UWV meldde vorig jaar 342 datalekken bij toezichthouder AP
Het UWV heeft vorig jaar 342 keer een datalek bij de Autoriteit Persoonsgegevens gemeld en waar mogelijk aan betrokken klanten of medewerkers. Een sterke stijging ten opzichte van 2017, toen het nog om 84 meldingen ging. Dat staat in het vandaag verschenen jaarverslag (pdf).
"Het aantal gemelde datalekken stijgt nog steeds. De invoering van de AVG heeft geleid tot meer publiciteit en een grotere bewustwording rond datalekken", zo laat het uitvoeringsinstituut weten. De meeste meldingen van datalekken gaan over foutief geadresseerde brieven en het bijvoegen van een verkeerde bijlage bij een brief aan een klant.
Om dergelijke datalekken zo veel mogelijk te voorkomen stapt het UWV steeds meer over van handmatige werkprocessen naar centrale, digitale aanmaak en verzending van poststukken. Zo wordt bij het opstellen van brieven het invoerveld van het burgerservicenummer automatisch geleegd, zodat een menselijke fout er niet meer toe kan leiden dat een brief naar de verkeerde persoon wordt gestuurd.
Tevens heeft het UWV maatregelen genomen om het risico op datalekken met exportbestanden te minimaliseren. Sinds half december 2018 is het niet meer mogelijk om bijvoorbeeld Excelbestanden met uit systemen geëxporteerde gegevensbestanden bij Werkmapberichten te voegen. Verder heeft het UWV het onmogelijk gemaakt om bepaalde gedigitaliseerde stukken nog te printen.
Volgens het UWV is het ook belangrijk dat medewerkers zich bewust zijn van het belang om op een veilige manier om te gaan met (persoons)gegevens. Vorig jaar zijn zeshonderd UWV-managers opgeleid op het gebied van informatiebeveiliging en privacy. Daarnaast zijn er roadshows georganiseerd rondom specifieke informatiebeveiligingsthema's zoals de AVG, het ontwikkelen van veilige software, geanonimiseerde testdata en social engineering.
Dit laat maar weer pijnlijk zien dat de overheid gewoon niet met ICT overweg kan. En dat alleen regels niet werken. Er moeten sancties komen. Echter, dat zal dan weer meer belasting kosten, want het zijn steeds weer overheidsinstellingen die lekken.
Conclusie: overheid kan nog steeds niet zelf houden aan HUN EIGEN regels. Want belastingdienst lukt het ook al niet.
TheYOSH
Het zal je data maar zijn. Gelukkig heb ik met die toko niks te maken.
En weer een dtalek.
https://www.nu.nl/internet/5890938/storing-maakte-inzien-documenten-op-uwvnl-dinsdagochtend-onmogelijk.html
Is dit niet ook een vorm van een datalek? Ze delen tenslotte zonder jouw toestemming jouw gegevens met derden.
En weer een dtalek.
https://www.nu.nl/internet/5890938/storing-maakte-inzien-documenten-op-uwvnl-dinsdagochtend-onmogelijk.html
En weer een dtalek.
https://www.nu.nl/internet/5890938/storing-maakte-inzien-documenten-op-uwvnl-dinsdagochtend-onmogelijk.html
Hoezo is dit een (nieuw) datalek? Pas als de UWV als gegevensverantwoordelijke de controle verliest over haar data is het een datalek. Uit de berichtgeving is niet te halen dat dat het geval is.
Ik wil daarmee niet doen alsof de situatie bij UWV niet tenenkrommend is. Maar juist omdat het er zo'n puinhoop is snap ik dat het verdomd moeilijk is, vermoedelijk onmogelijk, om dat even snel opgelost te krijgen. Een zware sanctie maakt werkelijk onhaalbare dingen niet opeens haalbaar.
De speelruimte van een organisatie die de officiële uitvoerder van wetgeving is kleiner dan die van een commerciële organisatie. Een commercieel bedrijf dat veel te veel hooi op zijn vork heeft genomen kan ervoor kiezen een hoop af te stoten en zich voortaan te richten op wat ze wel aankunnen. Het UWV kan er helemaal niet voor kiezen om zijn situatie te versimpelen door zich bijvoorbeeld voortaan alleen op de WW te richten en de WAO, WIA, Ziektewet, Wajong, Toeslagenwet en WAZ voortaan aan andere marktpartijen over te laten.
