De vraag die wij afgelopen week ontvangen van onze klant was als volgt:
Wij zijn eigenlijk op zoek naar een nieuwe oplossing om onze wachtwoorden, SSL certificaten en andere gevoelige informatie te registreren.
Dat moet uiteraard op verschillende manieren goed beveiligd kunnen worden (met groepen/personen die toegang krijgen of niet) en het liefst in een hosted omgeving en gecertificeerd.
Zijn jullie dit toevallig vaker tegengekomen en kennen jullie hier een goede oplossing voor?
Na overleg binnen ons team kwamen we niet tot één simpel antwoord op deze vraag. We hebben daarom ook besloten om al onze verschillende ideeën hierover te delen.
Optie 1: Maak gebruik van Identity Management i.c.m. Box of Confluence
HenkJan reageert als eerste en geeft aan dat het vooral belangrijk is om te weten wie er op welk moment toegang heeft (gehad) tot de gegevens. Daarvoor gebruik je een Identity management oplossing, gekoppeld via SSO met een externe tool (bijvoorbeeld Box of Confluence). Met de Identity management verzorg je de toegang van betreffende personen tot deze informatie. Daarnaast vind hij het belangrijk dat de externe tool voornamelijk als documentatie dient naast de 'gevoelige informatie', zodat er context geboden wordt aan waar deze gevoelige informatie gebruikt wordt.
Optie 2: Maak gebruik van Identity Management met OneNote
Martijn zou het oplossen met Microsofts OneNote, uiteraard ook met veilige toegang daartoe. Als extra beveiliging maakt hij gebruik van 'veilige secties' binnen OneNote, waar het eigenlijk op neer komt, is dat er nog een extra wachtwoord aan de notitie zelf wordt toegevoegd, voordat je de notitie kunt bekijken. Hoe je dat precies kunt doen wordt hier uitgelegd.
Optie 3: Maak gebruik van Identity Management en het 6 eyes principe
Als laatste kwam Erik met een strategische reactie: "Wat ik eigenlijk wil is een '6 eyes principe'. Oftewel als 6 ogen/3 personen akkoord geven wordt de gevoelige informatie pas vrijgegeven. Net zoals bij betalingen van bedragen boven een bepaalde waarde, moeten meerdere personen akkoord geven voordat het bedrag wordt overgeboekt. Hetzelfde willen we dus ook bij CreditCard gegeven, SSL certificaten en API keys. Om er zeker van te zijn dat deze personen echt zijn, wie we denken dat ze zijn is een Okta koppeling naar dit opslagsysteem wel een vereiste."
Op de vraag of Erik bekend was met een dergelijk SaaS systeem antwoordde hij "Nee, op dit moment niet. Ik verwacht echter wel dat Blockchainsoftware dit gaat oplossen".