Veilige online datasharing oplossing

[cspr]

Ik zoek voor mijn team van ca. 10 personen een veilige online datasharing oplossing (evt. in combinatie met project mgmt / task mgmt).

 

Wij moeten voor verschillende projecten bestanden delen met teamleden die niet bij elkaar op kantoor zitten. Erg belangrijk is dat deze bestanden veilig online staan, want het gaat om gevoelig materiaal.

 

De oplossing mag evt gecombineerd zijn met project management en task management.

 

Wie kan me hier mee helpen?

[incassodiensten]

http://roamdisk.com/ - Is dit misschien een oplossing?

[SimonvL]

Je geeft niet zoveel informatie over de data die gedeeld moet worden.

 

Een eenvoudige, veilige en snelle manier is Dropbox. Tot 2 GB gratis, daarna betaalde abonnementen.

 

Wat mij betreft werkt dat prima, ook voor grotere groepen. Alleen de files die ik deel, zijn niet echt groot.

[Maarten]

Zodra je documenten bij een andere partij onder brengt heeft die andere partij in principe toegang tot je bestanden. Je moet dan volledig op die andere partij kunnen vertrouwen en je moet er zeker van zijn dat die partijen zijn servers goed heeft beveiligd. Het risico is vrij hoog, maar er zijn een groot aantal aanbieders (Google Docs, Dropbox etc). Een andere oplossing is dat je je eigen server in beheer neemt, of je eigen server door een betrouwbare partij laat beheren.

 

Je voorkomt problemen door zelf je bestanden te versleutelen. De versleutelde bestanden kun je dan vervolgens neerzetten bij welke partij je maar wilt, zonder sleutel kan niemand wat met de data. Er zijn hiervoor heel veel software oplossingen beschikbaar. Er zijn oplossingen waarmee je een sleutel deelt met alle medewerkers, en oplossingen waarbij je per bestand kunt instellen wie er toegang toe mag hebben (wie het bestand mag decoderen). Waar je voor kiest hangt geheel af van je wensen en het gebruik (versiebeheer, backups, collaboration, besturingssysteem, soort bestanden etc). Via Google kun je al heel veel vinden, zoek bijvoorbeeld eens op TrueCrypt, GPG of Freenigma.

[StevenK]

Bij bijvoorbeeld Dropbox wordt alles al versleuteld en zoals gezegd, als het niet meer dan 2 GB is, is het zelfs gratis, maar $ 100 per jaar voor 50 GB is ook niet schokkend duur.

 

Daarbij heb je dan ook nog eens de mogelijkheid oude versies terug te halen.

[cspr]

De documenten die gedeeld worden zijn word docs, spreadsheets, powerpoints en pdf's.

 

Ik heb geen ervaring met het inrichten van een eigen server. Wat voor oplossingen bestaan daar voor. Ik wil mijn teamleden niet opzadelen met ingewikkelde handelingen, vandaar dat ik dacht aan een online service, waar je gewoon kunt inloggen.

[StevenK]

De documenten die gedeeld worden zijn word docs, spreadsheets, powerpoints en pdf's.

 

Ik heb geen ervaring met het inrichten van een eigen server. Wat voor oplossingen bestaan daar voor. Ik wil mijn teamleden niet opzadelen met ingewikkelde handelingen, vandaar dat ik dacht aan een online service, waar je gewoon kunt inloggen.

Juist daarvoor is dropbox een uitstekend systeem. Je kunt er online mee werken, maar ook met een lokale kopie, en daarnaast ook vanaf diverse mobiele devices. Zelf gebruik ik het icm QuickOffice Connect op mijn iPhone, werkt echt briljant, altijd al mijn data bij de hand.

[cspr]

Is dit wel een veilige oplossing? Wat we ook niet willen is dat omdat het gratis is, het bedrijf erachter de data gaat lopen scannen.

[StevenK]

Is dit wel een veilige oplossing? Wat we ook niet willen is dat omdat het gratis is, het bedrijf erachter de data gaat lopen scannen.

Staat het een en ander over op hun site. De data wordt ge-encrypt met je eigen wachtwoord, dus zonder wachtwoord is de data niet te lezen.

