Schrijftoegang tot verwisselbare stations zonder BitLocker-beveiliging configureren in Windows

Hoewel ze als alleen-lezen apparaten worden gekoppeld, kunnen de machtigingen van stations die niet door BitLocker worden beschermd wel worden aangepast. Dat kan de toegankelijkheid vergroten, de beveiliging verbeteren of workflows vereenvoudigen. We laten u zien hoe u schrijftoegang tot verwisselbare stations configureert die niet door BitLocker worden beschermd en geven aanbevelingen om ze te beheren en te beveiligen.

Schrijftoegang configureren voor stations zonder BitLocker

Dit zijn de verschillende methoden om toegang tot uw niet-versleutelde station in te stellen.

Via de Editor voor lokaal groepsbeleid

Volg deze stappen om de schrijftoegang tot een verwisselbaar station zonder BitLocker-beveiliging te wijzigen met de Editor voor lokaal groepsbeleid:

1. Open de Editor voor lokaal groepsbeleid door op Win + R te drukken, “gpedit.msc” te typen en op OK te klikken.
2. Navigeer in het linkerdeelvenster via de volgende route naar de map Verwisselbare gegevensstations:

Computerconfiguratie → Beheersjablonen → Windows-onderdelen → BitLocker-stationsversleuteling → Verwisselbare gegevensstations

3. Dubbelklik in het rechterdeelvenster op Schrijftoegang weigeren tot verwisselbare stations die niet door BitLocker worden beschermd.
4. Selecteer Niet geconfigureerd (de standaardinstelling) of Uitgeschakeld en klik daarna op OK om schrijftoegang toe te staan. Selecteer Ingeschakeld en klik op OK om schrijftoegang te blokkeren.

Wilt u dit beleid op specifieke gebruikers of groepen toepassen, maak dan een aangepaste Microsoft Management Console (MMC) waarin die zijn opgenomen. Vanuit die MMC configureert u hun schrijftoegang tot verwisselbare stations met de bovenstaande stappen.

Via de Register-editor (regedit)

Met de Register-editor staat u in Windows schrijftoegang tot USB-stations en vergelijkbare verwisselbare stations toe of blokkeert u die. Dit zijn de stappen:

1. Open de Register-editor door op Win + R te drukken, “regedit” te typen en op Enter te drukken.
2. Navigeer via deze route naar een specifieke map:

HKEY_LOCAL_MACHINE → SOFTWARE → Policies → Microsoft → Windows → RemovableStorageDevices → {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}

3. Maak een nieuwe 32-bits DWORD-waarde en noem deze Deny_Write.
4. Ken een van de volgende waardegegevens toe voordat u op OK klikt:

• • 0 – Schrijftoegang inschakelen
  • 1 – Schrijftoegang uitschakelen

5. Sluit de Register-editor en start uw computer opnieuw op.

Hoewel elke DWORD-waarde in het Windows-register maar vier bytes groot is, is die wel bepalend voor een soepel werkend OS. Het is dus essentieel om uw DWORD-waarden de juiste namen en de juiste functies te geven – waar (1) of onwaar (0).

Via Lokaal beveiligingsbeleid

Met Lokaal beveiligingsbeleid schakelt u USB-schrijftoegang voor verwisselbare stations zonder BitLocker-beveiliging in of uit.

1. Open het portaal Lokaal beveiligingsbeleid door op de Windows-toets + R te drukken, “secpol.msc” te typen en op Enter te drukken.
2. Ga via deze route naar de map Toegang tot verwisselbare opslag:

Computerconfiguratie → Beheersjablonen → Systeem → Toegang tot verwisselbare opslag

3. Dubbelklik in de kolom Beleid op het beleid Verwisselbare schijven: schrijftoegang weigeren om het te bewerken.
4. Klik in de kolom Beveiligingsinstelling met de rechtermuisknop en selecteer Ingeschakeld om schrijftoegang te weigeren of Uitgeschakeld om schrijftoegang toe te staan.
5. Sluit het portaal en start uw computer opnieuw op.

