Meldplicht datalekken Peter Westerveld Directeur en principal security consultant Sincerus consultancy Sincerus Cybermonitor Opgericht in 2004 20 medewerkers Informatiebeveiliging Zwolle en Enschede 15-02-16 2 1
Meldplicht datalekken Meldplicht bestaat al sinds 2012 in telecommunicatiewet Alleen voor telecom en ISP s Meldingen bij ACM Voorbeeld KPN hack 15-02-16 3 Voorbeeld: KPN 15-02-16 4 2
Voorbeeld: KPN Opvallende zaken uit voorbeeld KPN: Niet (snel genoeg) gemeld. Geen persoonsgegevens op straat volgens KPN. Toch een boete omdat beveiliging niet voldoende op orde was. 15-02-16 5 Waar komt het vandaan? De grondwet 15-02-16 6 3
Waar komt het vandaan? Wet Bescherming Persoonsgegevens 15-02-16 7 Waar komt het vandaan? Europese Algemene Verordening Gegevensbescherming Verwachting juni 2016 Vervangt NL WBP Bevat ook een meldplicht datalekken 2 jaar implementatietijd 16-02-16 8 4
Waar komt het vandaan? WBP artikel 34a: Meldplicht datalekken 15-02-16 9 Wat is een persoonsgegeven? Naam, adres, woonplaats; Telefoonnummer; E-mailadres; Kenteken; Userid, accountnaam, IP-adres, MAC-adres; Logging gegevens; Bankgegevens. 15-02-16 10 5
Bijzondere persoonsgegevens Gezondheid; Geaardheid; Geloof, ras; Strafrechtelijke gegevens; Lidmaatschap (vak)vereniging; Lidmaatschap politieke partij; BSN nummer. 15-02-16 11 datalekken? Eigenlijk een foute naam Inbreuk op beveiliging van persoonsgegevens Voorbeeld: 3 ziekenhuizen 15-02-16 12 6
Voorbeelden datalek Hack 16-02-16 13 Hack Ransome ware Voorbeelden datalek 16-02-16 14 7
Hack Ransome ware Voorbeelden datalek Per abuis verstuurd via e-mail 16-02-16 15 Hack Ransome ware Voorbeelden datalek Per abuis verstuurd via e-mail Gestolen/verloren laptop, USB-stick 16-02-16 16 8
Hack Ransome ware Voorbeelden datalek Per abuis verstuurd via e-mail Gestolen/verloren laptop, USB-stick Kwetsbare beveiliging 16-02-16 17 Hack Ransome ware Voorbeelden datalek Per abuis verstuurd via e-mail Gestolen/verloren laptop, USB-stick Kwetsbare beveiliging Verloren geraakt dossier 16-02-16 18 9
Moeten wij er iets mee? Ja: Kans op bestuurlijke boete tot max. 820.000,- 5 stappen 16-02-16 19 Stap 1: Persoonsgegevens? Verwerken wij persoonsgegevens? Waar? Wat? Waarom? Hoe vindt verwerking plaats? Binnenshuis Extern (datacenter of bij leverancier (SaaS)) 15-02-16 20 10
Stap 2: Beleid en proces Stel beleid op Benoem Functionaris Gegevensbescherming (FG) Communiceer beleid intern én met extern Het beleid bevat in ieder geval: Geheimhoudingsplicht Recht om vergeten te worden Privacy by design Beschrijf en implementeer incidentbeheer proces 15-02-16 21 Stap 3: Meten Privacy impact analyse Wat is de invloed van een bedrijfsproces of nieuw project op de persoonsgegevens? Risico analyse bedrijfsprocessen Waar zitten de kwetsbare plekken? Vertrouwelijkheid, integriteit, beschikbaarheid Security assessments (penetratietesten) Welke schade kan een kwaadwillende of malware aanrichten? Extern én intern 16-02-16 22 11
Stap 4: Maatregelen Technische en procedurele beveiligingsmaatregelen Bewerkersovereenkomst met leveranciers Je kunt alles uitbesteden behalve verantwoordelijkheid! Beveiligingsbewustzijn medewerkers 16-02-16 23 Stap 5: Borging Met andere woorden: Zorg dat je weet wat er gebeurd! Logging Monitoring Evalueren 15-02-16 24 12
Incidentbeheer proces Patchen Herstellen, Schade beperken Nee Nee Beveiligingslek Beveiligings incident? Data lek? Melden AP Melden betrokkenen Zelf geconstateerd, Leverancier, buitenstaander Incident? Gecompromitteerd? Gegevens verloren, gestolen, gewijzigd? (Kans op) toegang tot persoonsgegevens? Zijn persoonsgegevens verloren, gestolen, gewijzigd? Meldloket datalekken Datalek van invloed op persoonlijke levenssfeer betrokkenen? datalekken.autoriteitpersoonsgegevens.nl 16-02-16 25 Informatiebeveiliging Mensen Processen Techniek Borging 15-02-16 26 13
16-02-16 There are only two types of companies: those that have been hacked, and those that will be or do not now they are Director FBI: Robert Mueller 16-02-16 27 Security hoort thuis in de directiekamer Utwente: Prof. dr. Pieter Hartel 16-02-16 28 14
Informatie www.autoriteitpersoonsgegevens.nl Beleidsregels meldplicht datalekken: hcps://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/beleidsregels_meldplicht_datalekken.pdf Boetebeleidsregels: hcps://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/ boetebeleidsregels_cbp_def_consultaieversie.pdf Peter Westerveld Sincerus consultancy / Cybermonitor www.sincerus.nl www.cybermonitor.nl Peter.westerveld@sincerus.nl M: 06 539 766 59 16-02-16 29 15