Interview met Jaap Jan Visser verantwoordelijk voor Ontrack Nederland - Hét bedrijf voor data recovery en datavernietiging.

Tekst: Ria Luitjes
Foto’s: Ontrack

Sinds 2008 staat Jaap Jan (49) aan het roer van Ontrack Nederland. Elke dag werkt hij met zijn team aan het blij maken van klanten door hun data terug te halen van bijvoorbeeld een beschadigde harde schijf, server of mobiele telefoon. Hierdoor weten zij als geen ander hoe en ook hoe moeilijk het is om data van een datadrager te verwijderen. Harde schijven, mobieltjes of SSD kaarten, formatteren, verbranden of onderdompelen in water is absoluut geen garantie dat de data verdwenen is. Voor CA+ ga ik in gesprek met Jaap Jan Visser over de unieke business waarin hij werkt. Maar ook over de samenwerking met Brantjes data-vernietiging BV, het CA+ gecertificeerde bedrijf van Nijssen Recycling waar Mark de Boer de scepter zwaait.

Jaap Jan Visser

Wat voor bedrijf is Ontrack?
‘Ontrack is een onderdeel van KLDiscovery een internationaal bedrijf met wereldwijd 40 vestigingen, in 20 landen waar meer dan 1.200 mensen werken. Wij zijn een nerd bedrijf. Ik zeg wel eens; wij spelen Champions League in de eDiscovery, data recovery en data destruction. Een beetje vergelijkbaar met Bayern München; een top team met een goeie financiële structuur. Wij gaan verder daar waar anderen stoppen. Dat maakt ons uniek in ons vakgebied. Wij willen altijd het naadje van de kous weten, we zoeken alles uit en blijven doorzoeken tot we ons doel bereikt hebben. Dit doen wij al 40 jaar. Stilstaan doen wij nooit, want de industrie staat ook niet stil. Wij moeten continue bijblijven en voorop lopen. Een behoorlijke uitdagende maar geweldige taak.’

Werken aan een harde schijf in het lab

‘Wij richten ons op eDiscovery en digitaal forensisch onderzoek. Het vinden van digitaal bewijs wat betekent dat wij voor bedrijven grote hoeveelheden data verzamelen en structureren. Dit is vooral in Amerika een grote industrie, gevoed door het juridische systeem waarbij zeer veel informatie ingezet mag worden in een rechtszaak. Verder richten wij ons veel ons op data recovery. Wij zijn vaak de last resort. Wij zijn de partij waar mensen naartoe komen als het anderen niet gelukt is om data te terug te halen van een beschadigde datadrager of corrupte servers.

Soms lijkt ons werk wel een beetje op de tv-series zoals CSI. Alleen in de serie hebben ze het in een uurtje opgelost. Dat is in de praktijk zeker niet het geval. Het blijft een ingewikkeld proces waar tijd voor nodig is.’

Verbrande laptop waar de data nog van te achterhalen was.

Op jullie website staan een stuk of 20 verschillende data dragers. Denk je dat mensen zich bewust zijn van de hoeveelheid data dragers waarvan de data ‘makkelijk’ te achterhalen zijn? Wat kom je het meeste tegen?

‘Nee, nog steeds niet. Dat geldt voor consumenten, maar ook voor het management van topbedrijven en eigenlijk alles wat daartussen zit. Wat we veel zien is dat we voor consument data achterhalen van de mobiele telefoon. Mensen gebruiken tegenwoordig hun mobiel ook als harde schijf. Daar is deze natuurlijk niet helemaal voor bedoeld. Als deze kapot gaat, is het soms niet meer mogelijk bij de data te komen voor de eigenaar. Maar ook bedrijven, die de dupe worden van een ransomware aanval, roepen onze hulp in om de data te herwinnen. Dat neemt op dit moment door het vele thuiswerken wel toe.’


Verschillende datadragers

Hoe ziet de toekomst eruit, waar moeten we ons zorgen over maken?
‘Bedrijven moeten zich over ransomware aanvallen zorgen maken. Veel bedrijven maken gebruik van virtuele systemen. Daar zien we veel dataverlies door gebruikers fouten. Daarom zou elk bedrijf een back-uptape of een aparte losse harde schijf van de bedrijfsdata moeten hebben.

In ieder geval een ‘drager‘ losgekoppeld van het internet, waar zijn kritische bedrijfsinformatie op staat. Ik denk namelijk dat elk bedrijf ooit een keer gehackt zal worden en dat er onvoldoende beschermingsmaatregelen tegen hacken zijn.’

