Email Security Opzetten : TLS of S/MIME?

[HeepH]

Goeiedag,

Zoals ik al in mijn vorige topic aangaf ben ik bezig met het beveiligen van de email-verbinding van het bedrijf waar ik werk.

Wij werken met medische gegevens en ik zou graag zien dat deze gegevens beveiligd worden.

De situatie is als volgt : Alle bedrijven (pakweg 50) die bij ons aangesloten zitten, zitten in een intranet, met lokale ip-adressen (192.168.0.X). Wij hebben mailcontact met die bedrijven zij versturen gegevens m.b.t. hun patiënten naar ons via dit intranet. Tevens versturen wij gegevens naar een externe partij via het internet.

Nu zou ik graag zien dat deze verbinding beveiligd word via TLS of S/MIME. Ik ben inmiddels op de hoogte van wat beide begrippen inhouden (grofweg) en hoe ze geïmplementeerd worden en mijn voorkeur ligt bij S/MIME vanwege de verhoogde mate van beveiliging end-to-end. Mijn probleem is echter dat ik zo links en rechts lees dat S/MIME behoorlijk wat management overhead oplevert. Het managen van alle certificaten en dergeljke zou behoorlijk wat extra werk (en kosten) opleveren.

Dit zette mij aan het twijfelen.. Wat is nu de beste optie? Ik wil mijn email beveiligen voor verzending over intra en internet maar wil geen ontzettend hoge kosten of extra personeel ( ) aan hoeven nemen om dit te bereiken..

[Osiris]

Heephstan schreef op maandag 05 mei 2014 @ 10:12:
Wij werken met medische gegevens (…)

(…)

(…) Wat is nu de beste optie?

Je baas vertellen dat je niet gekwalificeerd bent voor de opdracht.

No offence, maar je zegt het zelf: je hebt het over médische gegevens. Zéér privacy-gevoelige informatie. En mede uit je vorige topic blijkt (mijns inziens) dat je geen snars verstand hebt over de zaken waar je nu mee bezig bent.

Stel dat 't initieel goed gaat.. Hoe lang is 't wachten tot een krantenartikel met een prachtige kop over patiënteninformatie op straat?

Of ben ik nu erg pessimistisch hier?

[HeepH]

Osiris schreef op maandag 05 mei 2014 @ 10:21:
[...]

Je baas vertellen dat je niet gekwalificeerd bent voor de opdracht.

No offence, maar je zegt het zelf: je hebt het over médische gegevens. Zéér privacy-gevoelige informatie. En mede uit je vorige topic blijkt (mijns inziens) dat je geen snars verstand hebt over de zaken waar je nu mee bezig bent.

Stel dat 't initieel goed gaat.. Hoe lang is 't wachten tot een krantenartikel met een prachtige kop over patiënteninformatie op straat?

Of ben ik nu erg pessimistisch hier?

Nee, je hebt volkomen gelijk. Ik ben letterlijk bij 0 begonnen. En hij is ook zeker op de hoogte van dat feit. Maar, de emails worden nu ONBEVEILIGD verstuurd (over een intranet eigen mailserver naar eigen mailserver, dat wel), en iets is beter dan niets, dat moet je ook met me eens zijn...

Even voor de geruststelling : Ik spreek niet namens een grote medische instantie, en de patientgegevens zijn niet van wereldschokkende impact op de privacy van de patiënt, maar ik vind het gewoon "good business practice" om hier eens naar te kijken.. Het is juist dat krantenartikel dat ik probeer te voorkomen, maar niemand anders hier heeft er echt meer kijk op dan ik.. We zijn niet zo groot, en voorheen waren we te klein om uberhaupt op iemands radar te verschijnen, maar met onze groei nu word dit een item waar we naar moeten gaan kijken

[ Voor 14% gewijzigd door HeepH op 05-05-2014 10:29 ]

[CAPSLOCK2000]

Allereerst, goed dat je hier over nadenkt en er iets aan probeert te doen. Ook is het prettig om te horen dat er in ieder geval gebruik wordt gemaakt van een prive netwerk en niet alles op en en bloot over internet gaat.

