PII-gegevensversleuteling – Best practices

Persoonlijk identificeerbare informatie (PII) is alle data die gebruikt kan worden om een ​​individu uniek te identificeren: naam, e-mailadres, telefoonnummer, financiële rekeningnummers, medische dossiers en vergelijkbare kenmerken. Ongeautoriseerde blootstelling van PII brengt drie cumulatieve risico's met zich mee: verlies van consumentenvertrouwen, directe financiële gevolgen (het IBM/Ponemon Cost of a Data Breach Report 2023 schatte de gemiddelde kosten van een datalek wereldwijd op $ 4.45 miljoen) en juridische en wettelijke sancties onder de AVG , HIPAA , CCPA en PCI DSS . De aanbevolen actie: classificeer alle PII op basis van gevoeligheid en wettelijke categorie, versleutel data in rust met AES-256-GCM, dwing TLS 1.3 af voor alle data die onderweg is, beheer sleutels gescheiden van versleutelde data met behulp van een FIPS-gevalideerd sleutelbeheersysteem en pas tokenisatie toe op PII die niet verder verwerkt hoeft te worden.

Kort antwoord: Wat zijn de beste werkwijzen voor het versleutelen van persoonsgegevens?

De beste praktijken voor de versleuteling van persoonsgegevens (PII) omvatten drie fasen van de levenscyclus van de gegevens. In rust: gebruik AES-256-GCM voor versleuteling op database- en bestandsniveau; sla versleutelingssleutels gescheiden van de versleutelde gegevens op in een HSM of KMS die voldoet aan FIPS 140-2 niveau 2 of hoger; roteer sleutels volgens een vast schema (één tot drie jaar voor versleutelingssleutels volgens NIST SP 800-57); en pas tokenisatie toe voor PII-waarden (zoals creditcardnummers) waarnaar downstream-systemen moeten verwijzen zonder de werkelijke waarde te verwerken. Tijdens transport: dwing TLS 1.3 af voor alle PII die tussen systemen wordt verzonden; valideer servercertificaten van vertrouwde CA's; gebruik wederzijdse TLS (mTLS) voor service-to-service-communicatie in interne omgevingen. Tijdens gebruik: pas gegevensmaskering toe voor niet-productieomgevingen; handhaaf toegangsbeheer zodat alleen systemen en gebruikers met een legitieme reden toegang hebben tot onversleutelde PII; en registreer alle toegang tot PII-gegevensopslagplaatsen met voldoende details voor forensisch onderzoek en het aantonen van naleving.

Wat is persoonsgegevens?

Persoonlijk identificeerbare informatie (PII) omvat alle gegevens die gebruikt kunnen worden om een ​​persoon uniek te identificeren, te contacteren of te lokaliseren, al dan niet in combinatie met andere informatie. De meeste privacywetgeving onderscheidt twee categorieën:

• Directe persoonsgegevens: Gegevens die een persoon op zichzelf identificeren. Voorbeelden zijn volledige naam, e-mailadres, telefoonnummer, fysiek adres, nationaal identificatienummer (burgerservicenummer, nationale identiteitskaart), paspoortnummer, rijbewijsnummer en bankrekeningnummers.
• Gevoelige persoonsgegevens: Gegevens die extra bescherming vereisen omdat openbaarmaking ervan ernstigere schade kan veroorzaken. Voorbeelden hiervan zijn gezondheids- en medische informatie, biometrische gegevens, financiële rekeningnummers, ras of etnische afkomst, seksuele geaardheid en religieuze overtuigingen. Gevoelige persoonsgegevens zijn onderworpen aan de strengste beschermingsvereisten van de AVG, HIPAA, PCI DSS en soortgelijke regelgeving.

De eerste stap bij de versleuteling van persoonsgegevens is gegevensclassificatie: vaststellen welke gegevens in de systemen van de organisatie als persoonsgegevens kwalificeren, tot welke categorie persoonsgegevens het behoort en welke wettelijke vereisten erop van toepassing zijn. Deze classificatie bepaalt de beschermingsvereisten. Gezondheidsinformatie valt onder HIPAA; betaalkaartgegevens onder PCI DSS; Europese persoonsgegevens onder GDPR; en persoonsgegevens van Californische consumenten onder CCPA. Sommige gegevens vallen onder meerdere regelgevingen tegelijk.

