Gevoelige Overheidsdata en de Cloud

Transcriptie

1 Gevoelige Overheidsdata en de Cloud 3 april 2014 Kristof Verslype Smals Research

2 De Cloud - Intro Cloud Services Brokerage Buitenlandse Overheden Case: File Sync & Share Afronding A G E N D A 2/83

3 De Cloud - Intro 3/83

4 Shift One heavy client Many mobile thin clients 4/83

5 Enkele voorbeelden Een virtuele server aanmaken om een product te testen Een office-pakket toegankelijk vanaf elke computer met internet Het ontwikkelen van een web-toepassing Delen van gegevens tussen mijn PC, tablet en smartphone en delen met collega s Een omgeving waar het personeel overal toegang tot heeft 5/83

6 Eigenschappen Selfservice Broad network access Rapid elasticity Measured service Resource pooling Bron: NIST Special Publication The NIST Definition of Cloud Computing 6/83

7 Public VS Private VS Community Bedrijf A Bedrijf D Private Cloud Bedrijf B Public cloud Bedrijf E Bedrijf F Community cloud 7/83

8 Cloud Services Brokerage Wat? Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 8/83

9 Wat? Een Cloud Service Broker levert meerwaarde als schakel tussen aanbieders en eindgebruikers van cloud diensten. In public, community of private cloud Intern of extern CSB Werking en beschikbaarheid cloud diensten vallen buiten controle cloud service broker 9/83

10 Cloud Services Brokerage Waarom? Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 10/83

11 Spaghetti-architectuur Overheidsdienst Afdeling A Afdeling B 11/83

12 Spaghetti-architectuur Overheidsdienst Afdeling A Lijkt goedkoop Afdeling B 12/83

13 Cloud Services Brokerage Functionaliteit Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 13/83

14 Overheidsdienst Catalogus cloud-catalog.smals.be Public Cloud Description Description Community Cloud Description Description Private Cloud Aanbod gevalideerde cloud-diensten Gebruiksvriendelijk Ondersteuning Gepersonaliseerde catalogi Abstractie achterliggende clouds => Vermijdt wildgroei, stimuleert compliancy 14/83

15 User & Access Management Overheidsdienst CSB (De)provisioning Single sign-on Integration LDAP, eid, SAML,. Policy enforcement => Verbetering UAM 15/83

16 Archivering Overheidsdienst CSB Eigen beleid rond archivering Vb. Clouddienst levert geen langetermijngaranties Vb. Wat bij faillissement dienst? => Beschikbaarheid data langetermijn 16/83

17 Vercijfering Overheidsdienst CSB Gevoelige gegevens worden vercijferd vooraleer naar publieke cloud Bestandsopslag & uitwisseling, ,. => Verhogen confidentialiteit 17/83

18 Monitoring / Reporting Overheidsdienst CSB Cloud-gebruikers Data in transit (DLP) Cloud-diensten (SLA s) Verhogen inzicht/overzicht gebruik data Eventueel ingrijpen indien nodig Nuttig bij veiligheidsincident 18/83

19 Technisch / Intelligence Kennis v/d markt Configuratie cloud-diensten Integratie Cloud Cloud Cloud Legacy Helpdesk Vermijden vendor lock-in Vb. Door aanbieden uniforme API 19/83

20 Financieël / Contractueel Financieël Eén factuur voor alle cloud-diensten Chargeback Gebruik kredietkaart Indekken tegen wisselkoersen Contractueel Raamcontracten (volumekorting) SLA s gerespecteerd? Juridische vertegenwoordiging 20/83

21 Smals als embryonale CSB Security Integratie eid Monitoring & reporting Andere Online cursussen voor artsen Marktstudie Lastenboekprocedure Facturatie Accreditatiegeneratie 21/83

22 Cloud Services Brokerage Hoe? Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 22/83

23 CSB Enablers Een CSB enabler levert technologie en ondersteuning om een CSB op te zetten Een bekende speler: 23/83

24 Twee cases => 2 x telco 24/83

25 Cloud Services Brokerage Markt Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 25/83

26 Een markt in expansie Omzet 100 miljard voor CSB + CSB Enablers jaarlijks tegen eind (in miljard $) 2018 (in miljard $) December 2012 Jaarlijkse groei Cloud brokers 1,57 10,5 46,2% Cloud broker enablers 0,225 2,03 55,3% Bron: Market & Markets, Maart 2013 Tegen 2015 zal minstens 20% van alle cloud-diensten via CSBs afgenomen worden. Oktober /83