Wilt u de configuratie- en verificatiestappen zien, bekijk dan deze korte video: ‘Schrijftoegang tot verwisselbare stations zonder BitLocker-beveiliging configureren in Windows’.

De configuratie van schrijftoegang tot verwisselbare stations testen en verifiëren

Controleren of het beleid correct is toegepast

Nadat u de beveiligingsinstellingen voor verwisselbare stations in Windows hebt geconfigureerd, kunt u nagaan of ze correct zijn toegepast.

1. Sluit uw verwisselbare station (bijvoorbeeld een USB-stick of SD-kaart) aan op uw computer.
2. Open Verkenner. Klik met de rechtermuisknop op het station en kies Eigenschappen.
3. Klik op het tabblad Beveiliging. Kies onder Groeps- of gebruikersnamen de gebruiker of groep waarvoor deze instelling of dit beleid geldt.
4. In het machtigingenvenster eronder staat, afhankelijk van het type toegang dat u hebt ingesteld, wel of geen vinkje in de kolom Toestaan naast “Schrijven”.

U kunt het venster Groeps- of gebruikersnamen ook gebruiken om andere gebruikers of groepen te selecteren en hun beveiligingsinstellingen te vergelijken, bijvoorbeeld om te bevestigen dat de ene groep wel schrijftoegang tot verwisselbare stations heeft en de andere niet.

Veelvoorkomende oplossingen als de instelling geen effect heeft

Is de status “alleen-lezen” van een station niet veranderd nadat u de schrijftoegang tot verwisselbare stations hebt geconfigureerd, probeer dan een van deze acties:

• Controleer of er een fysieke schakelaar is: USB-sticks en SD-kaarten hebben meestal een schuifschakelaar om schrijftoegang te vergrendelen of te ontgrendelen. Heeft uw station die, zorg dan dat hij in de juiste stand staat.
• Controleer de opslagruimte van uw station: zodra de vrije ruimte op is schakelt uw station automatisch over op de modus “alleen-lezen”. Verplaats in dat geval de bestanden van uw station en maak er een back-up van voordat u de schrijftoegang configureert.
• Controleer op virussen: virussen of malware op uw verwisselbare station kunnen de schrijftoegang (en zelfs de leestoegang) tot dat station blokkeren. Scan het station voor de zekerheid met het antivirusprogramma van uw computer en pak bestaande dreigingen meteen aan of verwijder ze.

Beveiliging en compliance bij het configureren van schrijftoegang tot verwisselbare stations

Om de beveiligingsrisico’s van schrijftoegang tot een verwisselbaar station zonder BitLocker te beperken, houdt u rekening met de volgende overwegingen en maatregelen op het gebied van beveiliging en compliance.

Beveiligingsdreigingen beperken (zoals malware en ongeautoriseerde gegevensoverdracht)

• Haal alles uit het antivirusprogramma van uw device. Schakel realtimebeveiliging in, stel een firewall in en scan uw device en stations regelmatig op mogelijke malware.
• Werk uw devices voortdurend bij. Dat geldt niet alleen voor de software op uw computer, maar ook voor de stuurprogramma’s van uw verwisselbare opslag.
• Wees op uw hoede voor onbekende en verdachte bestanden op uw station. Klik deze bestanden niet rechtstreeks aan. Scan in plaats daarvan uw station en volg de stappen die uw antivirustool voorstelt.

BitLocker en beleid voor verwisselbare stations

Wat is BitLocker?

BitLocker is een ingebouwde beveiligingsfunctie van Windows die uw station via gegevensversleuteling beschermt tegen ongeautoriseerde toegang. Zonder de juiste sleutel en/of het juiste wachtwoord om uw station te ontsleutelen, lijken de gegevens erop door elkaar gehusseld en zijn ze onbruikbaar voor buitenstaanders. BitLocker is vooral nuttig wanneer uw station kwijtraakt, wordt gestolen of uit gebruik wordt genomen.