Persoonsgegevens lokaliseren: Gegevensontdekking

Nadat de categorieën persoonsgegevens (PII) zijn gedefinieerd, is de volgende stap het lokaliseren van alle PII binnen de organisatie. PII-gegevens bevinden zich zelden op één plek: ze verzamelen zich in productiedatabases, applicatielogboeken, back-upsystemen, datastores voor analyses, ontwikkel- en testomgevingen, e-mailarchieven en cloudopslag. Data-ontdekking houdt in dat wordt vastgesteld waar elke categorie PII wordt opgeslagen en verwerkt in al deze omgevingen. Tools voor data-ontdekking automatiseren het scannen naar patronen die consistent zijn met PII (namen, e-mailadressen, creditcardnummers, BSN-formaten) in gestructureerde databases en ongestructureerde bestandsopslag. Het resultaat van data-ontdekking is een PII-datamap: een overzicht van waar elke categorie PII zich bevindt, welke systemen deze verwerken en welke beveiligingsmaatregelen er zijn getroffen.

Versleutelingstechnologieën en algoritmeselectie

Gebruik geval	Aanbevolen algoritme	Sleutelmaat	Wat te vermijden	Referentie
Persoonsgegevens in rust (database, bestandssysteem, cloudopslag)	AES-256-GCM	256-bit	DES, 3DES, RC4, AES-ECB (geen integriteitsbescherming)	NIST SP 800-111; FIPS 140-3
Persoonsgegevens tijdens overdracht (client-server, service-naar-service)	TLS 1.3 (ECDHE-sleuteluitwisseling, AES-GCM of ChaCha20-Poly1305)	P-256 of X25519 voor sleuteluitwisseling	SSL 3.0, TLS 1.0, TLS 1.1; RC4; MD5; SHA-1 certificaathashes	NIST SP 800-52 Rev. 2; PCI DSS Req. 4.2.1
Persoonsgegevens die doorzoekbaar moeten zijn (versleutelde zoekopdracht)	Formaatbehoudende encryptie (FPE, NIST SP 800-38G) of deterministische AES-SIV	256-bit	Gerandomiseerde encryptie voor velden die direct moeten worden opgevraagd.	NIST SP 800-38G
Betaalkaartnummers en tokens	Tokenisatie (willekeurig token + beveiligde kluis) heeft de voorkeur; AES-256-encryptie als secundaire beveiliging.	256-bits encryptiesleutel voor kluis	Het opslaan van onbewerkte PAN's in applicatielogboeken of niet-versleutelde velden.	PCI DSS-vereisten 3.3-3.5
Sleutelversleuteling (het versleutelen van gegevenssleutels)	AES-256-GCM (Key Encryption Key) of RSA-3072/ECDSA P-256 voor asymmetrische sleutelversleuteling	256-bits symmetrisch of 3072-bits RSA	RSA-1024; DEK's worden samen met de versleutelde gegevens opgeslagen.	NIST SP 800-57 Deel 1

Versleuteling versus tokenisatie versus datamaskering

Er zijn drie verschillende technieken om persoonsgegevens te beschermen, elk met verschillende toepassingsmogelijkheden en eigenschappen:

• encryptie: Zet persoonsgegevens om in versleutelde tekst met behulp van een sleutel. De oorspronkelijke waarde kan worden hersteld door decodering. Gebruik deze functie wanneer het systeem dat de gegevens ontvangt of opslaat, legitiem toegang moet hebben tot de oorspronkelijke waarde (bijvoorbeeld om het adres van een klant weer te geven aan een klantenservicemedewerker, of om een ​​betaling te verwerken ter verificatie van een bankrekeningnummer).
• Tokenisatie: Vervangt persoonsgegevens door een willekeurig gegenereerd token zonder wiskundige relatie tot de oorspronkelijke waarde. De oorspronkelijke waarde wordt opgeslagen in een beveiligde tokenkluis; alleen systemen met toegang tot de kluis kunnen deze ophalen. Gebruik deze functie wanneer downstream-systemen de gegevens moeten raadplegen zonder de daadwerkelijke persoonsgegevens te verwerken (bijvoorbeeld tokenisatie van betaalkaarten in de detailhandel: het token doorloopt de betalingsverwerkingsketen, terwijl het daadwerkelijke kaartnummer in de kluis blijft).
• Gegevensmaskering: Vervangt persoonsgegevens door versleutelde waarden die de opmaak behouden, maar niet de werkelijke waarde weergeven en niet kunnen worden teruggedraaid. Gebruik dit in niet-productieomgevingen (ontwikkeling, testen, analyses) waar echte persoonsgegevens toegankelijk zouden zijn voor ontwikkelaars of analisten die geen legitieme behoefte hebben aan de werkelijke waarden.

