Wetsvoorstel meldplicht datalekken naar Tweede Kamer
Staatssecretaris Teeven van Veiligheid en Justitie heeft vandaag het wetsvoorstel meldplicht datalekken naar de Tweede Kamer gestuurd. Zowel private als publieke organisaties die persoonsgegevens verwerken worden straks verplicht om inbreuken op de beveiliging die leiden tot diefstal, verlies of misbruik van persoonsgegevens te melden.
Dat zijn dus meer organisaties dan de aanbieders van elektronische communicatienetwerken en -diensten voor wie op grond van de Telecommunicatiewet reeds een meldplicht geldt bij diefstal, verlies of misbruik van persoonsgegevens van abonnee of gebruiker.
Boete
De meldplicht moet voor een betere bescherming van persoonsgegevens zorgen. Volgens de staatssecretaris kunnen door beveiligingsfouten grote hoeveelheden persoonsgegevens op straat belanden. Organisaties waar deze gegevens zijn gelekt, zijn vervolgens verplicht om de toezichthouder - het College bescherming persoonsgegevens (Cbp) - in te lichten.
Daarnaast ontvangt in veel gevallen ook degene wiens persoonsgegevens het betreft een melding. Hierbij geldt wel dat het datalek 'ongunstige gevolgen' voor de persoonlijke levenssfeer moet hebben. Worden gedupeerden niet door een organisatie ingelicht, dan kan het Cbp een boete van maximaal 450.000 euro opleggen.
Had eigenlijk nog wel bij gemogen dat bedrijven nu ook verplicht moeten worden om actief in de gaten te houden wat er allemaal op en emt hun systemen en data gebeurd.
Zit nu wel een gaatje dat ze kunnen roepen dat ze het gewoon niet gezien of gemerkt hebben.
Niet zo goed voor de reputatie maar scheelt een boete van 450.000,-
Dat is niet hetzelfde. Er zijn ongetwijfeld veel ex-hackers die graag met hun tooltjes spelen, maar dat is niet de manier om een systeem te controleren. Dat doe je met een audit. Bepaald geen junior taak, daar heb je echte kennis en inspanning voor nodig.
Meen jij dat een pentest een junior taak is waar je geen echte kennis en inspanning voor nodig hebt ? Een goede pentest is ietsje moeilijker dan een audit...
serieus hey, het hoeveelste voorstel is dit nou?
lelelele wat een verstand hey, en nog gewoon doorkeutelen ook met z'n allen nou?
Ik heb met enige regelmaat met mijn neus in de (wet)boeken gezeten. Ik ben geen Arnoud Engelfriet, maar van wat ik heb gezien krijg ik de indruk dat men dat gewoonlijk oplost door een clausule dat de ene wet voorrang heeft op de andere. In dit geval schat ik dat het voorstel zal zijn om verplicht te zijn datalekken te melden tenzij het expliciet verboden is.
Overigens, indien dit klopt is het wel bepaald onverwachte daadkracht met betrekking tot privacybescherming. Zo onverwacht dat het verdacht is. Kan iemand met een stofkam over dit voorstel gaan?
Dat is niet hetzelfde. Er zijn ongetwijfeld veel ex-hackers die graag met hun tooltjes spelen, maar dat is niet de manier om een systeem te controleren. Dat doe je met een audit. Bepaald geen junior taak, daar heb je echte kennis en inspanning voor nodig.
Al jaren zijn er normeringen die met audits worden getoetst, maar dat is niet voldoende, zo blijkt bijna iedere maand weer.... Audits zijn vaak gericht op deelsystemen, implementaties of processen. Dan mis je gegarandeerd stukken waar een hacker graag gebruik van maakt. Lekken in de informatiebeveiliging preventief opzoeken en dichten is belangrijk omdat je dan het gedrag van een hacker het beste simuleert. En daaruit blijkt dat er altijd wel mogelijkheden zijn om 'binnen' te komen. Daarop actie ondernemen helpt direct aan betere beveiliging.
Zit nu wel een gaatje dat ze kunnen roepen dat ze het gewoon niet gezien of gemerkt hebben.
Niet zo goed voor de reputatie maar scheelt een boete van 450.000,-
Die datalek meldingsplicht staat niet in de wet bescherming persoonsgegevens, dat persoonsgegevens met de gepaste technische en organisatorische maatregelen beschermd moeten worden wel. Monitoringstools en logging hoort daarbij. Een bedrijf kan dus niet zeggen "oeps, niet gezien" want dan zitten ze ook fout. Helaas mag de CBP daar dan inderdaad geen boete voor uitschrijven, maar het bedrijf kan wel vervolgd worden voor niet nakomen WBP en de schade die daaruit voortkwam.
Deze meldingsplicht is ook niet echt bedoeld om datalekken te voorkomen m.i., maar wel om er voor te zorgen dat er transparantie is over die lekken en dat bedrijven daardoor verplicht worden snel actie te ondernemen volgend op het lek.
Laten we maar hopen dat er vanuit de transparantie, die zo ontstaat, een afschrikwekkend effect ontstaat, want de boete zal dat niet bewerkstelligen. In ieder geval niet voor de bedrijven die de meeste informatie van ons hebben, bedrijven als Google, Apple, Microsoft, Amazon, etc.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