[Maarten]

Staat het een en ander over op hun site. De data wordt ge-encrypt met je eigen wachtwoord, dus zonder wachtwoord is de data niet te lezen.

 

Steven! De data wordt versleuteld bij Amazon opgeslagen zoals ze zelf ook beweren, maar daar blijft het bij. De hashes worden in een database opgeslagen, je wachtwoord wordt nooit gebruikt voor het versleutelen.

 

Dropbox beweerd dat hun personeel geen toegang heeft tot je bestanden, maar zelf hebben ze dat uiteraard wel. Het DB team zoals ze het noemen heeft toegang tot de database en dus tot de bestanden.

 

Op elke website waar je op de website zelf je wachtwoord moet opgeven kan er iets gemaakt worden wat je wachtwoord bewaard. Iedereen die toegang heeft tot de server kan dat doen.

 

Encryptie is alleen veilig als je het zelf aan de client zijde doet. Er vanuit gaan dat iets veilig is omdat dat op die website beweerd wordt is een slechte zaak. Dropbox is best bruikbaar, maar je bestanden zul je zelf moeten versleutelen om er voor te zorgen dat alleen de personen die jij uit kiest er toegang toe hebben.

[cspr]

Wat zijn dan makkelijke oplossingen die je op een eigen server kunt gebruiken?

 

Ik wil nl het liefst een systeem waarbij de gebruikers niet ingewikkeld met ftp programma's moeten gaan werken. Comfort en gebruiksgemak is bij de gezochte oplossing naast veiligheid een erg belangrijke eis.

[StevenK]

Staat het een en ander over op hun site. De data wordt ge-encrypt met je eigen wachtwoord, dus zonder wachtwoord is de data niet te lezen.

 

Steven! De data wordt versleuteld bij Amazon opgeslagen zoals ze zelf ook beweren, maar daar blijft het bij. De hashes worden in een database opgeslagen, je wachtwoord wordt nooit gebruikt voor het versleutelen.

Hoe het precies werkt wordt mij uit hun site niet duidelijk, maar het lijkt erop dat jouw uitleg juist is:

To ensure everyone has the ability to view and share files on the web painlessly, Dropbox currently does not support the creation of your own private keys. However, allowing user control over this is something we might consider adding in the future.

Dropbox beweerd dat hun personeel geen toegang heeft tot je bestanden,

Meer specifiek: dat ze geen toegang hebben tot de inhoud van de bestanden en dat voor benadering je wachtwoord vereist is.

Dropbox employees aren't able to access user files, and when troubleshooting an account they only have access to file metadata (filenames, file sizes, etc., not the file contents)

 

All files stored on Dropbox servers are encrypted (AES-256) and are inaccessible without your account password

maar zelf hebben ze dat uiteraard wel. Het DB team zoals ze het noemen heeft toegang tot de database en dus tot de bestanden.

Interessant, daar wil ik meer van weten.

Op elke website waar je op de website zelf je wachtwoord moet opgeven kan er iets gemaakt worden wat je wachtwoord bewaard. Iedereen die toegang heeft tot de server kan dat doen.

Klopt, net zoals elke pinautomaat geskimmed kan worden.

Encryptie is alleen veilig als je het zelf aan de client zijde doet. Er vanuit gaan dat iets veilig is omdat dat op die website beweerd wordt is een slechte zaak. Dropbox is best bruikbaar, maar je bestanden zul je zelf moeten versleutelen om er voor te zorgen dat alleen de personen die jij uit kiest er toegang toe hebben.

Aanvulling: encryptie is alleen veilig als dat met een eigen gekozen key doet en deze key niet met anderen gedeeld wordt. Delen van bestanden staat daar haaks op.

 

En de vraag die meteen daarna komt is wat uiteindelijk the weakest link is. Je kunt encrypten tot je een ons weegt, maar als je gebruikers daarna de encryptie-code op een post-it schrijven of de documenten uitprinten en laten slingeren helpt het nog niets.

[Maarten]

Aanvulling: encryptie is alleen veilig als dat met een eigen gekozen key doet en deze key niet met anderen gedeeld wordt. Delen van bestanden staat daar haaks op.

