Belangrijkste punten
- EFS versleutelt bestanden met gebruikersspecifieke certificaten: toegang tot EFS-versleutelde gegevens vereist het certificaat van de oorspronkelijke gebruiker of de sleutel van een aangewezen herstelagent.
- NTFS-compatibiliteit is verplicht voor EFS-bescherming: versleutelde bestanden buiten NTFS verplaatsen heft de versleuteling op en levert compliancerisico’s op.
- Veilig herstel vraagt om export, import en validatie van certificaten: een zorgvuldige omgang met .PFX-sleutels en controle achteraf houden bestanden toegankelijk én beschermd.
- Tools die EFS ondersteunen behouden de versleuteling tijdens de overdracht: kopieerprogramma’s zoals RoboCopy behouden EFS-attributen en voorkomen dat gegevens per ongeluk worden blootgesteld.
- Validatie en documentatie na het herstel waarborgen compliance: toegang controleren, rechten aanpassen en wijzigingen vastleggen ondersteunen audits en wettelijke eisen.
EFS (Encrypting File System) is een functie van het Windows-besturingssysteem die afzonderlijke bestanden beschermt. In deze handleiding leest u hoe u op een veilige en controleerbare manier toegang krijgt tot EFS-versleutelde bestanden en hoe u EFS-versleutelde bestanden naar een nieuwe locatie herstelt.
Wat is EFS?
EFS versleutelt bestanden met een sleutel die wordt beschermd door een certificaat dat aan een specifiek gebruikersaccount is gekoppeld. Zonder dat account en het bijbehorende certificaat zijn de versleutelde bestanden niet leesbaar. Dat is anders dan bij BitLocker, de ingebouwde Windows-tool waarmee complete schijven worden versleuteld. EFS werkt alleen met de edities Windows Server, Enterprise, Education en Professional, op opslagmedia met NTFS-formattering.
IT-beheerders moeten EFS-versleutelde bestanden regelmatig herstellen op nieuwe machines of ze toegankelijk maken voor andere gebruikers dan degene die ze oorspronkelijk heeft versleuteld.
Waarom u met EFS versleutelde bestanden niet naar een niet-NTFS-partitie mag verplaatsen
EFS wordt alleen ondersteund op schijven met NTFS-formattering. Als u deze bestanden verplaatst of kopieert naar een schijf die niet met NTFS is geformatteerd, verliezen ze hun versleuteling. Dat kan gevolgen hebben voor uw compliance als u verplicht bent gevoelige gegevens te beschermen door ze versleuteld te houden.
EFS-versleutelde bestanden herstellen
EFS-versleutelde bestanden kunnen alleen worden hersteld met het certificaat van de gebruiker die ze heeft versleuteld of met een data recovery agent (DRA): een gebruiker die gegevens kan ontsleutelen die door andere gebruikers zijn versleuteld. DRA-gebruikers onderhouden is essentieel binnen de onderneming, voor het geval het oorspronkelijke certificaat verloren gaat of wordt verwijderd.
Het belangrijkste om te onthouden bij het verplaatsen van versleutelde gegevens: zorg dat de gegevens leesbaar zijn op de bestemming voordat u ze van de bron verwijdert.
Wat u nodig hebt om EFS-versleutelde bestanden veilig en controleerbaar te herstellen
Om EFS-versleutelde bestanden te herstellen, hebt u het volgende nodig:
- Toestemming om toegang te krijgen tot beschermde gegevens (van de eigenaar of op basis van een vastgelegd beleid, bijvoorbeeld een actieplan voor gegevensherstel)
- Het EFS-certificaat/de privésleutel van de gebruiker of een geconfigureerde sleutel van een EFS-herstelagent (meestal een .PFX-bestand met een wachtwoord)
- Beheerdersrechten op de bron- en doelmachine, plus een testbestand voor validatie
- Kopieertools die EFS ondersteunen (bijvoorbeeld robocopy) en toegang tot de opdrachtregel (PowerShell/CLI)
Het is cruciaal dat u back-ups bijhoudt van alle EFS-versleutelde gegevens en van de certificaten waarmee u ze kunt herstellen.
