Hoezo eigenlijk is externe opslag van persoonsgegevens onveiliger?

uploading.pngEen hele tijd geleden hadden we voor ICTRecht een Customer Relationship Management-systeem, oftewel een klantenadministratie nodig. Ik heb toen wat offertes opgevraagd, en dat hebben we geweten. Wát een gebral en loze marketingtaal krijg je dan. Eéntje maakte het helemaal mooi: graag wilde hij in een verkennend gesprek de mogelijkheden inventariseren en gelijk even ons datacenter inspecteren zodat hij kon bepalen welke server het beste geplaatst kon worden.

Eh, wat. Een server? Een datacenter? Ik heb een kastje onder de printer waar onze router in staat, bedoelt u dat? Niet helemaal: meneer had inderdaad in het hoofd een server te komen hangen in een datacenter, uiteraard met de optie van full managed hosting en wat al niet meer. Toen ik zei dat ik het liever gewoon in een webbased systeem wilde doen, reageerde hij met een verontwaardigde snuif: meneer u weet toch dat dat onveilig is? Hackers, wormen en andere rare figuren.

Die houding kom ik vaker tegen als het gaat om persoonsgegevens of gevoelige klantdata. Zodra iemand data ergens online wil opslaan reageert er meteen iemand met OMGWTFWBP en blijkt die data helemaal niet naar buiten te mogen. Beveiliging is cruciaal, de kans op aansprakelijkheid is aanwezig en de USA PATRIOT ACT is er natuurlijk ook nog.

Ik heb het allemaal al eens gehoord, maar wat niemand me kan uitleggen: waarom is het slimmer dat een klein kantoortje met (toen nog) zeven man personeel en een tweesterrenslotje in een bedrijfsverzamelpand een server neerzet, dan dat ze de opslag en verwerking laten doen door een partij die daar haar core business van maakt?

Onze klantdata staat bij 37signals in de VS en daar voel ik me prima en legaal bij. Ze hebben zelfs (op ons verzoek) een bewerkersovereenkomst/safeharborcontract getekend, zoals de wet vereist. En ik ga er zonder meer vanuit dat een bedrijf als dit veel en veel meer deskundige aandacht kan geven aan de beveiliging van wat ik daar opsla dan ik zelf. Dus waarom zou ik dat zelf moeten doen?

Arnoud

50 reacties

  1. Naast de USA PATRIOT Act kan ik zo snel alleen maar oneigenlijke redenen bedenken, namelijk “security thorugh obscurity”, oftewel, wie komt er nou op het idee om een server te stelen die bij jullie onder de boiler hangt en dat een machine met 1000 klanten natuurlijk interessanter is dan eentje speciaal voor jullie. Echter, dat zijn dus geen goede redenen. (En je kan natuurlijk wel over allerlei vertrouwensvragen beginnen.)

  2. Die misvatting komt voort uit de volgende foutieve veronderstellingen:

    • wat je kan zien, daar heb je controle over, ook al hangt er een netwerkverbinding aan;

    • als de communicatie over SSL gaat, dan is de data op je server afdoende beveiligd;

    • internet is eng;

    • beveiliging draait vooral om confidentialiteit, de factoren integriteit en beschikbaarheid zijn minder belangrijk

    • onze systeembeheerder is veel beter dan zo iemand bij een outsourcer, en daar krijgen we geen focus/aandacht.

    – Ik heb in het verleden veel security audits bij kleinere, zelfhostende bedrijven gedaan. De standaardvragen om zo’n systeembeheerder eens flink te laten zweten waren:

    • “maar legt u mij eens uit waarom een hacker niet over zo’n SSL verbinding kan komen”

    • “test u uw backups ook wel eens?”

    • “laat u nu ook eens zien wat uw firewall allemaal doorgelaten heeft in plaats van wat ie tegengehouden heeft?”

    De laatste keer dat ik die laatste vraag stelde, stonden er zes RDP sessies naar de domain controller open, vanuit Rusland.

  3. Maar je valt nu wel onder de Amerikaanse wetgeving. En dus kunnen al je gegevens opgeeist worden, of geblokkeerd worden door de Amerikaanse overheid. Is dat een groot extra risico? In jullie geval wellicht niet, tenzij je bijvoorbeeld Rob Gongrijp als klant hebt.

