Een medewerker opent maandagochtend zijn Zimbra-mailbox en ziet een verdacht bericht, verstuurd vanaf een intern adres maar geschreven in gebrekkig Frans. De gebruikelijke reflex is om de e-mail te verwijderen en verder te gaan met de dag.
Het probleem is dat dit bericht bij een beveiligingsincident als bewijs had kunnen dienen, maar nu zonder bruikbaar spoor is verdwenen. Bij de Zimbra-mail van CD66 (voorheen CG66) hangt het ervan af hoe een paar instellingen zijn geconfigureerd of een e-mail onschuldig is of bewaard moet blijven. De meeste gebruikers hebben die instellingen nooit aangepast.
Het verschil tussen back-ups en archivering in Zimbra CD66
Deze twee worden vaak met elkaar verward, en die verwarring leidt tot kwetsbaarheden. Een back-up herstelt een systeem na een incident: hiermee wordt de toestand van de mailbox op een bepaald moment teruggezet. Een back-up garandeert niet dat een bericht dat jarenlang wordt bewaard traceerbaar is of aan de regelgeving voldoet.
Archivering heeft een ander doel. Een bericht wordt uit de actieve database gehaald en opgeslagen op een aparte locatie, met beperkte toegangsrechten. De CNIL adviseert deze scheiding, zodat gearchiveerde gegevens niet gewoon als gewone e-mails raadpleegbaar blijven.
In Zimbra verplaatst de geïntegreerde map ‘Archief’ in de webmail berichten naar een lokale mappenstructuur, maar dit geldt niet als archivering in de zin van de regelgeving. Om toegang te krijgen tot Zimbra CD66 of CG66 en dit onderscheid goed toe te passen, moet je begrijpen dat het verplaatsen van een e-mail naar een submap niets verandert aan de toegangsrechten of de bewaartermijn.
E-mailverkeer beveiligen: Zimbra-instellingen die je moet inschakelen
De beveiliging van zakelijke e-mail is niet alleen afhankelijk van het wachtwoord. Zimbra biedt verschillende beveiligingslagen die medewerkers van het departement rechtstreeks via de webinterface kunnen instellen.
Digitale ondertekening van berichten
Door een bericht met een persoonlijk certificaat te ondertekenen, weet de ontvanger zeker dat de afzender is wie hij zegt te zijn. Dit werkt met een sleutelpaar: de privésleutel ondertekent het bericht, terwijl de openbare sleutel (opgenomen in de e-mail) de ontvanger in staat stelt de echtheid te controleren. Deze handtekening legt de ontvanger niets op; die hoeft zelf geen certificaat te hebben.
Je importeert het certificaat in Zimbra via de accountvoorkeuren, onder ‘Beveiliging’. Zodra het .p12-bestand is geladen, kan elk nieuw bericht automatisch worden ondertekend.
Sessies en wachtwoorden beheren
Een browser die een eerdere sessie heeft opgeslagen, kan de aanmelding blokkeren, zelfs als het wachtwoord correct is. Controleer voordat je contact opneemt met de helpdesk deze twee punten:
- Wis de cache en cookies van de browser waarmee je de webmail opent en meld je daarna opnieuw aan.
- Controleer of de beveiligingsinstellingen van het account niet door een beheerder zijn aangescherpt (bijvoorbeeld door tweestapsverificatie in te schakelen zonder de medewerker daarover te informeren).
- Probeer je aan te melden via een andere browser of in een privévenster om een lokaal configuratieprobleem uit te sluiten.
Deze controles nemen minder dan twee minuten in beslag en lossen de meeste gemelde toegangsproblemen op.
E-mails archiveren in Zimbra: praktische werkwijze en bewaartermijn
De AVG schrijft niet voor alle berichten één vaste bewaartermijn voor. De regel is dat je de bewaartermijn bepaalt op basis van het doel van de verwerking. In de praktijk zijn er bij een lokale overheidsinstantie zoals CD66 drie categorieën.
- Berichten over de dagelijkse werkzaamheden (planningsafspraken, interne verzoeken zonder juridische waarde): bewaren zolang ze operationeel nuttig zijn en daarna verwijderen.
- Berichten met bewijswaarde (contractuele afspraken, officiële kennisgevingen, correspondentie met inwoners): opslaan in een aparte omgeving met beperkte toegang, gedurende de termijn die geldt voor het betreffende documenttype.
- Berichten met erfgoed- of historische waarde: volgens de geldende procedures overdragen aan de departementale archieven.
Met de exportfunctie van Zimbra kun je een volledige map downloaden in .tgz-formaat. Dit bestand kan vervolgens worden opgeslagen op een aparte archiveringsserver, buiten de actieve e-maildatabase. Zo worden archieven fysiek gescheiden van gewone e-mails, in overeenstemming met de aanbevelingen van de CNIL.
Een gehackt e-mailaccount bij een overheidsinstantie: een onderschat risico
E-mail blijft het belangrijkste aanvalskanaal voor lokale overheidsinstanties. Met een gehackt account krijgt een aanvaller toegang tot alle berichten in de mailbox, inclusief bijlagen met persoonsgegevens van inwoners.
Een klassieke aanval begint met een gerichte phishingmail. De medewerker klikt op een link en voert zijn inloggegevens in op een nagemaakte pagina. De aanvaller heeft dan volledige toegang. Als de mailbox meerdere jaren aan niet-gearchiveerde berichten bevat, neemt de hoeveelheid blootgestelde gegevens toe naarmate er meer is opgeslagen.
Regelmatig archiveren en de actieve mailbox leegmaken verkleint automatisch het aanvalsoppervlak. Een account waarin alleen berichten van de afgelopen weken staan, beperkt de schade bij een inbraak. Een overvolle mailbox met duizenden e-mails biedt een aanvaller daarentegen volop mogelijkheden om rond te snuffelen.
Met de Zimbra-configuratie van CD66 kun je regels instellen om berichten in bepaalde mappen automatisch te verwijderen. Door deze regels te combineren met periodieke export naar een aparte archiveringsomgeving, creëer je een eenvoudige maar doeltreffende beveiliging waarvoor geen extra tool nodig is.
Je Zimbra-mailbox opgeruimd houden en je archieven apart bewaren is niet spectaculair. Toch maakt dit het verschil tussen een beveiligingsincident dat binnen enkele uren onder controle is en een datalek dat een heel departement wekenlang bezighoudt.
