Organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, moeten voldoen aan de zorgplicht. Ze zijn zelf verantwoordelijk voor risicomanagement en het nemen van passende en evenredige maatregelen om cyberrisico’s te beperken. Eén van de tien maatregelen van de zorgplicht is dat organisaties beleid en procedures moeten hebben over het gebruik van cryptografie (versleuteling van informatie).

Cryptografie

De Cbw verplicht organisaties om passende technische en organisatorische maatregelen te nemen om risico's te beheersen die naar voren zijn gekomen in de risicoanalyse. Cryptografie is hierin een sleutelcomponent om de vertrouwelijkheid en integriteit van gegevens te waarborgen. Onder cryptografie vallen onder andere versleuteling van gegevens, digitale handtekeningen, het beheer van cryptografische sleutels en het gebruik en beheer van digitale certificaten.

Het gaat om technieken waarmee u:

  • gegevens geheim kunt houden;
  • kunt controleren of data niet veranderd zijn;
  • kunt verifiëren wie de afzender is;
  • veilig kunt communiceren over onveilige netwerken.

Cryptografie vormt de basis van digitaal vertrouwen en is onmisbaar voor een goed functionerende digitale samenleving.

Encryptie

Een voorbeeld van cryptografie binnen de cybersecurity is de toepassing van encryptie. Hierbij worden gegevens omgezet van een leesbare indeling naar een gecodeerde indeling. Gecodeerde gegevens kunnen alleen worden gelezen of verwerkt, nadat ze gedecodeerd zijn door een persoon die de bijbehorende cryptografische sleutel heeft. Zonder encryptie kan vertrouwelijke informatie onbevoegd worden aangepast, gelezen, of er kan worden meegeluisterd.

Uitdagingen encryptie

Encryptie helpt om cyberrisico’s te verminderen. Het beschermt gegevens tegen onbevoegde toegang. Maar als encryptie niet goed of niet passend wordt gebruikt, kan het juist risico’s opleveren voor een organisatie.

Er zijn twee belangrijke uitdagingen bij het gebruik van encryptie:

  • Onjuiste instellingen (configuratie)

Als een organisatie versleuteling gebruikt, moet dit gebeuren met moderne en algemeen geaccepteerde versleutel-standaarden. Versleuteling betekent dat gegevens onleesbaar worden gemaakt voor iemand die er niet bij mag. Deze standaarden moeten passen bij de toepassing, de organisatie én bij andere partijen in de keten, zoals leveranciers en partners.

Als de instellingen (configuratie) niet goed staan, of als een organisatie oude versleutel-standaarden gebruikt, kan het systeem kwetsbaar worden. Dan is het makkelijker voor een aanvaller om informatie te lezen of systemen aan te vallen. Daarom is het belangrijk dat organisaties en hun keten snel kunnen overstappen op nieuwere en/of veiligere versleutel-standaarden. Dit heet cryptografische wendbaarheid (crypto‑agility).

  • Quantum computing

Een volwaardige quantumcomputer kan op korte termijn veel van de huidige encryptieprotocollen breken, zoals de veelgebruikte techniek RSA.

De dag waarop een quantumcomputer groot en sterk genoeg is om de huidige beveiliging te breken, wordt Q‑Day genoemd. Dan kunnen oude, versleutelde gegevens alsnog worden gelezen en kan vertrouwelijke informatie op straat belanden.

Een mogelijke oplossing is post‑quantum cryptography (PQC). Dit zijn protocollen die speciaal ontworpen zijn om ook sterk te blijven als een aanvaller een quantumcomputer gebruikt. De algoritmen van de nieuwe PQC zijn weliswaar in theorie sterk, maar zijn in de praktijk nog niet volledig bewezen. Dat komt onder andere omdat er nog geen quantumcomputers zijn waarmee ze echt goed getest kunnen worden.

Als tussenvorm zijn hybride protocollen ontwikkeld. Dat zijn combinaties van een bestaand, bewezen sterk algoritme en een nieuw PQC-algoritme. Zo zijn de data beschermd op twee manieren: tegen quantumcomputers én tegen mogelijke fouten in de nieuwe PQC algoritmen.

Nationale organisaties, zoals de AIVD, en internationale organisaties, zoals de Europese Commissie, adviseren om nu al te beginnen met de overstap naar een quantumveilige omgeving. Ze hebben ook richtlijnen ontwikkeld voor welke hybride combinaties de meeste beveiliging bieden. Zo vergroot u de veiligheid van uw gegevens.

Goede versleutelstandaarden

Voor voorbeelden van goede versleutelstandaarden kunt u kijken naar publicaties van ENISA, het Europese agentschap voor cyberveiligheid. ENISA adviseert om altijd gebruik te maken van moderne en algemeen geaccepteerde standaarden. In de “Agreed Cryptographic Mechanisms” geeft ENISA een overzicht van veilige standaarden die nu worden gebruikt, inclusief wanneer deze niet meer veilig zijn en uitgefaseerd moeten worden. De verwachting is dat veel huidige standaarden op korte termijn worden vervangen door nieuwe technieken, zoals post-quantum cryptografie. Meer informatie vindt u via de EUCC Guidelines on Cryptography van ENISA.

Meer weten