    Erik

  4. Mijn eigen werkgever maakt gebruik van Windows Azure om belangrijke klantdata in op te slaan. Maar ja, wij produceren dan ook onze eigen software. Maar wat belangrijk is, is dat de server met data erop gewoon niet plat gaat en veel bezoekers moet kunnen verwerken omdat klanten hun eigen gegevens mogen inzien, online. (Krijgen ze een username+wachtwoord voor.)

    Moderne ontwikkel-technieken maken het bovendien eenvoudiger om je eigen CRM software te produceren, mits je maar weet wat je doet. Je hebt nog steeds een professionele software ontwikkelaar nodig, maar de libraries om alles snel en eenvoudig te produceren bestaan al geruime tijd.

  5. @Erik: Het is me nog steeds volstrekt onduidelijk hoe ver de USA PATRIOT ACT reikt wat dat betreft. Er is veel geroep over, maar de eerste met juridische bronnen onderbouwde analyse dát dit echt te allen tijde zo is, moet ik nog tegenkomen. Ik heb dan ook sterk het gevoel dat deze wet vooral als boeman wordt gehanteerd door partijen die (om welke reden dan ook) niet willen dat je naar Amerikaanse servers migreert.

    Er staat in die wet inderdaad dat de politie met court order (machtiging rechter-commissaris) in de gegevens kan spitten. Maar dat kan bij ons ook, en de privacywet biedt daar een gaatje voor. Dus waarom dit per definitie een schending van de privacywet zou zijn, zie ik niet.

    Voor een deel is ook het “mijn bedrijf is niet belangrijk genoeg” argument relevant, dat wel.

  6. @Arnoud, had je site eigenlijk niet op zwart gemoeten wegens SOPA in de USA? Wikipedia is vandaag namelijk op zwart. 🙂

    Ik vraag mij af of het argument ???mijn bedrijf is niet belangrijk genoeg??? echt relevant is. Je bent immers jurist en hebt diverse bedrijven als klant, die je juridisch advies geeft. Daar kunnen ook klanten tussen zitten die internationaal opereren en in de USA dus legale problemen hebben gekregen.

    Maar ik vraag mij nog iets af over die Amerikaanse wetgeving. Wat indien een Nederlandse advocaat een host in de USA gebruikt voor het bijhouden van alle (straf)zaken waar hij aan werkt. Dergelijke informatie is in Nederland natuurlijk beschermd maar een Nederlandse advocaat geniet waarschijnlijk niet diezelfde bescherming in de USA. Of wel? Dus als Mr. B. Moskowicz in Nederland een site zoals ThePirateBay juridisch vertegenwoordigd, en daarbij een host in de USA gebruikt om de bijbehorende gegevens op te slaan, kan men dan in de USA legaal inzage krijgen in al deze gegevens? Volgens mij kan dat namelijk niet in Nederland. Maar ja, wordt zijn status van Advocaat erkend in de USA?

  7. Een aantal vragen als ik naar de site kijk. Hebben ze een eigen datacenter(s) of gebruiken ze xyz (ip is van hunzelf dus waarschijnlijk eigen)? Hebben ze er meerdere (en staan die ver genoeg uit elkaar) of hebben ze een probleem als lake michigan overstroomt? 😉 Hebben ze naast PCI compiance andere security certificaten / ISO / SAS en hoe lopen de audits? Is de data die jullie opslaan binnen de scope van die standaards? Wat voor (dropbox) toegang hebben zij zelf?

    En wat wij veel tegen komen mag het van mijn klant (standaard vraag “waar slaan jullie data op”)

  8. Het is dus niet volkomen duidelijk? Dan lijkt het mij een zaak van niet doen.

    Laat die Amerikanen maar hard maken dat het geen issue is, als ze dat niet kunnen is het ook duidelijk.

    Bovendien kunnen we dan eens kijken naar Europese alternatieven en minder afhankelijk zijn van de grillen van de amerikanen. Amerikanen hebben er een handje van om internationale afhankelijkheid te gebruiken om hun wil door te drukken.

    Zoek maar eens op FATCA en hoe ze bedrijven buiten de US dwingen om zich aan die amerikaanse wet te houden.

    En hoe ga je nog (makkelijk) online geld doneren aan wikileaks zonder Credit Card? Zijn stuk voor stuk amerikaanse bedrijven.

    Amerika die volhoud dat ACTA in geheim onderhandeld blijft op verzoek van andere landen. Als het dan lekt blijkt dat toch echt op hun verzoek te zijn geweest.

    Amerika heeft keer op keer getoont niet te vertrouwen te zijn. Ze verdienen het voordeel van de twijfel niet meer.

