Fortrolighed

ISO/IEC 27000 definerer fortrolighed som egenskaben, at information ikke gøres tilgængelig eller videregives til uautoriserede personer, enheder eller processer. Den håndhæves af to familier af mekanismer, som er lette at blande sammen. Adgangskontrol afgør, hvem der må læse et objekt, mens det befinder sig i et system, der håndhæver reglerne; kryptering beskytter objektet, når det forlader denne grænse, på netværket, på en stjålet disk, i en backup eller hos en cloududbyder. Ingen af dem erstatter den anden: en krypteret database kan læses fuldt ud af en applikationskonto med for mange rettigheder, og perfekt adgangskontrol er ligegyldig, når en fil først er kopieret til en USB-nøgle.

Adgangskontrolmodeller formaliserer "hvem". Discretionary access control (DAC) lader ejeren give adgang, som med ACL'er i filsystemet; mandatory access control (MAC) håndhæver systemdækkende mærkninger, hvor det klassiske eksempel er Bell-LaPadula-modellen (1973) med reglerne "no read up, no write down" for klassificerede data; rollebaseret adgangskontrol (RBAC) knytter rettigheder til jobroller; attributbaseret adgangskontrol (ABAC) evaluerer politikker over bruger-, ressource- og kontekstattributter på forespørgselstidspunktet. For dem alle gælder principperne need-to-know og mindste privilegium, og det operationelle svage punkt er som regel, at rettigheder hober sig op, når folk skifter job.

Kryptering opdeles normalt i data i transit (TLS 1.3, RFC 8446, med forward secrecy via efemær Diffie-Hellman, så et senere nøglekompromis ikke afslører optagede sessioner), data at rest (kryptering af hele disken, databasen eller enkelte objekter, hvor det egentlige spørgsmål er, hvem der styrer nøglerne) og i stigende grad data in use via confidential computing-enklaver. "Harvest now, decrypt later" er en trussel mod fortroligheden for hemmeligheder med lang levetid og det vigtigste argument for at gå over til post-kvante-nøgleudveksling, før store kvantecomputere findes.

Fortrolighed lækker også gennem kanaler, som adgangskontrol ikke modellerer: metadata om, hvem der kommunikerer med hvem og hvornår, trafikanalyse af krypterede strømme, fejlmeddelelser og tidsforskelle, sidekanaler som CPU-fejlene Spectre og Meltdown, der blev offentliggjort i 2018, og slutninger fra aggregerede eller "anonymiserede" datasæt. Fortrolighed er ikke det samme som privatliv, der handler om lovlig og rimelig behandling af personoplysninger, også hos autoriserede parter, og heller ikke integritet, der handler om ændring frem for videregivelse. Efter databeskyttelsesforordningen kræver art. 5, stk. 1, litra f, og art. 32 passende fortrolighedsforanstaltninger, hvor art. 32, stk. 1, litra a, nævner kryptering og pseudonymisering, og uautoriseret videregivelse er et brud på persondatasikkerheden, som efter art. 33 skal vurderes med henblik på anmeldelse til Datatilsynet inden for 72 timer.