Subdomein E2 en F4: Security

• De vertrouwelijkheid van een digitaal artefact is de mate waarin gegevens die door het artefact behandeld worden, afgeschermd zijn tegen ongeoorloofde inzage.
• De integriteit van een digitaal artefact is de mate waarin gegevens die door het artefact behandeld worden, beschermd zijn tegen verlies of (on)bedoelde wijziging.
• De beschikbaarheid van een digitaal artefact is de mate waarin er storingsvrij gebruik van gemaakt kan worden.

Soms wordt er een vierde aspect bekeken, namelijk 'onloochenbaarheid': de zekerheid dat (digitale) informatie afkomstig is van een bepaalde afzender of bron. We zullen hier niet verder op in gaan.

Het falen van digitale artefacten door technische storingen (schijfcrashes, uitval van diensten) kan gezien worden als bedreiging, maar het vakgebied security gaat specifiek over bedreigingen die te maken hebben met moedwillige (en kwaadwillende) aanvallen op digitale artefacten.

We kunnen zulke bedreigingen ruwweg indelen in drie categorieën, door te kijken van welke soort zwakheden aanvallers gebruik maken:

1. Zwakheden in de computerarchitectuur. Voorbeelden zijn: bypass van een architectuurelement, bijvoorbeeld een SQL-injectie (= bypass van de toepassingenlaag) of rechtstreekse benadering van gegevensbestanden (= bypass van de logische laag) en een DDOS-aanval waarin de capaciteit van een netwerk wordt overschreden. De bijbehorende maatregelen zijn meestal technisch van aard, zoals firewalls.
2. Zwakheden in de communicatie tussen partijen over (inherent) onbetrouwbaar medium. Voorbeeld van een bedreiging is het onderscheppen van een vertrouwelijk bericht. Ook hier zijn de maatregelen technisch, met name het inzetten van versleuteling (cryptografie).
3. Zwakheden van gebruikers. Voorbeelden zijn: laten rondslingeren van wachtwoorden, en onbedoeld installeren van kwaadaardige software zoals een virus. Bij deze categorie horen socio-technische risico's en maatregelen, bijvoorbeeld phishing en wachtwoorddiscipline.

Deze drie categorieën vormen een handige classificatie, maar de categorieën sluiten elkaar niet helemaal uit: zo kan het risico vanwege rondslingerende USB-sticks zowel bestreden worden met technische maatregelen (encryptie van de inhoud van zo'n stick) als met socio-technische (voorlichting over de risico's, gedragscodes voor het gebruik van USB-sticks).

Security behelst bedreigingen onder ogen te zien en een risicoanalyse te maken: in te schatten hoe ernstig de bedreigingen zijn. Maatregelen kunnen nooit waterdicht zijn; daarom wordt een afweging gemaakt aan de hand van ernst van de risico's en de kosten en verwachte effecten van maatregelen.

Maatregelen kunnen zich richten op:

• preventie: voorkomen dat een bedreiging optreedt;
• detectie: vaststellen dat een bedreiging opgetreden is;
• repressie: de schade die door het optreden van een bedreiging ontstaat, beperken;
• correctie: de schade doe door het optreden van een bedreiging ontstaat, herstellen.

Technische aspecten van security (rond de categorieën 1 en 2) komen aan de orde in Domein E: Architectuur, socio-technische aspecten (rond categorie 3) in Domein F: Interactie​​.

Encryptie is versleutelen van berichten en gegevens bij transport en opslag. Een encryptiemethode bestaat uit een algoritme en een of meer sleutels. Als bij vercijfering en ontcijfering van een bericht gebruik gemaakt wordt van dezelfde sleutel, dan spreken we van symmetrische encryptie. Bij asymmetrische encryptie wordt gebruik gemaakt van twee verschillende sleutels (de vercijfer- en de ontcijfersleutel), waartussen een vaak rekenkundig verband bestaat. De ontcijfersleutel kan eenvoudig uit de vercijfersleutel worden afgeleid. De omgekeerde bewerking is theoretisch ook mogelijk, maar in de praktijk zeer moeilijk. De ontcijfersleutel is daarom vaak openbaar, maar de vercijfersleutel niet. Deze vorm van encryptie heet daarom ook wel public key encryption.​​