  9. De USA Patriot act, zegt niet veel meer. Maar! Het enge is namelijk dat je straks zonder court order ook mag spitten. De amerikaanse aanklager mag dus zonder rechter in je data gaan spitten als SOPA/PIPA erdoor komt. Soort van wat Brein alleen voor thepiratebay.org kreeg, krijgen ze daar voor alle internet sites.

    Ik zag die wet allang aankomen en host dan ook niks bij Amerikaanse bedrijven.

    Arnoud heeft verder wel gelijk dat een groter bedrijf die als core-business hosting heeft, het veel beter & veiliger kan dan hijzelf. Alleen de keus voor een Amerikaans bedrijf had ik niet snel gemaakt. Er zijn zat kleine en betaalbare bedrijven ook in Nederland met de datacenters & technici in Nederland. (Ook goed voor onze werkgelegenheid en qua prijs niet heel veel duurder dan in de USA).

    Ook een leuke die vaak vergeten wordt: TIMEZONE! wanneer is de service-desk in amerika open. Als dat van 0700-1800 amerikaanse tijd is, is dat een hele andere dan onze tijd. (Nu: 10 uur smorgens is het bij Arnouds hoster 4 uur snachts)

    Mark.

  10. @André: dat is een mooi onderzoek, alleen hoe bewijst het dat opslag in eigen beheer veiliger is? Ik heb minder verstand van opslag dan Dropbox. Dus als zij het al niet goed kunnen doen, ben ik zelf helemaal het haasje natuurlijk.

    @Wim: Klopt, het is een oneigenlijk argument. Maar ik blijf erbij: outsourcen bij een partij die er zijn core business van maakt, is verstandiger dan zelf te gaan amateuren. En ik heb volgens mij alles gelezen over de USA PATRIOT ACT maar kan écht niet vinden dat op ieder moment alle data opvraagbaar is voor iedere opsporingsambtenaar.

    Sterker nog als je de Nederlandse wet erbij pakt dan kan er veel sneller gegraaid worden, zie artikel 126n Strafvordering en verder.

  11. @Mark: Ik heb geen voor- of afkeur voor Amerikaanse bedrijven. Ik kon alleen geen Nederlandse/Europese bedrijven vinden die de functionaliteit van Highrise/Backpack bieden. Ik wil geen megapakket voor CRM dat integreert met mijn VoIP-centrale of de al genoemde eigen server in datacenter nodig heeft.

  12. @11 Franc, grappig hoe partijen die outsourcing van hun hosting overwegen, al dat soort vragen gaan stellen, terwijl ze zelf op alles ‘nee’ moeten beantwoorden, en dan uit oogpunt van ‘veiligheid’ het toch zelf blijven doen.

  13. @Arnoud, een oneigenlijk argument maar inderdaad, door bepaald werk te outsourcen kun je vaak bepaalde kosten drukken. Een eigen server beheren is vaak kostbaarder en heeft meer risico’s omdat je moet vertrouwen op je systeembeheerders. En als ieder bedrijf in Nederland systeembeheerders nodig heeft dan ontstaat er een enorm tekort aan dergelijk personeel.

    Maar het vraagt altijd wel om een goede risico-analyse. Denk b.v. aan een Nederlander die uitgeleverd dreigt te worden aan de USA om wat voor reden dan ook. Die heeft hier natuurlijk een advocaat en die advocaat moet zijn data toch ook ergens bewaren. Indien die advocaat dit doet op een host in de USA en b.v. met zijn client communiceert via Google Mail dan kan justitie in de USA deze communicatie en data opvragen. (Google Mail? Ja, want Google biedt voor domeinnamen Google Apps aan, waarmee je email-beheer gewoon op je eigen domein zit, maar wordt beheerd door Google. Ik maak er b.v. zelf gebruik van.) Idem natuurlijk indien die advocaat belangrijke documenten synchroniseert met Google Docs en andere internet-diensten gebruikt.

    Ik denk dat juristen en vooral advocaten dus goed de risico’s moeten afwegen van externe hosts. Kostenbesparing tegenover het risico dat het client-jurist vertrouwen in het geding kan komen.

    Idem overigens ook voor huisartsen en ziekenhuizen, indien ze patient-gegevens hosten. Word je in de USA om wat voor reden opgepakt, kunnen ze daar gelijk al je medische gegevens opvragen.

