D66 vraagt Schippers om aanpak van zorgsites zonder https
D66 heeft minister Schippers van Volksgezondheid gevraagd om zorgsites die geen gebruik van een beveiligde https-verbinding maken aan te pakken. Aanleiding is recent onderzoek onder ruim 22.000 websites waaruit blijkt dat een meerderheid (61 procent) geen htttps ondersteunt.
Kamerleden Pia Dijkstra en Verhoeven van D66 hebben Schippers nu om een reactie gevraagd. Zo moet de minister laten weten waarom minder dan een kwart van de websites van de geestelijke gezondheidszorg, verloskundigen, thuiszorg en fysiotherapie een veilige verbinding afdwingt. Ook vragen de Kamerleden welke mogelijkheden Schippers ziet om deze situatie aan te pakken en of de minister het ermee eens is dat gegevens in de zorgsector goed beschermd moeten zijn. De minister heeft drie weken de tijd om de vragen te beantwoorden (pdf).
Mijn fysio heeft ook een site: geen contactformulier te bekennen.
Alles gaat over de email.
Maar die email, daar is dan wel weer van alles mis mee.
En stel dat deze fysio wel https en een contactformulier had, dan hadden mijn PII op een shared server gestaan van bedrijven die weinig kaas hebben gegeten van privacy. Over slechte ideeen gesproken.
Mijn fysio heeft ook een site: geen contactformulier te bekennen.
Alles gaat over de email.
Maar die email, daar is dan wel weer van alles mis mee.
En stel dat deze fysio wel https en een contactformulier had, dan hadden mijn PII op een shared server gestaan van bedrijven die weinig kaas hebben gegeten van privacy. Over slechte ideeen gesproken.
Zonder https is een MitM attack mogelijk. Even alsnog een "officieel" contact formulier toevoegen voor een nieuwe dienst.
Mijn fysio heeft ook een site: geen contactformulier te bekennen.
Alles gaat over de email.
Maar die email, daar is dan wel weer van alles mis mee.
En stel dat deze fysio wel https en een contactformulier had, dan hadden mijn PII op een shared server gestaan van bedrijven die weinig kaas hebben gegeten van privacy. Over slechte ideeen gesproken.
Zonder https is een MitM attack mogelijk. Even alsnog een "officieel" contact formulier toevoegen voor een nieuwe dienst.
Een webformulier inbouwen waar die niet bestond en niet aangekondigd is moet alarmbellen laten afgaan. De mitm zit bij de de bekabelaar? Dan is er een veel groter probleem.
Kijk eens als een inbreker. Waar weinig te halen valt is de beveiliging slecht op orde. Het is pas opvallend ala er een zware kostbare beveiliging is met vlak er naast vergeten zaken zoals een makkelijk bereikbare bovenverdieping met slecht sluitwerk. Dan is zichtbare dakvenster op een gevaarlijk dak het minste van her geheel ook als dat heel makkelijk open te krijgen.
Ik heb meerdere zorgverleners en de Autoriteit Persoonsgegevens (AP) hierop geattendeerd en tot op heden is daar weinig meegedaan.
In plaats een minister iets te vragen, kan de politiek beter gaan eisen dat AP haar taak zou gaan uitvoeren. AP moet hier boetes voor gaan uitdelen en let dan eens op hoe snel die sites opeens wel https ondersteunen. En zoals hier boven is aangegeven, het certificaat hoeft je niets te kosten, de implementatie is goed beschreven en het kan vrij vlot uitgevoerd zijn.
Https is voor gemiddelde Nederlanders een term die ze nog kunnen begrijpen. Kamerleden verschillen mogelijk weinig van gemiddelde Nederlanders, net als de ondernemers en zorgverleners die een website hebben.
Het is een gemis dat de discussie op het lage niveau blijft hangen. Met een beetje geld heb je makkelijk een domein en website, maar nog geen verstand van bijvoorbeeld goed toepassen van wetgeving op gebied van privacy, financiën of zorg. Daar zou de focus inmiddels moeten liggen.
Ik heb meerdere zorgverleners en de Autoriteit Persoonsgegevens (AP) hierop geattendeerd en tot op heden is daar weinig meegedaan.
In plaats een minister iets te vragen, kan de politiek beter gaan eisen dat AP haar taak zou gaan uitvoeren. AP moet hier boetes voor gaan uitdelen en let dan eens op hoe snel die sites opeens wel https ondersteunen. En zoals hier boven is aangegeven, het certificaat hoeft je niets te kosten, de implementatie is goed beschreven en het kan vrij vlot uitgevoerd zijn.
de vraag is niet OF de AP de boetes wil uitdelen (of waarschuwingen) maar meer of ze voldoende resources krijgen om dit te doen (lees; menskracht)
Ik heb meerdere zorgverleners en de Autoriteit Persoonsgegevens (AP) hierop geattendeerd en tot op heden is daar weinig meegedaan.
In plaats een minister iets te vragen, kan de politiek beter gaan eisen dat AP haar taak zou gaan uitvoeren. AP moet hier boetes voor gaan uitdelen en let dan eens op hoe snel die sites opeens wel https ondersteunen. En zoals hier boven is aangegeven, het certificaat hoeft je niets te kosten, de implementatie is goed beschreven en het kan vrij vlot uitgevoerd zijn.
Ja maar waar de overheid zich niet aan haar eigen wetten en regels houdt, kan ik me voorstellen dat anderen ook niet zo geneigd en genegen zijn zich aan die regels te houden. Een vis rot vanaf de kop.
Dus: én zelf het goede voorbeeld geven én handhaven. De AP handhaaft nu soms ineens heel streng en op andere momenten laten ze van alles lopen. Dat maakt ook niet zo'n consistente indruk, zeg maar. Met geldgebrek lijkt dat weinig te maken te hebben, meer met sturing.
(zelfde als bij de Belastingdienst: bezuinigen op manieren om snel meer inkomsten te genereren is natuurlijk nooit bedrijfseconomisch te onderbouwen. Daar moet een andere reden achter zitten, politiek, eigenbelang, gestoord, etc)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
