Informatiebeveiliging

Bekijk de video met uitleg

Leerdoelen
 
Theorie

Het is van groot belang dat de informatie die we beheren goed beveiligd is. Wat je niet wilt is dat onbevoegden bij vertrouwelijke informatie kunnen komen, deze lezen of zelfs verspreiden. Denk maar eens aan je account bij het internetbankieren. Het is niet leuk als iemand op jouw rekening inlogt en je geld gaat opmaken.

We gaan in dit onderdeel eens bekijken wat er nodig is om informatie goed te beveiligen. Hiervoor zijn drie kernbegrippen belangrijk:

- Vertrouwelijkheid

- Integriteit

- Beschikbaarheid.

We leggen ze hieronder alle drie uit.

Vertrouwelijkheid wil zeggen dat alleen die personen toegang hebben tot de informatie die dat ook mogen. Denk aan het Electronisch Patienten Dossier (EPD). Wie zouden volgens jou alleen toegang moeten hebben tot de informatie die in jou EPD staat?

Integriteit wil zeggen dat de informatie ook echt klopt. De informatie moet juist zijn en volledig. Stel je maar eens voor wat er zou gebeuren als een arts informatie over de gezondheidsrisico's aan een reiziger naar West-Afrika zou verstrekken die een paar jaar oud is of waaruit een bladzijde ontbreekt. Zou jij gaan?

Beschikbaarheid wil zeggen dat de informatie op het juiste moment beschikbaar is. Als de directeur van een onderneming wil weten welke klanten de rekeningen nog moeten betalen, moet hij dat direct uit zijn boekhoudsysteem kunnen halen. Maar het mag dan weer niet zo zijn dat die informatie zou openbaar toegankelijk is dat de concurrent (of een hacker) er ook bij kan.

 

Toegang tot de informatie in drie stappen.

Als student van Noorderpoort heb je al lang ontdekt dat je pas kunt inloggen op het wifi-netwerk, in de ELO en je noorderpoortmail nadat je een paar keer je inloggegevens hebt moeten invullen. En dat je in de ELO wel de bestanden van de docent kunt lezen (en downloaden), maar dat je ze niet kunt veranderen of verwijderen. En als het goed is weet je ook dat jij wel de berichten op jouw noorderpoort-studentmail kunt lezen, maar dat een medestudent daar niet bij kan. En als je wel eens opdrachten inlevert in een inlevermap in de ELO, zie je elke keer dat de docent alle ingeleverde werkstukken kan zien en jij alleen je eigen werkstuk.

Dit proces bestaat eigenlijk uit drie stappen: identificatie, authenticitatie en autorisatie.

Identificatie komt van identificeren: je maakt bekend wie je bent. Als jij bij de grens van een land je paspoort laat zien, staat daar in wie je bent, met foto en al. Op een laptop of een internetsite heb je een inlogscherm, waar je een gebruikersnaam kunt invoeren.

Authenticatie komt van authentiek: je bent ook echt wie je zegt te zijn. Bij een paspoort is dat zeker, want dat is uitgebreid gecontroleerd op het gemeentehuis, toen je het paspoort aanvroeg. En de pasfoto maakt het voor de douane gemakkelijk om te kijken of je het ook echt bent. Bij het inloggen op een internetpagina kan het best zijn dat iemand ergens je gebruikersnaam heeft gevonden. Maar als diegene niet het wachtwoord weet is toegang toch onmogelijk.

Autorisatie. We weten nu dat je het echt zelf bent. Maar nu is het de vraag wat je eigenlijk mag. Een douanier kan aan je paspoort zien of je zijn land eigenlijk wel in mag. Soms is er nog wat extra's nodig: een visum. En zo kan het dat in onze Electronische Leer Omgeving ELO de docent wel alle werkstukken in de inlevermap ziet en jij alleen je eigen en zelfs niet dat van een medestudent. Een docent heeft gewoon meer rechten gekregen van de beheerder. En studenten krijgen leesrechten in de mapen of studiewijzers met leermateriaal en schrijfrechten in een inlevermap.
In bedrijven zie je iets soortgelijks. Een manager mag wel alle voortgangsgesprekken met medewerkers zien, maar een medewerker natuurlijk alleen maar zijn eigen.
Je koppelt rechten dus aan functies en de funties hang je weer aan personen.