  14. @Arnoud ik snap je afkeer van zelf een server neer moeten zetten.

    Maar da’s leuk vangen voor de verkoper: en hardware sales, en software sales (bij voorkeur natuurlijk een startbedrag, een bedrag per jaar en een bedrag per gebruiker), en uren schrijven voor installatie en customizatie en uren schrijven voor alle updates.

    Salesforce.com zijn ook schurken (flinke bedragen per gebruiker per maand), maar dat is dan al redelijk all-in…

    Ooit nagedacht over open source CRM pakketten? Alhoewel je dan waarschijnlijk al snel zelf een (full-service) hoster zal moeten regelen…

  15. @Arnoud (16): Als er genoeg partijen zijn die aangeven dat ze iets zoeken zoals Highrise/Backpack dan zou er wel meer aanbod komen lijkt me. Verder zie ik het probleem niet om te kijken naar 1 van de opensource oplossingen die er zijn en deze ergens te hosten. Het hosten en het ontwikkelen van iets zijn in mijn beleving 2 verschillende takken van sport en ik snap niet dat er zoveel partijen zijn die aangeven op beide gebieden specialist te zijn.

  16. Server en Software onderhoud is nu eenmaal een hoge kosten post als men dat zelf dient te doen. Je kan een server nemen van HP en daar een goede SLA opzetten en dan zelf de software doen maar zelfs dat brengt kosten met zich mee ook betaalde software kan vrij duur zijn. Als 37signals voldoet aan de kantoor eisen en aan de wettelijke eisen waarom dan niet. Voor de plus plan 49 dollar heb je een mooie deal als je kijk naar onderhoud en beheer als je dat zelf doet dan ga je hier al snel overheen.

  17. @Arnoud betreffende Strafvordering, als ik het zo las betreft dat alleen communicatie gegevens (X heeft gebeld met Y, email verstuurd van X naar Z, etc. Gebruiker X logged in op website).

    Terwijl financiele gegevens expliciet worden genoeg onder de PATRIOT ACT.

    Dus volgens mij gaat de PATRIOT ACT heel veel verder dan de Strafvordering in NL.

    Ik denk dat je ook nooit iets te horen krijgt over de PATRIOT ACT, de partij die de gegevens afgeeft wordt namelijk ook de mond gesnoerd. Vergelijkbaar met een NDA, maar dan met celstraf als je in de fout gaat.

    Ik weet dat er een presentatie is van iemand die er na het verlopen van de “gag order” toch over naar buiten kwam. Volgens mij is het deze presentatie:

    http://events.ccc.de/congress/2010/Fahrplan/events/4263.en.html http://www.youtube.com/watch?v=sDkHPNbCC1M

  18. @Klaas: Ik vind open source leuk maar ik wil géén eigen tijd in onderhoud daarvan steken.
    En dat is een veelgehoorde reden tegen open-source: je moet dan als bedrijf zelf het onderhoud doen. De vraag is alleen hoeveel werk het uiteindelijk zal zijn. En of je dit door een externe hoster kunt laten beheren. Dat laatste vraagt echter wel dat er contact opgenomen wordt met een dergelijke host over de diverse mogelijkheden. Ik vraag mij zelfs af of er niet al enkele tientallen bedrijven zijn die Hosted CRM oplossingen aanbieden voor een redelijke prijs. Die zijn er vast wel, net zoals die er zijn voor bug-reporting, project management en wat je nog meer wil.

  19. Indien die advocaat dit doet op een host in de USA en b.v. met zijn client communiceert via Google Mail dan kan justitie in de USA deze communicatie en data opvragen.

    Dat is echt volstrekt niet aan de orde in de US. Als ze daar een advocaten gaan afluisteren hebben ze geen zaak meer maar wel een lawsuit.

  20. Er staat in die wet inderdaad dat de politie met court order (machtiging rechter-commissaris) in de gegevens kan spitten. Maar dat kan bij ons ook, en de privacywet biedt daar een gaatje voor. Dus waarom dit per definitie een schending van de privacywet zou zijn, zie ik niet.

    Er wordt bij de kretelopie ove de patriot act vooral misbaar gemaakt over het ‘feit’ dat de VS ook stiekum in Europese data zou kunnen graaien als en bedrijf een vestiging heeft in Europa.

    Maar de juridische uitwerking daarvan is heel schimmig. Een juridisch Nederlandse dochter van een Amerikaanse bedrijf kan volgens mij in principe verzoeken uit de VS gewoon negeren en hebben volgens mij jurdisch ook geen enkel verplichting om dergelijke ‘geheime’ verzoeken geheim te houden.