Bedreigingsmodel voor de versleuteling van persoonsgegevens

Bedreiging	Aanvalsscenario	Versleutelingscontrole	Waarom het de impact vermindert
Datalek	Een aanvaller verkrijgt ongeautoriseerde leesrechten tot een productiedatabase met persoonsgegevens (via SQL-injectie, gestolen inloggegevens of verkeerd geconfigureerde toegangsrechten).	AES-256-GCM-encryptie in rust met sleutels opgeslagen in een aparte KMS/HSM.	Gestolen versleutelde tekst zonder de encryptiesleutel is waardeloos voor de aanvaller; persoonsgegevens kunnen niet worden gelezen of gebruikt.
Netwerkonderschepping (MITM)	Een aanvaller onderschept persoonsgegevens tijdens de overdracht tussen een client en een server, of tussen interne services.	TLS 1.3 met validatie van servercertificaten; mTLS voor service-naar-service-communicatie	Versleutelde verzending zorgt ervoor dat onderschepte pakketten niet kunnen worden gelezen; certificaatvalidatie voorkomt identiteitsfraude.
Back-up-exfiltratie	De aanvaller krijgt toegang tot niet-versleutelde back-upbestanden die zijn opgeslagen op back-upopslag of media die extern zijn verzonden.	AES-256-GCM-versleuteling van back-upbestanden vóór opslag; versleutelingssleutels worden niet in de back-up opgeslagen.	Fysieke of logische toegang tot back-upmedia onthult geen persoonsgegevens zonder de encryptiesleutel.
Bedreiging van binnenuit	Een medewerker met toegang tot de database exporteert of exfiltreert persoonsgegevens.	Versleuteling op veldniveau voor de meest gevoelige persoonsgegevens; toegangsregistratie; toegangscontrole op basis van het 'need-to-know'-principe.	Versleuteling beperkt de toegang van een bevoegde insider; logboekregistratie biedt een forensisch spoor voor detectie en toewijzing van de dader.
Verkeerde configuratie van de cloud	Persoonsgegevens die zijn opgeslagen in cloudobjectopslag (S3, Azure Blob Storage) worden per ongeluk openbaar toegankelijk.	Server- of client-side encryptie met door de klant beheerde sleutels vóór het uploaden.	Openbare toegang tot versleutelde opslagobjecten onthult geen persoonsgegevens zonder de versleutelingssleutel.
Belangrijkste compromis	De encryptiesleutel is gestolen of gelekt, waardoor het mogelijk is om versleutelde persoonsgegevens te decoderen.	HSM-opslag van encryptiesleutels; sleutelrotatieschema; toegangscontrole die het gebruik van sleutels beperkt tot geautoriseerde systemen.	HSM voorkomt het exporteren van sleutels; sleutelrotatie beperkt de hoeveelheid blootgestelde gegevens als een oude sleutel in gevaar komt; toegangscontrole beperkt welke systemen de gegevens kunnen decoderen.

Beste praktijken voor sleutelbeheer bij de versleuteling van persoonsgegevens.

De uiteindelijke effectiviteit van PII-encryptie hangt niet af van het algoritme, maar van hoe goed de encryptiesleutels worden beheerd. Een aanvaller die de encryptiesleutel bemachtigt, kan alle met die sleutel versleutelde PII decoderen, ongeacht hoe sterk het algoritme is. Vereisten voor sleutelbeheer bij PII-encryptie:

1. Scheid de versleutelde gegevens van de versleutelingssleutels: Versleutelingssleutels moeten op een aparte locatie worden opgeslagen, gescheiden van de gegevens die ze beschermen. Een database die is versleuteld met sleutels die in dezelfde database zijn opgeslagen, biedt minimale bescherming tegen een datalek. Sleutels moeten worden opgeslagen in een speciaal sleutelbeheersysteem (KMS) of een hardwarebeveiligingsmodule (HSM).
2. Gebruik HSM-ondersteunde sleutelopslag voor gevoelige persoonsgegevens: Een HSM die voldoet aan FIPS 140-2 niveau 2 of hoger, slaat sleutels op in fraudebestendige hardware en voorkomt sleutelexport. Alle cryptografische bewerkingen met de sleutel (versleuteling, ontsleuteling) worden binnen de HSM uitgevoerd. Een aanvaller die de applicatieserver compromitteert, kan de sleutel niet uit de HSM halen. Zie HSM als een service Voor hardwarematig ondersteund sleutelbeheer zonder lokale HSM-infrastructuur.
3. Implementeer sleutelrotatie: Gegevensversleutelingssleutels (DEK's) moeten volgens een vast schema worden geroteerd, afhankelijk van de gevoeligheid van de gegevens en de hoeveelheid versleutelde gegevens. NIST SP 800-57 beveelt een versleutelingsperiode van twee tot drie jaar aan voor symmetrische inhoudsversleutelingssleutels. Rotatie vereist het opnieuw versleutelen van alle gegevens met de nieuwe sleutel. Daarom wordt in de meeste productieomgevingen envelopversleuteling (het omwikkelen van een DEK met een sleutelversleutelingssleutel, of KEK) gebruikt: het roteren van de KEK is operationeel veel eenvoudiger dan het opnieuw versleutelen van de gehele dataset.
4. Handhaaf toegangscontroles op sleutelgebruik: Toegang tot sleutelbewerkingen (versleuteling, onversleuteling) mag alleen worden verleend aan geautoriseerde systemen en processen via op identiteit gebaseerde toegangscontroles. Alle gebeurtenissen met betrekking tot sleutelgebruik moeten worden vastgelegd met tijdstempels, de identiteit van het aanvragende systeem en de gebruikte sleutelidentificatie.
5. Plan voor sleutelbeheer na de kwantumtransitie: AES-256 is niet kwetsbaar voor kwantumcomputing (symmetrische algoritmen worden niet beïnvloed door het algoritme van Shor). De sleutelversleutelings- en sleuteluitwisselingsmechanismen RSA en ECC die in sommige sleutelbeheersystemen worden gebruikt, zijn echter wel kwetsbaar voor kwantumcomputing. Organisaties zouden hun sleutelbeheerinfrastructuur moeten beoordelen op kwetsbaarheid voor kwantumcomputing als onderdeel van hun kwaliteitsborging. PQC-migratieplanning.

Nalevingsmapping

Regulatie	De betreffende PII-categorie is gedekt.	Versleutelingsvereiste	Belangrijkste managementvereiste
AVG (artikel 32)	Alle persoonsgegevens van inwoners van de EU	Versleuteling wordt aangemerkt als een geschikte technische maatregel; de meldingsplicht vervalt bij inbreuken door versleuteling.	Op risico gebaseerd; ENISA-richtlijnen bevelen AES-256 en TLS 1.3 aan.
HIPAA-beveiligingsregel	Elektronische beschermde gezondheidsinformatie (ePHI)	Adresseerbare specificatie (implementeer of documenteer waarom niet); OCR-handhaving beschouwt het niet versleutelen consequent als een overtreding.	Sleutels moeten apart van versleutelde ePHI worden beheerd; de NIST-richtlijn (NIST SP 800-111) is de standaardreferentie.
PCI DSS v4.0	Kaarthoudergegevens (PAN, SAD)	Vereiste 3.5: sterke cryptografie voor opgeslagen PAN; Vereiste 4.2.1: TLS voor PAN tijdens transport	Vereiste 3.7: gedocumenteerde procedures voor sleutelbeheer, inclusief generatie, distributie, opslag, verwijdering, rotatie en toegangscontrole.
CCPA	Persoonlijke gegevens van consumenten in Californië	Geen verplichting tot encryptie; bescherming tegen particuliere rechtsvorderingen wanneer gelekte gegevens versleuteld zijn.	Geen specifieke vereisten voor sleutelbeheer; de beste praktijken voor encryptie zijn van toepassing.
NYDFS-cyberbeveiligingsverordening (23 NYCRR 500)	Niet-openbare informatie van klanten van financiële dienstverleners in New York	Versleuteling is vereist voor niet-openbare informatie, zowel in rust als tijdens transport.	Sleutelbeheerprogramma vereist; sleutels moeten worden beschermd tegen ongeautoriseerde toegang.

