KPN beboet wegens onvoldoende beveiligen klantgegevens
KPN heeft in december 2013 een boete van 364.000 euro van de Autoriteit Consument & Markt (ACM) gekregen wegens het onvoldoende beveiligen van klantgegevens, zo is nu pas bekend geworden. Nadat er begin 2012 op een server van de telecomaanbieder was ingebroken deed de ACM (voorheen OPTA) onderzoek naar de manier waarop KPN klantgegevens beveiligde.
Uit het onderzoek bleek dat in de periode voorafgaand aan de hack de beveiliging van deze gegevens van KPN-klanten en de wijze waarop het veiligheidsbeleid in de organisatie was geborgd onvoldoende was. Het boetebesluit van ACM wordt nu pas openbaar gemaakt omdat KPN zich tegen eerdere openbaarmaking heeft verzet bij de voorzieningenrechters van de rechtbank Rotterdam en het College van Beroep voor het bedrijfsleven (CBb).
De voorzieningenrechter van het CBb heeft zich op 1 juni 2015 uitgesproken over de zaak. Deze uitspraak maakt het nu mogelijk het boetebesluit en de beslissing op het beroep te publiceren. "Klanten stellen hun persoonsgegevens beschikbaar aan telecombedrijven om van hun diensten gebruik te kunnen maken. Zij doen dit in het vertrouwen dat deze bedrijven zorgvuldig met hun gegevens omgaan en goed beschermen. Gebeurt dat onvoldoende, zoals in dit geval bij KPN, dan schaadt dat het vertrouwen van consumenten in de telecommarkt", zegt ACM-bestuurslid Anita Vegter.
Het aanstellen van de nieuwe CISO Jaya Baloo heeft het bedrijf erg goed gedaan.
KPN heeft sindsdien flink geinvesteerd in een eigen hackersteam en in diverse beveiligingsmaatregelen waaraan een gemiddelde bank een voorbeeld kan nemen.
Soms is het goed dat dit soort hacks binnen bedrijven plaatsvinden. Dit is vaak de trigger op management niveau om Informatiebeveiliging echt serieus te nemen. Complimenten aan KPN hoe ze hier vervolg aan hebben gegeven.
KPN heeft sindsdien flink geinvesteerd in een eigen hackersteam en in diverse beveiligingsmaatregelen waaraan een gemiddelde bank een voorbeeld kan nemen.
Alleen het inloggen bij mijnkpn valt helaas nog een beetje tegen.
https://www.ssllabs.com/ssltest/analyze.html?d=kpn.com&hideResults=on
Hoop dat ze dit ook eens veiliger maken door bijv. standaard TLS1.2 te gebruiken. Gezien de gegevens die in zo'n account staan log ik namelijk niet zo graag in.
De tijd van het in de database opslaan van plaintext wachtwoorden is voorbij!
En reken je niet rijk met welke wachtwoordverhaspelingmethode dan ook. Als aanvallers van een specifieke gebruiker het wachtwoord willen achterhalen (bijv. omdat ze vermoeden dat die gebruiker dat wachtwoord elders ook gebruikt), duurt het uitproberen van een lijst met veelgebruikte wachtwoorden ook weer niet zo heel lang (anders zou het normale inloggen veel te veel tijd en server-CPU performance kosten).
Ik zeg niet dat je geen PBKDF2 o.i.d. moet gebruiken, maar stap 1 moet zijn dat je voorkomt dat aanvallers directe toegang krijgen tot serverdatabases.
Weinig onderbouwde stellingname. KPN heeft zeker kennis van encryptie, wat niet betekent dat het al mogelijk/wenselijk is geweest om ook daadwerkelijk encryptie te implementeren. Zo heeft KPN ook een bijdrage geleverd aan de NCSC "ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)", een niet slecht ontvangen document.
Wat is kpnexchange.com??
Weinig onderbouwde stellingname. KPN heeft zeker kennis van encryptie, wat niet betekent dat het al mogelijk/wenselijk is geweest om ook daadwerkelijk encryptie te implementeren. Zo heeft KPN ook een bijdrage geleverd aan de NCSC "ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)", een niet slecht ontvangen document.
Wat is kpnexchange.com??
Wat een flauwekul verhaal. U gaat niet in op de feiten en bewijst alleen maar dat er bij KPN een grote discrepantie is tussen theorie en praktijk. U bent duidelijk geen zakelijke gebruiker.
Hoe serieus moet je iemand nemen die niet eens weet dat je "kpnexchange" gewoon op kunt zoeken met een zoekmachientje?
Een korte samenvatting uit het ACM rapport: "Voor een aantal essentiële beveiligingsmaatregelen was geen centraal beleid opgesteld, er was geen patchmanagement en systemen waren inderdaad niet voorzien van de laatste patches. Het was een chaos in de organisatie, verantwoordelijkheden werden als een hete aardappel doorgeschoven, en documentatie was gebrekkig.
Ook het netwerkbeheer was ver onder de maat: het eigen ontwerp van indeling in beveiligingszones werd niet nageleefd, de firewall was niet goed afgesteld en ontbrak zelfs op sommige cruciale netwerksegmenten. Ook ontbrak intrusion detection en intrusion prevention (IDS en IPS) bij sommige, blijkbaar essentiële, netwerkonderdelen. Er was geen centrale logging en de monitoring faalde."
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
