Hoe OneDrive jouw gegevens in de cloud beschermt

In dit artikel kijken we naar de verschillende manieren waarop OneDrive je gegevens beschermt en beveiligd. Maar allereerst is het belangrijk om te weten dat jij zelf jouw gegevens beheert. Wanneer jij je gegevens in OneDrive plaatst, blijf je dus zelf de eigenaar van de gegevens. Dit betekent ook dat je zelf mede verantwoordelijk bent voor het beschermen van je data. Laat je je laptop openstaan in een trein, dan kan de beste beveiliging ter wereld niet voorkomen dat kwaadwillenden in je gegevens kunnen kijken. Dus voordat we bekijken hoe OneDrive er voor zorgt dat je data veilig wordt bewaard eerst een aantal tips hoe je zelf kunt bijdragen aan het beschermen van je gegevens.

Hoe je jouw gegevens kunt beschermen

Hier volgen enkele dingen die je kunt doen om jouw bestanden te beschermen in OneDrive:

• Maak een sterk wachtwoord.
• Voeg beveiligingsgegevens toe aan jouw Microsoft-account. Je kunt bijvoorbeeld jouw telefoonnummer, een ander e-mailadres en een beveiligingsvraag en -antwoord toevoegen. Stel dat je ooit jouw wachtwoord vergeet of dat jouw account wordt gehackt, dan kan OneDrive jouw beveiligingsgegevens gebruiken om je identiteit te controleren en je helpen weer toegang te krijgen tot jouw account.
• Gebruik tweevoudige verificatie (MFA). Je kunt jouw account beveiligen door te vereisen dat er een extra beveiligingscode wordt ingevoerd wanneer je je aanmeldt op een apparaat dat niet wordt vertrouwd. De tweede verificatie kan worden gedaan via een telefoontje, sms of app.
• Schakel versleuteling in op jouw mobiele apparaten. Als je de mobiele app voor OneDrive hebt, raden we je aan om versleuteling in te schakelen op jouw iOS-of Android-apparaten. Dit helpt bij het beveiligen van jouw OneDrive-bestanden als jouw mobiele apparaat gaat verloren, gestolen of iemand er toegang toe krijgt.
• Abonneer je op Microsoft 365. Met een abonnement voor Microsoft 365 biedt je geavanceerde bescherming tegen virussen en Cyber-criminaliteit en manieren om jouw bestanden te herstellen van kwaadaardige aanvallen.

Hoe OneDrive jouw gegevens beveiligt

Microsoft-technici beheren OneDrive met een Windows PowerShell-console waarvoor tweestaps verificatie (multifactor authentication) is vereist. Ze maken gebruik van werkstromen, zodat ze snel kunnen reageren op nieuwe situaties. Geen ingenieur heeft permanent toegang tot de service. Wanneer technici toegang nodig hebben, moet ze dit aanvragen. Indien de toegang van de ingenieur is goedgekeurd, is dit slechts voor een beperkte tijd. Bovendien investeren OneDrive en Office 365 sterk in systemen, processen en personeel om de kans op inbreuken op persoonsgegevens te verkleinen en om de gevolgen van een inbreuk snel te detecteren en te beperken als deze zich toch voordoet. Hieronder een aantal van de investeringen die Microsoft heeft gedaan op dit vlak: Toegangsbeheer systemen: OneDrive en Office 365 hanteren een “zero-standing access”-beleid, wat betekent dat technici geen toegang hebben tot de service, tenzij deze expliciet wordt verleend als reactie op een specifiek incident waarvoor toegangsverhoging vereist is. Elke keer wanneer toegang wordt verleend, gebeurt dit volgens het principe van de minste rechten: toestemming die wordt verleend voor een specifiek verzoek, staat slechts een minimale reeks acties toe die nodig zijn om aan dat verzoek te voldoen. Om dit te doen, handhaven OneDrive en Office 365 een strikte scheiding tussen “hoogterollen”, waarbij elke rol alleen bepaalde vooraf gedefinieerde acties toestaat. De rol ‘Toegang tot klantgegevens’ onderscheidt zich van andere rollen die vaker worden gebruikt om de service te beheren en wordt vóór goedkeuring het zwaarst onderzocht. Bij deze investeringen in toegangsbeheer wordt de kans kleiner dat een ingenieur in OneDrive of Office 365 ongepaste toegang heeft tot klantgegevens. Beveiligingsbewakingssystemen en automatisering:OneDrive en Office 365 onderhouden robuuste, realtime beveiligingsbewakingssystemen. Deze systemen geven onder meer waarschuwingen voor pogingen om ongeoorloofd toegang te krijgen tot klantgegevens of voor pogingen om gegevens illegaal buiten hun service over te dragen. Met betrekking tot de hierboven genoemde punten over toegangscontrole, houden de beveiligingsbewakingssystemen gedetailleerde records bij van verzoeken die zijn gedaan en de acties die zijn ondernomen voor een bepaald verzoek. OneDrive en Office 365 onderhouden ook automatische resolutie-investeringen die automatisch handelen om bedreigingen te beperken als reactie op problemen die ze detecteren en toegewijde teams om te reageren op waarschuwingen die niet automatisch kunnen worden opgelost. Om de beveiligingsbewakingssystemen te valideren, voeren OneDrive en Office 365 regelmatig red-team-oefeningen uit, waarbij een intern penetratietestteam het gedrag van aanvallers tegen de live-omgeving simuleert. Deze oefeningen leiden tot regelmatige verbeteringen van de beveiligingsmonitoring en reactiemogelijkheden. Personeel en processen: Naast de hierboven beschreven automatisering, onderhouden OneDrive en Office 365 processen en teams die verantwoordelijk zijn voor zowel het opleiden van de bredere organisatie over privacy- en incidentbeheerprocessen als voor het uitvoeren van die processen tijdens een inbreuk. Er wordt bijvoorbeeld een gedetailleerde standaard operationele procedure (SOP) voor schending van de privacy gehandhaafd en gedeeld met teams in de hele organisatie. Deze SOP beschrijft in detail de rollen en verantwoordelijkheden van zowel individuele teams binnen OneDrive en Office 365 als gecentraliseerde teams voor beveiligingsincidenten. Deze omvatten zowel wat teams moeten doen om hun eigen beveiligingshouding te verbeteren (beveiligingsbeoordelingen uitvoeren, integreren met centrale beveiligingsbewakingssystemen en andere best practices) als wat teams zouden moeten doen in het geval van een daadwerkelijke inbreuk (snelle escalatie naar reactie op incidenten, specifieke gegevensbronnen bijhouden en verstrekken die zullen worden gebruikt om het responsproces te versnellen). Teams worden ook regelmatig getraind op het gebied van gegevensclassificatie en correcte procedures voor het behandelen en opslaan van persoonsgegevens. Het belangrijkste aspect is dat OneDrive en Office 365, voor zowel consumenten- als zakelijke abonnementen, sterk investeren in het verkleinen van de kans op en de gevolgen van inbreuk op persoonsgegevens voor hun klanten. Als er toch een inbreuk op persoonsgegevens plaatsvindt, doet Microsoft er alles aan om hun klanten snel op de hoogte te stellen, zodra die inbreuk is bevestigd.