Implementatievoorbeeld: Versleuteling van persoonsgegevens van zorgverleners

Een zorgverlener die patiëntendossiers opslaat, waaronder namen, geboortedata, diagnosecodes en verzekeringsgegevens, implementeert PII-versleuteling in zes stappen:

1. Gegevensclassificatie en -ontdekking: De velden met persoonsgegevens in de patiëntendatabase worden geclassificeerd op basis van gevoeligheid (naam en contactgegevens als directe persoonsgegevens; diagnosecodes en verzekeringsnummers als gevoelige persoonsgegevens/ePHI). Een data-analyse identificeert waar patiëntgegevens ook worden opgeslagen in applicatielogboeken, back-upsystemen en een rapportagedatabase die door het analyseteam wordt gebruikt.
2. Versleuteling op veldniveau voor ePHI: Diagnosecodes, verzekeringsnummers en andere ePHI-velden in de productiedatabase worden op veldniveau versleuteld met AES-256-GCM. De versleutelingssleutels worden opgeslagen in een HSM-ondersteund KMS, niet in de database of applicatieserver.
3. Volledige databaseversleuteling voor back-ups: Databasebackups worden in rusttoestand versleuteld met AES-256-GCM voordat ze naar de back-upopslag worden geschreven. De back-upversleutelingssleutel is gescheiden van de veldversleutelingssleutels en wordt beheerd via hetzelfde KMS met een ander toegangsbeleid dat beperkt is tot het back-upsysteem.
4. TLS 1.3 voor alle communicatie met patiënten en tussen verschillende diensten: Het patiëntenportaal, de mobiele applicatie en alle interne serviceaanroepen die patiëntgegevens verwerken, zijn geconfigureerd om TLS 1.3 als minimale protocolversie te gebruiken. TLS-certificaten worden beheerd via een certificaatlevenscyclusbeheerproces met automatische verlenging.
5. Gegevensmaskering voor analyseomgevingen: De rapportagedatabase die door het analyseteam wordt gebruikt, is gevuld met geanonimiseerde kopieën van patiëntgegevens: echte diagnosecodes en opnamepatronen worden bewaard voor statistische analyses, maar namen, geboortedata en verzekeringsnummers worden vervangen door synthetische waarden. Analisten kunnen analyses van de volksgezondheid uitvoeren zonder toegang te hebben tot echte persoonsgegevens van patiënten.
6. Toegangsregistratie en audit: Alle toegang tot het KMS voor decryptieoperaties wordt geregistreerd. De logboeken worden elk kwartaal gecontroleerd op afwijkingen (onverwachte systemen die decryptie aanvragen, toegang buiten kantooruren, toegang tot sleutels voor buiten gebruik gestelde dataopslag) en worden bewaard gedurende de periode die vereist is door HIPAA (zes jaar).

Beperkingen van PII-versleuteling

• Versleuteling biedt geen bescherming aan persoonsgegevens tijdens actief gebruik: Wanneer een applicatie persoonsgegevens (PII) decodeert om deze te verwerken (weer te geven aan een gebruiker, op te nemen in een e-mail, te loggen voor debugging), is de onversleutelde versie kortstondig zichtbaar in het geheugen van de applicatie en mogelijk ook in logbestanden. Het ontwerp van een applicatie moet de tijd dat onversleutelde PII in het geheugen aanwezig is minimaliseren, voorkomen dat deze in logbestanden verschijnt en voorkomen dat deze wordt doorgegeven aan systemen die deze niet nodig hebben.
• Het sleutelmanagement is de zwakste schakel: De beveiliging van versleutelde persoonsgegevens is slechts zo sterk als de beveiliging van de versleutelingssleutels. Een slecht beheerde sleutel (opgeslagen in een configuratiebestand naast de database, toegankelijk voor alle ontwikkelaars, en nooit geroteerd) biedt minimale bescherming. De meeste mislukkingen bij de versleuteling van persoonsgegevens in de praktijk zijn te wijten aan fouten in het sleutelbeheer, en niet aan zwakke punten in het algoritme.
• Versleutelde persoonsgegevens worden niet geanonimiseerd: Versleutelde persoonsgegevens blijven persoonlijke gegevens onder de AVG en andere privacyregelgeving, omdat de verwerkingsverantwoordelijke de sleutel bezit en de gegevens kan ontsleutelen. Echte anonimisering (waarbij de betrokkene zelfs door de organisatie niet opnieuw kan worden geïdentificeerd) zorgt ervoor dat de gegevens buiten het toepassingsgebied van de meeste privacyregelgeving vallen, maar is in de praktijk moeilijk te realiseren zonder het nut van de gegevens te verliezen.
• Prestatieverlies bij grootschalige veldversleuteling: Het versleutelen en ontsleutelen van individuele PII-velden in een database voegt vertraging toe aan lees- en schrijfbewerkingen. Voor toepassingen met een hoge doorvoer vermindert hardwareversnelde AES (AES-NI) deze overhead aanzienlijk, maar veldversleuteling kan nog steeds de queryprestaties beïnvloeden bij grootschalige analytische query's op versleutelde velden.

