De vraag
Bij het ontwerp van de observability-stack kwam de vraag: moeten logs, metrics en traces versleuteld worden opgeslagen, of is dat overbodig nu persoonsgegevens al gemaskeerd worden? Het antwoord bepaalt het ontwerp voor productie en komt terug bij elke security-audit.
Aanpak
- Scope afgebakend: de acceptatieomgeving en alleen de eigen observability-stack. Diensten van de hostingpartij vallen onder een verwerkersovereenkomst en staan als aparte route beschreven.
- Per datastroom in kaart gebracht: bron, route, opslag, bewaartermijn, wie erbij kan, en welke maskering er is.
- Getoetst aan de AVG (pseudonimisering is geen anonimisering) en aan de normen voor informatiebeveiliging die voor de organisatie gelden.
De kern: gemaskeerd is niet anoniem
Maskering haalt bekende patronen weg: e-mailadressen, identificerende nummers, zoektermen. Maar een logregel met een tijdstip, een gebruikers-ID en een actie blijft herleidbaar tot een persoon, zeker in combinatie met andere bronnen. Geen enkele logstroom bleek aantoonbaar anoniem.
Daarmee is de conclusie: encryptie is risicogebaseerd noodzakelijk. Het is geen vinkje, maar een maatregel in verhouding tot het risico van de gegevensklasse.
Wat het assessment opleverde
- Een verbeterplan met onder meer: authenticatie en netwerkbeleid op interne API's van de observability-stack, sleutelbeheer en rotatie, versleuteling van objectopslag, en onveranderbaarheid (Object Lock) voor security- en auditlogs.
- Een technische uitzoekvraag: niet elke S3-implementatie ondersteunt dezelfde vorm van server-side encryptie. Als de opslag alleen klantsleutels per request (SSE-C) kent en de applicatie alleen SSE-S3 of KMS, past dat niet op elkaar. Dan zijn encryptie op volumeniveau of client-side encryptie de alternatieven.
- De locatie van de data expliciet vastgelegd, inclusief het datacenter van de objectopslag.
- Besluitpunten voor de productie-inrichting, met per punt een advies en wie beslist.
Waarom dit werk ertoe doet
Een assessment als dit voorkomt twee dingen: encryptie overal "omdat het moet" zonder te weten wat het beschermt, en encryptie nergens omdat "de data toch gemaskeerd is". Het geeft security, beheer en management één document om op te besluiten.