27 Enkele cloud brokers Telenet CloudOffice Catalog SSO Advies Contract Beheer Financieel Migratie Integratie Config Monitoring Cloud services X X MS Exchange + anti-virus/-spam, kalender, Nomadesk Teamserver Belgacom BeCloud X X MS Exchange, Sharepoint, Lync, Office CloudBrokerz.nl X X X X No restrictions given CloudSherpas X X X X X X X Focus op Google & Salesforce Vordel X X X X X No restrictions given Apperio X X X Focus op Google, Salesforce & Amazon Dell X X X SalesForce CSC X No restrictions given Accenture X No restrictions given 27 27/83

28 CSB Enablers - Cool Vendors 28/83

29 Cloud Services Brokerage Samengevat Wat? Waarom? Functionaliteit Hoe? Markt Samengevat 29/83

30 Samengevat... Personeel neemt initiatief, zonder nodige overleg CSB positieve impact op security Onvolwassen markt met sterke groei Term CSB niet altijd even scherp afgebakend Traditionele service providers (vb. telco s) nemen de rol van CSB op 30/83

31 Spaghetti-architectuur Overheidsdienst Afdeling A Afdeling B 31/83

32 Overheden Buitenland 32/83

33 USA Besproken Vermeld 33/83

34 Overheden Buitenland Nederland Nederland Frankrijk Duitsland UK USA Andere Conclusies 34/83

35 April 2011 "Het kabinet kiest er daarom voor om een gesloten Rijkscloud in eigen beheer in te richten als een voorziening die generieke diensten levert binnen de Rijksdienst. Deze voorziening wordt ingericht binnen een eigen beveiligd netwerk en wordt beheerd door een eigen, rijksbrede organisatie. Brief aan de Kamer op 20 april /83

36 September ambtenaren!!! Ah nee, toch niet CloudNL 36/83

37 CloudNL? September ambtenaren!!! Ah nee, toch niet 37/83

38 Juni 2013 Datacenter in eigen beheer, zoals AIVD, is verstandiger! - Rijkswaterstaat - Dienst Justitiële Inrichtingen, - Inspectie SZW Opsporing, - Dienst Terugkeer en Vertrek, - Rijksinstituut voor Volksgezondheid en Milieu, - Koninklijk NL Meteorologisch Instituut - Planbureau voor de Leefomgeving, - College ter Beoordeling van Geneesmiddelen, - Centraal planbureau - Sociaal en Cultureel Planbureau. 38/83

39 Alle informatie over grote projecten, maar bijvoorbeeld ook de camera's en de bediening van de matrixborden boven de snelweg gebeurt via dit datacentrum. Je moet qua hoeveelheid niet meer aan gigabyte denken, we hebben het hier eerder over 70 terabyte. Maarten Hillenaar hoofd van de afdeling ICT bij de overheid 39/83

40 Consolidatie Data Centers 64 2 Eigen + beheer 2 Extern 40/83

41 Nederland: Conclusies Ambitieuze plannen teruggeschroefd Datacenters in eigen land Consolidatie Kritiek wegens niet alles in eigen beheer Cloud in kinderschoenen Cloud 1st strategie Wat bij overname nationale spelers? 41/83

42 Overheden Buitenland Frankrijk Nederland Frankrijk Duitsland UK USA Andere Conclusies 42/83

43 Frankrijk, 2012 Vorming 2 consortia Door Door /83

44 Frankrijk Data centers in Frankrijk Numergy: Tier 3+ CloudWatt: Tier 4 PPS (per consortium) Franse bedrijven: 2/3 = Staat: 1/3 = Doelgroep Overheidsinstellingen Bedrijven Aanbod (wordt uitgebreid) Cloudwatt: Cloudwatt-box - File Sync & Share Numergy: gevirtualiseerde omgevingen Zie volgende slides 44/83

45 45/83

46 46/83

47 47/83

48 Frankrijk: Conclusies Datacenters in Frankrijk 2 x PPS met Franse bedrijven Staat investeert vrij veel geld (150m ) Aanbod gevirtualiseerde server-omgevingen & FSS Soevereine cloud staat vrij ver Partnerships binnen EU (vb. Numergy met Belgacom) 48/83

49 Overheden Buitenland Duitsland Nederland Frankrijk Duitsland UK USA Andere Conclusies 49/83

50 Duitsland, initiatieven Veilige, Duitse Bundescloud nodig voor regeringsinstellingen 12/2011 Hans-Peter Friedrich, toenmalig minister Binnenlandse Zaken (CSU) 50/83

51 Duitsland Officieel voorgesteld op Cebit 2011 Cloud made in Germany Datacenters in Duitsland Uitbating & beheer: Duitse bedrijven Transparantie Open standaarden, formaten, interface Volledige stack open source Ontdubbeling over datacenters Bestaande infrastructuur 51/83

