Boete na lekken persoonsgegevens via Excelblunder
Een Engelse districtsraad heeft een boete van 70.000 pond gekregen (zo'n 80.000 euro) wegens het lekken van gevoelige persoonsgegevens van meer dan 2300 burgers door een blunder met Excel. Op 26 en 27 juni van dit jaar publiceerde de bestuursraad van het Engelse district Islington drie spreadsheets over het werk van het Housing Performance Team, dat zich onder andere met huisvesting bezighoudt.
De informatie was online gezet na een "freedom of information request", de Britse tegenhanger van de Wet openbaarheid van bestuur (Wob). De districtsraad had echter niet gezien dat in de spreadsheets ook de persoonsgegevens van 2375 burgers waren opgenomen. Het ging om mensen die een sociale huurwoning hadden aangevraagd of al huurden.
De informatie bestond uit gevoelige informatie over de woonbehoeften van de mensen in kwestie, zoals details of ze een psychische stoornis hadden en of ze het slachtoffer van huiselijk geweld waren geweest. De spreadsheets stonden ruim twee weken online voordat ze op 14 juli offline werden gehaald.
Uit onderzoek van de Britse Information Commissioner’s Office (ICO) blijkt dat het probleem kort na het online verschijnen van de eerste spreadsheet was gemeld, maar dat de fout niet werd hersteld. Hierdoor konden ook twee andere spreadsheets met hetzelfde probleem op de website verschijnen.Draaitabel
"Deze fout brengt niet alleen de persoonlijke informatie van bewoners in gevaar, maar onderstreept ook het gebrek aan training en expertise binnen de raad", zegt Stephen Eckersley, hoofd naleving van de ICO. Volgens Eckersley kon het datalek ontstaan door een gebrek aan kennis van draaitabellen zoals die door Microsoft Excel en andere spreadsheetprogramma's worden gebruikt.
Een draaitabel is een soort tabel die datalijsten in spreadsheets op een dynamische manier kan samenvatten, rangschikken, groeperen en bewerken. Zo kan het onder andere automatisch data optellen die het uit een andere datatabel haalt, of hieruit gemiddelden berekenen. De tabellen bewaren echter een kopie van de brondata. Deze informatie is niet zichtbaar, maar eenvoudig te benaderen.
De districtsraad had de tabellen gebruikt om statistieken te generen hoe de beschikbare woningen onder de burgers waren verdeeld, maar vergat daarbij de brondata te verwijderen. Volgens het ICO is het niet de eerste keer dat de Britse overheid met draaitabellen de fout in gaat en verschillende onderzoeken naar fouten bij andere instanties lopen nog.
Maar helemaal snappen doe ik het nog niet. De Wob schrijft voor dat de politiek alle data beschikbaar moet stellen en niets achter mag houden. En nu klaagt een rechter juist dat ze alles hebben laten zien?
Helaas heeft automatisering niet alleen voordelen , maar ook beduidende nadelen, je moet wel weten wat je doet .
De ICT'er zorgt dat de documenten online gezet kunnen worden, de aanvragen (DE LEEK) zet daarna gewoontjes de documenten op de site.
En ja, het komt dus uit en wie krijgt opnieuw de schuld? Niet de leek waarschijnlijk maar hoogstwaarschijnlijk de automatiseringsafdeling van het bedrijf.
Trouwens, is "De tabellen bewaren echter een kopie van de brondata. Deze informatie is niet zichtbaar, maar eenvoudig te benaderen." code voor "het stond in een andere tab"? :)
Beter nog is de pdf data naar afbeeldingen om te zetten hetzij direct softwarematig of een hele print weer te scannen naar digitaal (kan elke office kopieermachine)
Dan is de tekst of zijn data niet weer makkelijk in bijv. excel te kopiëren en te sorteren (los van het tab verhaal en de verborgen data verder).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