    Het lijkt volstrekt onzinnig dat de VS de patriot act zou inzetten terwijl ze ook een juridisch bijstandverzoek kunnen doen aan de Nederlandse justitie die wel stilletjes in die data kan graaien (ook als het bedrijf helemaal geen vestiging in de VS heeft).

    Dit lijkt echter niet uit te leggen aan ICT’ers. Het lijkt er op dat ze dat gewoon niet willen horen. De amerikaanse overheid is bij veel ict’ers bij voorbaat evil…

  21. remember swift … daar werd inzage gegeven in betaalverkeer, in het kader van terrorisme, waarbij geen amerikaan betrokken was en de EU zag er ook geen graten in. Wie kan tegen terrorisme bestrijding zijn?

    @arnoud: je hebt 200% gelijk als je zegt: waarover gaat het hier? risico is gekoppeld aan de data dat studenten massaal dropbox gebruiken voor projecten ed kan perfect en is heel logisch voor een Ph.D. zou ik al hard nadenken: geef je om je IE? persoonlijke documentnen (rekeningen, facturen, fotos, …): geef je om privacy? (ik meen mij te herinneren dat vs courts probleemloos DB van failliete bedrijven aan de hoogste bieder lieten verkopen)

    files van jouw klanten? ik zou het jou niet aanraden

  22. Arnoud: “Maar ik blijf erbij: outsourcen bij een partij die er zijn core business van maakt, is verstandiger dan zelf te gaan amateuren. “

    Dat dachten veel Nederlandse overheden ook en ze kozen DigiNotar.

    Dat dachten veel bloggers ook en ze zetten al hun blogs zonder eigen back-up bij web-log.nl, en zaten wekenlang zonder blog door een migratie van zogenaamd een half weekend.

  23. Ik heb mijn blog zelf gehost en onderhouden en mede daarom zit ik nu op een zwaar gehackte WordPress 2.1 met zo veel patches dat migreren naar 3.3 me flink wat geld gaat kosten. Was dat een betere keuze dan een betaald account bij WordPress.com?

    Externe partijen kunnen ook prutsen, zonder meer, maar dat impliceert niet dat je het zelf altijd beter kunt.

  24. Dat is echt volstrekt niet aan de orde in de US. Als ze daar een advocaten gaan afluisteren hebben ze geen zaak meer maar wel een lawsuit.

    Maar het gaat in dit geval om het afluisteren van een Nederlandse advocaat, via servers in de USA. Welke rechtsstatus heeft dat uiteindelijk? Kunnen in de USA ook buitenlandse advocaten gewoon hun werk doen of?… Logica dicteert dat het land bij advocaten geen verschil mag uitmaken. Maar wetgeving is soms verre van logisch.

  25. Sja, waarvoor ben je bang. Dat de Amerikaanse overheid in je gegevens gaat graven, of dat een rancuneuze ex-werknemer je gaat chanteren? Het laatste risico is echt veel groter, en de wapening daartegen is voornamelijk een goeie password policy. Ruwweg 1/3 van alle gebruikte wachtwoorden is enorm slap, en de kans dat je het wachtwoord van EEN medewerker van een bedrijf met 5-20 medewerkers kunt achterhalen is enorm veel groter dan dat de CIA achter je aankomt. Of dat je kelder volloopt. Of de kelder van het hostingsbureau.

    Het heeft de Amerikaanse overheid enkele maanden gekost om een twitter account doorgelicht te krijgen. Ik ben geen voorstander van de Patriot Act, maar ik zie de Amerikaanse overheid nog niet bij een significant percentage van de Nederlandse MKB gegevens opvragen.

  26. Externe partijen kunnen ook prutsen, zonder meer, maar dat impliceert niet dat je het zelf altijd beter kunt.
    Ik wel. 🙂 Dat zeg ik immers vaak genoeg.

    Maar goed, voor mij is software (en sites) produceren mijn werk. Ik zou mijn werk niet goed doen indien ik het niet beter kan dan de gemiddelde amateur. Mijn vaardigheden moeten nu eenmaal ruim boven het gemiddelde liggen.