52 Duitsland Aanbod (via resellers) «wordt uitgebreid» 52/83

53 Project Gestart in 2011 Ontwikkelen en testen van innovatieve, veilige en rechtsconforme cloudcomputing-oplossingen 100 miljoen 50% gov, 50% privé Overwegend Duitse bedrijven Doelgroep KMO s Gezondheidszorg Publieke sector 53/83

54 Activiteit Aanbod (in ontwikkeling) KMO s (9) Gezondheidszorg (3) Publieke sector (2) TRESOR Pilootproject voor certifiëring clouddiensten Juridisch luik 54/83

55 Duitsland: Conclusies Uitbouw nationale cloud Aanbod in ontwikkeling Investering overheid (50m ) Focus op SaaS. Mindere mate IaaS 55/83

56 Overheden Buitenland UK Nederland Frankrijk Duitsland UK USA Andere Conclusies 56/83

57 Catalogus geaccrediteerde clouddiensten Volledige publieke sector Kansen nationale spelers Aanbod 800 aanbieders 7,000 diensten Business via G-Cloud 92,7m tot 28/01/14 (sinds begin 2012) 70% KMO s Meeste contracten consultancy 57/83

58 58/83

59 Accreditaties IL0 IL1 No impact Unclassified Non protectively marked IL2 Protect IL3 Restricted IL4 Confidential IL5 Secret IL6 Top Secret Google, Amazon Salesforce Microsoft Azure, Office 365 SCC Skyscape Atos Lockheed Martin GSAE Government- Managed cloud Amerikaanse bedrijven reageren Oracle wil IL3 en bouwt datacenter in UK Salesforce gelijkaardig 59/83

60 Business Impact Level («BIL» of «IL») BIL Availability Integrity Confidentiality BIL 3 60/83

61 Pan Government Accreditation = Do it once 61/83

62 Accreditatie 11x/22x makes extensive use of suitably scoped ISO/IEC certification BIL 33x services will be delivered through PSN Direct Network Service Providers (DNSPs) and will not be offshored outside the UK. Usage of cloud services at BIL4 and above for Confidentiality should be implemented through private cloud services 62/83

63 Bepalen gevoeligheid gegevens a.d.h.v. zes tabellen Defence, International Relations, Security and Intelligence Public Order, Public Safety and Law Enforcement Trade, Economics and Public Finance Public Services Critical National Infrastructure (CNI) Personal / Citizen 63/83

64 64/83

65 Conclusies Catalogus cloud-diensten op G-Cloud Verfijnd classificatiemodel voor diensten en data Protect data blijft in UK, Confidential data gov-managed Pan-government accreditatie Omzet vooral via consultancy Cloud first strategy 65/83

66 Overheden Buitenland USA Nederland Frankrijk Duitsland UK USA Andere Conclusies 66/83

67 Verenigde Staten Cloud 1st strategy Cloud Store stopgezet (~G-cloud) Federal Data Center Consolidation Initiative (FDCCI) > 1800 in 2015(-40%) D.m.v. cloud principes Ook nieuwe datacenters (vb. Utah Data Center) 67/83

68 Verenigde Staten Gebruik commerciële diensten Wel extra maatregelen Extra security FISMA accreditatie, ITAR, FedRAMP Logisch en fysiek gescheiden omgeving Nationale spelers ~ wereldspelers 68/83

69 Overheden Buitenland Andere Nederland Frankrijk Duitsland UK USA Andere Conclusies 69/83

70 Verbod gebruik Google Apps Verbod gebruik Google Apps Verbod forwarden naar gmail 70/83

71 Overheden Buitenland Conclusies Nederland Frankrijk Duitsland UK USA Andere Conclusies 71/83

72 1 st Conclusies Strategy Confidential data stays inside the country Soevereine clouds in opbouw 72/83

73 De soevereine cloud 73/83

74 Toekomst Europe World economy 74/83

75 «Vertrouwen is goed, controle is beter» Wat gebeurt echt met gegevens in de cloud? Vb. Onthullingen Snowden 75/83

76 76/83

77 Ook andere landen bouwen inlichtingendiensten verder uit «BNC (Bundesnachrichtendienst) wil 100 miljoen investeren om het Internet af te luisteren» Der Spiegel, 06/2013 Natuurlijk moeten onze inlichtingendiensten op internet aanwezig zijn 06/2013 Hans-Peter Friedrich, toenmalig minister Binnenlandse Zaken (CSU) 77/83

