Artikel: AP: organisaties nemen geen maatregelen om impact datalek te beperken
De Autoriteit Persoonsgegevens waarschuwt dat veel organisaties nog te weinig doen om de impact van een datalek te beperken. Security.nl schrijft hierover naar aanleiding van een position paper van de AP voor een rondetafelgesprek in de Tweede Kamer over cyberveiligheid en informatiebeveiliging. De kern van de boodschap is duidelijk: organisaties moeten niet alleen proberen datalekken te voorkomen, maar ook zorgen dat de schade kleiner wordt als het tóch misgaat.
Ook kleine organisaties verwerken persoonsgegevens
Bij een datalek denken veel mensen aan grote bedrijven, ziekenhuizen of overheden. Maar ook kleine bedrijven, verenigingen en stichtingen verwerken persoonsgegevens. Denk aan namen, adressen, telefoonnummers, e-mailadressen, reserveringen, offertes, ledenlijsten, vrijwilligersgegevens of donateursgegevens. Voor een kapper, restaurant, aannemer, stichting of sportvereniging voelt dat misschien niet als een grote database. Toch zijn het gegevens van echte mensen. Als die gegevens uitlekken, kan dat vervelend zijn voor klanten, leden of betrokkenen. Het kan ook schade veroorzaken aan het vertrouwen in jouw organisatie.
Het gaat niet alleen om voorkomen
Natuurlijk moet je proberen een datalek te voorkomen. Een website moet goed worden bijgewerkt, toegang moet veilig zijn en gevoelige gegevens moeten zorgvuldig worden behandeld. Maar de AP benadrukt dat een datalek iedere organisatie kan overkomen. Daarom is het belangrijk om ook na te denken over de vraag: als het misgaat, hoeveel schade kan er dan ontstaan? Die vraag is juist voor kleine organisaties belangrijk. Vaak is er geen eigen IT-afdeling, geen privacyfunctionaris en geen groot budget. Daardoor blijven oude formulieren, oude ledenlijsten, oude mailboxen, oude accounts of oude back-ups soms jarenlang bestaan.
Bewaar niet meer dan nodig
Een belangrijk begrip uit de AVG is dataminimalisatie. Dat betekent dat je alleen persoonsgegevens verwerkt die echt nodig zijn voor het doel waarvoor je ze gebruikt. De AP noemt dataminimalisatie, het naleven van bewaartermijnen en goede informatie aan slachtoffers als belangrijke maatregelen om de gevolgen van een datalek te beperken. Voor kleine organisaties is dit heel praktisch. Vraag op een contactformulier alleen wat je nodig hebt. Bewaar oude offerteaanvragen niet eindeloos. Laat oude ledenlijsten niet jarenlang in gedeelde mappen staan. Verwijder accounts van oud-medewerkers of vrijwilligers. Controleer ook of je website formulierinzendingen opslaat zonder dat je dat eigenlijk weet. Wat je niet verzamelt of niet meer bewaart, kan ook niet uitlekken.
Oude gegevens zijn ook een risico
Veel organisaties bewaren gegevens “voor de zekerheid”. Dat lijkt handig, maar het kan de schade bij een datalek groter maken. Als een vereniging ledenlijsten van tien jaar geleden bewaart, kunnen bij een incident ook gegevens van oud-leden uitlekken. Als een website jarenlang oude formulierinzendingen opslaat, kan er meer informatie op straat komen dan nodig was. Dat betekent niet dat je alles zomaar moet verwijderen. Soms zijn er wettelijke bewaartermijnen, bijvoorbeeld voor administratie of facturen. Maar het betekent wel dat je bewust moet bepalen wat je bewaart, waarom je het bewaart en hoelang je het bewaart.
De website is vaak het startpunt
Voor veel kleine bedrijven en verenigingen begint het risico bij de website. Een website bevat vaak contactformulieren, reserveringsformulieren, nieuwsbriefinschrijvingen, cookies, plugins, gebruikersaccounts en soms opgeslagen berichten. Aan de voorkant lijkt een website vaak prima te werken. Achter de schermen kunnen er toch risico’s zijn: verouderde software, onnodige plugins, zwakke wachtwoorden, ontbrekende back-ups of formulieren die gegevens blijven opslaan. Daarom is het verstandig om regelmatig te controleren welke gegevens je website verwerkt. Waar komen contactformulieren terecht? Worden berichten ook opgeslagen in de website? Wie heeft toegang tot het beheer? Zijn oude gebruikersaccounts verwijderd? Worden updates uitgevoerd? Is er een back-up die ook echt teruggezet kan worden?
Digitale veiligheid is ook gedrag
Een datalek ontstaat niet altijd door een technische hack. Het kan ook gebeuren door een verkeerd verstuurde e-mail, een verloren laptop, een zwak wachtwoord of een medewerker die op een phishinglink klikt. De AP wijst erop dat beveiliging niet alleen een momentopname is, maar een continu proces. Organisaties moeten regelmatig controleren of hun maatregelen nog passen bij de risico’s en toenemende digitale dreigingen. Ook logging en monitoring worden genoemd als manieren om datalekken sneller op te sporen en erop te reageren. Voor kleine organisaties hoeft dit niet ingewikkeld te beginnen. Gebruik sterke wachtwoorden, zet tweestapsverificatie aan waar dat kan, beperk toegang tot mensen die het echt nodig hebben en bespreek phishing en veilig omgaan met gegevens met medewerkers of vrijwilligers.
Begin klein, maar begin wel
Digitale veiligheid hoeft niet direct een groot project te zijn. Begin met de basis. Kijk welke persoonsgegevens je verzamelt. Verwijder wat je niet meer nodig hebt. Controleer je website, formulieren, gebruikersaccounts, back-ups en updates. Maak duidelijke afspraken over wie toegang heeft tot welke gegevens. De belangrijkste les uit het bericht is eenvoudig: Een datalek kun je niet altijd voorkomen, maar je kunt wel voorkomen dat de schade onnodig groot wordt. Voor kleine bedrijven, verenigingen en stichtingen is dat misschien wel de meest praktische vorm van digitale veiligheid.
