Cryptography Controls
Cryptografie vormt een van de belangrijkste bouwstenen onder de beveiliging van overheidsinformatiesystemen. Zonder een doordachte inzet van versleuteling en sleutelbeheer blijven netwerkverbindingen, opslaglocaties en clouddiensten kwetsbaar voor zowel opportunistische aanvallers als statelijke actoren. Binnen de Nederlandse Baseline voor Veilige Cloud beschrijven de cryptografische controls hoe organisaties op een voorspelbare en controleerbare manier moderne cryptografie inzetten om integriteit, vertrouwelijkheid en beschikbaarheid van gegevens te waarborgen. Deze operationele richtlijn vertaalt de hogere beleidsuitgangspunten naar concrete maatregelen die toepasbaar zijn in dagelijkse beheerprocessen, projecten en migratietrajecten.
Een eerste pijler van deze cryptografische controls is de keuze voor sterke en algemeen geaccepteerde algoritmen. Voor data-at-rest wordt het gebruik van symmetrische versleuteling op basis van AES-256 aangemoedigd, bijvoorbeeld in schijfversleuteling, database-encryptie en opslag van back-ups. Door consequent één sterk algoritme te gebruiken kunnen organisaties beheersprocessen vereenvoudigen, compatibiliteit tussen verschillende platformen vergroten en het risico op zwak geconfigureerde systemen beperken. Voor asymmetrische cryptografie, zoals bij TLS-certificaten en sleuteluitwisseling, is ten minste een niveau vergelijkbaar met RSA 2048 bits vereist, waarbij organisaties worden aangespoord om waar mogelijk over te stappen op sterkere varianten, zoals RSA 3072 of elliptische-curvecryptografie, in lijn met actuele normenkaders en adviezen van de Nationaal Coördinator Terrorismebestrijding en Veiligheid.
Naast de keuze van algoritmen is de manier waarop sleutels worden gegenereerd, opgeslagen en gebruikt minstens zo belangrijk. Sleutels dienen te worden gegenereerd met een betrouwbare bron van willekeurigheid en moeten gedurende hun levensduur beschermd blijven tegen ongeautoriseerde toegang. Voor hooggevoelige omgevingen wordt het gebruik van dedicated hardware security modules aanbevolen, zowel on-premises als in de cloud, waardoor sleutelmaterialen nooit in leesbare vorm buiten een gecontroleerde, fysiek en logisch beveiligde module beschikbaar zijn. Voor minder kritieke scenario’s kan gebruik worden gemaakt van sleutelkluisdiensten in de cloud, mits deze voldoen aan de overeengekomen beveiligings- en compliance-eisen en het sleutelbeheer zorgvuldig is ingeregeld met rollen, bevoegdheden en logging.
Een goed cryptografisch regime omvat ook duidelijke afspraken over de sleutellevenscyclus. Organisaties moeten vastleggen hoe sleutels worden aangemaakt, verspreid, gebruikt, verlengd, vervangen en uiteindelijk vernietigd. Rotatie-intervallen moeten zodanig worden gekozen dat de kans op misbruik van een gecompromitteerde sleutel beperkt blijft, maar tegelijk werkbaar zijn voor beheer- en ontwikkelteams. De registratie van alle sleutels, inclusief eigenaar, doel, geldigheidsperiode en toegepaste algoritmen, hoort onderdeel te zijn van een centraal sleutelregister of key managementsysteem. Dit register ondersteunt auditors en security officers bij het controleren of alleen goedgekeurde cryptografie in productie wordt toegepast en of vervallen of zwakke sleutels tijdig zijn vervangen.
Een andere belangrijke component van de cryptografische controls is de bescherming van gegevens in transport. Voor alle verbindingen waar vertrouwelijke of persoonsgegevens worden uitgewisseld, is het gebruik van moderne TLS-versies verplicht. TLS 1.2 vormt hierbij het minimum, maar organisaties wordt dringend geadviseerd om versneld over te schakelen op TLS 1.3 waar dit technisch mogelijk is, omdat deze versie betere beveiligingskenmerken en efficiëntere handshakes biedt. Verouderde protocollen en ciphersuites moeten actief worden uitgeschakeld om downgrade-aanvallen en het hergebruik van zwakke algoritmen te voorkomen. Dit vraagt om nauwe samenwerking tussen netwerkbeheerders, applicatiebeheerders en securityspecialisten, zodat configuraties consistent worden toegepast in reverse proxies, API-gateways, applicatieservers en cloudresources.
Certificaatbeheer vormt ten slotte een essentieel onderdeel van de operationele uitwerking van cryptografie. Overheidsorganisaties moeten helder inrichten welke certificaatautoriteiten zij vertrouwen, hoe uitgifte- en verlengingsprocessen zijn georganiseerd en hoe het gebruik van wildcards of subject alternative name-certificaten wordt beoordeeld. Onjuist of onvolledig beheer van certificaten leidt in de praktijk vaak tot uitval van kritieke diensten of onveilige tijdelijke workarounds wanneer certificaten onverwacht verlopen. Het is daarom noodzakelijk om geautomatiseerde monitoring en tijdige waarschuwingen in te richten, zodat beheerteams ruim voor de vervaldatum actie kunnen ondernemen. Tegelijkertijd moeten procedures worden ingericht voor het intrekken van certificaten bij compromittering of foutieve uitgifte, inclusief een beoordeling van de impact op koppelingen, applicaties en gebruikerservaring.
Deze operationele cryptografiecontrols sluiten expliciet aan op de meer gedetailleerde kaders in de Secure Design-richtlijn over cryptografie. Waar in Secure Design ontwerpkeuzes, architectuurpatronen en onderliggende beveiligingsprincipes centraal staan, ligt de nadruk in deze ISM-richtlijn op de praktische uitvoering binnen beheerprocessen, change management en operationele monitoring. Door beide perspectieven te combineren kunnen Nederlandse overheidsorganisaties een consistent cryptografisch fundament neerzetten dat zowel technisch robuust als bestuurbaar is en dat langdurig meegaat in een snel veranderend dreigingslandschap.