Maar eigenlijk gaan we dan weer terug in de tijd. Back-up in de kluis?
‘Oud is wat mij betreft nooit weggeweest. Al zijn er heel veel mensen die minder bang zijn voor hacken en alle back-ups online hebben. Ik ben een zwaar pleitbezorger om ook je back-ups offline te hebben.’

Datalekken en data vernietigen; waar gaat het in de praktijk fout?
‘Ik denk dat het meeste fout gaat, omdat mensen niet zo goed weten hoe ze data moeten vernietigen. Men denkt dat als het niet meer zichtbaar is, dat de data dan weg is. Dat je bestand weg is als je het in een prullenbak gooit of dat je met een bepaald commando iets verwijdert. Maar niets is minder waar. Er is een hele grote groep mensen die niet precies weet hoe het in elkaar zit. Zelfs onder de mensen die juist wel zouden moeten weten hoe het in elkaar zit. Ontwikkelingen gaan snel en je weet met de meeste data-wis tools, die online verkrijgbaar zijn, nog steeds niet 100 procent zeker, dat je alle data hebt gewist.

Vaak is er in het verleden binnen een bedrijf een procedure opgesteld voor wissen en vernietigen. Daar wordt een klap op gegeven. Die procedure is daarna nooit meer opnieuw bekeken of deze nog voldoet aan de eisen van de huidige tijd. Dit verhoogt het risico op data lekken.

Mensen of bedrijven zouden zichzelf de vraag moeten stellen: is alle data gewist en wordt er klein genoeg vernietigd? Is de ‘snipper’ klein genoeg, zodat alle chips ook daadwerkelijk worden beschadigd? Zolang dat niet het geval is kan een bedrijf zoals het onze, data, die op een minuscule chip staat, uitlezen. We zien dat mensen gewoon nog steeds oude standaarden blijven gebruiken om data te vernietigen. Het aanpassen van deze procedures zou een continue proces moeten zijn binnen elk bedrijf of organisatie.’

Ontrach data recovery specialisten in het cleanroom laboratorium

Waarom werk je samen met Brantjes data vernietiging; een CA+ gecertificeerd bedrijf?
‘Wij werken vooral in een vrij hoog security spectrum. Voor onze klanten is het van essentieel belang dat de data aan het eind van het vernietigingsproces ook echt weg is. Zij kiezen vaak voor het Amerikaanse NISt protocol waarbij de data niet meer te herstellen is door een data recovery bedrijf of specialistisch lab. Ook dienen, voordat een datadrager de locatie of het gebouw verlaat, de data gewist te zijn. Wij bieden hiervoor het twee- staps- model aan in samenwerking met Brantjes. Na het wissen van de data op locatie vervoeren we de materialen naar de locatie van Brantjes waar ze door de shredder gaan en gerecycled worden. Alles geheel volgens de richtlijnen van het CA+ keurmerk.

De overgang van het bedrijfsleven naar het NISt protocol is overigens voor het CA+ Keurmerk wel iets om in de gaten te houden. Het NISt protocol, schrijft voor dat data dragers die jouw ‘invloed gebied’ verlaten, data-vrij moeten zijn. Ik denk dat er hierdoor meer vraag zal komen naar ‘onsite’ vernietigen van data.

Overigens doen we nog meer projecten met Brantjes, die voor beide partijen een voordeel opleveren. Denk aan mobiele shredder op locatie voor telefoons SDD kaarten of ID-kaarten. We zijn dan samen op een bedrijfslocatie, samen doorlopen de hele procedure om de materialen te vernietigen en de controle of alle data echt niet meer te herwinnen is. Op deze manier vormen we een goed team en zorgen ervoor dat onze klanten meer dan 100 procent ‘secure’ zijn.”

Datadrager 'snippers' uit de shredder.

Heb je nog een boodschap aan data opslaand Nederland?
‘Het specifiek vernietigen van data heb ik al benoemd, dus kijk goed naar wat je nu hebt aan processen en pas deze aan. Verder denk ik dat corporate en beleidsmakend Nederland zich er eens mee moet bemoeien. Zij moeten de verantwoordelijkheid nemen als het gaat om de vernietiging van data. Het is nu vaak belegd bij Facility Management. Maar dit zijn kritische processen. Facility management heeft niet de diepgaande kennis over wat er aan data op een datadrager staat en hoe dit het beste verwerkt kan worden. Als je serieus bent over het gevaar van datalekken ben je ook serieus over het proces dat je hiervoor volgt.’