Juridische vraag: mag spamfilter mail-encryptie uitschakelen?
ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.
Vraag: Sommige anti-spambedrijven bieden een service om alle uitgaande e-mail transparant te scannen op spam en virussen via een soort SMTP-netwerkproxy. Als onderdeel van dat proces schakelen ze de TLS-encryptie uit, waardoor alle email plain-text wordt afgeleverd naar het internet. Is dat juridisch wel toegestaan?
Antwoord: Er is geen wettelijke regel die expliciet zegt dat e-mail te allen tijde versleuteld moet worden getransporteerd. Je bent als bedrijf dus vrij om te kiezen of en welke beveiliging je hanteert.
Maar wacht. Per 1 januari krijgen we een aanscherping van de privacywet (Wet bescherming persoonsgegevens), die stelt dat persoonsgegevens te allen tijde "adequaat" moeten zijn beveiligd tegen misbruik en ongeautoriseerde toegang. Die norm bestaat al jaren, de aanscherping komt erop neer dat je in theorie acht ton boete kunt krijgen vanaf januari als je hem schendt.
Wat is nu "adequaat" bij e-mail? Helaas zijn daar geen harde regels voor. Het hangt er namelijk vanaf wat voor gegevens er in die e-mail staan. Gaat het alleen om afzender en ontvanger (relatief weinig gevoelig) of worden er in de bijlage medische dossiers verstuurd (nogal gevoelig)? Dat bepaalt voor een groot deel de vereiste beveiligingsmaatregelen om "adequaat" te mogen heten.
E-mail over SSL/TLS transporteren is een simpele maatregel die eigenlijk altijd wel kan. Dus de factor is dat wel het minimum, net zoals SSL op een bestelformulier van een webwinkel de facto vereist is. Als je dat weglaat, dan heb je dus wat uit te leggen.
De logica achter dit proces begrijp ik niet helemaal. Natuurlijk, je kunt geen mails scannen als ze door een beveiligde verbinding lopen, maar waarom zet je dan niet een beveiligde verbinding op naar de virusscannersite?
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Dan gebruik je toch PGP, of een soortgelijke tool, om er nog een encryptie slag overheen te gooien ? Ik zie het probleem niet.
Als eigenaar van een mailserver bepaal je of je al dan niet mail-encryptie gebruikt. Ook bepaal je zelf of je een spam filter gebruikt. Wat dat betreft heeft de wet bar weinig hiermee te maken, zolang het niet gaat over gegevens waarbij een wettelijke plicht geldt om die te versleutelen (i.e. medische dossiers ofzo).
Laat mij eens het wetsartikel zien waarin staat dat mail encrypted dient te zijn, en niet ontsleuteld mag worden ? ;-)
[...]
Maar wacht. Per 1 januari krijgen we een aanscherping van de privacywet (Wet bescherming persoonsgegevens)
[...]
E-mail over SSL/TLS transporteren is een simpele maatregel die eigenlijk altijd wel kan.
[...]
Vraag 2 is of opportunistische encryptie, met publicaties als bovengenoemde bron maar ook https://blog.filippo.io/the-sad-state-of-smtp-encryption/, afhankelijk van de vertrouwelijkheid van de gemailde gegevens, volstaat in het kader van de nieuwe WBP.
Is er in jouw situatie een reden om de verbinding met de eerste server in de keten riskanter te vinden dan wat daarna komt?
Als je end-to-end-encryptie nodig hebt moet je niet op TLS vertrouwen. Dan is PGP, wat de eerste reageerder al noemde, iets om je in te gaan verdiepen, of GPG, de opensource-implementatie van het OpenPGP-protocol.
Welk anti-spam bedrijf met transparante proxy doet dit volgens jou?
Enige wat ik mij kan voorstellen is dat als jij gebruikt maakt van een verouderd OS/mailserver welke geen voldoende ondersteuning heeft voor gebruik van de nieuwste Ciphers deze voor de verbinding terugschakelen naar een lagere of zelfs geen encryptie.
Wij accepteren alleen TLS1.1 en 1.2 met de Modern compatibility cipher suite
Persoonlijk vind ik de verbinding volledig rejecten beter.
TLS wordt gebruikt voor encryptie van de SMTP transport. Scanners werken lokaal, dus het heeft niets te maken met TLS. Een scanner termineert geen TLS verbinding.
Wat je misschien bedoelt is dat het SMTP deel van een scanner TLS ontbeert. Dat is een kwestie van de juiste mail server gebruiken. Als dat niet kan is hij inderdaad aan vervanging toe.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.