Voor de 'experts' hierboven: er bestaat geen 100% veilig en (menselijke) fouten worden altijd gemaakt. Als je 0% risico wil, moet je stoppen met (ver)werken! De AVG vereist dat je verantwoordelijkheid neemt, ook bij fouten. En dat doet het UWV in dit geval.
Dit komt neer op 1 fout per 14.035 gewerkte dagen!
Meten is weten als je weet wat je meet!
Dus doet UWV het hier absoluut niet zo slecht als je kijkt naar wat er is gerapporteerd!
Het zal je data maar zijn. Gelukkig heb ik met die toko niks te maken.
En de beste stuurlui staan altijd aan wal. Die weten het altijd beter, maar ze hebben eigenlijk geen enkel idee, waar ze over praten. Is weer duidelijk zichtbaar hier.
TheYOSH
Dat zijn 342 fouten op tientallen miljoenen handelingen van ongeveer 20000 mensen. Beetje realiteitszin lijkt me wel op zijn plaats... Dat is dus geen 1,3 fout per dag. Maar 48* 5 * 20000 = =4.800.000 werkdagen in het jaar voor 20.000 mensen.
Dit komt neer op 1 fout per 14.035 gewerkte dagen!
Meten is weten als je weet wat je meet!
Dus doet UWV het hier absoluut niet zo slecht als je kijkt naar wat er is gerapporteerd!
TheYOSH
Dat zijn 342 fouten op tientallen miljoenen handelingen van ongeveer 20000 mensen. Beetje realiteitszin lijkt me wel op zijn plaats... Dat is dus geen 1,3 fout per dag. Maar 48* 5 * 20000 = =4.800.000 werkdagen in het jaar voor 20.000 mensen.
Dit komt neer op 1 fout per 14.035 gewerkte dagen!
Inderdaad, het is maar 0,00002 datalekken per inwoner van Nederland. Mag geen naam hebben! Behalve als boetes worden uitgedeeld natuurlijk, want dan is die 14.035 volstrekt irrelevant. Als in ons bedrijf 350 medische dossiers op straat komen te liggen, dan kunnen we de deuren sluiten, ongeacht hoeveel keer het goed is gegaan.
Je gebruikt een tactiek die ik vaker zie: probeer het getal zo klein (of in dit geval zo groot) mogelijk te maken. Dat werkt ook goed met belastingen. Ja we spenderen 300 miljoen aan totale waanzin in Den Haag, maar bekijk het zo: op 17 miljoen inwoners is dit nog geen 4 cent per dag per inwoner. Zo'n klein bedrag maakt helemaal niets uit op het totale budget. Volgende onderwerp!
Je gebruikt een tactiek die ik vaker zie: probeer het getal zo klein (of in dit geval zo groot) mogelijk te maken. Dat werkt ook goed met belastingen. Ja we spenderen 300 miljoen aan totale waanzin in Den Haag, maar bekijk het zo: op 17 miljoen inwoners is dit nog geen 4 cent per dag per inwoner. Zo'n klein bedrag maakt helemaal niets uit op het totale budget. Volgende onderwerp!
Ik gebruik geen tactiek. Ik plaats de feiten in context. Je kunt geen oorlog voeren zonder slachtoffers... Net zo min kun je tientallen miljoenen verwerkingen doen op allerlei locaties met duizenden mensen zonder dat er ooit iets fout gaat. En als je kijkt naar de verhoudingen tussen het aantal verwerkingen en het aantal fouten mag je mij een bedrijf aanwijzen waar ze beter scoren dan UWV in verhouding tot het aantal verwerkingen.
In de meeste commerciële organisaties komen vele malen meer fouten voor dan bij de overheid. Men meldt uiteraard nog geen fractie hiervan. Misschien is het een idee om daadwerkelijk even de cijfers voor de juiste context erbij te pakken. Om nog maar niet te beginnen over hoe dit internationaal in verhouding staat.
Maar ik zou zeggen als je een betaalbare en realistische oplossing hebt waarbij je 0 fouten kunt garanderen hoor ik het graag. Dan kan ik je vertellen dat je heel snel erg rijk zal zijn... Want die oplossing heb ik in 35 jaar in de IT security en privacy nog nergens ter wereld gezien.
Onrealistische zaken eisen zonder zelf met een werkbare oplossing te komen is geen constructieve bijdrage aan de discussie. Het is het afzeiken van mensen die hun best doen binnen zo'n organisatie werkt alleen maar demotiverend omdat ze het blijkbaar toch nooit goed kunnen doen. Wil je echt dat er iets verbeterd? Kom dan met constructieve inhoudelijke kritiek die iets bijdraagt.
Be the change that you want to see!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