Heephstan schreef op maandag 05 mei 2014 @ 10:12:
TLS of S/MIME.

Niet of, en. Je hebt het allebei nodig. TLS is vrij eenvoudig en zou iedere mailserver moeten doen. Anders gezegd, als je S/MIME doet dan stelt het toevoegen van TLS niks voor. Helaas geeft TLS dan ook niet meer dan oppervlakkige beveiliging. Alleen S/MIME laat de e-mailadressen en onderwerpen zichtbaar. Als ik een mail zie met als onderwerp "Geslachtsverandering meneer X" dan weet ik al genoeg.

Dit zette mij aan het twijfelen.. Wat is nu de beste optie? Ik wil mijn email beveiligen voor verzending over intra en internet maar wil geen ontzettend hoge kosten of extra personeel ( ) aan hoeven nemen om dit te bereiken..

En ik zou willen dat de tuin wordt geschoffeld... gratis gaat het helaas niet worden. Wel kan het veel verschil maken of je zelf je eigen certificaten maakt of ze kant en klaar koopt bij een van de talloze SSL-boeren. Kopen kost uiteraard geld maar spaart wel een hoop beheer aan jouw kant.

Heb je contact met het systeembeheer van die andere bedrijven? Om beveiliging goed te doen zal er aan beide kanten iets moeten gebeuren. De ontvanger zal je beveiligde bericht wel moeten kunnen ontsleutelen. Als je 50 partners hebt zit er vast wel eentje bij met relevante ervaring en anders kun je misschien de kosten delen.

Nog twee vragen die er technisch gezien eigenlijk niet te doen maar ons helpen je situatie te begrijpen:
- welke mailserver gebruik je?
- hoeveel medewerkers heeft je bedrijf?

[Osiris]

CAPSLOCK2000 schreef op maandag 05 mei 2014 @ 13:13:
En ik zou willen dat de tuin wordt geschoffeld... gratis gaat het helaas niet worden.

Voor niets gaat idd natuurlijk alleen de zon op; de TS moet immers ook betaald worden door z'n baas.

Maar om te stellen dat per se een peperduur certificaat van een of andere cert-boer gekocht dient te worden: neen, da's natuurlijk ook niet pertinent het geval.

Indien het gaat om een select aantal bedrijfjes waar goed contact mee is, volstaat het langsgaan met een USB-stick met een self-signed certificate ook wel lijkt me

[Rolfie]

Heephstan schreef op maandag 05 mei 2014 @ 10:12:
Dit zette mij aan het twijfelen.. Wat is nu de beste optie? Ik wil mijn email beveiligen voor verzending over intra en internet maar wil geen ontzettend hoge kosten of extra personeel ( ) aan hoeven nemen om dit te bereiken..

Een goede architect inhuren.....

Osiris schreef op maandag 05 mei 2014 @ 15:02:
[...]
Indien het gaat om een select aantal bedrijfjes waar goed contact mee is, volstaat het langsgaan met een USB-stick met een self-signed certificate ook wel lijkt me

Leuk 50 certificaten gaan beheren met de hand.... Bij 50 verschillende bedrijven...

je wilt eigenlijk een eigen PKI infrastructuur inrichten... Denk hier niet te licht over, certificaten moet je goed beheren en niet even doen.

[Puch-Maxi]

Medische gegevens zeg je? Daar zitten namelijk nogal wat haken en ogen aan, je mag ze niet zonder meer per e-mail versturen. Versleuteling is verplicht, maar er zijn nog geen goede richtlijnen voor.
https://decorrespondent.n...gemaild/48550909-dea2d4bd
Het komt erop neer dat je het nog het beste met de post kunt sturen, dat mag gek genoeg wel gewoon.

[pacificocean]

Osiris schreef op maandag 05 mei 2014 @ 10:21:
[...]

