3.3.5 Veerkracht

Blijkens art. 32 lid 1 onder b AVG moeten verwerkingsverantwoordelijken en verwerkers ter beveiliging van persoonsgegevens, waar passend, ook de veerkracht van verwerkings­systemen en -diensten op permanente basis garanderen.1 Veerkracht is daarmee het enige beveiligingselement dat geen onderdeel is van de CIA triade, maar wel tezamen met de beveiligingsdoelen hieruit voorkomt in de AVG-beveiligingsbepalingen.2

Verwerkingssystemen en -diensten zijn veerkrachtig indien ze gedurende en na afloop van een beveiligingsaanval de gewenste resultaten blijven geven. Hiertoe moeten ze zonder onderbreking blijven functioneren en anders relatief eenvoudig weer werkzaam zijn.3 Veerkracht heeft een andere ratio dan de traditionele informatie­beveiligingsdoelen. Waar vertrouwelijkheid, integriteit en beschikbaarheid zijn gericht op de beveiliging van een object (zoals informatie of software), richt veerkracht zich op de continuïteit van de bedrijfsprocessen die met deze objecten worden verricht. Op veerkracht gerichte maatregelen beogen deze continuïteit te waarborgen als deze door een beveiligingsaanval in het geding komt, en zijn zo gericht op het voorkomen van verdere bedrijfsschade (zie ook §3.5.4). Anders dan veel maatregelen die in het kader van andere beveiligingsdoelen worden getroffen, zien zij dus altijd op de situatie na een beveiligingsincident.4 Zij kunnen bijvoorbeeld bewerkstelligen dat een systeem, ondanks een Distributed Denial of Service-aanval, blijft functioneren doordat er alternatieve systeemonderdelen worden ingeschakeld. Het groeiende besef dat het onmogelijk is beveiligingsincidenten geheel uit te sluiten, heeft meegebracht dat informatie­beveiligings­­specialisten steeds meer interesse voor veerkracht hebben gekregen.5

Niet alle beveiligingsspecialisten rekenen de waarborging van veerkracht tot het informatiebeveiligings­domein.6 Sommigen zien het, juist vanwege het hierboven behandelde aparte karakter van dit element, niet als een beveiligingsdoel, maar als een apart vakgebied; ‘cyber resilience’.7 Omdat de precieze categorisering van veerkracht van weinig belang is voor de uiteindelijke vormgeving van persoonsgegevensbeveiliging of de invulling van de AVG-beveiligingsbepalingen, ga ik hierop niet verder in.

In de AVG wordt veerkracht alleen gerelateerd aan de beveiliging van verwerkingssystemen en -diensten, niet aan die van persoonsgegevens. Ook dit heeft te maken met de ratio van dit beveiligingselement. Hoewel persoonsgegevens een essentiële rol kunnen spelen binnen bedrijfsprocessen, verrichten zij die zelf niet. Daarom wordt er in de regel niet gesproken over ‘veerkrachtige persoonsgegevens’.8

Maatregelen die zien op de veerkracht van verwerkingssystemen en -diensten beperken de gevolgen van beveiligings­inbreuken voor deze systemen en diensten. Zij zijn hierdoor nauw gerelateerd aan de maatregelen die deze beveiligingsinbreuken (inbreuken op de beschikbaarheid, integriteit en vertrouwelijkheid van deze systemen en diensten) tegengaan en herstellen.9

Een beschikbaarheids­inbreuk die de functionaliteit van een beveiligingsobject aantast, heeft op het eerste oog het grootste effect op de continuïteit van de daarvan afhankelijke bedrijfsprocessen.10 Om deze bedrijfsprocessen te laten draaien, zullen de aangetaste objecten weer beschikbaar moeten worden gemaakt of moeten worden vervangen. Net als sommige beschikbaarheidsmaatregelen zullen veerkrachtsmaatregelen er dus op zijn gericht om, indien een essentieel onderdeel van de (ICT-)infrastructuur beschadigd raakt, dit onderdeel te herstellen of alternatieve (ICT-)infrastructuur te activeren.11 Er bestaat dan ook overlap tussen maatregelen die in het kader van de beschikbaarheid van gegevens worden getroffen en maatregelen die zien op veerkracht.

Ook integriteitsinbreuken kunnen de functionaliteit en resultaten van verwerkingssystemen en -diensten aantasten. Zo kan de verwijdering of vernietiging van een essentieel onderdeel van (ICT-)infrastructuur de continuïteit van de daarmee verrichte processen sterk hinderen (zie ook §3.3.4). Een inhoudelijke of functionele aanpassing kan er bovendien voor zorgen dat deze systemen of diensten (bijvoorbeeld door foutieve instellingen) niet meer tot de gewenste resultaten leiden. Een veerkrachtig systeem zal zulke (door integriteitsinbreuken veroorzaakte) functionaliteitsproblemen herstellen door de aanpassing bijvoorbeeld te detecteren en automatisch ongedaan te maken.12