    Maar een jurist is geen software ontwikkelaar en dat maakt een groot verschil als het gaat om het kiezen van het juiste CRM pakket. Veel aanbieders van oplossingen bieden vaak allerlei extra’s die je niet gebruikt maar die wel onderdeel zijn van het pakket. En zelf hobbyen kan een goed resultaat leveren, zoals deze site, maar vraagt veel tijd om het gewoon goed te doen en maakt het inderdaad lastiger om de code bij te houden aan de moderne ontwikkelingen.

  27. ik zie de Amerikaanse overheid nog niet bij een significant percentage van de Nederlandse MKB gegevens opvragen.
    Ik ook niet maar ja, ik zie mijzelf ook niet de hoofdprijs in de Staatsloterij winnen maar desondanks ben ik optimistisch genoeg om iedere maand toch een lot te kopen… Maar laten we eens kijken naar deze site. Gekoppeld aan een in Nederland toch wel bekend wordende jurist maar een domeinnaam die in de USA zonder rechtzaak kennelijk zo platgelegd kan worden. Dat is vorig jaar al enkele site-eigenaren overkomen. En dan SOPA die de film- en muziekindustrie-bazen extra macht wil geven over het Internet… Tja, dan is het in theorie mogelijk dat als Arnoud iets negatiefs over BREIN gaat posten, BREIN dit in de USA aangeeft en de site daar gewoon uit de lucht wordt gehaald. En dan maar procederen in de USA om je domein weer terug te krijgen…

    Hoe groot is de kans op dit doem-scenario? Niet erg groot maar ja… Ik koop ook loten voor de staatsloterij dus ik reken op die kleine kans…

  28. @Ruud, voor SSL certificaten ben je (bijna) gedwongen om met een (door de browser- of besturingssysteem-bakkers) erkende partij in zee te gaan. Een zelf-ondertekend certificaat is maar beperkt bruikbaar.

    Het is ook voor een klein bedrijf mogelijk om een eigen IT-infrastructuur op te zetten; maar er zijn de nodige kosten aan verbonden om een en ander in de lucht te houden. Een persoon met behoorlijke IT kennis (kan inhuur zijn) en een vervanger om tijdens zijn vakantie backup tapes te wisselen. Het uitbesteden van de bedrijfswebsite is voor vrijwel alle bedrijven een logische beslissing, wie wil de bandbreedte inkopen die nodig is om piek-gebruik te kunnen verwerken? Aan de andere kant, op het moment dat je als bedrijf werkt met vertrouwelijke informatie van derden moet je je afvragen of je aan je zorgplicht kunt voldoen wanneer die informatie op een externe server opgeslagen wordt.

  29. @MathFox Hoe zo afhankelijk ? Men maakt wel eens grappen over Belgen, maar in Belgie konden ze het wel goed, ze lieten hun certificaten gewoon tekenen door 2 Certificaat Authoriteiten. En zij waren dus niet afhankelijk van 1 CA.

  30. Lennie, hoe is twee handtekeningen onder een https certificaat beter als mijn browser het door een Iraanse hacker bij Diginotar gegenereerde certificaat gelooft?

    Wanneer je certificaten gebruikt voor authenticatie in een applicatie met een beperkte groep gebruikers, dan kun je zeggen “ik vertrouw alleen deze hoofd-certificaten” en daarmee minder-betrouwbare certificaatuitgevers uitsluiten. (Of, in het uiterste geval, de uitgifte volledig zelf in de hand houden.) Wat voor een aantal overheidsorganisaties in Nederland een groot probleem is, is het feit dat ze geen “hoofd-certificaat-onbetrouwbaar-geworden” procedures hadden. Websites hadden in een paar weken verse certificaten, vaak al voor de Diginotar erkenning ingetrokken werd. Bij andere toepassingen zijn ze nog aan het uitzoeken hoe een nieuwe moeder-sleutel ingevoerd kan worden.

  31. @MathFox 1 van de problemen die Microsoft en de Nederlandse overheid hadden was dat ze niet alle overheidsdiensten snel genoeg op een andere CA konden overstappen (vooral ook voor oude documenten) om daarna Diginotar blokkeren. Microsoft hield daarom voor Windows PC’s in NL Microsoft Windows updates tegen om te voorkomen dat het geblokkeerd zou worden. Ook Adobe is gevraagd updates uit te stellen om de zelfde redenen. Met het gebruik van een 2e CA is dat probleem opgelost, de foute CA wordt geblokkeerd via een update en het leven kan redelijk vrolijk worden hervat.

    Daar komt het simpel gezegd op neer. Ik kan zo even het artikel met de uitleg niet terug vinden jammer genoeg.

