Technische richtlijnen dataopslag en encryptie

Binnen Infraplannen staat data-integriteit en -beveiliging centraal. Om te garanderen dat opgeslagen gegevens correct, volledig en beschermd blijven, passen we een combinatie van auditing, hashing-technieken en redundantie toe binnen Azure Storage.

Elke wijziging of toegang tot gegevens wordt gelogd en bewaakt via Azure Monitor en Defender for Cloud. MD5-hashing zorgt ervoor dat bestanden tijdens transport en opslag niet corrupt raken, terwijl immutability policies voorkomen dat kritieke gegevens onbedoeld worden gewijzigd. Daarnaast waarborgen consistente opslagmechanismen de beschikbaarheid en betrouwbaarheid van data, zelfs bij storingen.

FAQ

1. Hoe wordt data versleuteld binnen Infraplannen?

Alle gevoelige data wordt versleuteld met Azure Managed Keys (CMK). Cosmos DB gebruikt Always Encrypted.

2. Welke encryptiestandaarden worden gebruikt?

Voor encryptie worden AES-256 en TLS 1.2/1.3 toegepast.

3. Waar worden de gegevens opgeslagen?

Alle data wordt opgeslagen binnen Microsoft Azure in datacenters binnen de Europese Economische Ruimte (EER), Azure Region Western Europe

4. Is er sprake van dataminimalisatie?

Ja, Infraplannen past dataminimalisatie toe: alleen strikt noodzakelijke gegevens worden verwerkt.

5. Hoe wordt de integriteit van de data gewaarborgd?

De integriteit van data wordt bewaakt door logging, auditing en hashing-technieken. Toegang en wijzigingen worden binnen wettelijke kaders gelogd en voorzien van metadata.

6. Hoe wordt toegang tot data gereguleerd?

Toegang tot data is beperkt via Entra ID (Azure AD) en het Least Privilege-principe. Alleen geautoriseerde gebruikers en applicaties kunnen data benaderen via private endpoints en beveiligde API’s.

7. Hoe worden gegevens beveiligd tijdens transport?

Alle gegevensuitwisselingen vinden plaats via versleutelde verbindingen (TLS 1.2/1.3).

8. Hoe wordt omgegaan met bewaartermijnen en dataretentie?

Data wordt beheerd conform de AVG en interne bewaar- en vernietigingsrichtlijnen. De applicatie biedt geautomatiseerde functies voor selectieve verwijdering en archivering.

9. Is er een exit-strategie voor data-export?

Ja, gebruikers kunnen via gestandaardiseerde API’s opgeslagen data exporteren, zodat een soepel exit-scenario mogelijk is.

Toelichting op de maatregelen

1. Encryptie van opgeslagen data (Data at Rest)

• Alle gevoelige data wordt versleuteld met Azure Managed Keys (CMK).

• Cosmos DB gebruikt Always Encrypted om directe toegang tot gevoelige velden te beperken.

• Azure Storage gebruikt AES-256 encryptie voor data in rust.

• Immutable Storage wordt toegepast voor bepaalde datasets, zodat historische versies behouden blijven en versiebeheer mogelijk is.

• Soft delete voor interactieve verwijdering. Hard delete conform richtlijnen en geautomatiseerd.

2. Encryptie tijdens transport (Data in Transit)

• Alle communicatie verloopt via TLS 1.3, eventueel via TLS 1.2.

• API’s en externe koppelingen gebruiken HTTPS (poort 443) met minimaal TLS 1.2 conform NCSC-richtlijnen.

• Event-driven messaging (AMQP) gebruikt versleuteling op protocolniveau. AES-256 bit encryptie voor data at rest en TLS 1.2/TLS 1.3 voor data in transit.

3. Toegangsbeheer tot data

• Toegang tot data wordt beperkt via Entra ID (Azure AD) en Managed Identities.

• Private Endpoints worden gebruikt voor opslagservices zoals Cosmos DB, Blob Storage en Event Hub.

• Toegang is gebaseerd op het Least Privilege-principe met Role-Based Access Control (RBAC) op functioneel niveaui en ABAC op data niveau..

• Geen directe databasequery’s buiten de geconfigureerde API’s en services.

4. Logging en monitoring van data-access

• Alle data-opvragingen en wijzigingen worden gelogd via Azure Monitor en Defender for Cloud.

• Access logs bevatten metadata zoals gebruiker, tijdstip en IP-adres.

• Data-integriteit wordt bewaakt via auditing en hashing-technieken.

5. Data-exchange en API-beveiliging

• Data-uitwisseling verloopt via REST API’s die OAuth 2.0 authenticatie gebruiken.

• API’s retourneren alleen minimaal benodigde data (dataminimalisatie).

• Informatietransport via Event Hub of Service Bus is beveiligd met Managed Identities en SAS-tokens.

• Externe koppelingen volgen standaarden van FFM/BAS, Energiedatawijzer, OGC en Forum Standaardisatie.

6. Bewaartermijnen en dataretentie

• Data wordt conform AVG opgeslagen en (geautomatiseerd verwijderd).

• Automatische retentie en opschoning worden toegepast via bewaarregels in Azure Storage en databases.

• Exit-strategie: Data-export via gestandaardiseerde API’s of back-up restoreprocedures.

Deze richtlijnen zorgen voor een veilige, conforme en efficiënte verwerking van data binnen Infraplannen. Wil je nog aanvullende details opnemen?