78 Afhankelijkheid andere landen? 78/83

79 Wat bij buitenlandse overname eigen nationale spelers? Nationale belangen VS. vrijemarktprincipes 79/83

80 Tegelijkertijd besparingsdruk Grotere landen meer schaalvoordelen bij soevereine cloud 80/83

81 En België Verspreide initiatieven VDAB, VAPH Cloud policy SZ Synergieën SZ -> Community cloud Nationale initiatieven? Fedict stootte op financiële obstakels >> België loopt achter! << 81/83

82 Mogelijke rol Smals Publieke gegevens Top Secret gegevens Publieke Cloud Internationaal Belgische cloud Commercieel Gov. Cloud Gov. Managed No Cloud Smals als CSB Catalogus, UAM, monitoring, advies, Synergieën? Smals als cloud aanbieder Vb. File sync & Share, Virtuele servers Smals infrastructuur (mits certifiëring) Suggesties? 82/83

83 «Was mich nicht umbringt, macht mich stärker» Friedrich Nietzsche, Duits filosoof Eindelijk 83/83

84 File Sync & Share 1/126

85 De Cloud - Intro Cloud Services Brokerage Buitenlandse Overheden Case: File Sync & Share Wat? Public Cloud Private Cloud Apps End-Point Security Nieuwe Dienst Afronding A G E N D A 2/126

86 File Sync & Share Wat? Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 3/126

87 Zoals voor bedrijven/overheden = Enterprise File Sharing 4/126

88 Direct Access (from everywhere) 5/126

89 Synchronisatie Alternatief voor directe toegang Extra synchronisatiestap neemt tijd Daarna wel sneller toegang tot gegevens 6/126

90 Directe toegang & Synchronisatie vaak complementair 7/126

91 Delen Jack Averell William Joe 8/126

92 Toegang & beheer data Gebruiksvriendelijk Public, private, community cloud Overal toegang Client Mobiel, PC en Web Synchronisatie Privé en enterprise 9/126

93 Te vermijden /126

94 Samengevat Directe toegang Synchronisatie File Sync & Share Flexibel delen Gebruiksvriendelijk 11/126

95 Model Private persoon Public Private Community Bedrijf 12/126

96 Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 13/126 File Sync & Share Public Cloud

97 14/126

98 Gevaren Data exfiltration Wat indien medewerker weg (vb. naar concurrentie) Gehackte account (vb. door zwak paswoord) Import malware Vb. Hacker plaatst bestand via Dropbox account op PC 1 Geen controle Wie gebruikt welk FSS voor welke gegevens In hoeveel clouds staat onze gevoelige data? Data gelekt? Incident? -> Pers (1) 15/126

99 «Ook voor enterprise use!» Beperkingen 16/126

100 Secure Sockets Layer (SSL) & AES- 256 bit encryption. Privacy policy and procedures SSL - Dropbox? NSA? GCHQ? Anderen? => Confidentialiteit? - Afhankelijk andere landen => Beschikbaarheid? Niet voor gevoelige data Veelal gelijkaardig voor concurrenten in publieke cloud. Op te lossen? 17/126

101 Classic... 18/126

102 Bob Johan 19/126

103 Initialisatie Sleutels lokaal gegenereerd in BoxCryptor client SK PK SK PK Bob Johan 20/126

104 Initialisatie Sleutels lokaal gegenereerd in BoxCryptor client Private sleutel password protected Beschermd sleutelpaar naar BoxCryptor cloud SK PK SK PK Bob Johan 21/126

105 SK PK SK PK Uploaden bestand SK PK SK PK Bob Johan 22/126

106 SK PK SK PK Uploaden bestand Per file unieke AES sleutel gegenereerd AES AES SK PK SK PK Bob Johan 23/126

107 SK PK SK PK Uploaden bestand Per file unieke AES sleutel gegenereerd AES sleutel vercijferd met publieke sleutel user AES AES PK SK PK SK PK Bob Johan 24/126

108 SK PK SK PK AES AES PK Uploaden bestand Per file unieke AES sleutel gegenereerd AES sleutel vercijferd met publieke sleutel user Vercijferde document + vercijferde sleutel naar Dropbox cloud SK PK SK PK Bob Johan 25/126

109 AES AES PK SK PK SK PK Delen File-key + publieke sleutel Johan gedownload door Bob SK PK SK PK Bob Johan 26/126

110 AES AES PK SK PK SK PK AES PK PK Delen File-key + publieke sleutel Johan gedownload door Bob Bob decrypteert file-key SK PK SK PK Bob Johan 27/126

