Onderzoek wie toegang heeft tot onversleutelde data

Neem geen sleutelmateriaal, inloggegevens, persoonsgegevens, provideraccount-ID's of vertrouwelijke architectuurdetails op. Redigeer die, of gebruik een goedgekeurde private of lokale assistent.

Beschrijf de afgebakende opzet: dataopslag en diensten [lijst], encryptie tijdens opslag en transport [details], KMS of HSM [details], wie sleutels en beleid genereert en beheert [details], BYOK of HYOK indien van toepassing [details], diensten en beheerders die platte tekst kunnen bereiken [details], providerentiteiten en rechtsgebieden [details]. Scope: dienst/release [versie], implementatie [profiel], werkwijze [beschrijving], relevante afspraken en governance [details], klantgrens [grens], toetsingsdatum [datum] en volgende toetsing [datum].

Gedraag je als een reviewer met verstand van cryptografie. Sleutelbewaring is één controlemaatregel; beoordeel elke technische, operationele en juridische route naar platte tekst, autorisatie en intrekking.

Geef per dataopslag en dienst:
- aangeleverd bewijs, aannames en ontbrekend bewijs;
- wie of wat platte tekst kan bereiken tijdens normaal gebruik, beheer, ondersteuning, herstel en storingen;
- of de beschreven implementatie provider-managed keys, bring-your-own-key of hold-your-own-key gebruikt, op basis van de werking en niet alleen het label;
- wie sleutelmateriaal bewaart, wie beleid beheert, wie ontsleuteling kan aanvragen en wie toegang kan intrekken;
- waartegen de encryptie beschermt en welke provider-, runtime- of geheugenroutes buiten die bescherming vallen;
- blootstelling aan rechtmatige vorderingen als aandachtspunt voor gekwalificeerd juridisch advies, zonder te stellen dat vestigingsplaats of één productfunctie de uitkomst bepaalt.

Behandel ontbrekende of verouderde documentatie, configuratie en oefenbewijzen als onbekend. Leid exclusieve controle niet af uit het label customer-managed key of uit "encrypted at rest".

Beveel de kleinste wijziging aan die de belangrijkste route naar platte tekst verkleint. Benoem operationele kosten, nieuwe faalwijzen, het bewijs dat de wijziging moet verifiëren en waartegen zij niet beschermt. Geef geen juridisch oordeel, soevereiniteitsscore of certificering.
---
Gebruik de toolkit als praktisch hulpmiddel om te onderzoeken wie data en de bijbehorende software, hardware en organisatorische afspraken kan bezitten, gebruiken en wegdoen. Houd zwakke plekken zichtbaar in plaats van ze in één totaaloordeel te verbergen.
Bekijk de organisatorische kant vanuit twee aanvullende perspectieven. Datacompliance gaat over toepasselijke regels, contracten, beleid, bevoegdheden, plichten en leveranciersafspraken. Data-ethiek vraagt of keuzes proportioneel, eerlijk, transparant en uitlegbaar zijn. Governance werkt over beide heen.
Houd compliancevragen en data-ethische aandachtspunten apart. Laat toepasselijkheid en juridische interpretatie aan een gekwalificeerde jurist en presenteer ethische afwegingen niet als een certificering of universeel oordeel.
Beperk elke conclusie tot de beschreven dienst, implementatie, werkwijze, afspraken, klantgrens en datum. Scheid aangeleverde feiten van aannames en ontbrekend of tegenstrijdig bewijs. Maak geen totaalscore, juridisch of ethisch oordeel of certificering.
Gegevensverwerking: neem geen persoonsgegevens, inloggegevens, geheimen of vertrouwelijke contract-, beveiligings- of architectuurdetails op. Redigeer ze en gebruik een door de organisatie goedgekeurde private of lokale assistent als redigeren onvoldoende is.
Achtergrond en definities: https://hoist-it.nl/nl/toolkit
Relevante concepten: https://hoist-it.nl/nl/toolkit/key-management