Wat is Bring Your Own Key en waarom is het belangrijk?
Cloudversleuteling is een van de meest effectieve technologieën om gegevens te beschermen tegen inbreuken. Organisaties die hun gegevens naar de cloud migreren, worden echter geconfronteerd met een versleutelingsdilemma, omdat cloudserviceproviders (CSP’s) standaard toegang hebben tot de versleutelingscodes van hun klanten en dus ook tot hun gegevens.
Het uitbesteden van gegevensbeheer aan een derde partij kan leiden tot kwetsbaarheden op het gebied van gegevensbescherming. Door te kiezen voor de BYOK-benadering - wat staat voor “Bring Your Own Key” - kunnen organisaties hun encryptiesleutels beveiligen en gevoelige informatie die is opgeslagen in de cloud beschermen.
Wat is BYOK?
Afbeelding Credit: Freepik
Bring Your Own Key, ook bekend als Bring Your Own Encryption, is een benadering van gegevensbeveiliging waarbij cloudserviceklanten hun eigen software voor het beheer van versleutelingscodes gebruiken en volledige autonomie over hun versleutelingscodes behouden.
BYOK stelt klanten in staat om de sleutelbeheersoftware van hun voorkeur te gebruiken om sleutels buiten de cloud te houden, waardoor een verbeterd overzicht van het beheer van versleutelingscodes wordt bevorderd.
Hoe werkt BYOK?
Het kernconcept van BYOK bestaat uit het isoleren van het slot, of met andere woorden, de versleuteling die wordt geleverd door de Cloud Service Provider (CSP), en de sleutel die lokaal wordt opgeslagen. Deze scheiding wordt bereikt door het gebruik van een derde partij die sleutelcoderingssleutels (KEK’s) genereert die vervolgens worden gebruikt om de gegevenscoderingssleutels (DEK’s) te coderen die door de CSP worden gegenereerd.
De bovengenoemde procedure wordt key wrapping genoemd, wat inhoudt dat de Data Encryption Key (DEK) wordt omhuld met de Key Encryption Key (KEK) om ervoor te zorgen dat alleen de afnemer van clouddiensten in staat is om de DEK te ontcijferen en toegang te krijgen tot de informatie binnen de Cloud Service Provider (CSP).
Bij het selecteren van een derde partij voor het genereren van sleutelcoderingssleutels (KEK’s) en sleutelverpakking, kan men kiezen tussen een on-premise hardwarebeveiligingsmodule (HSM) of een softwarematig sleutelbeheersysteem (KMS).
Waarom is BYOK belangrijk?
Image Credit: kjpargeter/ Freepik
Gegevens zijn voor iedereen van grote waarde, wat de noodzaak benadrukt om Bring Your Own Key (BYOK) te gebruiken als een manier om ze te beveiligen. Hieronder volgt een opsomming van de belangrijkste redenen om BYOK te gebruiken:
Verbetert de gegevensbeveiliging
BYOK biedt een extra niveau van beveiliging voor vertrouwelijke informatie door de versleutelde gegevens te isoleren van de bijbehorende cryptografische sleutel. Door BYOK te gebruiken, hebben bedrijven de mogelijkheid om versleutelde sleutels extern op te slaan via hun encryptiesleutelbeheer toolkit. Deze aanpak garandeert dat alleen zij de mogelijkheid hebben om toegang te krijgen tot hun opgeslagen gegevens, waardoor de algehele gegevensbeveiligingsmaatregelen worden versterkt.
Verbetert compliance
Naleving van branchespecifieke regelgeving is een vereiste voor bedrijven in verschillende sectoren met betrekking tot het beheer van versleutelingscodes.
Regelgevende sectoren zoals de gezondheidszorg en het bankwezen vereisen een strikte naleving van de richtlijnen voor informatiebescherming. Door Bring Your Own Key (BYOK) te implementeren, kunnen bedrijven hun cryptografisch sleutelbeheer effectief overzien en tegelijkertijd aan deze strenge verwachtingen voldoen.
Het waarborgen van gegevensbeveiliging is een cruciaal aspect van het handhaven van de privacy van klanten, vooral in situaties waarin externe partijen controle hebben over encryptiesleutels. Naleving van wettelijke vereisten en naleving van industrienormen zijn essentieel voor het beschermen van de reputatie van organisaties.