Je baas vertellen dat je niet gekwalificeerd bent voor de opdracht.

No offence, maar je zegt het zelf: je hebt het over médische gegevens. Zéér privacy-gevoelige informatie. En mede uit je vorige topic blijkt (mijns inziens) dat je geen snars verstand hebt over de zaken waar je nu mee bezig bent.

Stel dat 't initieel goed gaat.. Hoe lang is 't wachten tot een krantenartikel met een prachtige kop over patiënteninformatie op straat?

Of ben ik nu erg pessimistisch hier?

Volgens mij kan hij beter aan ziijn baas vertellen dat de baas niet gekwalificeerd is voor zijn taak. Iedereen zit in het lokale netwerk, maar we gaan allerlei medische dossiers naar elkaar mailen . Volgens mij is er totaal geen beleid hoe om te gaan met vertrouwelijke gegevens. Hoezo daar is geen geld voor? Dat is onderdeel van je core business. Wie bepaald wat er naar wie verstuurd mag worden? Of is dat ter beoordeling van de verzender???

[HeepH]

CAPSLOCK2000 schreef op maandag 05 mei 2014 @ 13:13:
Niet of, en. Je hebt het allebei nodig. TLS is vrij eenvoudig en zou iedere mailserver moeten doen. Anders gezegd, als je S/MIME doet dan stelt het toevoegen van TLS niks voor. Helaas geeft TLS dan ook niet meer dan oppervlakkige beveiliging. Alleen S/MIME laat de e-mailadressen en onderwerpen zichtbaar. Als ik een mail zie met als onderwerp "Geslachtsverandering meneer X" dan weet ik al genoeg.

Mja, ik had zelf eigenlijk ook al wel bedacht dat dat de juiste oplossing was, het is nu meer een ding van hoe en wat en waar

En ik zou willen dat de tuin wordt geschoffeld... gratis gaat het helaas niet worden. Wel kan het veel verschil maken of je zelf je eigen certificaten maakt of ze kant en klaar koopt bij een van de talloze SSL-boeren. Kopen kost uiteraard geld maar spaart wel een hoop beheer aan jouw kant.

We kopen voor onze website al SSL certificaten bij een SSL boer. Maar nu begrijp ik dat als we het hebben over 50 bedrijven (allen in ons lokale netwerk) dat ik 50+ certificaten moet regelen? Voor elke ontvangende server 1 (mails gaan van server naar server, hoeven niet persé end to end). Self signed en een PKI inrichten zie ik ook niet zitten...

Heb je contact met het systeembeheer van die andere bedrijven? Om beveiliging goed te doen zal er aan beide kanten iets moeten gebeuren. De ontvanger zal je beveiligde bericht wel moeten kunnen ontsleutelen. Als je 50 partners hebt zit er vast wel eentje bij met relevante ervaring en anders kun je misschien de kosten delen.

Wij zijn "de systeembeheerder" van die 50 bedrijven, op een enkele uitzondering na.

Nog twee vragen die er technisch gezien eigenlijk niet te doen maar ons helpen je situatie te begrijpen:
- welke mailserver gebruik je?
- hoeveel medewerkers heeft je bedrijf?

Alles draait op Exchange. De enige "medewerker" die gevoelige emails verstuurd is één pc waar een stuk software op draait. De pc ontvangt van een praktijk gegevens en verwerkt deze of mailt ze door naar een andere pc die ze verwerkt, dit is het stukje wat ik graag beveiligd zou zien.

Osiris schreef op maandag 05 mei 2014 @ 15:02:
[...]
Indien het gaat om een select aantal bedrijfjes waar goed contact mee is, volstaat het langsgaan met een USB-stick met een self-signed certificate ook wel lijkt me

Rondgaan met een usb stick is een optie, maar daar zitten ze hier niet op te wachten denk ik Het zijn toch wel 50+ bedrijven/locaties.