111 AES AES PK SK PK SK PK AES PK PK Delen File-key + publieke sleutel Johan gedownload door Bob Bob decrypteert file-key Bob encrypteert file key met publieke sleutel Johan SK PK SK PK Bob Johan 28/126

112 AES AES PK SK PK SK PK AES PK Toegang gegevens Johan downloadt doc + geëncrypteerde file key SK PK SK PK Bob Johan 29/126

113 AES AES PK SK PK SK PK AES PK Toegang gegevens Johan downloadt doc + geëncrypteerde file key Johan decrypteert file key met zijn private sleutel AES AES PK SK PK SK PK Bob Johan 30/126

114 AES AES PK SK PK SK PK AES PK Toegang gegevens Johan downloadt doc + geëncrypteerde file key Johan decrypteert file key met zijn private sleutel Johan decrypteert doc met file-key AES AES SK PK SK PK Bob Johan 31/126

115 Conclusies Functionaliteit & gebruiksvriendelijkheid Delen blijft mogelijk Enkel toegang met BoxCryptor client Dropbox webclient onbruikbaar 2 accounts nodig (Dropbox & BoxCryptor) Security Dropbox geen toegang tot gegevens Afhankelijkheid buitenland blijft Indien overal zelfde paswoord -> BoxCryptor toegang tot data? Beperkte enterprise-functionaliteit (volgende slide) 32/126

116 33 Gecentraliseerd beheer We willen integratie met eigen UAM i.p.v. beperkt user & policy mgt voor elke cloud-dienst afzonderlijk 33/126

117 Interessant concept, maar minder geschikt in onze context 34/126

118 Client-side encryptie + opslag bij bestaande FSS dienst Client side encryptie + Eigen opslag Uitgebreid enterprise management Geen client side encryptie Eigen opslag mogelijk 35/126

119 Enkele bedenkingen bij public cloud FSS oplossingen 36/126

120 FSS oplossingen vaak initieel consumer-oriented Trachten nu enterprise functionaliteit toe te voegen (incl. security) 37/126

121 Er zijn oplossingen met extra security Desondanks... 38/126

122 Spanningsveld Enterprise functionaliteit Public cloud Confidentialiteit Gebruiksvriendelijkheid De drie elementen samen in de public cloud lijkt momenteel moeilijk Hoe op te lossen? 39/126

123 Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 40/126 File Sync & Share Private Cloud

124 Scenario: Delen Documenten ~ OneDrive / DropBox / Gehost door Smals Delen docs meetings Tablet Off-line toegang Gebruiksvriendelijk Een CEO Cobaye Proefkonijn 41/126

125 Server bij Smals Tablet CEO Computer Secretariaat CEO 42/126

126 Server bij Smals Tablet CEO 43/126

127 Server bij Smals Tablet CEO 44/126

128 Server bij Smals Synchronisatie Bestanden worden automatisch gekopieerd naar server bij Smals Tablet CEO 45/126

129 CEO synchroniseert zijn tablet met de server bij Smals Server bij Smals Tablet CEO 46/126

130 Server bij Smals CEO heeft offline toegang tot de bestanden op zijn tablet Tablet CEO 47/126

131 Server bij Smals Tablet CEO Secretariaat verwijdert documenten 48/126

132 Server bij Smals Synchronisatie Bestanden worden automatisch verwijderd op server bij Smals Tablet CEO 49/126

133 Synchronisatie Bestanden worden verwijderd op tablet CEO Server bij Smals Tablet CEO 50/126

134 Gegeneraliseerd Scenario Organisatie A Server-side repositories CEO Organisatie B Meeting Alfa Meeting Beta 51/126

135 FSS Scenario s Beheren & delen documenten meetings Foto s en verslagen op verplaatsing (vb. werven) direct delen met team voor analyse Alternatief voor uitwisselen van zware docs via Directeur synchroniseert zijn verschillende toestellen Met welk product te realiseren? 52/126

136 We testten Heeft goede referenties 53/126

137 CERN koos voor Owncloud 54/126

138 Architectuur Courante producten ondersteund Database Loadbalancers Application servers LDAP - WebDAV - Logging - Malware detection - Server-side encryptie - Apps (uitbreidingen) Storage Alles dat mountable is (zelfs Dropbox) 55/126

139 Community-based, geen SLA s! 56/126

140 De gebruiker app Generieke client app Owncloud client app Web interface Network drive mapping Owncloud PC Client Sync/ Direct access Sync/ Direct access Direct access Direct access Sync 57/126

141 De gebruiker app Generieke client app Owncloud client app Web interface Network drive mapping Owncloud PC Client Sync/ Direct access Sync/ Direct access Direct access Direct access Sync 58/126