Hoe encryptieconsultancy kan helpen

• Adviesdiensten op het gebied van encryptie: Encryptie Adviesdiensten Beoordeel de huidige bescherming van persoonsgegevens binnen uw organisatie, identificeer hiaten in de encryptie (niet-versleutelde persoonsgegevensvelden, back-ups die niet versleuteld zijn wanneer ze niet in gebruik zijn, verouderde protocollen voor gegevensoverdracht) en adviseer een herstelplan dat is afgestemd op de GDPR, HIPAA, PCI DSS en NIST-richtlijnen.
• HSM als een service: HSM als een service Biedt FIPS 140-3 gevalideerde, hardwarematige opslag voor de encryptiesleutels die uw persoonsgegevens beschermen, waardoor wordt gegarandeerd dat sleutels niet uit de HSM kunnen worden geëxporteerd en dat alle sleutelbewerkingen worden geregistreerd en traceerbaar zijn.
• Compliance-adviesdiensten: Nalevingsadviesdiensten Organisaties helpen bij het ontwerpen van programma's voor de versleuteling van persoonsgegevens die voldoen aan de specifieke eisen van de toepasselijke regelgeving, inclusief de documentatie- en auditbewijseisen die toezichthouders en beoordelaars stellen.
• CBOM Secure: CBOM Secure Het systeem brengt alle cryptografische implementaties in uw omgeving in kaart, inclusief waar PII-versleuteling wordt toegepast, welke algoritmen en sleutelgroottes worden gebruikt en waar PII-gegevensopslagplaatsen geen versleutelingscontroles hebben. Dit levert de inventaris op die nodig is om hiaten te dichten en de PQC-migratie voor de infrastructuur voor sleutelbeheer te plannen.

Conclusie

Elke onderneming die persoonsgegevens verwerkt, is verantwoordelijk voor de bescherming ervan tegen inbreuken, ongeautoriseerde toegang en niet-naleving van wet- en regelgeving. Versleuteling is de meest directe technische beveiligingsmaatregel: wanneer versleutelde persoonsgegevens worden gestolen, hebben de gestolen gegevens geen waarde voor de aanvaller zonder de versleutelingssleutel. De drie risico's van een inbreuk op persoonsgegevens – verlies van consumentenvertrouwen, directe financiële gevolgen en boetes van de toezichthouder – worden aanzienlijk verminderd wanneer een inbreuk betrekking heeft op correct versleutelde gegevens.

Effectieve PII-versleuteling vereist de juiste algoritmekeuze (AES-256-GCM voor data in rust, TLS 1.3 voor data in transit), rigoureus sleutelbeheer (HSM-gebaseerde opslag, rotatieschema's, toegangscontrole op basis van minimale privileges), data-ontdekking om dekking in alle omgevingen te garanderen, en aanvullende controles (tokenisatie voor betaalgegevens, maskering voor ontwikkelomgevingen). De meest voorkomende oorzaak van falen is niet een zwak algoritme, maar zwak sleutelbeheer: sleutels die samen met de data worden opgeslagen, nooit worden geroteerd of toegankelijk zijn voor systemen die ze niet nodig hebben. Als uw organisatie de status van haar PII-versleuteling wil beoordelen aan de hand van wettelijke vereisten en best practices in de branche, neem dan contact op met Encryption Consulting.

