Cryptografiebeleid voor telecom: SIP over TLS, SRTP en sleutelbeheer onder de Cbw

Wat staat er in de regels?

De achtste zorgplichtmaatregel is "beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie" (artikel 21, derde lid, onder h, Cbw). Artikel 13 van het Cyberbeveiligingsbesluit (Cbb) vraagt een schriftelijk beleid met processen en procedures. Daarin werkt u ten minste uit:

• in welke gevallen u cryptografie inzet;
• welke typen encryptie u gebruikt en hoe;
• wie verantwoordelijk is voor de implementatie;
• wie verantwoordelijk is voor het sleutelbeheer.

Ook de Telecommunicatiewet noemt versleuteling. Aanbieders van openbare elektronische communicatiediensten nemen passende maatregelen om de risico's voor de beveiliging van hun diensten te beheersen, "waaronder in voorkomend geval versleuteling" (artikel 11a.1, eerste lid, Tw). Bij de tiende maatregel noemt de Cbw daarnaast beveiligde spraak-, video- en tekstcommunicatie, wanneer gepast (artikel 21, derde lid, onder j).

De regels schrijven geen algoritmes of sleutellengtes voor. U kiest zelf wat passend is en legt dat vast.

Waar speelt cryptografie bij een telecombedrijf?

Voorbeelden van toepassingen

Toepassing	Mogelijke invulling
Signalering van telefonie	SIP over TLS tussen toestellen, SBC en trunks, waar de tegenpartij het ondersteunt
Spraak	SRTP voor mediastromen
Beheer van netwerkapparatuur	SSH en HTTPS; telnet en onversleutelde webinterfaces uit
Klantportaal en API's	HTTPS met actuele TLS-versies
Verbindingen tussen locaties	VPN met sterke instellingen
Back-ups	Versleuteld opslaan, zeker als ze configuraties met geheimen bevatten
Laptops en telefoons	Schijfversleuteling
Routering	RPKI-handtekeningen voor uw prefixen, als u eigen routering doet

Niet alles kan meteen versleuteld. Oudere toestellen of een carrier ondersteunen soms geen TLS. Leg dan vast waar u wel en niet versleutelt, en waarom.

Sleutelbeheer: wie, wat en wanneer

Versleuteling is zo sterk als het beheer van de sleutels. Leg vast:

• wie certificaten en sleutels aanvraagt, installeert en vernieuwt;
• waar privésleutels staan en wie erbij kan;
• wanneer certificaten verlopen, met een herinnering ruim van tevoren;
• wat u doet als een sleutel is uitgelekt: intrekken, vervangen, nagaan waar hij gebruikt werd;
• hoe u omgaat met gedeelde geheimen, zoals SNMP-community's, RADIUS-sleutels en API-tokens.

Een verlopen certificaat op een SBC of klantportaal kan ook een storing veroorzaken. Goed sleutelbeheer helpt dus ook uw beschikbaarheid.

Een cryptografiebeleid op twee pagina's

Een klein bedrijf heeft geen dik document nodig. Deze opbouw is genoeg om de verplichte punten te dekken:

1. Doel en reikwijdte: voor welke systemen geldt het beleid.
2. Wanneer versleutelen: de tabel hierboven, aangepast aan uw situatie.
3. Welke technieken: bijvoorbeeld minimaal TLS 1.2, geen verouderde protocollen, sterke SSH-instellingen.
4. Rollen: wie implementeert, wie beheert sleutels, wie controleert.
5. Uitzonderingen: waar u (nog) niet versleutelt, met reden en vervolgstap.
6. Controle: hoe en wanneer u controleert of het beleid wordt nageleefd.

Laat het beleid kloppen met de praktijk. Een beleid dat iets belooft wat niet gebeurt, helpt u niet bij een inspectie.

Controleren of het werkt

Gebruik eenvoudige controles. Scan uw publieke diensten op verouderde TLS-instellingen. Controleer of telnet nergens meer aanstaat. Houd een lijst van certificaten met vervaldatum bij. Neem deze controles op in uw meetplan; zie effectiviteit van maatregelen meten.

Meer over telefonie leest u in NIS2 voor VoIP-aanbieders.

Veelgestelde vragen

Moet ik alle gesprekken versleutelen?

De regels zeggen "in voorkomend geval" en "wanneer gepast". U bepaalt op basis van uw risico's waar versleuteling nodig is, en legt vast waar u dat (nog) niet doet en waarom.

Schrijft de Cbw bepaalde algoritmes voor?

Nee. Artikel 13 Cbb vraagt dat u vastlegt welke typen encryptie u gebruikt en hoe. U kiest zelf wat passend is volgens de stand van de techniek.

Wat is het minimum voor een klein bedrijf?

Een kort schriftelijk beleid met de vier punten uit artikel 13 Cbb: wanneer, welke typen, wie implementeert en wie beheert de sleutels.