Waar je op moet letten bij een beveiligde e-mailprovider

Hoe veilig is jouw e-mail? De realiteit is dat e-mail een van de belangrijkste doelwitten blijft voor cybercriminelen. Bijna 9 van de 10 cyberaanvallen begint met een phishingmail. Als je e-mail niet veilig is, loopt de gevoelige inhoud die via e-mail wordt verzonden gevaar.

Wat is een beveiligde e-mail? Beveiligde e-mailproviders voorkomen dat buitenstaanders je berichten onderscheppen tijdens verzending of opslag; dit gebeurt via end-to-end encryptie.

Is e-mail van nature veilig?

Het korte antwoord is nee.

E-mail is een van de oudste vormen van digitale communicatie. De populariteit komt door de alomtegenwoordigheid; het is relatief eenvoudig om lange e-mails met bijlagen naar bijna iedereen ter wereld te sturen. E-mailadressen zijn gebruikelijker dan fysieke adressen, en bijna iedereen gebruikt e-mail als communicatiemiddel én opslagtool.

E-mail is ook een open protocol, wat betekent dat het wereldwijd op systemen wordt geïmplementeerd om platte tekstberichten en bestanden te verzenden. Een server vereist inloggegevens (gebruikersnamen en wachtwoorden) om gebruikers toegang te geven tot accounts, maar de daadwerkelijke berichten zijn in de praktijk niet beveiligd.

Wat zijn enkele van de mogelijke valkuilen en uitdagingen bij het veilig implementeren van e-mail?

• Onversleutelde data: E-mail biedt zonder extra beveiliging geen bescherming voor de inhoud die via het protocol wordt verzonden of op servers wordt opgeslagen. Er kunnen stappen worden ondernomen om dergelijke data te beschermen, maar door de alomtegenwoordigheid van e-mail is het lastig om encryptie te coördineren.

  Bijvoorbeeld, de meest gebruikte vorm van encryptie voor data tijdens verzending is Transportlaagbeveiliging (TLS), en dit is bij de meeste providers geïmplementeerd. Dat betekent dat informatie tijdens verzending versleuteld is. Maar zodra die informatie de bestemming bereikt, is dat niet meer het geval. End-to-end e-mailencryptie is niet standaard bij de meeste e-mailproviders, waardoor de kans op ongeautoriseerde openbaarmaking aan beide kanten van het e-mailverkeer groot is.

• Man-in-the-middle aanvallen: Hackers kunnen met de juiste tactieken tussen servers en gebruikers gaan staan en informatie onderscheppen die tussen verzenders en ontvangers wordt verstuurd, vaak zonder dat een van beide partijen het merkt. Dit betekent dat aanvallers alle onversleutelde data kunnen lezen en andere encryptiestandaarden kunnen omzeilen door gebruikers te misleiden om encryptiesleutels of andere informatie te verstrekken.
• Autorisatie-aanvallen: E-mailaccounts worden vaak beveiligd met standaard Identity & Access Management (IAM)-maatregelen. Gecompromitteerde gebruikersnamen en wachtwoorden kunnen e-mailaccounts openstellen voor datalekken. Hackers kunnen deze accounts vervolgens gebruiken om wachtwoorden te resetten of multi-factor authenticatie bij andere diensten te omzeilen.

Door bovenstaande redenen en het feit dat e-mail een primair doelwit blijft van cybercriminelen en statelijke actoren, beperken de meeste compliance-raamwerken en regelgeving het gebruik van algemene e-mail voor het communiceren van gevoelige informatie.

Wat maakt e-mail veilig?

Er zijn diverse manieren om e-mail te beveiligen en gevoelige inhoud te beschermen:

• End-to-end encryptie: Zoals eerder genoemd, bieden de meeste providers een vorm van TLS-encryptie voor het verzenden van e-mails. Grote providers zoals Microsoft en Google bieden echter geen encryptie terwijl e-mails door hun systemen reizen zonder speciale configuraties, en het is veel te lastig om end-to-end encryptie te coördineren tussen meerdere providers.

  Bovendien is encryptie op servers berucht lastig te implementeren. End-to-end encryptie vereist een methode, zoals public key cryptografie, om e-mails te coderen vóór verzending en bij ontvangst. Maar het gebruik van zo’n methode vereist dat beide gebruikers hetzelfde type encryptie inzetten.

  Nieuwe oplossingen op het gebied van e-mailbeveiliging veranderen dit—de overname van totemo door Kiteworks brengt het platform naar een end-to-end encryptiestandaard die werkt over diverse derde partijen, naadloos zonder de gebruiker te betrekken. Dit verandert de gebruikelijke eis dat end-to-end encryptieoplossingen alleen levensvatbaar zijn zolang de e-mails binnen hetzelfde systeem blijven.