BYOK biedt transparantie met betrekking tot toegang tot en verwijdering van gegevens, wat essentieel is voor het naleven van wettelijke vereisten zoals de GDPR, met name met betrekking tot het recht om vergeten te worden als het gaat om persoonlijke gegevens.
Verhoogt de flexibiliteit en gegevenscontrole
BYOK biedt organisaties de flexibiliteit om te kiezen tussen het opslaan en beheren van hun versleutelingscodes op locatie of in een cloudomgeving, afhankelijk van hun specifieke eisen.
Bovendien stelt deze aanpak organisaties in staat om hun informatie te gebruiken op een manier die het beste past bij hun behoeften, of het nu gaat om interne samenwerking, gegevensanalyse in de cloud of externe uitwisseling, terwijl er tijdens het hele proces sterke beveiligingsmaatregelen worden gehandhaafd. Traditioneel werden gegevens die in de cloud waren opgeslagen versleuteld met encryptiesleutels die werden beheerd door Cloud Service Providers (CSP’s), waardoor de autonomie van bedrijven over hun eigen gegevens werd beperkt.
BYOK-encryptie biedt verbeterde mogelijkheden voor sleutelbeheer waarmee toegangsrechten voor eindgebruikers of de Cloud Service Provider (CSP) indien nodig kunnen worden ingetrokken.
Centraliseert sleutelbeheer
Gecentraliseerd sleutelbeheer is cruciaal voor het overwinnen van de uitdagingen van het beheren van meerdere encryptiesleutels op verschillende platforms, zoals datacenters, cloudproviders en multi-cloudomgevingen. Door Bring Your Own Key (BYOK) encryptie te implementeren, kunnen organisaties hun aanpak van encryptie vereenvoudigen door alle sleutelbeheertaken binnen één platform te consolideren. Dit omvat het aanmaken, roteren en archiveren van encryptiesleutels, wat zorgt voor een grotere operationele efficiëntie.
Bespaart mogelijk geld
BYOK biedt de flexibiliteit om versleutelingscodes te beheren binnen de eigen infrastructuur van een organisatie. Door controle te hebben over deze sleutels kunnen bedrijven de noodzaak om externe leveranciers te betalen voor sleutelbeheerservices omzeilen, waardoor mogelijke lopende kosten in verband met abonnementen of licentiekosten worden voorkomen.
Bovendien is BYOK-encryptie ontworpen om gegevens ontoegankelijk te maken voor kwaadwillende personen zoals cybercriminelen en personen die zich voordoen als cloudbeheerders. Op die manier wil BYOK de kosten vermijden die gepaard gaan met mogelijke datalekken die zouden kunnen leiden tot kostbare informatielekken of boetes wegens niet-naleving van de regels, en uiteindelijk het vertrouwen van de klant behouden en gezonde zakelijke relaties onderhouden.
Welke CSP’s ondersteunen BYOK?
Afbeelding Credit: rawpixel/ Freepik
De grote cloudserviceproviders zoals Google Cloud Platform (GCP), Amazon Web Services (AWS) en Microsoft Azure hebben bring-your-own-key (BYOK)-functionaliteit geïntegreerd in hun platforms, samen met talloze SaaS-leveranciers (Software as a Service).
Hoewel BYOK meer autonomie biedt, vereist het extra belangrijke beheerverantwoordelijkheden, met name binnen multi-cloudomgevingen. Het is cruciaal dat cloudbeheerders de specifieke versleutelingsmethoden en sleutelbeheerservices (KMS) begrijpen die worden gebruikt door elke Cloud Service Provider (CSP), zoals Google Cloud Platform (GCP), Amazon Web Services (AWS) en Microsoft Azure, omdat elke provider zijn eigen onderscheidende kenmerken en nuances heeft.
Google gebruikt Cloud KMS voor GCP, Microsoft vertrouwt op Azure Key Vault voor Azure en AWS gebruikt AWS KMS voor AWS.
