Introductie

In privacywetgeving, zoals de GDPR, zijn toegangscontrole en gegevensbewaring belangrijke vereisten. Persoonsgegevens mogen doorgaans niet worden verwerkt of gedeeld zonder een geldige reden. Zivver helpt organisaties om te voldoen aan de vereisten van de GDPR voor gegevensaccess en verwijdering, evenals aan land-specifieke regelgeving. Voorbeelden hiervan zijn de UK NCSC, de Nederlandse NTA 7516.

Bewaring is relevant voor zowel de inhoud van berichten als voor de audit-trails die binnen Zivver worden gegenereerd. Dit artikel legt eerst de standaard bewaartermijn voor audit-trails uit en behandelt vervolgens de gedetailleerde opties voor het configureren van de bewaartijd van berichtinhoud.

Bewaring van audit-trails

De audit-trails in het audit- en communicatielogboek van het beheerderspaneel worden gedurende zes jaar bewaard. Dit is in lijn met internationale normen zoals HIPAA. Dit betekent dat elk evenement in deze logboeken zes jaar na de oorspronkelijke aanmaakdatum wordt verwijderd. Het kan dan niet meer worden bekeken in het beheerderspaneel. Deze periode is niet configureerbaar en is hetzelfde voor alle Zivver-klanten. Neem contact op met uw accountmanager als u bindende wettelijke verplichtingen heeft om logboeken langer dan zes jaar te bewaren.

Opties voor toegangscontrole van gegevens

In Zivver zijn er functies die invloed hebben op de toegang tot gegevens door belanghebbenden. Sommige van deze functies zijn beschikbaar voor afzenders. Andere zijn beschikbaar voor beheerders van de organisatie. Afzenders van een bericht hebben controle over wie en hoe lang gegevens toegankelijk zijn. Daarnaast bestaan er organisatorische controles die de toegang tot gegevens en het behoud ervan kunnen beïnvloeden.

Wat zijn de gevolgen?

• Voor de toegang tot gegevens door gebruikers.
• Voor de toegang tot gegevens door beheerders.
• Voor de opslag van gegevens door Zivver.

Functietypen

Toegangscontrolemaatregelen
Maatregelen die ervoor zorgen dat accounts geen toegang kunnen krijgen tot de gegevens. Deze maatregelen zijn bedoeld voor gebruikers voor wie toegang tot de gegevens niet noodzakelijk of wenselijk is. Voor een grote meerderheid van de GDPR-gerelateerde handelingen is deze maatregel relevant. Als de toegang voor alle ontvangers wordt ingetrokken, activeert Zivver automatisch een gegevensverwijderingsmaatregel.

Gegevensverwijderingsmaatregelen
Maatregelen die ervoor zorgen dat gegevens ontoegankelijk worden. Deze maatregelen betreffen alle belanghebbenden. Dit betekent dat de ontvangers met wie de gegevens gedeeld werden, geen toegang meer hebben tot deze gegevens in Zivver na deze maatregel. Het bericht is ontoegankelijk omdat Zivver de versleutelsleutel heeft verworpen. De metadata, inclusief het onderwerp en de ontvangers, blijven toegankelijk. Deze maatregelen zijn alleen voor specifieke situaties. Bijvoorbeeld wanneer gevoelige informatie per ongeluk met de verkeerde persoon is gedeeld.

Toegangscontrole-opties voor afzenders

In de Zivver-clientsoftware hebben afzenders van berichten en bestanden de volgende opties om de toegang tot gegevens en de bewaartermijn aan te passen:

Stel vervaltijd in
Afzenders van een veilig bericht kunnen een vervaltijd instellen. De afzender heeft de volgende alternatieven na de vervaldatum:

• Alleen ontvangers verliezen de toegang. Dit is een toegangscontrolemaatregel.
• Iedereen, inclusief de afzender, verliest de toegang. Dit is een gegevensverwijderingsmaatregel.

Met de eerste optie kunnen afzenders ook de toegang voor ontvangers “herstellen”. Met de tweede optie is dit niet mogelijk omdat het bericht permanent ontoegankelijk is. Het bericht is permanent ontoegankelijk omdat de ontsleutelsleutels zijn verworpen. Hierdoor blijft het bericht versleuteld. Met deze functie kunnen gebruikers voldoen aan het gegevensbewaringsbeleid van hun organisatie. Gebruikers kunnen de vervaltijd direct instellen vanuit hun Zivver-client.

Directe toegang intrekken
Voor elk verzonden bericht kunnen afzenders van een veilig bericht de toegang tot dat bericht onmiddellijk intrekken. Deze functie is nuttig wanneer de afzender een fout heeft gemaakt. Bijvoorbeeld, de afzender heeft een verkeerd e-mailadres ingevoerd.

