Hoewel technologieën als PGP al meer dan 25 jaar op de markt zijn, worden ze helaas niet veel gebruikt, omdat certificaten en sleutels een voorwaarde zijn voor het gebruik ervan. Dit vereist op zijn beurt een passende infrastructuur of op zijn minst technische knowhow. Je kunt er dus niet per se van uitgaan dat al je communicatiepartners ook op basis van PGP of S/MIME kunnen communiceren.

Methodes voor end-to-end-e-mailversleuteling bestaan al vele jaren, maar worden nog steeds slechts in beperkte mate gebruikt. Dit werd pas onlangs opnieuw aangetoond in een representatieve enquête uitgevoerd door Convios Consulting in opdracht van Web.de en gratis e-maildienst GMX. Hoewel driekwart van de respondenten e-mailversleuteling belangrijk vindt, maakt slechts 16% er daadwerkelijk gebruik van. En ook in bedrijven is de situatie niet veel beter. In het onderzoek "Security Bilanz Deutschland" van Techconsult geeft 63 procent van de respondenten aan dat de implementatie van versleutelde communicatiekanalen "niet goed" is.

Met de invoering van AVG/GDPR nemen bedrijven grote risico's als zij e-mailbeveiliging negeren. Als je nog geen versleuteling gebruikt, moet je dit zo snel mogelijk doen. Deze tien tips helpen u bij het vinden van de juiste e-mailversleutelingsoplossing.

Het gebruik van standaarden

Wellicht een open deur, maar het gebruik van een breed gedragen standaard zorgt ervoor dat je de grootst mogelijke compatibiliteit met de communicatiesystemen van je klanten en zakenpartners hebt. Versleutelingsstandaarden zijn ook geïntegreerd in veel e-mailcommunicatieoplossingen.

Er zijn twee groepen standaarden voor e-mailversleuteling. De eerste is versleuteling met behulp van Transport Layer Security (TLS) of zijn voorganger Secure Socket Layer (SSL). De verzender en de ontvanger zetten een versleutelde tunnel op voor e-mailcommunicatie.

De gegevens worden echter zowel bij de verzender als bij de ontvanger - en indien nodig ook bij de tussenliggende knooppunten - niet versleuteld. Om hier extra veiligheid te creëren, moet de inhoud ook versleuteld worden. Hiervoor moeten twee protocollen worden genoemd: S/MIME (Secure / Multipurpose Internet Mail Extensions) en OpenPGP (Pretty Good Privacy).

Een andere mogelijkheid voor contentcodering is Microsoft Rights Management Services (RMS). Hoewel ze geen standaard zijn, worden ze door sommige bedrijven gebruikt om e-mails te versleutelen. RMS is beschikbaar in twee versies: als Active Directory RMS (AD RMS) voor gebruik op locatie en als Azure RMS in combinatie met de Microsoft cloud.

Niet alle overgedragen informatie wordt tijdens de contentcodering echter onleesbaar gemaakt. De metadata zoals afzender, ontvanger en onderwerp wordt onversleuteld verzonden, wat een veiligheidsrisico kan zijn. De combinatie van transport en versleuteling is daarom de beste veiligheidsmaatregel.

Alternatieve versleutelingsmethoden aanbieden

Hoewel technologieën als PGP al meer dan 25 jaar op de markt zijn, worden ze helaas niet veel gebruikt, waarschijnlijk omdat certificaten en sleutels een voorwaarde zijn voor het gebruik ervan. Dit vereist op zijn beurt een passende infrastructuur of op zijn minst technische knowhow. Je kan er niet per se van uitgaan dat al je communicatiepartners ook op basis van PGP of S/MIME kunnen communiceren. Daarom moet je ze alternatieven bieden. In principe zijn er twee manieren om dit te doen:

Bij pull-procedures logt de ontvanger in op het systeem van de verzender en ontvangt hij de berichten nadat hij zich heeft geauthenticeerd. Typische voorbeelden zijn beveiligde webmailportals. Bij de push-methode wordt de e-mail echter geconverteerd, versleuteld en als bijlage naar de ontvanger verzonden. Formaten zoals Zip, PDF of HTML zijn hiervoor bijzonder geschikt.