142 Alles dat aan mij gedeeld is 59/126

143 Kova zal mijn map /Confidentieel zien in zijn /Shared/Confidentieel 60/126

144 61/126

145 «Only share in your groups» Charlie Gerard Dirk Kris Frank Leon Helena An Isabelle Bob Jochen Evelien «Kan delen met» 62/126

146 63/126

147 64/126

148 De gebruiker app Generieke client app Owncloud client app Web interface Network drive mapping Owncloud PC Client Sync/ Direct access Sync/ Direct access Direct access Direct access Sync 65/126

149 66/126

150 De gebruiker app Generieke client app Owncloud client app Web interface Network drive mapping Owncloud PC Client Sync/ Direct access Sync/ Direct access Direct access Direct access Sync 67/126

151 68/126

152 Gebruiksvriendelijkheid Server Eenvoudige basisinstallatie Flexibel Apps (uitbreidingen) niet steeds matuur PC client Wizard Flexibler & complexer dan Dropbox Web interface Spartaans Bevat wel alle functionaliteit Gebruik recente browser App (ios, Android) Minimale functionaliteit Intuïtief 69/126

153 Ervaringen Matuur Evolueert snel Sommige functionaliteit enkel in web client Uitgebreide functionaliteit om te delen Prullenmand Vorige versies Technisch Standaard MySQL tot 2500 actieve gebruikers VPN & Reverse proxies ok 70/126

154 Demo 71/126

155 0. + Demo - Scenario Rechten op map «Raad van Bestuur» Geen rechten op map «Directiecomité» 1. geeft rechten aan voegt documenten toe aan map «Directiecomité» consulteert documenten verwijdert documenten ziet documenten niet meer Admin CEO Secr. 72/126

156 Video te downloaden op 73/126

157 Video te downloaden op 74/126

158 Video te downloaden op 75/126

159 Video te downloaden op 76/126

160 Video te downloaden op 77/126

161 Conclusie Degelijke private cloud FSS oplossingen Ook open source Uitgebreid getest Evaluatie positief Vergelijking Veiliger dan huidige wildgroei Misschien niet even veilig als wereldspelers Evenmin dezelfde schaal/specialisatie -> kost Toegang door buitenlands overheden moeilijker 78/126

162 Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 79/126 File Sync & Share Apps

163 We bekijken 1) Client apps voor toegang bestanden op server 2) Viewers apps om documenten te bekijken Client app gebruikt standaard geïntegreerde viewer Client app gebruikt viewer apps 80/126

164 Client apps 81/126

165 Client Apps Generische client Owncloud client We bekeken reeds FolderSync Owncloud Nu volgt kort GoodReader 82/126

166 83/126

167 84/126

168 85/126

169 86/126

170 Client Apps Vergeleken Dropbox 2.3 Owncloud 1.5 Owncloud FolderSync 2.5 GoodReader 3.19 Documents OS Sync Direct access Cache Share Convi vialité Flexi bilité File name length Viewers No Yes Yes link Extern Free Selected files Yes Yes No Extern 0,79 No Yes Yes link Intern / (extern) 0 79 Yes No nvt No extern 2,29 Yes Downlo ad only nvt No Intern / (extern) 4,49 Yes Yes nvt No Intern Free Downloa ded files Yes No No Intern 10 /UY 87/126

171 Clients: Custom - Generiek Generic client Config Accounts (gelijktijdig) Delen (met link) 88/126

172 Kies in functie van je voorkeuren & vereisten - Directe toegang Vs. synchronisatie - Meerdere accounts Vs. 1 account 89/126

173 Viewer apps 90/126

174 Enkele Viewer Apps Microsoft Office Microsoft Office AstralPad ThinkFree Kingsoft Office Kingsoft Office Kingsoft Office GoodReader OfficeSuite Documents Smart Office 2 Beter Weergavekwaliteit docs Slechter 91/126

175 92/126

176 Aandachtspunten Weergavekwaliteit Weergavesnelheid Annotatie PDFs Editeren Documenten Vb. Quasi perfecte weergave Documenten laden traag Editeren enkel indien een Office 365 abo >> Gebruik bij voorkeur PDF << 93/126

177 Conclusie Diverse Client apps & viewer apps mogelijk Fijn, maar daarmee is onze tablet nog niet veilig 94/126

178 Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 95/126 File Sync & Share End-Point Security

179 Probleemstelling Gevoelige data Password: 1234 Access granted! Toegenomen risico compromitteren gevoelige data Gebrek aan controle door bedrijf problematisch 96/126

