AP: Fiscus heeft gebrekkige databeveiliging op orde gebracht
De Belastingdienst heeft de gebrekkige beveiliging van informatie na twee jaar op orde gebracht, zo laat de Autoriteit Persoonsgegevens weten. Naar aanleiding van een uitzending van het televisieprogramma Zembla in februari 2017 startte de privacytoezichthouder een onderzoek naar de fiscus.
Tijdens het onderzoek naar de toenmalige afdeling Data & Analytics (D&A), tegenwoordig Datafundamenten & Analytics (DF&A), bleek dat de Belastingdienst op verschillende gebieden tekortschoot. Het ging om het loggen van activiteiten en de controle van deze logging, alsmede het beheer van de autorisaties. Hierdoor was het mogelijk om data ongemerkt te kopiëren of exporteren. De fiscus zou bij een datalek achteraf ook niet kunnen nagaan wie welke data naar buiten had gebracht. Tevens bleek dat medewerkers toegang tot data konden krijgen die niet strikt noodzakelijk was.
Na het eerste onderzoek vroeg de Autoriteit Persoonsgegevens naar informatie over de getroffen verbetermaatregelen. Vorig jaar september kwam de Belastingdienst met de gevraagde informatie, maar daaruit ontstond het vermoeden bij de toezichthouder dat de fiscus nog niet alle benodigde verbetermaatregelen had getroffen. Daarop werd een vervolgonderzoek ingesteld.
Uit het vervolgonderzoek blijkt dat export van data vanuit de brongegevens naar het geheugen van de fysieke werkplek van medewerkers nog steeds niet wordt gelogd. Verder kunnen medewerkers e-mailbijlagen op hun smartphone opslaan buiten de beveiligde omgeving van de Belastingdienst. Deze handeling blijkt ook niet te worden gelogd. De Belastingdienst heeft echter verschillende maatregelen en processen doorgevoerd om de mogelijke risico's tegen te gaan.
De Autoriteit Persoonsgegevens concludeert dat de getroffen verbetermaatregelen bij DF&A de geconstateerde beveiligingsrisico's dusdanig verminderen dat de eerder door de toezichthouder geconstateerde overtredingen niet langer voortduren. De AP voegt toe dat informatiebeveiliging een continu proces is dat om periodieke evaluatie vraagt. De Belastingdienst krijgen dan ook het advies om audits gericht op informatiebeveiliging te blijven uitvoeren en risico's en maatregelen periodiek te herbeoordelen.
"‘De Belastingdienst heeft heel veel informatie over ons allemaal. Burgers moeten erop kunnen vertrouwen dat die gegevens zorgvuldig beveiligd worden:, aldus Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens.
De Autoriteit Persoonsgegevens concludeert dat de getroffen verbetermaatregelen bij DF&A de geconstateerde beveiligingsrisico's dusdanig verminderen dat de eerder door de toezichthouder geconstateerde overtredingen niet langer voortduren."
Dus, het is nog steeds niet zoals het zou moeten zijn, maar we doen gewoon alsof dat zo is.
Zzzz... Slaap rustig verder, oh onnozele burger. Wij doen wel net alsof we over uw persoonlijke gegevens waken.
Nu, is voor de aparte omgeving alles dichtgezet qua data lekken en de algemene (DWB) omgeving alles strak ingericht. Je kan uiteraard nog steeds data lekken. Je hebt echter wel autorisaties nodig en wat je lekt, wordt ook echt gelogd.
Vergeet niet dat de belastingdienst nog steeds onder toezicht staat. Bijna niets kan qua geld (nieuwe software). Geen mensen in te zetten zijn. Dus zo'n omgeving ineens helemaal met DLP inrichten is gewoon niet mogelijk. Dan moet er een zak geld en mensen beschikbaar worden gesteld en dat is er niet.
Of omdat de problemen bij het Haga Ziekenhuis veel simpeler op te lossen waren ?
Vergeet niet dat de belastingdienst nog steeds onder toezicht staat. Bijna niets kan qua geld (nieuwe software). Geen mensen in te zetten zijn. Dus zo'n omgeving ineens helemaal met DLP inrichten is gewoon niet mogelijk. Dan moet er een zak geld en mensen beschikbaar worden gesteld en dat is er niet.
Met schenkingen toeslagen en wat meer zie je iets van de culturele problemen waar het echte issue zat en zit.
Als je de ADR rapporten terugleest moet je eens letten op de aanduiding CSO rol. Gaarne je onderzoek naar waar die zat.
Hetzelfde is waarschijnlijk aan de orde bij de UWV.
Wat ook nog meespeelt is dat in het verleden de leiding van de AP en voorgangers (CBP, Registratiekamer) bestond uit personen die een grote staat van dienst hadden waar het de privacy betrof. De huidige leiding is afkomstig uit de politiek en wil dus 'scoren'. [Onverlet dat het niet goed was bij Haga.]
Wat ook nog meespeelt is dat in het verleden de leiding van de AP en voorgangers (CBP, Registratiekamer) bestond uit personen die een grote staat van dienst hadden waar het de privacy betrof. De huidige leiding is afkomstig uit de politiek en wil dus 'scoren'. [Onverlet dat het niet goed was bij Haga.]
Je verklaart in ieder geval waarom het AP zo'n grote moeite heeft om zich aan de wet te houden. Eigen ideeën boven wettelijke voorschriften.
Bij Haga weet ik nog steeds niet of er een fout figuur bezig was om via publieke opinie zij eigen agenda in te vullen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