 

Nee, in principe is dat gewoon mogelijk het maakt het alleen wel gecompliceerd. Een goede implementatie is bijvoorbeeld PGP of S/MIME wel specifiek gemaakt is voor het veilig versturen van berichten. Je hebt hierbij een public key en een private key, met de public key kun je iemand anders berichten sturen welke alleen met de private key gedecodeerd kunnen worden. Soortgelijke oplossingen zijn er ook voor bestanden (PGP en S/Mime zijn ook geschikt voor bestanden), maar het komt wel tegen een prijs, de gebruiksvriendelijkheid gaat omlaag. Je hoeft echter geen wachtwoorden te delen, je hebt alleen de public keys van de anderen nodig.

 

En de vraag die meteen daarna komt is wat uiteindelijk the weakest link is. Je kunt encrypten tot je een ons weegt, maar als je gebruikers daarna de encryptie-code op een post-it schrijven of de documenten uitprinten en laten slingeren helpt het nog niets.

 

Klopt helemaal. Daarom heb je weer hardware tokens waar de private key op staat en er nooit meer is af te halen ook niet door virussen en dergelijke.

[StevenK]

Overigens, heerlijke discussie dit: bij mij beginnen er meteen weer allerlei ideeën door mijn hoofd te spoken van diensten waarmee deze tekortkomingen het hoofd geboden worden.

 

Ik denk dat aan een combinatie van S3 storage, client-side encryptie op basis van een TTP stored key waarbij die key op zich ook weer encrypted gestored wordt, voor elke toegelaten user apart.

[StevenK]

Nee, in principe is dat gewoon mogelijk het maakt het alleen wel gecompliceerd. Een goede implementatie is bijvoorbeeld PGP of S/MIME wel specifiek gemaakt is voor het veilig versturen van berichten. Je hebt hierbij een public key en een private key, met de public key kun je iemand anders berichten sturen welke alleen met de private key gedecodeerd kunnen worden. Soortgelijke oplossingen zijn er ook voor bestanden (PGP en S/Mime zijn ook geschikt voor bestanden), maar het komt wel tegen een prijs, de gebruiksvriendelijkheid gaat omlaag. Je hoeft echter geen wachtwoorden te delen, je hebt alleen de public keys van de anderen nodig.

Met met zo'n keypair kun je nog niet gezamenlijk aan bestanden werken, en dat wat juist het uitgangspunt van deze draad.

Klopt helemaal. Daarom heb je weer hardware tokens waar de private key op staat en er nooit meer is af te halen ook niet door virussen en dergelijke.

Yup, heb ooit, inmiddels ruim tien jaar geleden, een oplossing voor een overheidsorganisatie gebouwd waarbij we RSA SecurID's gebruikten. Werkte mooi en kwam fluitend door de security audit heen.

 

Overigens blijft dat in mijn ogen de veiligste oplossing: niks webbased, maar terminal based, zodat alleen toetsenbord- en beeldscherminformatie (encrypted) over de lijn gaat en alle data intern opgeslagen blijft.

[Maarten]

Ik denk dat aan een combinatie van S3 storage, client-side encryptie op basis van een TTP stored key waarbij die key op zich ook weer encrypted gestored wordt, voor elke toegelaten user apart.

 

http://www.jungledisk.com/business/ doet ongeveer wat je beschrijft. Het maakt gebruik van client encryptie op basis van een zelf gekozen master password welke niet bij Jungle Disk wordt opgeslagen.

 

[StevenK]

Ik denk dat aan een combinatie van S3 storage, client-side encryptie op basis van een TTP stored key waarbij die key op zich ook weer encrypted gestored wordt, voor elke toegelaten user apart.

 

http://www.jungledisk.com/business/ doet ongeveer wat je beschrijft. Het maakt gebruik van client encryptie op basis van een zelf gekozen master password welke niet bij Jungle Disk wordt opgeslagen.

 

Bijna, maar dan moet je die key nog weer gaan sharen. Ik denk juist aan iets waar als er drie gebruikers A,B en C, zijn er keys zijn voor A, B,C, AB, AC, en BC.

