De allerkleinste ABRO-opstelling op niveau C (TBB3) Zelfde patroon als de DV-variant (01): 2 computers + 1 versleutelde drager — maar de invulling verschilt op vier fronten

Niveau Staatsgeheim · Vertrouwelijk (C) · offline ·
Delta t.o.v. one-pager 01 (DV) gemarkeerd als Δ

De grootste verrassing op C: de USB-stick valt als goedgekeurde drager weg. IronKey en datAshur zijn alleen Departementaal Vertrouwelijk beoordeeld — voor C is er géén geëvalueerde stick. De enige Goedgekeurde Middelen-route voor dragers is Hiddn (hardware-schijfvercijfering, t/m Stg. Confidentieel). Daarmee wordt de drager in de minimale C-opstelling een hardware-versleutelde schijf, geen stick. Voor het ontvangst-traject is de elegante route bovendien bestandsvercijfering met een GM (LUNA, via cryptobeheerder) — zie het ontvangst-kader hieronder.

Stap 0 — de ontvangstketen (uitwisselingsafspraak met de OG)

4.2.1/4.2.2	Vóóraf vastgestelde uitwisselingsprocedure met de OG: welk middel, welke drager, op welke wijze — ontvangst is geen self-service maar een overdrachtsvraag; de ABRO verplicht dit gesprek vóór de eerste drager reist
route	LUNA-versleuteld bestand op willekeurige drager (verifieer de actuele beoordeling op de AIVD-lijst): de inhoud zelf is GM-versleuteld, dus voldoet élke drager aan 4.2.4 — dit is op C de praktische ontvangst-route omdat er géén geëvalueerde USB-stick bestaat
sleutel	Sleuteloverdracht via een apart kanaal (nooit samen met de drager): cryptobeheerders aan beide zijden, conform het 4.8-regime — de scrubber heeft LUNA-software én sleutels nodig om te kunnen ontsleutelen-en-scannen (bijlage 10, voorbeeld 2)
uitweg	Officiële ontsnappingsroute bij ontoereikend GM-aanbod (Deltagids mei 2026): in overleg met NBIV en de Opdrachtgever kunnen alternatieve middelen worden goedgekeurd — denk aan middelen die zijn goedgekeurd voor EU- of NAVO-gerubriceerde informatie, of middelen die elders binnen de overheid zijn ingezet. De eindgoedkeuring ligt bij de Opdrachtgever. Dit is het traject om te activeren als LUNA/Hiddn niet aansluit op wat de OG aanbiedt
gevolg	De scrubber is bij design een Hiddn-machine: op het scrub-moment is het bestand plaintext; streaming-only (RAM, geen swap/quarantaine) is op papier voldoende, maar het "nooit-at-rest"-bewijs is bij C niet hard te leveren (temp, crash-dumps, quarantaine bij detectie) — Hiddn-systeemschijf is de enige robuste invulling van "beveiligd op het hoogste rubriceringsniveau van de data"
at-rest	LUNA dekt het opslag-transport, maar niet het gebruik: dichte bestanden zijn overal GM-gedekt — maar bij élk gebruik schrijven applicaties plaintext weg (temp, autosave, swap, print spooler, thumbnails). Dezelfde redenatie als bij de scrubber: "alleen in geheugen" is op C niet aantoonbaar. Dus óók het werkstation op Hiddn, óf een bewijsbaar no-persist-regime (temp→RAM-disk, autosave/swap uit) — het werkstation is zelfs zwaarder blootgesteld dan de scrubber: continu i.p.v. momenteel

OG: bestand LUNA-versleuteld (GM) ── drager: willekeurig ──▶ ON
   sleutel: apart kanaal (cryptobeheerders, 4.8-regime)
        ▼
 [Hiddn-scrubber: LUNA + 2 AV-engines, plaintext alleen in geheugen]
        ▼ scan schoon
 [Werkstation op Hiddn-schijf: LUNA bestanden + plaintext-lekken (temp/swap) afgedekt]
        ▼ na gebruik
 teruggave aan OG: autorisatiecheck (4.2.5) · drager wipe via GM (4.2.5)