Belangrijkste overwegingen voor de implementatie van BYOK
Door gebruik te maken van Bring Your Own Key (BYOK) krijgen gebruikers meer controle over hun informatie en cryptografische sleutels, maar moeten ze ook een hogere mate van verantwoordelijkheid nemen. De uitvoering van BYOK kan lastig zijn, aangezien het toezicht op de sleutelbescherming onder de bevoegdheid van de eigenaar van de gegevens valt, waardoor de gebruiker zorgvuldig beheer moet voeren.
Hoewel BYOK de kans op gegevensverlies tijdens de overdracht verkleint, is het afhankelijk van het vermogen van de onderneming om encryptiesleutels te beveiligen om de veiligheid te garanderen.
Het is cruciaal om de kans op permanent gegevensverlies door verloren of gecompromitteerde versleutelingscodes te verkleinen. Een manier om dit te doen is door het implementeren van een systeem van regelmatige back-ups van deze sleutels na hun initiële creatie en voortdurende rotatie. Daarnaast is het belangrijk om te voorkomen dat encryptiesleutels worden verwijderd, tenzij dit absoluut noodzakelijk is, omdat dit kan leiden tot een onherstelbaar verlies van toegang tot beschermde informatie. Tot slot zal een goed gedefinieerd plan voor het beheer van de gehele levenscyclus van versleutelingscodes, van aanmaak tot vervaldatum, helpen om ervoor te zorgen dat uw organisatie veilig blijft en voldoet aan de relevante regelgeving.
Het implementeren van een effectief beheerplan, dat sleutelrotatieprotocollen, veilige opslagoplossingen, robuuste intrekkingsprocessen en strenge toegangscontrolemaatregelen omvat, is essentieel voor het handhaven van de veiligheid van de IT-infrastructuur van de organisatie. Om de uitvoering van een dergelijke strategie te versnellen, kan het verstandig zijn om de hulp in te roepen van een betrouwbare leverancier met uitgebreide ervaring in het implementeren van Bring Your Own Key (BYOK)-initiatieven. Deze aanpak stroomlijnt niet alleen het proces, maar zorgt er ook voor dat de gekozen leverancier over de nodige competenties beschikt om de BYOK-doelstellingen van het bedrijf effectief te ondersteunen.
We moeten erkennen dat niet elke Bring Your Own Key (BYOK)-oplossing naadloos integreert met Communication Service Providers (CSP’s). Het uitvoeren van nauwgezet onderzoek tijdens de eerste evaluatiefase is cruciaal om de selectie van een optimale oplossing te garanderen voordat onderhandelingen met leveranciers worden aangegaan.
Het is belangrijk om ook rekening te houden met de kosten die gepaard gaan met de implementatie van een bring-your-own-key (BYOK)-strategie. Dergelijke kosten kunnen het beheer en onderhoud van sleutels omvatten, evenals alle benodigde ondersteuningsmiddelen. De implementatie van BYOK kan uitdagingen met zich meebrengen die extra personeel of hardwarebeveiligingsmodules (HSM’s) vereisen, wat leidt tot verdere financiële verplichtingen voor een organisatie.
Verschillende organisaties geven de voorkeur aan een veelzijdige strategie om de efficiëntie te vergroten en de kosten te minimaliseren. Het is raadzaam om zoveel mogelijk niet volledig afhankelijk te zijn van één enkele leverancier van clouddiensten, zodat u niet vastzit aan het aanbod van een bepaalde leverancier en optimaal gebruik kunt maken van de voordelen van cloudtechnologie.
BYOK verbetert beveiliging van cloudgegevens
Het gebruik van cloud-gebaseerde opslag biedt talloze voordelen, maar er zijn ook legitieme zorgen over de veiligheid en beveiliging van dergelijke gegevens. Zodra informatie wordt geüpload naar de cloud, verliezen mensen de directe controle erover.
BYOK is ontworpen om het veelvoorkomende probleem aan te pakken van onvoldoende gegevensbescherming door Communication Service Providers (CSP’s) of Software-as-a-Service (SaaS) leveranciers, ondanks de mogelijkheid om klantgegevens op elk moment te ontsleutelen. Met deze oplossing kunnen ondernemingen de controle behouden over hun encryptiesleutels en opgeslagen cloudgegevens, waardoor de algehele beveiliging van dergelijke gegevens in de cloudomgeving wordt verbeterd.