Crypto-shredding is de techniek om de encryptie sleutels voor de gecodeerde gegevens zonder de gecodeerde gegevens op nul te zetten/te verwijderen, waardoor de gegevens onontcijferbaar worden.
Gegevensbescherming is de afgelopen jaren veelvuldig in het nieuws geweest. De onstuitbare stroom van gegevens uit verschillende bronnen is onderhevig aan diverse risico's en bedreigingen die in korte tijd miljoenen gebruikers hebben getroffen. In het huidige technologische tijdperk is gegevensversleuteling de facto de standaard geworden binnen diverse sectoren; het beheer van versleutelde gegevens is echter een lastige opgave geworden voor de belanghebbenden.
Bij het bespreken van het beheer van gecodeerde gegevens moeten we twee typen gecodeerde gegevens bespreken: actief gecodeerde gegevens en passief gecodeerde gegevens.
Bij actief versleutelde gegevens worden de gegevens door verschillende cryptosystemen gebruikt en op de juiste manier verwerkt binnen het beveiligingsecosysteem. Bij passief versleutelde gegevens worden de gegevens echter niet actief gebruikt en kunnen ze worden vernietigd.
Uitdagingen bij datavernietiging
Gegevensvernietiging is een uitdagende taak, aangezien het een individueel recht op wissen is, met name met betrekking tot de regelgeving inzake gegevensbescherming, zoals GDPRBij het uitoefenen van het recht op wissen moet de organisatie alle verwijzingen naar de betreffende gegevens in hun databases, logs, back-ups, enz. opzoeken, de relevante gegevens vinden en deze uit hun systemen verwijderen. Dit is echter geen eenvoudige taak en brengt op zichzelf voor- en nadelen met zich mee.
Vervolgens komt de oplossing voor dit probleem: crypto-shredding.
Crypto-shredding: oplossing voor datavernietiging
Zoals we weten wordt bij crypto-shredding de sleutel van de encryptie weggegooid/vernietigd, en omdat de sleutel wordt vernietigd, worden de gegevens die door de sleutel zijn gecodeerd automatisch onbruikbaar, omdat ze niet meer kunnen worden verwijderd. decoderen zonder de sleutel. We moeten er echter wel voor zorgen dat er geen andere kopieën van de sleutel zijn die door kwaadwillenden kunnen worden gebruikt om de gegevens te ontsleutelen, aangezien de gegevens nog steeds beschikbaar zijn en versleuteld zijn opgeslagen.
Er zou ook een andere mogelijkheid kunnen zijn om het encryptie-algoritme te kraken, die veilig kan worden weggegooid alsof het algoritme kraakbaar zou zijn. Het zou door de relevante autoriteiten als kwetsbaar worden beschouwd en gemarkeerd, en geen enkele organisatie zou het in de eerste plaats zelf gebruiken om de gegevens te versleutelen.
Gezien bovenstaande punten kunnen we gerust aannemen dat het crypto-shredding gelijk staat aan het verwijderen/op nul zetten van de data zelf.
Crypto-shredding pakt het probleem van het zoeken/indexeren van specifieke datareferenties in de gehele infrastructuur op een andere manier aan door zich te richten op slechts één cruciaal aspect: het beheer van encryptiesleutels. Bijvoorbeeld, wanneer nieuwe data wordt aangemaakt en opgeslagen/geback-upt/gerepliceerd, worden de data eerst versleuteld en vervolgens verder verwerkt voor elke actie. Wanneer de data verwijderd moet worden, worden in plaats van de datareferenties in uw infrastructuur te doorzoeken, simpelweg de encryptiesleutels verwijderd om de data onleesbaar te maken.
Tot nu toe hebben we de sterke punten van crypto-shredding begrepen. Laten we ook eens kijken naar de zwakke punten:
- Als de encryptie van de gegevens niet sterk genoeg is, kan er nog steeds een datalek optreden. In dat geval is crypto-shredding niet zinvol.
- Omdat bij crypto-shredding alleen de sleutels worden verwijderd, bestaan de versleutelde gegevens nog steeds. Hiervoor is beheer van de opslag in uw omgeving nodig.
- Omdat het hele concept van crypto-shredding draait om het verwijderen van sleutels, moeten organisaties over een efficiënt sleutelbeheersysteem beschikken dat het verwijderen van sleutels op een veilige manier regelt.
Conclusie
Momenteel zijn er geen standaarden voor crypto-shredding als zodanig. Bepaalde compliance-standaarden vereisen echter iets dat 'het recht om vergeten te worden' wordt genoemd, waarbij de klant het recht heeft om te eisen dat al zijn of haar persoonsgegevens zonder onnodige vertraging volledig worden verwijderd. Crypto-shredding is een efficiënte techniek om passief versleutelde gegevens te beheren, maar met zijn eigen beperkingen. Veel organisaties gebruiken crypto-shredding nog steeds niet omdat het niet wordt voorgeschreven door instanties zoals NIST, AVG, enz. In plaats van crypto-shredding kunnen klanten een kijkje nemen in NIST Special Publication 800-88 revisie 1, een NIST-document dat de opschoning van gegevens bespreekt.