Stap 1: bepaal welke bestanden u wilt herstellen en of de versleuteling behouden moet blijven
Beslis of u de bestanden tijdens het hele proces versleuteld houdt: u kunt de bestanden verplaatsen en vervolgens het certificaat importeren dat de nieuwe gebruiker nodig heeft om ze te openen of u ontsleutelt ze en versleutelt ze opnieuw op de bestemming. Dat hangt af van uw omgeving: is er een veilige manier om het onversleutelde bestand naar de nieuwe locatie over te brengen, moet het opnieuw worden versleuteld en vereist compliance dat het tijdens het hele herstelproces versleuteld blijft?
U ziet als volgt wie toegang heeft tot een EFS-versleuteld bestand of een EFS-versleutelde map:
- Klik met de rechtermuisknop op het bestand of de map en klik op Eigenschappen
- Klik op het tabblad Algemeen op Geavanceerd…
- Klik op Details onder het gedeelte met de compressie- of versleutelingsattributen (de optie Inhoud versleutelen om gegevens te beveiligen moet eerder zijn aangevinkt)
- Bekijk de lijst met gebruikers en vingerafdrukken van certificaten
Stap 2: exporteer en importeer EFS-certificaten en -sleutels en valideer het EFS-herstel
Om EFS-versleutelde bestanden te herstellen, moet u vaststellen wie eigenaar van het bestand is, wie er toegang toe nodig heeft en of er een DRA nodig is. Daarna kunt u het vereiste .PFX-bestand exporteren voor de gebruiker die in de toekomst toegang tot het bestand nodig heeft.
Exporteer het EFS-certificaat en de privésleutel van een gebruiker met de volgende stappen:
- Open de MMC-console Certificaten als de gebruiker die de versleuteling heeft uitgevoerd, door certmgr.msc uit te voeren via het dialoogvenster Uitvoeren
- Ga in de navigatiestructuur naar Certificaten (huidige gebruiker)\Persoonlijk\Certificaten
- Klik met de rechtermuisknop op het betreffende certificaat (bij Beoogde doeleinden staat dan Encrypting File System) en klik op Alle taken > Exporteren
- Selecteer in de wizard Certificaat exporteren de optie Ja, exporteer de persoonlijke sleutel
- Selecteer vervolgens de indeling .PFX als Bestandsindeling voor exporteren en vink Indien mogelijk alle certificaten in het certificeringspad opnemen aan
- Maak daarna een wachtwoord aan voor het .PFX-bestand, zodat het beveiligd is als het zoekraakt
- Typ een bestandsnaam voor het geëxporteerde certificaat of blader ernaartoe
- Klik op Voltooien om het proces af te ronden
Importeer het certificaat en de privésleutel op het doelgebruikersaccount en -device met de volgende stappen:
- Dubbelklik op het certificaat dat u in de vorige stappen hebt geëxporteerd
- Selecteer bij Opslaglocatie de optie Huidige gebruiker
- Bevestig de bestandsnaam van het certificaat dat wordt geïmporteerd
- Voer het wachtwoord in van het geëxporteerde certificaat dat u in de vorige stappen hebt ingesteld
- Laat de optie om het certificaatarchief automatisch te selecteren ingeschakeld, doorloop de wizard en rond het importproces af
Controleer daarna of u een voorbeeldbestand kunt ontsleutelen dat door de oorspronkelijke gebruiker met EFS is versleuteld. U kunt het bestand openen of met de opdracht cipher /c encrypted_file_path nagaan welke certificaten voor de ontsleuteling kunnen worden gebruikt.