Zo beschermt BitLocker verwisselbare stations

BitLocker-stationsversleuteling geldt via de functie BitLocker To Go ook voor verwisselbare opslag. Dat is geschikt voor USB-sticks, SD-kaarten, externe harde schijven en andere stations die zijn geformatteerd met NTFS, FAT16, FAT32 of exFAT. Net als bij vaste stations versleutelt BitLocker de gegevens op uw verwisselbare device en vraagt het u om een wachtwoord aan te maken of een gegenereerde herstelsleutel op te slaan, zodat u de gegevens weer kunt openen.

Risico’s van schrijftoegang tot onbeschermde stations

Schrijftoegang tot een niet-versleuteld station scheelt stappen wanneer u de gegevens erop wilt wijzigen, maar het maakt het station ook kwetsbaar voor tal van beveiligingsrisico’s, waaronder:

• Gegevensdiefstal: Gevoelige gegevens, zoals persoonlijke en financiële gegevens, kunnen door onbevoegde gebruikers eenvoudig worden gestolen of zelfs worden gewijzigd zonder dat u het merkt.
• Onbedoeld verwijderen: Onzorgvuldig gebruik van schrijftoegang kan ertoe leiden dat u per ongeluk cruciale bestanden of mappen verwijdert, met weinig mogelijkheden om ze terug te halen.
• Verspreiding van malware: Met onbeperkte schrijftoegang kan uw station een thuisbasis worden voor malware die kwaadwillenden er fysiek of digitaal op plaatsen.

Groepsbeleid en registerinstellingen voor het beheer van verwisselbare opslag

Wanneer meerdere eindgebruikers binnen een organisatie gevoelige werkgegevens op USB-sticks bewaren, is het correct configureren van lees- en/of schrijftoegang tot die stations cruciaal voor de cyberbeveiliging van de organisatie. IT-professionals beheren deze toegang via groepsbeleid en registerinstellingen en hebben daarvoor beheerdersrechten nodig.

Beste praktijken voor organisaties die beleid voor verwisselbare opslag beheren

Voor organisaties en zakelijke omgevingen waar medewerkers regelmatig met externe opslag met gevoelige gegevens werken omvatten de beste praktijken voor het beheren van machtigingen voor verwisselbare stations in Windows het volgende:

• Zorg dat het juiste beleid voor de juiste gebruikers en groepen geldt. Onbevoegde gebruikers schrijftoegang geven tot niet-versleutelde stations kan leiden tot verlies of verkeerd gebruik van belangrijke werkgegevens.
• Stel “alleen-lezen” in als standaard en schakel automatisch afspelen uit. Schrijftoegang tot verwisselbare stations blijft bij voorkeur voorbehouden aan gebruikers met beheerdersrechten. Door automatisch afspelen uit te schakelen, voorkomt u bovendien dat kwaadaardige programma’s automatisch starten zodra een station op een computer wordt aangesloten.
• Stimuleer veilige opslag van verwisselbare stations. Herinner eindgebruikers eraan om hun USB-sticks, SD-kaarten en externe harde schijven op koele, beschermde plekken te bewaren, zoals in een kluis of een afgesloten lade.