  32. @Wim:

    Voor een syeteem dat alleen door eigen medewerkers gebruikt wordt kan een zelf-ondertekend certificaat wel werken en misschien juist wel veiliger zijn (in geval van Diginotar-achtige kwesties). Maar dan moet je wel zorgen dat op alle computers waar vanaf die medewerkers het systeemmoeten benaderen het (root) certificaat bekend is. De Windows Small Business Server werkt bijvoorbeeld zo. Daar gaat dat installeren van het certificaat vanzelf voor domain-joined clients en voor de rest is een tool beschikbaar. Een script maken wat het certificaat bij je medewerkers installeert is niet zo ingewikkeld lijkt me. En dan heb je het helemaal zelf in de hand.

  33. @MartijnV, een dergelijk systeem werkt dus eigenlijk alleen binnen een IntraNet omgeving, en aangezien steeds meer mensen gaan thuiswerken of mobiel werken is een dergelijke oplossing vaak een beetje lastig. En ja, een beveiligde VPN verbinding kan dat dan weer oplossen maar dan heb je toch weer iemand nodig die dat weer kan onderhouden. Plus, een dergelijke verbinding opzetten vanaf een tablet computer kan vrij lastig zijn, zeker als je meerdere soorten tablets moet ondersteunen. Android tablets en iPads zijn niet echt compatible met elkaar en als je medewerkers ook nog eens uitrust met Chrome OS netbooks dan wordt het al snel helemaal een zooitje. Plus de thuiswerkers moeten ook voorzien worden van de juiste VPN software maar dat moet dan ook weer zo ingesteld worden dat alleen de medewerker die verbinding kan gebruiken en niet b.v. zijn kinderen die “even” gaan gamen op de thuiswerk-computer.

    Het probleem is dat beveiliging vaak het gebruikers-gemak tegenwerkt. Het is best lastig om daar een goede balans tussen te vinden. En om eerlijk te zijn, een beetje medewerker die een n00b is op ICT gebied verwacht gewoon dat hij een apparaat kan aanzetten, zijn werk kan doen en het apparaat weer kan uitzetten. Alle vormen van beveiliging worden dan irritant. Eenmalig gebruikersnaam en wachtwoord invoeren zou voor de meeste van hen meer dan voldoende moeten zijn.

  34. Arnoud: heb je al je data alleen bij 37signals staan? Of maak je zelf ook nog een regelmatige back-up?

    Ik heb hier in het verleden nogal eens problemen mee gezien met VPS hosting. De VPS hoster biedt back-ups aan die prima werken. Maar, dan blijkt dat er een veiligheidsprobleem in het control panel zit waardoor VPSen inclusief hun back-ups verwijderd worden, of gaat zelfs het hele bedrijf kopje onder, inclusief alle data.

    Kortom, ik zou erg sterk afraden om alle kopieën van je data bij dezelfde organisatie te bewaren – het maakt je data erg kwetsbaar, hoe competent ze ook zijn of lijken te zijn. Van mijn urenregistratie in een web app, exporteer ik elke week een CSV, zodat ik indien nodig al mijn gegevens zelf in een machine-readable format beschikbaar heb.

  35. Advocatenkantoren zijn mogelijk afgeluisterd

    Dus ook al zou je alles binnen Nederland houden, de kans dat je afgeluisterd en bespioneerd wordt is altijd aanwezig. Hier gaat het om een lijst van telefoonnummers maar bestaat er ook een dergelijke lijst van websites/IP adressen die niet opgevraagd mogen worden omdat advocaten deze (intern) gebruiken om zo mobieler te kunnen werken?

    Nog niet, natuurlijk. Maar naarmate het Internet een steeds groter aandeel krijgt in het dagelijkse leven gaat dit natuurlijk wel een keer komen, lijkt mij…

  36. Ik heb niet alle reacties gelezen, maar is dit al behandeld: “What Happens To Your Files When a Cloud Service Shuts Down?” zoals nu op Slashdot wordt besproken na het down-brengen van megaupload.com

    Of nog een variant: de hoster/SaaS-provider die de gegevens gijzelt in geval van faillisement van de klant. Curatoren worden dan gedwongen om geld te betalen.