180 Mobile Device Management (MDM) Containerization Monitoring Security Mobile Device Management Data Containment Support 97/126

181 Mobile Device Management (MDM) 98/126

182 Functionaliteiten Mgt. Dashboard Inventaris Security policies Monitoring Provisioning App control Lock & wipe 99/126

183 Functionaliteiten 100/126

184 Functionaliteiten 101/126

185 Architectuur Internet Controle devices Enkel gekende devices toegang dienst VSP Sentry Sentry Intern netwerk Lotus Notes, Exchange, FSS 102/126

186 Containerization Gegevens verlaten afgeschermde omgeving op mobiel toestel niet Niet: openen met andere apps Niet: uploaden naar cloud dienst Niet: versturen per mail Geen knippen-plakken Containerization uitbreidingen 103/126

187 104/126

188 WatchDocs TODO File Sync & Share + Containerization Document-oriented Integreert met Outlook, Sharepoint, Monitor document access Next slide WatchDox Cloud of WatchDox Virtual Appliance 105/126

189 106/126

190 «We gebruiken AES-256» «Alles is in elke situatie veilig» Volledig ecosysteem nodig! 107/126

191 Een ecosysteem MDM Veilige Server Infrastructuur Secure connection Container (Alternatieve oplossing laat alle internetverkeer via bedrijfsgateway passeren) 108/126

192 Wat? Public cloud Private Cloud Apps End-Point Nieuwe Dienst 109/126 File Sync & Share Nieuwe Dienst

193 Security Toestellen SZ Werkstation (=PC of Draagbare PC) Werkstation + VPN Privé mobiel toestel (=Tablet/smartphone) Netwerk Extranet Extranet Internet Beheer ISZ ISZ? Authenticatie 1) Bios pwd 2) Windows pwd (+policy) 1) Bios pwd 2) Windows pwd (+policy) 3) eid (met PIN)? P(verlies) Laag Medium Hoog Sterkere security nodig voor mobile devices 110/126

194 Policy Mobiele Toestellen SZ Voorbeeld Mobiel toestel zonder gecentraliseerd beheer Mobiel toestel met gecentraliseerd beheer Mobiel toestel met gescheiden omgevingen (Isolatie / VDI) Publieke gegevens Site KSZ Interne bedrijfsgegevens Interne strategie, agenda, contacten, mail Te bepalen Vertrouwelijke bedrijfsgegevens Persoonsgegevens Sociale persoonsgegevens Medische gegevens Boekhoudplan, DRP Persoonlijk dossier HR gegevens RR Medische gegevens Te bepalen Te bepalen Bron: Gebruikerspolicy voor mobiele toestellen. Versie 3.0, 22 januari 2014, ISMS 111/126

195 ISZ B ISZ A Internet Extranet Sociale Zekerheid VPN 112/126

196 Beyond Social Security FedMAN Extranet SZ => Volwaardige dienst voor alle federale overheidsdiensten 113/126

197 Delen binnnen en tussen instellingen Overheidsdienst A Groep Alfa Overheidsdienst B Groep Gamma Overheidsdienst C Groep Beta 114/126

198 Conclusie In progress. Smals werkt aan uitbouw veilige FSS dienst om vertrouwelijke gegevens te delen binnen en tussen overheidsinstellingen Next step. Containerization binnen SZ voor verwerking persoonsgebonden gegevens op tablet Vraag. Kan de FSS dienst aangeboden worden buiten extranet SZ en FedMAN? 115/126

199 Afronding 116/126

200 Conclusies CSB kan security verhogen bij gebruik cloud diensten Buitenlandse overheden houden gevoelige data intern FSS: public cloud Vs. private cloud Ecosysteem (infr, connectie, end-point, data) Smals werkt aan FSS dienst 117/126

201 Herwin de controle! Community cloud Private cloud Cloud-anarchie CSB 118/126

202 De public cloud... Is niet transparant Verandert constant ongevraagd Kan oplossen & verdwijnen F E I T E N 119/126

203 Een eigen cloud is... Minder veilig dan de groten? Geïnfiltreerd door overheden? Duurder? Goedkoper? V R A G E N Meer samenwerking Meer schaalvoordelen! 120/126

204 Cryptografie evolueert En sommige data moet erg lang beschermd blijven... Vandaag OK morgen OK (rekenkracht, veronderstellingen) Door jou verwijderd effectief verwijderd Applicatie heeft vaak de data in clear-text nodig 121/126