Gevolgen voor compliance (zoals GDPR, HIPAA en NIST-aanbevelingen)

Of u schrijftoegang tot verwisselbare stations zonder BitLocker nu hebt in- of uitgeschakeld, naleving van bepaalde instanties en regels rond zorgvuldige gegevensverwerking is noodzakelijk. Het gaat om de volgende regelgeving:

• GDPR – Volgens artikel 5(e) van de GDPR over opslagbeperking mogen persoonsgegevens die worden verwerkt voor archivering, onderzoek of statistiek niet onbeperkt worden bewaard, maar alleen zolang ze nuttig zijn. Zo blijven de privacy en veiligheid van de betrokkenen beschermd.
• HIPAA – Deel 164.310 van de Security Rule van de Health Insurance Portability and Accountability Act (HIPAA) benadrukt dat organisaties die elektronische beschermde gezondheidsinformatie (ePHI) verwerken maatregelen moeten treffen voor het veilige transport, gebruik en beheer van devices en media met ePHI. Daar horen een goede gegevensback-up en opslag bij.
• NIST – Special Publication 800-88 van het National Institute of Standards and Technology (NIST) bevat uitgebreide richtlijnen voor het “opschonen” van verschillende soorten elektronische media, waaronder de “bescherming [van gegevens] tegen . . . hersteltechnieken . . . via de standaard lees- en schrijfopdrachten aan het opslagapparaat”.

Alternatieve beveiligingsmaatregelen voor niet-versleutelde verwisselbare stations

Gebruik voor het beveiligen van verwisselbare stations de juiste programma’s en tools om ze te vergrendelen en te versleutelen. Met deze acties zorgt u ervoor dat uw verwisselbare stations – of die van andere eindgebruikers – buiten bereik van kwaadwillenden blijven.

BitLocker-versleuteling afdwingen voor alle verwisselbare stations

De betrouwbaarste methode is waarschijnlijk de eigen versleutelingsfunctie van Windows, en dan specifiek BitLocker To Go, voor verwisselbare opslag. Gebruikers kunnen stations die door BitLocker worden beschermd lezen en beschrijven met de wachtwoorden en herstelsleutels die nodig zijn om ze te ontsleutelen. Werkt u liever niet met BitLocker, gebruik dan versleutelingstools van derden om uw verwisselbare stations achter slot en grendel te houden.

Beleid voor data loss prevention (DLP) invoeren

Als DLP-beleid wordt afgedwongen, herkent en beschermt het gevoelige gegevens – van persoonlijke informatie tot financiële gegevens – op meerdere endpoints en vormt het een extra beveiligingslaag. Dit beleid kunt u afstemmen op de doelen en middelen van uw organisatie en op het soort gegevens dat u wilt beschermen tegen onbevoegden en aanvallers.

Toegang tot verwisselbare opslag controleren via Logboeken in Windows

Tot slot kunt u Logboeken in Windows gebruiken om toegang tot verwisselbare stations handmatig vast te leggen. Dat doet u zo:

1. Open Logboeken door op de knop Start te klikken, “logboeken” te typen en Logboeken te selecteren.
2. Klik in het linkerdeelvenster onder de map Windows-logboeken op Beveiliging.
3. Gebruik de volgende gebeurtenis-ID’s om geslaagde of mislukte lees- en schrijfpogingen op verwisselbare stations te volgen:

• • Gebeurtenis 4663 – Geslaagd
  • Gebeurtenis 4656 – Mislukt

Op basis van deze logboeken kunt u beleid voor schrijftoegang tot verwisselbare opslag op endpoints opstellen of waar nodig bijstellen.

Wanneer staat u schrijftoegang tot onbeschermde verwisselbare stations toe en wanneer beperkt u die?

Wie schrijftoegang tot verwisselbare stations mag krijgen, hangt vaak af van de structuur, doelen en workflow van een organisatie (die soepeler kan verlopen wanneer die toegang wordt verleend, ook voor onbeschermde opslag). Houd er altijd rekening mee dat deze keuze aanzienlijke risico’s met zich meebrengt, waaronder een grotere kans op diefstal en misbruik van gevoelige gegevens.

Tenzij schrijftoegang tot onbeschermde stations absoluut noodzakelijk is, raden we u sterk aan om alle verwisselbare opslag te beveiligen met BitLocker of een andere versleutelingstool van derden en het opslagbeleid voor de betreffende gebruikers en groepen voortdurend bij te werken.