Overslaan naar inhoud 
Festplattenverschlüsselung
Een verloren laptop is vervelend. Een verloren laptop met een onversleutelde harde schijf kan een meldingsplichtig datalek zijn. Harde-schijfversleuteling beschermt gegevens zolang het apparaat is uitgeschakeld of vergrendeld. Bij het uit gebruik nemen is het nuttig, maar het vervangt het wissen niet.
Kort uitgelegd
Harde-schijfversleuteling (Full Disk Encryption) versleutelt de volledige inhoud van een gegevensdrager, zodat deze zonder sleutel of wachtwoord onleesbaar is. Het gebeurt via software in het besturingssysteem, zoals BitLocker of FileVault, of rechtstreeks in het station als zelfversleutelende harde schijf. Bij het uit gebruik nemen van IT-apparatuur verlaagt het het risico tijdens het transport en maakt het cryptografische wismethoden mogelijk, maar het vervangt geen wisrapport per apparaat.
Zo werkt harde-schijfversleuteling
Alle gegevens worden versleuteld met een symmetrische sleutel, meestal met de AES-methode. Deze gegevenssleutel is zelf nogmaals beschermd, bijvoorbeeld door een wachtwoord, een pincode of een chip in het apparaat, de TPM (Trusted Platform Module). Bij het opstarten ontgrendelt het systeem de sleutel; daarna worden gegevens bij lezen en schrijven automatisch versleuteld en ontsleuteld. Voor gebruikers is dat nauwelijks merkbaar.
| Variant | Voorbeelden | Bijzonderheid |
|---|---|---|
| Software in het besturingssysteem | BitLocker (Windows), FileVault (macOS), LUKS (Linux) | Centraal beheerbaar, herstelsleutel nodig |
| Hardware in het station | Zelfversleutelende schijf (SED), TCG Opal | Versleuteling door de controller van het station |
| Mobiele apparaten | Apparaatversleuteling bij actuele smartphones en tablets | Standaard actief, gekoppeld aan de apparaatvergrendeling |
Grenzen van versleuteling
- Alleen werkzaam in vergrendelde toestand: Is het apparaat ontgrendeld, dan zijn de gegevens leesbaar voor iedereen die erbij kan.
- Sleutel en wachtwoord: Een zwak wachtwoord of een herstelsleutel die bij het apparaat wordt bewaard, heft de bescherming op.
- Niet vanaf het begin actief: Wordt pas later versleuteld en alleen het gebruikte geheugen meegenomen, dan kunnen oude gegevens onversleuteld in het vrije gebied blijven staan.
- Geen bewijs: Versleuteling bewijst niet dat de gegevens uiteindelijk zijn verwijderd.
Harde-schijfversleuteling bij het uit gebruik nemen
Versleutelde gegevensdragers zijn onderweg naar de dienstverlener beter beschermd. Bovendien maken ze Crypto Erase: wordt de sleutel vernietigd, dan zijn de gegevens niet meer leesbaar. Voor het bewijs aan auditors en toezichthouders hebt u echter nog steeds een wisrapport per gegevensdrager nodig. Stem vooraf af of apparaten vóór overdracht moeten worden ontsleuteld of dat herstelsleutels nodig zijn, zodat wissen en opknappen soepel verlopen. Welke methoden geschikt zijn voor HDD's en SSD's, leest u in de gids Harde schijven en ssd's veilig wissen.
Vuistregel: versleuteling beschermt gegevens onderweg. Pas het wissen met bewijs sluit het definitief af.
Harde-schijfversleuteling bij Second IT
Second IT wist elke gegevensdrager softwarematig met Blancco en documenteert dit met een digitaal ondertekend wiscertificaat per apparaat. Gegevensdragers die niet gewist kunnen worden, worden in eigen huis vernietigd conform DIN 66399 (tot beveiligingsniveau H-5 en E-5). Meer over de gecertificeerde gegevensvernietiging en in het artikel Gegevensbescherming bij harde schijven.
Veelgestelde vragen over harde-schijfversleuteling
Is een versleutelde harde schijf voldoende als gegevensbeschermingsmaatregel bij afvoer?
Het verlaagt het risico aanzienlijk, maar vervangt geen bewijs. Voor de verantwoordingsplicht hebt u een wis- of vernietigingscertificaat per gegevensdrager nodig. Versleuteling en wissen vullen elkaar aan.
Moet ik BitLocker uitschakelen voordat ik de apparaten overdraag?
Voor het wissen is dat niet verplicht, want veilige wismethoden werken onder het besturingssysteem. Voor diagnose en opknappen kan het echter nuttig zijn. Stem de werkwijze af met uw dienstverlener.
Vertraagt harde-schijfversleuteling de computer?
Bij actuele apparaten is het nauwelijks merkbaar. Moderne processors versnellen AES in hardware en zelfversleutelende stations doen het werk in de controller.
Wat is het verschil tussen BitLocker en FileVault?
BitLocker is de harde-schijfversleuteling van Windows, FileVault die van macOS. Beide versleutelen de volledige gegevensdrager met een sleutel. Voor Linux is er LUKS. Bij elk systeem is het belangrijk dat de herstelsleutel veilig wordt bewaard.
Wat is een herstelsleutel bij harde-schijfversleuteling?
Het is een reservesleutel voor het geval wachtwoord of pincode niet meer beschikbaar zijn. Bewaar hem gescheiden van het apparaat. Ligt hij samen met het apparaat, dan heft hij de bescherming van de versleuteling op.
Versleuteld of niet – elke gegevensdrager krijgt zijn wiscertificaat.
Stuur ons uw apparatenlijst. U ontvangt uw aanbod gemiddeld binnen 48 uur.