Beveiligd in transit en in rust

Beveiligd in transit

Wanneer gegevens vanuit klanten naar datacenters worden overgebracht, worden deze beschermd met behulp van TLS-codering (Transport Layer Security). Dezee staat alleen beveiligde toegang toe. Ze staan geen geverifieerde verbindingen via HTTP toe, maar verwijzen in plaats daarvan naar HTTPS.

In rust beschermd

Fysieke bescherming: Slechts een beperkt aantal essentieel personeel kan toegang krijgen tot datacenters. Hun identiteit wordt geverifieerd met meerdere authenticatiefactoren, waaronder smartcards en biometrie. Er zijn beveiligingsmedewerkers, bewegingssensoren en videobewaking op locatie. Inbraakdetectiewaarschuwingen bewaken abnormale activiteit. Netwerkbeveiliging: De netwerken en identiteiten zijn geïsoleerd van het Microsoft-bedrijfsnetwerk. Firewalls beperken verkeer naar de omgeving vanaf ongeautoriseerde locaties. Applicatiebeveiliging: Engineers die functies bouwen volgen de levenscyclus van beveiligingsontwikkeling. Geautomatiseerde en handmatige analyses helpen bij het identificeren van mogelijke kwetsbaarheden. Het Microsoft Security Response Center helpt binnenkomende kwetsbaarheidsrapporten te sorteren en beperkende maatregelen te evalueren. Via de Microsoft Cloud Bug Bounty-voorwaarden kunnen mensen over de hele wereld geld verdienen door kwetsbaarheden te melden.

Inhoudsbescherming: Elk bestand wordt in rust versleuteld met een unieke AES256-sleutel. Deze unieke sleutels worden versleuteld met een set hoofdsleutels die zijn opgeslagen in Azure Key Vault.

Maximaal beschikbaar, altijd herstelbaar

De datacenters zijn geo-gedistribueerd binnen de regio en fouttolerant. Gegevens worden gespiegeld in ten minste twee verschillende Azure-regio’s, die ten minste enkele honderden kilometers van elkaar verwijderd zijn, waardoor we de impact van een natuurramp of verlies binnen een regio kunnen beperken.

Continu gevalideerd

Microsoft monitort hun datacenters constant om ze gezond en veilig te houden. Dit begint met inventariseren. Een inventaris-agent voert een statusregistratie van elke machine uit. Nadat ze een inventarisatie hebben gemaakt, kunnen ze de gezondheid van machines monitoren en herstellen. Doorlopende implementatie zorgt ervoor dat elke machine patches en bijgewerkte antivirussignaturen ontvangt en dat er een bekende goede configuratie wordt opgeslagen. Implementatielogica zorgt ervoor dat ze slechts een bepaald percentage machines tegelijk patchen of uitwisselen.