205 Sociale Zekerheid Veiligheidspolicy s voor o.a. Mobiele toestellen Cloud computing services => Must read! <= 122/126

206 Risicoanalyse Wat is de aarde en gevoeligheid van de gegevens? Is afhankelijkheid van het buitenland tolereerbaar Wat is de impact bij compromitteren van de data Tot wanneer blijft de data gevoelig? Volstaan juridische garanties Welke zijn de contractuele voorwaarden? /126

207 Next steps Cloud Provider Overheidsdienst Security? Maturiteit? Match? Aard? Gevoeligheid? Data 124/126

208 Artikels De Stille machtsgreep van de Cloud Hoe het Britse Ministerie van Defensie omgaat met persoonsgegevens Hoe de G-Cloud (VK) omgaat met Gevoelige Gegevens Rapporten Cloud Strategieën bij Buitenlandse Overheden Quick Reviews FolderSync GoodReader In voorbereiding Open Source Review: owncloud 6 Infosessie Cloud Security Studie SaaS-Enablement (infosessie?) s m a l s Re s e a r c h. b e 125/126

209 126/126

210 Externe referenties NIST Special Publication The NIST Definition of Cloud Computing. NIST, Cloud Computing Guidance. ISACA. European Union Agency for Network and Information Security. ENISA, Cloud Security Alliance /126

211 App. A: Gebruikerspolicy voor mobiele toestellen SZ Categorie Publieke gegevens Interne Bedrijfsgegevens Beschrijving Als publieke gegevens worden alle gegevens beschouwd die openbaar zijn, algemene bekendheid hebben of vrij van vertrouwelijke inhoud zijn. Alle overige categorieën zijn bijgevolg Niet-publieke gegevens. De gevoeligheidsklasse van publieke gegevens is unclassified. Voorbeeld: voor het algemene publiek toegankelijke website. Interne bedrijfsgegevens zijn alle gegevens waarvan het gebruik beperkt moet worden intern in het bedrijf. Deze gegevens zijn niet bestemd voor publieke bekendmaking zonder voorafgaande goedkeuring door de directie. De gevoeligheidsklasse van deze gegevens is sensitive unclassified. Voorbeeld: Interne telefoonlijst. Vertrouwelijke Bedrijfsgegevens Vertrouwelijke bedrijfsgegevens zijn alle gegevens die te maken hebben met de werking van de instelling het overheidsbedrijf - en die binnen de context van de instelling - en mogelijk ook specifieke partners - een vertrouwelijk karakter hebben. Deze gegevens zijn niet bestemd voor mededeling zonder voorafgaande goedkeuring door de directie. De gevoeligheidsklasse van deze gegevens is classified. Voorbeelden: Verslag van het directiecomité; boordtabellen. Persoonsgegevens Gegevens die betrekking hebben op een natuurlijke persoon die is of kan worden geïdentificeerd. Alle persoonsgegevens hebben een vertrouwelijk karakter en zijn gebonden aan de richtlijnen uit de privacywet. De gevoeligheidsklasse van deze gegevens is classified. Sociale persoonsgegevens Sociale gegevens van persoonlijke aard zijn alle persoonsgegevens die nodig zijn voor de toepassing van de sociale zekerheid met betrekking tot een natuurlijke persoon. Sociale gegevens die geen persoonsgegevens zijn dienen minstens als vertrouwelijke bedrijfsgegevens te worden behandeld. De gevoeligheidsklasse van deze Medische persoonsgegevens Privé gegevens gegevens is classified. Sociale gegevens van persoonlijke aard die de gezondheid betreffen zijn alle sociale persoonsgegevens waaruit informatie kan afgeleid worden over de vroegere, huidige of toekomstige gezondheidstoestand, uitgezonderd louter administratieve of boekhoudkundige gegevens over geneeskundige behandelingen of verzorgingen. De behandeling, uitwisseling en bewaring van deze gegevens moet gebeuren onder toezicht en verantwoordelijkheid van een geneesheer. De gevoeligheidsklasse van deze gegevens is secret. Deze speciale categorie betreft privé gegevens die door werknemers opgeslagen kunnen worden op het bedrijfsnetwerk, doch geen enkele binding hebben met zijn professionele activiteiten. Persoonlijke gegevens worden behandeld volgens de regels van de privacywet en het interne reglement van de instelling. Voorbeeld: brief voor privé doeleinden. [1] Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. [2] Wet van 15 januari 1990 houdende oprichting van een Kruispuntbank van de sociale zekerheid, art.2, 6 [3] Wet van 15 januari 1990 houdende oprichting van een Kruispuntbank van de sociale zekerheid, art.2, 7 [4] Wet van 15 januari 1990 houdende oprichting van een Kruispuntbank van de sociale zekerheid, art.26, 1 128/126