Stap 3: exporteer of maak een back-up van de sleutel van de herstelagent (indien van toepassing)
Werkt u in een enterpriseomgeving, overweeg dan een DRA aan te maken voor toekomstige EFS-hersteltaken. Als uw DRA lokaal op het device met EFS staat, exporteer dan de sleutels daarvan in plaats van of naast die van de eigenaren. Zorg dat DRA-sleutels beschermd zijn: bewaar ze op een veilige locatie en verstuur ze nooit in platte tekst.
Stap 4: breng de gegevens veilig over
Om EFS-beveiligde bestanden met succes te herstellen of te verplaatsen, hebt u een kopieermethode nodig die EFS ondersteunt. RoboCopy is hiervoor een populaire keuze.
Brengt u gegevens over naar een niet-NTFS-bestemming, dan moet u ze mogelijk eerst ontsleutelen met de opdracht cipher /d /s:directory_path en ze na de overdracht van de ontsleutelde kopie opnieuw versleutelen met een compatibele oplossing. Bescherm gegevens zowel tijdens het transport als in rust, zeker wanneer ze op enig moment ontsleuteld zijn.
Stap 5: herstel eigendom en toegang
Nu het certificaat/de privésleutel en de EFS-versleutelde bestanden zijn overgebracht en de bestanden op het doelsysteem toegankelijk zijn, kunt u de toegangsrechten zo nodig opnieuw instellen, zodat alleen geautoriseerde gebruikers bij de herstelde gegevens kunnen.
Stap 6: valideer de werking en de indexering
Zodra u uw EFS-versleutelde gegevens met succes naar een nieuwe locatie hebt hersteld, controleert u of de beoogde gebruikers alle bestanden kunnen openen. Een steekproef volstaat hiervoor meestal. U kunt ook met de opdracht cipher /c de verwachte vingerafdruk van het certificaat voor een bestand tonen om te controleren of het juiste certificaat toegang heeft.
Moeten de bestanden doorzoekbaar zijn (en past dat binnen uw compliance en beleid), vink dan in de bestandseigenschappen het vakje Inhoud van bestanden in deze map mag geïndexeerd worden aan.
Stap 7: ruim op en leg alles vast om compliance aan te tonen
Zodra u uw EFS-versleutelde bestanden hebt hersteld, teruggezet of verplaatst, ruimt u alle geëxporteerde certificaten en andere tijdelijke bestanden op die u niet meer nodig hebt. Is dat nodig voor compliance, leg dan vast welke gegevens zijn verplaatst en welke gebruikersaccounts en certificaten toegang hebben gekregen tot de nieuwe locatie van de bestanden. U kunt daarbij ook de vingerafdruk noteren om te bevestigen welk certificaat precies is gebruikt.
Deze gegevens kunt u opslaan in uw documentatieplatform.
NinjaOne biedt end-to-end overzicht van uw gegevensbescherming en centraliseert het beheer
De bescherming van gevoelige gegevens – voor bedrijfscontinuïteit, om bedrijfseigen data binnenshuis te houden en om te voldoen aan privacywetgeving – is een kerntaak voor IT-beheerders en managed service providers (MSP’s). Gaat het mis, dan heeft dat ernstige gevolgen voor het bedrijf.
NinjaOne biedt een uniforme set tools voor IT-administratie en -beheer, waaronder monitoring en beheer op afstand (RMM), beheer van mobiele apparaten (MDM), backup, remote access, helpdesk en meer. Al deze tools zijn nauw geïntegreerd en te automatiseren en helpen u de end-to-end-versleuteling van devices en gegevens te waarborgen. Gebruikt u EFS, dan kunt u workflows scripten om gegevens veilig te herstellen, te valideren en te verplaatsen, ACL’s toe te passen en rapporten te genereren voor compliance-audits. NinjaOne ondersteunt Windows, macOS en Linux, zodat u ook platformoverschrijdende tools voor gegevensbescherming kunt gebruiken en beleid in al uw omgevingen kunt afdwingen.