Het Microsoft 365 “Red Team” binnen Microsoft bestaat uit inbraakspecialisten. Ze zoeken naar elke mogelijkheid om ongeoorloofde toegang te krijgen. Het “Blue Team” bestaat uit defensie-ingenieurs die zich richten op preventie, detectie en herstel. Ze bouwen inbraakdetectie- en reactietechnologieën.

Aanvullende OneDrive beveiligingsfuncties

Als cloudopslag service bevat OneDrive vele andere beveiligingsfuncties. Waaronder:

• Virus controle bij downloaden op bekende bedreigingen: de Windows Defender anti-malware-engine scant documenten op de downloadtijd voor inhoud die overeenkomt met een AV-handtekening (bijgewerkt op een uur).
• Verdachte activiteiten monitoring: om onbevoegde toegang tot jouw account te voorkomen, OneDrive de monitoren voor en blokkeer je verdachte inlogpogingen. Daarnaast sturen we je een e-mail melding als we ongebruikelijk activiteiten detecteren, zoals een poging om je aan te melden met een nieuw apparaat of een nieuwe locatie.
• Ransomware-detectie en-herstel: als Microsoft 365 abonnee wordt je gewaarschuwd als OneDrive een ransomware of andere schadelijke aanval waarneemt. Je kunt jouw bestanden gemakkelijk terugzetten op een tijdstip voordat de aanval tot stand kwam, tot 30 dagen na de aanval. Je kunt ook jouw volledige OneDrive tot 30 dagen na een kwaadaardige aanval of een ander type gegevensverlies herstellen, zoals bestandsbeschadiging of verwijdering van onbedoelde wijzigingen.
• Versiegeschiedenis voor alle bestandstypen: in het geval van ongewenste bewerkingen of verwijderen van een ongeluk, kun je Verwijderde bestanden terugzetten vanuit de OneDrive-Prullenbak of een vorige versie van een bestand in OneDrive herstellen.
• Met wachtwoord beveiligd en aflopende koppelingen voor delen kun je jouw gedeelde bestanden veilig bewaren door een wachtwoord in te stellen om toegang te krijgen tot de bestanden of een vervaldatum in te stellen op de koppeling voordelen.
• Melding voor bulkverwijdering van massale bestanden: als je per ongeluk een groot aantal bestanden verwijdert, wordt je gewaarschuwd en heb je stappen voor het herstellen van deze bestanden.

Persoonlijke kluis

Persoonlijke kluis is een beveiligd gebied in OneDrive dat je alleen kunt openen met een sterke verificatiemethode of een tweede stap van identiteitsverificatie, zoals uw vingerafdruk, gezicht, pincode of een code die u via e-mail of sms ontvangt. ¹ Uw vergrendelde bestanden in Persoonlijke kluis hebben een extra beveiligingslaag, waardoor ze beter worden beveiligd voor het geval iemand toegang krijgt tot uw account of uw apparaat. Persoonlijke kluis is beschikbaar op uw pc, op OneDrive.com en in de mobiele OneDrive-app en bevat ook de volgende functies:

• Rechtstreeks naar Persoonlijke kluis scannen – Je kunt de mobiele OneDrive-app gebruiken om rechtstreeks in jouw Persoonlijke kluis foto’s te maken of video op te nemen, zodat ze uit minder veilige delen van uw apparaat, zoals uw filmrol, blijven. ² Je kunt ook belangrijke reis-, identificatie-, voertuig-, woning- en verzekeringsdocumenten rechtstreeks naar jouw Persoonlijke kluis scannen. En je hebt overal en op al je apparaten toegang tot deze foto’s en documenten.
• BitLocker-versleuteling – Op Windows 10-pc’s synchroniseert OneDrive jouw Personal Vault-bestanden naar een met BitLocker versleuteld gedeelte van jouw lokale harde schijf.

• Automatische vergrendeling – Persoonlijke kluis wordt automatisch opnieuw vergrendeld op jouw pc, apparaat of online na een korte periode van inactiviteit. Eenmaal vergrendeld, worden alle bestanden die je gebruikte ook vergrendeld en is herverificatie vereist om toegang te krijgen. ³

Samen zorgen deze maatregelen ervoor dat uw vergrendelde Personal Vault-bestanden beschermd blijven, zelfs als uw Windows 10-pc of mobiel apparaat zoekraakt, wordt gestolen of iemand er toegang toe krijgt. ¹ Gezichts- en vingerafdrukverificatie vereist gespecialiseerde hardware, waaronder een apparaat dat geschikt is voor Windows Hello, een vingerafdruklezer, een verlichte IR-sensor of andere biometrische sensoren en geschikte apparaten. ² De OneDrive-app op Android en iOS vereist Android 6.0 of hoger of iOS 12.0 en hoger. ^{3 Het} automatische vergrendelingsinterval verschilt per apparaat en kan door de gebruiker worden ingesteld.