  37. @Erik Eens, zo las ik toevalig een tijdje geleden nog een blog post over iemand die weg wilde migreren van een 37signals service, maar dit bleek niet praktisch te kunnen. Nu weet ik niet of die persoon overdreef of dat het uberhaubt dezelfde service was als die arnoud gebruikt, maar als je naast je back-up ook lokaal je kopieen hebt dan ben je altijd veilig als je weg wilt, of als er wat gebeurt met je data extern.

  38. Erik, als je een kopie of backup van je data hebt wil dat nog niet zeggen dat je er (zonder het programma dat de data bewerkt) iets mee kunt doen. Als er geen andere programma’s zijn die de informatie in de data kunnen ontsluiten, zit je vast aan de leverancier van je programma. Waar je bij normale programma’s je eigen data (en kopieën van het programma) beheert is bij Saas zowel het programma als de data in handen van je provider. Dat biedt extra complicaties als je ooit naar een ander programma wil overstappen.

  39. Als je persoonsgegevens van anderen beheert, dan neem ik aan dat de personen op wie de gegevens betrekking hebben * op de hoogte gesteld moeten zijn dat je die gegevens beheert * op de hoogte gesteld moeten zijn hoe je die gegevens beheert * daar mee akkoord zijn gegaan

    Als gegevens over een Nederlander door een Nederlander beheerd worden, dan denk ik dat het redelijk is om te verwachten dat alleen het Nederlandse recht van toepassing is. Als de beheerder van die gegevens dan iets doet waardoor die gegevens ook binnen het bereik van een ander recht vallen (bijv. hosten in de VS, waardoor de gegevens binnen bereik van de Amerikaanse overheid vallen), dan is dat iets dat buiten het normale verwachtingspatroon valt, en de beheerder van die gegevens moet(*) dat ZEKER melden!

    Het kan van iemand die binnen Nederland verblijft namelijk niet verwacht worden dat hij/zij het recht van willekeurige andere landen (zoals de VS) zomaar accepteert. Er zijn wereldwijd heel wat wetten die volkomen onacceptabel zijn.

    Tot zover het privacy-gedeelte. Wat beschikbaarheid betreft zie ik meer in een en-en aanpak: en je gegevens laten beheren door een professioneel hosting-bedrijf, en zelf altijd een lokale kopie houden van al je gegevens, en zelf regelmatig backups maken, testen en op fysiek verschillende plaatsen bewaren.

    In sommige gevallen kan je beschikbaarheid en privacy combineren door je gegevens encrypted te laten hosten. Daarbij moet je natuurlijk wel de encryption key onder eigen beheer hebben, anders voegt het niet zo veel toe.

    (*) Ik ben geen jurist, en ik weet niet wat de wet hier over zegt. Dit is wat mij betreft wat de wet er over zou moeten zeggen.

  40. Als je persoonsgegevens van anderen beheert, dan neem ik aan dat de personen op wie de gegevens betrekking hebben * op de hoogte gesteld moeten zijn dat je die gegevens beheert * op de hoogte gesteld moeten zijn hoe je die gegevens beheert * daar mee akkoord zijn gegaan

    Als gegevens over een Nederlander door een Nederlander beheerd worden, dan denk ik dat het redelijk is om te verwachten dat alleen het Nederlandse recht van toepassing is. Als de beheerder van die gegevens dan iets doet waardoor die gegevens ook binnen het bereik van een ander recht vallen (bijv. hosten in de VS, waardoor de gegevens binnen bereik van de Amerikaanse overheid vallen), dan is dat iets dat buiten het normale verwachtingspatroon valt, en de beheerder van die gegevens moet(*) dat ZEKER melden!

    Het kan van iemand die binnen Nederland verblijft namelijk niet verwacht worden dat hij/zij het recht van willekeurige andere landen (zoals de VS) zomaar accepteert. Er zijn wereldwijd heel wat wetten die volkomen onacceptabel zijn.

    Tot zover het privacy-gedeelte. Wat beschikbaarheid betreft zie ik meer in een en-en aanpak: en je gegevens laten beheren door een professioneel hosting-bedrijf, en zelf altijd een lokale kopie houden van al je gegevens, en zelf regelmatig backups maken, testen en op fysiek verschillende plaatsen bewaren.

    In sommige gevallen kan je beschikbaarheid en privacy combineren door je gegevens encrypted te laten hosten. Daarbij moet je natuurlijk wel de encryption key onder eigen beheer hebben, anders voegt het niet zo veel toe.

    (*) Ik ben geen jurist, en ik weet niet wat de wet hier over zegt. Dit is wat mij betreft wat de wet er over zou moeten zeggen.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.