encryptieatrest

Encryptie at rest, of gegevensversleuteling in rust, is het proces waarbij data die opgeslagen is op opslagmedia zoals harde schijven, SSD’s, back-ups of cloudopslag versleuteld wordt. Het doel is vertrouwelijke informatie te beschermen tegen onbevoegde toegang bij verlies, diefstal of compromis van de fysieke media. Het staat tegenover encryptie tijdens overdracht (in transit).

In de praktijk kan encryptie at rest op verschillende niveaus plaatsvinden. Full-disk encryption (FDE) vercrypt hele schijven, terwijl file-level encryption of database encryption specifieke bestanden of databasevelden beschermt. In cloudomgevingen worden vaak server-side encryptie (SSE) en client-side opties gebruikt, soms ondersteund door key management services met BYOK-tools (bring your own keys).

Technisch wordt meestal symmetrische cryptografie gebruikt, bijvoorbeeld AES-256. De sleutels worden beheerd in een Key Management Service (KMS) of in een Hardware Security Module (HSM). Belangrijke onderdelen van een robuuste implementatie zijn sleutelbeheer, rotatie van sleutels, toegangscontrole en uitgebreide logging. De verschafte beveiliging hangt sterk af van hoe sleutels beschermd en beheerd worden.

Veelvoorkomende gebruiksomgevingen zijn endpoints (bijv. BitLocker, FileVault), databases met TDE of encryptie op bestandniveau, en cloudopslag met SSE-KMS of vergelijkbare mechanismen. Het kan ook voorkomen dat gebruikers eigen sleutels beheren (BYOK) of applicaties client-side encryptie toepassen.

Voordelen zijn onder meer verminderde kans op blootstelling bij media-verlies en wettelijke naleving van beveiligingsnormen. Nadelen omvatten complexiteit van sleutelbeheer, mogelijke prestatie-overhead en risico’s bij foutieve configuratie of sleutels die beveiligingsrondes doorstaan. Algemene normen en regelgeving voor encryptie at rest worden vaak vermeld in relatie tot ISO/IEC 27001 en NIST-richtlijnen.