Use of cryptography

GedeeltelijkDevOps Lead

Wat we doen

Transport van vertrouwelijke gegevens en persoonsgegevens is versleuteld; opslag van gevoelige data en back-ups is versleuteld (encryption at rest).

Toepassingen:

TLS – alle publieke endpoints; certificaten via Let’s Encrypt (Certbot) of managed certificaten van GCP
Encryption at rest – opslag en back-ups op GCP
Laptops – FileVault op laptops in gebruik (zie 8.01)
Toegang op afstand – Cloudflare Zero Trust buiten vertrouwde netwerken; productie via gcloud proxy en kubectl over TLS
Wachtwoorden – 1Password
E-mail – TLS in transit via Google Workspace; geen end-to-end-versleuteling. Vertrouwelijke bestanden gaan via een Drive-link met toegangsbeperking, niet als bijlage (zie 5.14).

Mensen – 1Password voor alles wat door mensen wordt gebruikt (wachtwoorden, API-sleutels voor handmatig gebruik).
Applicaties – GCP Secret Manager is de standaard; Kubernetes Secrets komt nog voor in oudere projecten; GitHub Secrets voor CI-pipelines.
Aanmaken – productiesleutels door DevOps, development-sleutels door de developer zelf. Nooit in broncode.
Vernietigen en rotatie – bij lekkage of vermoeden van compromittering direct revoken en opnieuw aanmaken; verwijderen uit 1Password of de secret manager.

Z5 — Elektronische uitwisseling zorggegevens: versleuteling bij uitwisseling van patiëntgegevens

Geen sleutelrotatieschema; rotatie is alleen reactief.
Kubernetes Secrets is nog niet overal vervangen door Secret Manager; geen overzicht per project waar welke methode wordt gebruikt.
Encryptiemethoden worden niet periodiek getoetst aan de stand van de techniek (C.14, nog niet uitgevoerd).
Datatransport van opdrachtgever naar YipYip is contractueel hun verantwoordelijkheid, maar wordt niet geverifieerd.