[lemans3]

Je data moet Top secret zijn om een steeds groeiend partij als Dropbox te wantrouwen. Laat mij maar voor op stellen de oprichter van drop box Drew Houston heeft grote namen als YCombinator achter zicht en die zullen niet toelaten dat hun naam beschadigen. Als je je documenten op filesharing niveau beveiligd dan is niks aan de hand. Wil je topsecret documeneten veilig over de WWW distribueren dan is nergens veilig genoeg. Een wizkid zal altijd de ruimte zien te kraken. Dus als je heel veilig wilt spelen, installeer eigen server met server/client software. Gebruik geen ADSL maar een telefoonlijn verbinding.

[Maarten]

Je data moet Top secret zijn om een steeds groeiend partij als Dropbox te wantrouwen. Laat mij maar voor op stellen de oprichter van drop box Drew Houston heeft grote namen als YCombinator achter zicht en die zullen niet toelaten dat hun naam beschadigen. Als je je documenten op filesharing niveau beveiligd dan is niks aan de hand. Wil je topsecret documeneten veilig over de WWW distribueren dan is nergens veilig genoeg. Een wizkid zal altijd de ruimte zien te kraken. Dus als je heel veilig wilt spelen, installeer eigen server met server/client software. Gebruik geen ADSL maar een telefoonlijn verbinding.

 

Als je je gegevens lokaal versleuteld dan kun je ze overal over versturen en opslaan waar je wilt. Met het gebruik van SSL en dergelijke maakt het verder ook niets uit of je nu een telefoonlijn of ADSL gebruikt, die opmerking slaat nergens op. Ik beweer ook nergens dat je Dropbox niet zou kunnen vertrouwen, je moet je alleen wel goed beseffen dat ze daar toegang tot je bestanden hebben. Als je hun daarmee vertrouwd is er niets aan de hand.

[Maarten]

Je data moet Top secret zijn om een steeds groeiend partij als Dropbox te wantrouwen. Laat mij maar voor op stellen de oprichter van drop box Drew Houston heeft grote namen als YCombinator achter zicht en die zullen niet toelaten dat hun naam beschadigen.

 

http://www.theinquirer.net/inquirer/news/2080434/dropbox-admits-sign-cloud

 

Een jaar later, maar toont perfect aan dat je niet zomaar partijen moet vertrouwen, wie ze ook achter zich hebben of hoe goed hun naam ook is. Doe altijd zelf je encryptie, en gebruik tools als TrueCrypt, dan houd je het zelf allemaal in de hand.

[Linda Bovenkamp]

Ik zou in ieder geval NIET voor Dropbox kiezen. Ik hoor de laatste tijd erg veel verhalen over lekken en andere rare dingen in hun systeem.

[M. van Weeghel]

Ikzelf gebruik Teamviewer.

 

Ik werk vaak vanaf andere locaties, en gebruik dit programma om in te loggen op mijn andere systemen op kantoor en thuis. Als Teamviewer op alle systemen van je werknemers is geïnstalleerd, kunnen zij met de juiste credentials op afstand verbinding maken met een systeem op kantoor om bestanden op te halen. Makkelijk, veilig en gratis.

[ebogaard]

Zelf zie ik drie soorten on-line opslag:

1. De back-up variant. O.a. KPN levert hier een oplossing voor. Dit is in feite een passief archief waar jouw bestanden volgens een bepaald schema naartoe worden gekopieerd. Handig als je gewoon een back-up wilt hebben, niet echt handig om bestanden beschikbaar te maken op verschillende PC’s. Er zijn ook voldoende klachten geweest over betrouwbaarheid en snelheid.

2. Dropbox en varianten. Je krijgt hierbij een ‘gedeelde map’ op je PC die de bestanden synchroniseert met alle apparaten/accounts die ook toegang hebben tot die map. Dit is met name gericht op consumenten, niet zozeer op een zakelijke omgeving. Het voegt verder ook geen functionaliteit toe, anders dan het kunnen synchroniseren van bestanden. Het gevaar bestaat dat je tegelijkertijd aan hetzelfde bestand werkt: dan krijg je moeilijk oplosbare conflicten en mogelijk gegevensverlies. Eventueel te gebruiken in kleine bedrijven en met goede onderlinge werkafspraken.