De afzender heeft de volgende alternatieven:

• Alleen ontvangers verliezen de toegang.
  Dit is een toegangscontrolemaatregel.
• Iedereen, inclusief de afzender, verliest de toegang.
  Dit is een gegevensverwijderingsmaatregel.

Met de eerste optie kunnen afzenders ook de toegang voor ontvangers “herstellen”. Met de tweede optie is dit niet mogelijk omdat het bericht ontoegankelijk is. Voor deze functie laat Zivver gebruikers opzettelijk niet toe om de toegang voor een ontvanger in te trekken. Gebruikers kunnen dit alleen voor een bericht doen. De reden is dat ze per ongeluk de verkeerde ontvanger kunnen selecteren vanwege de stressvolle situatie. Gebruikers kunnen een specifieke ontvanger uit een gesprek verwijderen met een aparte optie. Deze optie is Verwijder een deelnemer. Gebruikers kunnen de toegang direct intrekken vanuit hun Zivver-client.

Voor meer informatie over het intrekken van toegang voor beheerders, zie de sectie ‘Berichtintrekking’ in de Zivver WebApp beheerhandleiding.

Verwijder een deelnemer
Wanneer gebruikers een bericht in Zivver verzenden, starten ze een gesprek met de aangesproken ontvangers, de deelnemers. De eigenaar van dit gesprek, de oorspronkelijke afzender van het eerste bericht, kan individuele deelnemers uit een gesprek verwijderen. Dit is een toegangscontrolemaatregel. Maar dit is alleen mogelijk als die deelnemer geen antwoord op het initiële gesprek heeft gestuurd. Als gebruikers informatie in dit scenario moeten blokkeren, kunnen ze Directe Toegang Intrekking gebruiken.

Verwijder gesprek
Gebruikers kunnen ook een gesprek verwijderen. In dit geval verwijderen ze zichzelf als deelnemer uit het gesprek. Dit is een toegangscontrolemaatregel. Andere deelnemers kunnen het gesprek nog steeds lezen en toegang krijgen tot het gesprek.

Toegangscontrole-opties voor beheerders

Naast de gebruikersinstellingen hebben beheerders de volgende opties:

Stel standaard vervaltijd in
Beheerders kunnen de standaard vervaltijd voor gebruikersberichten instellen. Deze vervaltijd geldt voor elk bericht dat wordt verzonden, tenzij een gebruiker deze overschrijft. Net als bij de gebruikersoptie kan een beheerder configureren dat alleen ontvangers de toegang verliezen. Dit is een toegangscontrolemaatregel. Of dat de afzender ook geen toegang meer heeft tot de informatie vanaf dat moment. Dit is een gegevensverwijderingsmaatregel.
Voer gebruikersacties uit via ‘impersonatie’:
In Zivver hebben beheerders de optie om specifieke gebruikers toegang te geven tot de accounts van andere gebruikers, inclusief zichzelf. De gedelegeerde gebruiker heeft toegang tot alle gebruikersopties die hierboven zijn beschreven.

Met deze functie kunnen beheerders de toegang tot een bericht intrekken namens een gebruiker. Dit is nuttig als de gebruiker het zelf niet kan corrigeren of in het geval van kwaadwillig delen van gevoelige informatie.

Deactiveer een gebruikersaccount
Beheerders kunnen elk gebruikersaccount deactiveren, hetzij handmatig, hetzij via synchronisatie met een directoryservice zoals Active Directory (met SCIM 2).

Wanneer een account wordt gedeactiveerd, wordt het inloggen door de specifieke gebruiker uitgeschakeld, maar verandert er verder niets op gegevensniveau. Dit is een toegangscontrolemaatregel.

Verwijder een gebruikersaccount
Een beheerder kan ook een gebruikersaccount verwijderen. Dit betekent ook dat de gebruiker uit alle gesprekken wordt verwijderd waaraan ze hebben deelgenomen. Dit is een toegangscontrolemaatregel.

Opmerking: Zivver activeert automatisch een gegevensverwijderingsmaatregel als alle gebruikers toegang verliezen tot een specifiek gesprek. Maar als je een gebruikersaccount verwijdert, worden de berichten die de gebruiker heeft verzonden niet automatisch verwijderd.

Verwijder de organisatie
Deze optie verwijdert alle gebruikersaccounts en hun onderliggende gegevens uit Zivver. Dit is een toegangscontrolemaatregel.

Overzicht van toegangscontrole- en gegevensretentiemaatregelen in Zivver

Wat gebeurt er wanneer gegevens worden verwijderd

Bij een harde verwijdering worden de berichten en bestanden van de gebruiker(s) fysiek verwijderd. Specifiek verwijdert deze operatie de volgende artefacten uit het Zivver-systeem:

• Alle versleuteling- en ontsleutelsleutels.
• De berichten en alle bestanden.

Een harde verwijdering overschrijft deze objecten met lege objecten. Dit wordt gedaan om ervoor te zorgen dat er geen informatie achterblijft op de laag-niveau hardware.