Veelgestelde Vragen / FAQ

Wat is persoonlijk identificeerbare informatie (PII)?

Persoonsgegevens (PII) zijn alle gegevens die een persoon kunnen identificeren, al dan niet in combinatie met andere informatie. Directe PII omvat naam, e-mailadres, telefoonnummer en burgerservicenummer. Gevoelige PII omvat gezondheidsgegevens, bankrekeningnummers en biometrische gegevens. De meeste privacywetgeving definieert de categorieën PII die onder de wet vallen en legt specifieke beschermingsverplichtingen op voor elke categorie.

Welk encryptiealgoritme moet worden gebruikt voor persoonsgegevens die niet in gebruik zijn?

AES-256-GCM is het aanbevolen algoritme. Het biedt een beveiliging van 256 bits (voldoende voor gegevens die langdurige bescherming vereisen), geauthenticeerde encryptie (waardoor manipulatie wordt gedetecteerd) en ondersteuning voor hardwareversnelling. Het wordt aanbevolen of vereist door NIST, PCI DSS en HIPAA-richtlijnen. De meest voorkomende oorzaak van een storing is het sleutelbeheer, niet een zwakte van het algoritme.

Wat is het verschil tussen encryptie, tokenisatie en datamasking voor persoonsgegevens?

Versleuteling zet persoonsgegevens om in versleutelde tekst die met de juiste sleutel kan worden hersteld. Gebruik dit wanneer de oorspronkelijke waarde mogelijk nodig is voor geautoriseerde systemen. Tokenisatie vervangt persoonsgegevens door een willekeurig token dat is opgeslagen in een beveiligde kluis; gebruik dit wanneer downstream-systemen de daadwerkelijke persoonsgegevens wel raadplegen, maar niet verwerken. Gegevensmaskering vervangt persoonsgegevens door versleutelde waarden die niet kunnen worden teruggedraaid; gebruik dit voor niet-productieomgevingen waar de echte persoonsgegevens niet nodig zijn.

Welke regelgeving vereist de versleuteling van persoonsgegevens?

De AVG noemt encryptie als een passende technische maatregel en ziet af van de verplichting tot individuele melding van datalekken bij versleutelde gegevens. HIPAA wijst encryptie aan als een adresseerbare specificatie (implementeer of documenteer waarom niet); de handhaving van de OCR beschouwt het niet versleutelen van elektronische patiëntgegevens consequent als een overtreding. PCI DSS vereist sterke encryptie van opgeslagen kaartgegevens en TLS voor gegevens tijdens transport. De CCPA biedt een veilige haven tegen rechtsvorderingen van particulieren bij datalekken met versleutelde gegevens. NYDFS 23 NYCRR 500 schrijft encryptie voor, zowel in rust als tijdens transport, voor niet-openbare informatie.

Hoe moeten encryptiesleutels voor persoonsgegevens worden beheerd?

Sleutels moeten gescheiden van de gegevens die ze beschermen worden opgeslagen in een FIPS 140-2 Level 2 of hoger HSM of een speciaal KMS. Toegang moet beperkt zijn tot alleen geautoriseerde systemen. Sleutels moeten volgens een vast schema worden geroteerd (één tot drie jaar voor DEK's volgens NIST SP 800-57). Al het sleutelgebruik moet worden gelogd. Gebruik envelopversleuteling (het omhullen van DEK's met een KEK) om rotatie operationeel haalbaar te maken zonder volledige datasets opnieuw te versleutelen.

Is persoonsgegevens die in rust zijn versleuteld anders dan persoonsgegevens die tijdens verzending zijn versleuteld?

Ja. Versleuteling in rust beschermt opgeslagen persoonsgegevens tegen ongeautoriseerde toegang tot opslagmedia. Versleuteling tijdens transport (TLS 1.3) beschermt persoonsgegevens die tussen systemen worden verplaatst tegen onderschepping via het netwerk. Beide zijn vereist: versleuteling in rust beschermt geen gegevens tijdens de overdracht, en versleuteling tijdens transport beschermt geen opgeslagen gegevens. Alle belangrijke privacywetgeving vereist beide.