3. Samenwerkingsomgevingen. Bijvoorbeeld van ECM2 of op basis van SharePoint. Een centrale opslagplaats voor bestanden, waarbij extra functionaliteit aan is toegevoegd. Bijvoorbeeld versiebeheer, zodat je ook de oude versies van bestanden nog kan openen, het kunnen doorzoeken van de documenten en het tijdelijk ‘op slot zetten’ van documenten, zodat je zeker weet dat er niemand anders aan hetzelfde document werkt. Sommige oplossingen geven ook de mogelijkheid om aparte omgevingen aan te maken, waardoor je bijvoorbeeld een klant of leverancier toegang kan geven tot een deel van de bestanden.

 

Zaken als Teamviewer zie ik echt als houtje-touwtje oplossingen. Voor sommigen zal dat prima voldoen, maar het geeft geen antwoord op de vraag voor ‘Veilige online datasharing oplossing’.

En vergeet bij het kiezen van een oplossing niet ook nog te kijken naar de leverancier. Als jouw documenten/data op machines van een Amerikaanse provider worden geplaatst, kan de Amerikaanse overheid altijd eisen om dit in te zien.

 

[wouterz]

Laten we even terug gaan naar de vraag van de topicstarter. Eigenlijk heeft die zijn vraag nog niet helder. En tot dat hij zijn vraag helder heeft kunnen we eigenlijk niet goed oplossingen definieren. Een paar vragen die bij mij op kwamen:

 

- Wil je alleen document sharing tussen collega's?

- Wil je eventueel ook commentaar kunnen leveren op elkaars documenten?

- Mogen alle collega's dan ook alle documenten zien? Is er een rechtensysteem nodig?

- Is de documentsharing alleen nodig ivm met projecten?

- Wil je klanten ook toegang kunnen geven tot documenten over projecten?

- Welke eisen stel je aan vertrouwlijkheid? wil je het afgeschermd hebben voor concurrenten? Of moet ook elk risico worden vermeden dat de data ooit in verkeerde handen valt? Je moet je afvragen of je je data security uit handen kunt geven, over het algemeen kan dat als het belang van het bedrijf waar je je data aan toevertrouwd even groot of liefst groter is dan jouw belang om de data veilig te stellen (0 risico bestaat sowieso niet in deze)?

- Welke eisen stel je aan beschikbaarheid van de data?

- Welke eisen stel je aan de integriteit van de data? Denk ook aan backups mocht er iets misgaan met je data bij externe partij?

 

Wie vult aan?

 

P.S. een leuke eenvoudig projectmanagement/tasklist oplossing kun je vinden via www.37signals.com, hun product basecamp is erg eenvoudig en doeltreffend.

[member123]

Je geeft niet zoveel informatie over de data die gedeeld moet worden.

 

Een eenvoudige, veilige en snelle manier is Dropbox. Tot 2 GB gratis, daarna betaalde abonnementen.

 

Wat mij betreft werkt dat prima, ook voor grotere groepen. Alleen de files die ik deel, zijn niet echt groot.

dropbox is leuk, maar met 10 personen voorzie ik daar echt een drama in.

als 5 mensen hetzelfde bestand open hebben staan een beetje scrollen en weer sluiten heb je daarna 6 versies van dat bestand in de dropbox staan.

Gebruik het nu ruim 1 jaar met 2 personen en hebben daar al 3 keer per week mee te maken omdat we per ongeluk beide tegelijk open hadden staan.

[michaelb]

Ikzelf gebruik Teamviewer.

 

Ik werk vaak vanaf andere locaties, en gebruik dit programma om in te loggen op mijn andere systemen op kantoor en thuis. Als Teamviewer op alle systemen van je werknemers is geïnstalleerd, kunnen zij met de juiste credentials op afstand verbinding maken met een systeem op kantoor om bestanden op te halen. Makkelijk, veilig en gratis.

 

Ik wil erop wijzen dat TEAMVIEWER voor zakelijk gebruik NIET gratis is. En aangezien we allemaal ondernemers zijn is dat wel handig om te weten.