Rolfie schreef op maandag 05 mei 2014 @ 19:56:
[...]
Leuk 50 certificaten gaan beheren met de hand.... Bij 50 verschillende bedrijven...

je wilt eigenlijk een eigen PKI infrastructuur inrichten... Denk hier niet te licht over, certificaten moet je goed beheren en niet even doen.

Ja, dit. Of dus alles afnemen bij een CA, maar weet niet wat de kosten daar van zullen zijn en hoe ze hier van hogere hand over denken.

Puch-Maxi schreef op maandag 05 mei 2014 @ 21:42:
Medische gegevens zeg je? Daar zitten namelijk nogal wat haken en ogen aan, je mag ze niet zonder meer per e-mail versturen. Versleuteling is verplicht, maar er zijn nog geen goede richtlijnen voor.

Hier ben ik dan wel weer volledig van op de hoogte. Ten eerste mailen wij geen gegevens van en naar klanten, dat is aan de praktijken zelf, en aan hun om te beoordelen hoe zij deze situatie juridisch interpreteren.

Waar het mij om draait is het deel van het geautomatiseerd verzenden wat wij doen, dat wil ik beveiligd zien.

---

Wil graag even duidelijk maken dat hier niet gaat om wereldschokkende, levensbedreigende emails of chanteerbaar materiaal. Het is geen materiaal met een gigantisch risico of een gigantische persoonlijke impact, maar nogmaals, ik vind het gewoon een goed idee om er naar te kijken.

---

Het zijn medische gegevens, maar als het over die van mij zou gaan was het geen probleem als ze op straat lagen.

[Osiris]

Ik wil graag even duidelijk maken dat 't helemaal niet uitmaakt of jij 't nou wel of geen probleem vindt als 't op straat zou komen te liggen, privacygevoelige medische gegevens zijn privacygevoelige medische gegevens, klaar.

Of dat nou een HIV-uitslag of een recept voor een onschuldig tubetje zalf is, maakt niet uit.

[HeepH]

Osiris schreef op dinsdag 06 mei 2014 @ 09:49:
Ik wil graag even duidelijk maken dat 't helemaal niet uitmaakt of jij 't nou wel of geen probleem vindt als 't op straat zou komen te liggen, privacygevoelige medische gegevens zijn privacygevoelige medische gegevens, klaar.

Of dat nou een HIV-uitslag of een recept voor een onschuldig tubetje zalf is, maakt niet uit.

Vind ik in principe ook. Daarom dat ik er wat aan wil doen. Maar voordat er hier 100'den van schande komen spreken dat hier voorheen nog niet naar gekeken is : We waren nog niet zo groot, en het had (wellicht onterecht) in het verleden niet de prioriteit.

[DJMaze]

Probleem #1: Exchange
Probleem #2: Outlook
Probleem #3: slechte OpenPGP support
Probleem #4: hoe weet je zo zeker dat de verstuurder altijd op de "encrypt" knop klikt? (de fout zit immers altijd achter de PC)
Probleem #5: email is dus überhaupt een slecht idee

[ Voor 8% gewijzigd door DJMaze op 07-05-2014 12:27 ]

[Baserk]

^Sinds kort kan je zelfs een PC met Office365 zo configureren dat alle email automatisch wordt versleuteld en getekend.

After S/MIME is enabled, customers who have a hybrid setup of Exchange Online and on-premises Exchange Server 2013 can have their online and on-premises users send S/MIME emails to one another. This means that online and on-premises users will be able to:

Compose, send, receive, encrypt, and decrypt S/MIME-encrypted email via Outlook, OWA, and Exchange Active Sync (EAS) clients that support S/MIME.
Send and receive digitally signed email via Outlook, OWA, and EAS clients.
[...]
You can choose to encrypt all the messages you send or digitally sign all messages with S/MIME

Als bij de 50 bedrijven, 1 PC wordt geconfigureerd met auto-encrypt/sign voor al dit soort verkeer, dan ondervang je iig dat specifieke gebruikers probleem. link