NCSC-richtlijn voor datalekpreventie

Met de digitalisering van de werkvloer verplaatsen gevoelige gegevens—zoals persoonsgegevens en intellectueel eigendom—zich continu tussen interne netwerken, SaaS-applicaties en publieke clouddiensten. Vaak ontstaan datalekken niet door kwaadwillendheid, maar door alledaagse handelingen van medewerkers die zich niet bewust zijn van de risico’s. Voor Chief Information Security Officers (CISO’s) is het beheersen van deze datastromen een groeiende uitdaging.

De spagaat van de tooling: Voorkom versnippering

Softwareleveranciers bieden DLP-oplossingen aan in verschillende varianten, zoals Endpoint, Cloud-Native en Network DLP. Het NCSC waarschuwt voor de valkuil om voor elke specifieke techniek een aparte 'best-of-breed'-leverancier te selecteren. Dit leidt tot een versnipperd securitylandschap met een hoge beheerlast.

Cijfers van marktonderzoeker Gartner onderstrepen dit: elk extra DLP-beheerportaal zorgt voor 40 tot 80 procent méér beheerinspanning ten opzichte van het eerste portaal. Het advies is om te kiezen voor maximaal één of twee leveranciers. Hoewel organisaties daarmee soms genoegen moeten nemen met 'voldoende' in plaats van 'perfecte' controle op bepaalde subgebieden, wegen de integratievoordelen en de lagere beheerlast hier ruimschoots tegenop. Wel moeten organisaties het risico op een vendor lock-in meewegen in hun selectie.

Gefaseerde implementatie en de 'nulmeting'

Een organisatiebrede, directe uitrol van DLP-maatregelen is volgens het NCSC vragen om problemen. De kans is groot dat legitieme bedrijfsprocessen per ongeluk worden geblokkeerd, wat leidt tot frustratie op de werkvloer en een enorme initiële werkdruk voor IT-beheerders.

De autoriteit adviseert een gefaseerde aanpak:

Begin klein: Kies één specifieke, risicovolle maar beheersbare datastroom.

Voer een nulmeting uit: Monitor het dataverkeer eerst passief om te begrijpen wat 'normaal' gedrag is. Wat voor het ene team (zoals HR) legitiem is, kan voor een ander team (zoals productie) immers afwijkend zijn.

Stel een use case op: Beschrijf hierin nauwkeurig het doel van de datastroom, wat acceptabel en ongewenst gedrag is, de juridische grenzen en de drempelwaarden voor detectie.

Privacy en de businesscontext

DLP is geen synoniem voor het bespioneren van medewerkers; het draait puur om het signaleren van ongewenste datastromen. Desondanks raakt de implementatie direct aan privacy- en juridische vraagstukken, met name wanneer medewerkers hun zakelijke apparaten ook privé gebruiken. Het is vanuit bedrijfsperspectief nagenoeg onmogelijk om DLP-uitzonderingen te maken voor privéverkeer op een zakelijk device. Medewerkers moeten er daarom expliciet van op de hoogte zijn dat ook privégegevens geïnspecteerd en eventueel geblokkeerd kunnen worden.

Het NCSC benadrukt dat een succesvol DLP-beleid valt of staat met de betrokkenheid van de juiste rollen. Naast de CISO en de technische beheerders moeten ook de privacy officer, enterprise-architecten en de business-proceseigenaren aan tafel zitten. De business moet immers de context aanleveren over welke data nu écht kritiek is en welke drempelwaarden hanteerbaar zijn. Om overtredingen juridisch te kunnen opvolgen, verdient het aanbeveling om de concrete datamaatregelen en documentclassificaties expliciet op te nemen in de IT-gedragscode, de geheimhoudingsverklaring of de ambtseed.

Operationalisering in het SOC

Zodra de technische detectieregels live gaan, genereert het systeem meldingen. Het NCSC adviseert om de afhandeling hiervan te beleggen bij het Security Operations Center (SOC), mits er duidelijke draaiboeken klaarliggen. Voor elke use case moet vooraf vaststaan wie de eigenaar is van het proces, hoe de prioriteit wordt bepaald, en hoe er wordt omgegaan met false positives (onterechte meldingen) en false negatives (ongeziene datalekken).

Voordat een block-modus definitief wordt geactiveerd, moet het afhandelingsproces uitgebreid worden getest met dummydata of historische logboeken om verstoring van de bedrijfsvoering te voorkomen. Omdat werkwijzen en datastromen continu veranderen, is DLP nooit 'af' en moeten de detectieregels en processen periodiek worden geëvalueerd en bijgestuurd.

Het kennisartikel van het NCSC is opgesteld in samenwerking met Alpina Group, KPN, Microsoft en NN Group.