Δ Wat verandert er t.o.v. de DV-variant (01)

4.2.4 Δ	Drager: GM-versleuteling blijft verplicht, maar het aanbod krimpt dramatisch — Hiddn Safedisk (t/m C) als enige route; IronKey/datAshur (DV-beoordeling) zijn ontoereikend; Cryhod (DV) eveneens. Fysiek labelen (4.2.3) ongewijzigd
4.3.34 Δ	MFA: op C de eigen, strengere variant van de MFA-eis (4.3.33 was de DV-versie) — persoonsgebonden, met hardware token als logische invulling
4.7.9 Δ	Inkijkbeperking: screenfilters op alle apparatuur (op DV alleen buiten het compartiment)
4.9.2 Δ	Emissie: niet-gebruikte spannings-/databekabeling ontkoppeld van apparatuur en netspanning (compromitterende emissie/TEMPEST-verwant)
3.x Δ	Fysieke omhulling wordt compartiment-achtig: buiten het compartiment personen visueel herkenbaar (3.3.9), detecterende maatregelen tegen compromittatie-pogingen (3.1.5), kluis-/opbergmiddel-eisen (3.2.x). De "gewone afgesloten kamer" van de DV-variant volstaat niet meer
4.5.4 Δ	Draadloos verboden (was op DV als externe koppeling nog regelbaar) — in deze offline opstelling al afgedwongen, maar ook formeel verboden

= Wat blijft gelijk aan de DV-variant

bijl. 10	Scrubber: geïsoleerd, 2 afwijkende AV-engines, definities ≤7 dagen, geen data-achterlating — Δ maar nu "beveiligd op het hoogste rubriceringsniveau van de data": de scrubber valt volledig in het C-regime; quarantaine-at-rest dan via Hiddn (niet Cryhod)
4.13.2	JSCU-logging (C-variant van de eis, zelfde Logging-essentials): herleidbaar tot individu, lokaal op de scrubber, manipulatiebestendig, export alleen via GM-drager (4.13.10)
4.4.x / 4.6.x	Hardening, poorten uit, anti-malware met dagelijkse definities, clear screen na 10 min (DV én C: 4.6.6)
4.2.2/4.2.5	Dragergebruik alleen via procedure; teruggave aan de OG alleen na vaststelling van autorisatie (4.2.5)
structuur	2 computers + 1 GM-drager: scrubber en werkstation blijven fysiek gescheiden — filterpaal en kroonjuweel nooit op één apparaat

Samengevat: de drie prijskaartjes van C

1	Inkoop: Hiddn-hardware per drager (duurder dan sticks) en mogelijk extra fysieke voorzieningen (toegangscontrole/deTECTie op de ruimte)
2	Inrichting: de werkplek verhuist feitelijk naar een afgesloten, herkenbaar-beheerde ruimte — randvoorwaarde die bij DV nog "afgesloten kantoor" was
3	Werkafspraken: screenfilters overal, kabeldiscipline (4.9.2), en de MFA-variant vraagt hardware tokens met registratie door de BF (4.3.37)

Let op de grens van dit patroon: zodra er meer dan een handvol mensen meekijkt of het TBB verwerkt moet worden, wordt server-concentratie (patroon 03) aantrekkelijker dan elk C-apparaat individueel in het C-regime te houden. En voor niveau G/ZG (TBB1/2) gelden weer eigen varianten (oa. 5-min clear screen, strengere compartiment-eisen) — dit document dekt alleen C.

Delta t.o.v. ABDO 2019 op dit patroon

▲	ABDO kende op C wél drager-vercijfering (4.4.14.1, in compartiment) — maar met BIV/MIVD-goedkeuring per oplossing; ABRO is absoluut (4.2.4) en koppelt aan de AIVD-lijst, waar voor sticks alleen DV-producten staan
▲	JSCU-logging en scrubber-formule zijn ABRO-nieuw; screenfilters op alle apparatuur stonden in ABDO 4.7.x vergelijkbaar
≈	ABDO kende eveneens C-regime voor ruimten (hoofdstuk 3) en TEMPEST-achtige emissie-eisen (4.7.6) — de fysieke omhulling is geen ABRO-uitvinding