo wordt niet alleen gekeken naar de beveiliging van hardware zodra die in gebruik is, maar ook naar de integriteit ervan voordat deze bij een organisatie aankomt.
Harvest now, decrypt later
Dat IT sneller en fundamenteler moet kunnen evolueren dan we gewend zijn, wordt duidelijk door de introductie van Post-Quantum Cryptography (PQC). Jaren was dit meer een theoretisch discussiestuk voor academici, maar de dreiging wordt in razend tempo een harde businessrealiteit. Toch blijkt de dagelijkse praktijk vaak weerbarstiger. Edwin Weijdema (Veeam) stipt de zorg over het ‘harvest now, decrypt later’-principe aan. Hierbij halen cybercriminelen nu een bulk versleutelde data binnen die nu nog onleesbaar voor ze is, met het oog op ontsleuteling met quantumtechnieken in de toekomst. Weijdema stuit tijdens het beveiligen van omgevingen op uiterst basale operationele barrières die upgrades belemmeren.
“Ik kom in ziekenhuizen omgevingen tegen die soms nog op Windows NT 4.0 draaien”, verwijst Weijdema naar het gebruik van het OS uit 1996. “Het probleem is dat het besturingssysteem direct gekoppeld is aan specialistische medische apparatuur. Zodra je ook maar iets aan de machine doet, is die niet meer gecertificeerd. En daarmee is het onderzoek niet meer gecertificeerd.” Het gaat dan om MRI-scanners, röntgenapparatuur en laboratoriuminstrumenten. Om dit soort spagaten te overleven zonder de organisatie onverantwoord kwetsbaar te maken, adviseert Weijdema een nuchtere aanpak gebaseerd op de ‘minimum viable business’. “Ga met de operationele afdelingen om tafel en breng haarscherp in kaart welke specifieke businessprocessen en datasets je écht, als absoluut minimum, nodig hebt als de boel plat ligt of je alles kwijt bent. Alles daaromheen is ter ondersteuning. Je weet dan op welke kern je in eerste instantie kan focussen, je hoeft niet in één keer alles te doen.”
Van verlamming naar soevereiniteit
De wetenschap dat encryptie op termijn kraakbaar wordt, gecombineerd met de complexe wetgeving die momenteel wordt uitgerold, zorgt ervoor dat paniek de boventoon gaat voeren in veel bestuurskamers. Werner Vermeylen (Klarrio) signaleert bij veel organisaties momenteel een mate van ‘analysis paralysis’ wanneer het veiligheidsvraagstuk op tafel komt. “Wat we zien is dat bedrijven uit blinde paniek hun cryptografische bibliotheek van A tot Z in kaart willen brengen en alles tegelijk willen oplossen. Het resultaat is dat ze al in de verkennende en voorbereidende fase compleet vastlopen in de complexiteit.” Om de vaart erin te houden, raadt Vermeylen bedrijven met klem aan om pragmatisch te starten met de kroonjuwelen van de data en daarvanuit gefaseerd verder te bouwen.
Hij waarschuwt er bovendien voor dat het benodigde holistische speelveld wezenlijk breder is dan alleen encryptie. Het gaat ook om soevereiniteit, een term die vaak puur wordt beperkt tot de fysieke landsgrenzen waar een server staat, maar volgens Vermeylen minstens zo sterk om de daadwerkelijke architecturale controle draait. Hij illustreert dit risico met een praktijkvoorbeeld van een bedrijf dat een applicatie liet bouwen door een externe consultant. “Zij verloren uiteindelijk de volledige controle over hun eigen, zelf gegenereerde, bedrijfskritieke data omdat deze werd opgesloten in een onbekend en afgeschermd dataformaat van die dienstverlener, die daar vervolgens licentiekosten voor ging vragen. Zij zagen het als een eigen product.” Soevereiniteit is volgens hem daarom een keihard veiligheidsvraagstuk. “Het gaat echt puur om controle. Wie bezit wat? Als je bepaalde oplossingen bouwt of inkoopt, wie is dan uiteindelijk de daadwerkelijke eigenaar van de data en de artefacten die daaruit voortkomen?”
Geen excuses meer: terug naar de basis
Ondanks de grote verschillen in invalshoeken, van medische legacy-systemen tot geavanceerde kwantumdreigingen en vendor lock-ins, eindigt de discussie met een eenduidige conclusie. Het succesvol doorstaan van deze technologische verschuivingen vereist, zonder uitzondering, dezelfde fundamentele cyberhygiëne. Ilkay Kahraman (Thales) doet dan ook een heldere, activerende oproep aan CISO’s en decision makers. “Hoe moet je beginnen? Je data centraal stellen. Het wordt veel makkelijker om effectief centraal beheer te voeren en prioriteiten te stellen als je weet waar je data, secrets en keys zich bevinden. Dan kan je eenvoudiger acties uitvoeren, ook omwille van AI en PQC.” Kahraman ziet dat er ook genoeg ondersteunende onderzoeken zijn. “Zo hebben de AIVD, het SWI en TNO een PQC-migratiehandboek opgesteld dat organisaties kunnen gebruiken om de eerste stappen te zetten.”
Ook aan de technologische kant zijn de benodigde middelen steeds breder beschikbaar. De nieuwe generatie Hardware Security Modules (HSM’s) is vanaf de basis ontworpen voor PQC. Native PQC-ondersteuning en een door Thales ontwikkelde cryptografische processor leveren de benodigde rekenkracht en prestaties. In combinatie met de beschikbare richtlijnen en rapporten van gerenommeerde instituten is er volgens Kahraman geen reden meer om passief af te wachten. Zijn afsluitende kernboodschap aan de markt is dan ook eenvoudig en urgent: zet de eerste stap, liever vandaag dan morgen.
Dit was ons laatste stuk in een tweeluik over data security. Lees ook eens het eerste verhaal waarin duidelijk wordt dat AI organisaties aanzet tot anders over data security nadenken.