Och, één of een paar daagjes werken en ze heeft die 1150 euro al weer terugverdient ;)

Als mensen haar nog vertrouwen tenminste...

Welke software upload persoonlijke documenten bij een software-update?

Vreemd verhaal....had die man niet gewoon het idee om even een backup te maken vóór de update en heeft hij dat op een verkeerde plaats in de cloud neergezet?

https://www.lawgazette.co.uk/practice/ico-probes-173-law-firms-over-data-protection-breaches/5048260.article

Meer een cultureel probleem dan technisch.

Dat verheldert uiteraard helemaal niets betreffend het bijzonder rare feit dat ICO beschreef in het artikel, "was uploaded to the internet when the barrister’s husband updated software on the couple’s home computer".
Ik kan me voorstellen dat het vermoeden van Anoniem van 16:41 uur zou kunnen kloppen.
Het zou werkelijk prettig geweest zijn wanneer ICO zo'n relevant detail had willen toelichten in het artikel.

Daar heb je gelijk in, echter het lijkt om een niet zo handige acties te gaan, inderdaad zie anoniem 16.41 Dan is techniek niet aan de orde. Net zoals bij whale phising, hoeven we de technische details niet te weten anders dan... stom stom... https://www.theregister.co.uk/2017/03/16/barrister_fined_over_data_breach/

update: heb ik toch het hel verhaal voor je: https://ico.org.uk/media/action-weve-taken/mpns/2013678/mpn-data-breach-barrister-20170316.pdf Letterlijk staat er een handmatige actie, gedeelde computer en admin account bij "Ïd". Combineer ongoing until 5 jan. de remedial actions (25) en advies (45). Je leest dat ze de documenten is gaan encrypten.

Wat me opviel in die andere link is dat er kennelijk nauwelijks aandacht voor de gegevensbeveiliging is als cultuur binnen die advocaten wereld. De ICO "Information Commissioner’s Office" heeft zo'n 178 kantoren op data lek gevallen onderzocht in 2014 en dat kwam via een WOB toevallig in april 2015 even boven de tafel. https://www.egress.com/news/egress-ico-foi-2016. Zou het aantal stom-stom handelingen als oorzaak data-lek echt zo hoog liggen. Vermoedelijk wel.
Als je verder zoekt zie dat de ICO (tegenhanger AP) als aardig wat boetes uitgedeeld heeft.

Het feit dat gegevens van de advocaat op een gezamelijke computer staat, vind ik al vreemd en eigenlijk al een inbreuk op het vertrouwen van de klanten.

Peter

Ha, dankjewel, de link naar pdf-document had ik stomheidshalve over het hoofd gezien in het ICO artikel.
Uit dat pdf-document:
Duidelijk.
Slechte combinatie. Zij had geen encryptie toegepast, en hij kopieerde ter backup naar een online directory.

Nogmaals bedankt voor het verwijzen naar dat pdf-document.

Daar geef ik je beslist gelijk in.
Bij het zonet doornemen van het bovengenoemde pdf-bestand heb ik alleen gelet op hoe die bestanden waren "uploaded to the internet when the barrister’s husband updated software on the couple’s home computer", omdat ik uit het ICO artikel in eerste instantie niet had begrepen dat "temporarily uploaded to an internet directory as a back up during the software upgrade" een doelbewuste actie door die echtgenoot was geweest.
Of de advocaat ook nog op de vingers is getikt wegens het delen van de computer, daar heb ik niet op gelet bij het doornemen van het pdf-bestand. Ik meen begrepen te hebben dat het voldoende geacht zou zijn als encryptie toegepast zou zijn.

Eens.
Trek hem eens door naar de machinebeheerder voor servers (root access ). Die moeten net zo als die husband geen toegang tot gevoelige data hebben.
De encryptie en encryptie sleutel moeten bij de gebruikers zitten. Zoiets is niet altijd werkbaar maar zou het streven moeten zijn van de dozenschuiver ofwel OS personen. Nee het enkel neerzetten van tools en dan zeggen het is voor de applicatie gaat het niet oplossen.

In dit geval was de harde schijf gencrypt. Vinkje voor de checklist gezet audit certificaat zou afgegeven zijn. Toch heeft de ico het terecht afgewezen en niet als voldoende naar de stand der techniek gewaardeerd.

De PDF geeft ook daar achtergrond over, zie punten 11-14. Het was haar standalone desktop computer die ze primair voor werk gebruikte en haar man had admin-toegang. Er zijn richtlijnen van de "Bar Council and her Chambers" uit 2013 die kennelijk niet gedeeld gebruik van computers verbieden maar wel aangeven dat dan versleuteling van sommige bestanden vereist kan zijn.

Het lijkt erop dat het geen pc voor gezamenlijk gebruik was maar dat haar man het technisch beheer van haar pc voor zijn rekening nam. Alleen is beheer ook een vorm van gebruik. Omdat dat hem toegang tot de vertrouwelijke gegevens gaf had ze versleuteling moeten toepassen. Dat zou, als dit inderdaad hun opzet was, ook voldoende zijn geweest.

Dat ze haar man toevertrouwde dat hij niet in die gegevens zou gaan grasduinen kan terecht zijn geweest. Het lijkt duidelijk dat hun inzicht in IT en met name in de werking van de gebruikte cloud-dienst onvoldoende was om het beheer van die gegevens goed te doen. De versleuteling is niet alleen nodig omdat je iemands integriteit niet vertrouwt, hij is ook nodig omdat ook integere mensen dit soort fouten kunnen maken. Iemands betrouwbaarheid is niet alleen een functie van zijn integriteit, maar ook van zijn competentie.

De pest is dat mensen vaak van zichzelf niet inzien hoe weinig verstand ze eigenlijk hebben van een onderwerp, en dat ook niet goed in kunnen zien omdat dat inzicht meer kennis vergt dan ze hebben. Het gevolg is zelfoverschatting (dit heet het Dunning-Kruger-effect). Bij IT is dat gevaar nog eens extra groot omdat de partijen die de software en diensten leveren er niet op gericht zijn hun afnemers de benodigde kennis bij te brengen. Integendeel zelfs, een van de belangrijkste verkoopargumenten (zeker waar het op kleinschalig gebruik gericht is) is nou juist dat het allemaal zo moeiteloos goed gaat dat je geen specialistische kennis nodig hebt. En omdat inherent veilige ontwerpen (je deelt data pas met de wereld als je dat op niet mis te verstane wijze hebt toegestaan, bijvoorbeeld) nog wel eens botsen met dat beoogde gemak krijgt die veiligheid vaak veel minder prioriteit dan de marketing suggereert. Software en diensten worden aan de man gebracht alsof alles vanzelf goed gaat, en dat is domweg niet zo. De markt- en marketinggedreven economie die we hebben leidt tot razendsnelle ontwikkeling van allerlei zaken, maar ook tot het negeren of onderwaarderen van eigenschappen die wel belangrijk maar niet sexy zijn. De informatie die het grote publiek bereikt wordt gedomineerd door wat de marketing benadrukt, en ik kan het (zeker kleine) afnemers eigenlijk niet kwalijk nemen dat ze daar intrappen.