• Authenticatie en MFA: E-mailaccounts moeten authenticatietools bevatten om de identiteit van de gebruiker via meerdere kanalen te verifiëren. Wachtwoordaanvallen en phishing zijn zeer gebruikelijk, en MFA-oplossingen die wachtwoorden combineren met biometrie of token-gebaseerde verificatie via mobiele apparaten kunnen accounts beschermen.
• Privacyovereenkomsten: Providers zoals Google geven toe toegang tot e-mails te delen voor advertentie- en service-doeleinden—een duidelijke schending van privacy. Een provider moet dataprivacycontroles bieden, inclusief overeenkomsten om geen data of e-mail PII te delen. Daarnaast moeten privacyovereenkomsten voldoen aan lokale privacy rechtsbevoegdheden—wat betekent dat berichten op servers in landen met bepaalde wetten onderworpen kunnen zijn aan verplichte data-openbaarmaking of inbeslagname door overheidsinstanties.
• Beveiligde e-maillinks: Hoewel encryptie een lastig onderwerp is, kan een provider of vergelijkbaar platform encryptie omzeilen door gebruik te maken van beveiligde links. Een provider stelt de gebruiker in staat een link te sturen naar een bron op een beveiligde server met encryptie en IAM-controles. De ontvanger moet een account hebben bij die server, zodat alle privédata die wordt geopend, beschermd, privé en gemonitord is met loggingtools.

Veilige, conforme e-mail voor de meeste regelgeving met Kiteworks

Hoewel beveiligde e-mail een must-have technologie is voor de meeste organisaties, bieden maar weinig oplossingen een allesomvattende communicatiestrategie die beveiligde e-mail, bestandsoverdracht, file transfer, beheerde bestandsoverdracht, webformulieren en application programming interfaces (API’s) in één enkel overzicht samenbrengt. Dit gecentraliseerde overzicht van metadata is cruciaal voor organisaties die tracking, controle en beveiliging van vertrouwelijke data die wordt verzonden, gedeeld of overgedragen binnen, naar en uit hun organisatie willen verenigen.

De volgende beveiligde e-mailmogelijkheden van het Kiteworks-platform zijn belangrijk en zorgen voor e-mailnaleving in diverse sectoren en nationale rechtsbevoegdheden:

• Beveiliging: Kiteworks gebruikt AES-256 Encryptie voor data in rust en TLS 1.2+ voor data tijdens verzending. Daarnaast gebruikt Kiteworks netwerk- en webapplicatie-firewall en anti-malwaretechnologieën om het Kiteworks-platform te beschermen tegen kwaadaardige cyberaanvallen.
• Naleving: Het Kiteworks-platform ondersteunt compliance-inspanningen voor HIPAA, GDPR, FedRAMP, CMMC, PCI DSS, IRAP en diverse andere raamwerken onder het National Institute of Standards and Technology (NIST) en de International Organization for Standardization. De hardened virtual appliance, granulaire controles, authenticatie, uitgebreide logging en audit en andere security stack-integraties stellen organisaties in staat om efficiënt e-mailnaleving te realiseren.
• Audit logging: Met de onveranderlijke logs van het Kiteworks-platform kunnen organisaties erop vertrouwen dat ze aanvallen sneller kunnen detecteren en dat ze de juiste bewijsketen behouden voor forensisch onderzoek. Omdat het systeem entries uit alle componenten samenvoegt en standaardiseert, besparen de geïntegreerde Syslog en waarschuwingen van Kiteworks SOC-teams cruciale tijd en helpen ze compliance-teams bij de voorbereiding op audits.
• Toestemmingsdocumentatie: Veel raamwerken zoals GDPR vereisen gedocumenteerde toestemming voor het verzamelen van data en elk verzoek tot inzage van betrokkene. Organisaties hebben een platform nodig om dat proces te automatiseren. Het Kiteworks-platform biedt uitgebreide rapportages en logging van alle toestemmingsformulieren en dataverzoeken, waardoor organisaties rapporten kunnen genereren die e-mailnaleving aantonen.
• Single-tenant cloud-omgeving: Bestandsoverdracht, bestandsopslag en e-mails vinden plaats op een dedicated Kiteworks-instantie, ingezet on-premises, op Logging-as-a-Service-resources of gehost als een private single-tenant instantie. Dat betekent geen gedeelde runtime, databases of repositories, geen gedeelde resources of kans op cross-cloud datalekken of aanvallen—en dus ook geen kans dat e-mailcommunicatie onverklaarbaar in handen van onbevoegde gebruikers terechtkomt.
• Zichtbaarheid en beheer: Het CISO-dashboard van Kiteworks geeft organisaties een overzicht van hun informatie: waar deze zich bevindt, wie er toegang toe heeft, hoe deze wordt gebruikt en of deze voldoet aan de eisen. Deze mogelijkheid stelt organisaties in staat om e-mailservers te beveiligen met een helikopterview van het systeem.

Ben je klaar voor een beveiligde e-mailoplossing die ook conforme infrastructuur en mogelijkheden op enterpriseniveau biedt? Meld je dan aan voor een gratis Kiteworks-demo.