Ook de interne communicatie beveiligen

De eerde genoemde methodes zijn vooral bedoeld voor communicatie met externe partners. Je moet echter ook vertrouwen op maximale veiligheid in de interne communicatie. In het geval van persoonsgegevens zal het AVG/GDPR je in de toekomst zelfs verplichten om deze versleuteld over het hele transporttraject te verzenden.

Daarom moet de gebruikte oplossing ook de versleuteling van e-mailberichten binnen je bedrijf ondersteunen - idealiter met behulp van standaarden die al bestaan in de e-mailclient. Dit zorgt ervoor dat er minder plug-ins en andere tools geïnstalleerd hoeven te worden.

Gecentraliseerde gegevensstroom- en contentcontrole inschakelen

De end-to-end encryptie van e-mailcommunicatie vormt een uitdaging: beveiligingssystemen zoals virusscanners, antispamsoftware of DLP-oplossingen (Data Leakage Protection) kunnen de inhoud van berichten niet meer analyseren en dus niet meer correct werken. Gebruik daarom een oplossing die interfaces biedt voor deze centrale datastroom- en contentcontrolesystemen of die zelfs kwaadaardige code uit versleutelde e-mails kan filteren.

Het hoogste niveau van geheimhouding te waarborgen

Hoewel het opsporen van malware, spam en andere schadelijke of ongewenste inhoud belangrijk en wenselijk is, moet je toch gaan voor oplossingen die het hoogste niveau van geheimhouding garanderen en waarbij alleen afzenders en ontvangers op de hoogte zijn van de inhoud van een e-mail. Dit is het geval bij end-to-end encryptie, waar centrale datastromen en contentcontrole niet mogelijk is.

Denk ook aan minder voor de hand liggende gevallen van e-mailcommunicatie

Ook applicaties maken gebruik van e-mailcommunicatie. Dit kunnen ook gevoelige gegevens zijn die moeten worden beschermd, bijvoorbeeld wanneer salarisstroken, leveringsbonnen of facturen automatisch worden verzonden. Gebruik daarom een oplossing die ook de versleuteling van deze (e-mail)communicatie ondersteunt, aangezien de meeste applicaties daar zelf niet voor zijn ontworpen.

Een ander aandachtspunt is e-mailarchivering. Als berichten versleuteld worden opgeslagen, zijn ze zeer moeilijk te vinden, omdat informatie alleen via metadata kan worden geëxtraheerd en niet via inhoud. Een versleutelingsoplossing moet daarom ook interfaces bieden voor archiverings- en journalingssystemen.

Vergeet niet de (grote) bijlagen

E-mail wordt vaak gebruikt als een medium voor het verzenden van bestanden, ook al was e-mail daar oorspronkelijk niet voor bedoeld. Dat kan voor grote problemen zorgen, met name bij grote bijlagen, bijvoorbeeld als het systeem van de ontvanger de bijlage niet accepteert.

Kies voor een versleutelingsoplossing die ook het verzenden van e-mails met grote bijlagen ondersteunt zonder mailservers te overbelasten. Bij dergelijke oplossingen worden de bijlagen niet fysiek getransporteerd via de mailserver, maar via systemen die hiervoor zijn ontworpen.

Vergeet mobiele apparaten niet

Natuurlijk moet beveiligde e-mailcommunicatie ook met alle mobiele apparaten werken. De gekozen versleutelingsoplossing moet de methoden ondersteunen die al beschikbaar zijn in de native mail clients van de mobiele apparaten of de mailclients van de Mobile Device Management (MDM)-systemen.

Onafhankelijk blijven

Om toekomstbestendig en flexibel te blijven, moet je vertrouwen op een systeem dat kan draaien op verschillende besturingssystemen en platformen. De oplossing moet je ook in staat stellen om te kiezen of het systeem intern, vanuit de cloud of in een hybride omgeving gedraaid moet worden. Natuurlijk moeten ook alle huidige e-mail clients en servers op alle platformen ondersteund worden.

Gebruiksvriendelijkheid

Elk project staat of valt met gebruiksvriendelijkheid. Als je een versleutelingsoplossing gebruikt die moeilijk te gebruiken is, zullen gebruikers deze niet accepteren. De gebruikte oplossing mag de gebruiker daarom niet hinderen of beperken in zijn dagelijkse werkzaamheden.