Citrix-lek zorgt voor 29 meldingen bij Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens heeft naar aanleiding van de kwetsbaarheid in Citrix 29 meldingen van mogelijke datalekken ontvangen. Of het daadwerkelijk om datalekken gaat wordt nog uitgezocht, zo laat een woordvoerder van de privacytoezichthouder aan de NOS weten. Eerder stelde Het Nationaal Cyber Security Centrum (NCSC) dat organisaties die na 9 januari de mitigatiemaatregelen van Citrix hebben doorgevoerd ervan moeten uitgaan dat hun systemen zijn gecompromitteerd.
Organisaties moeten een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens melden, tenzij het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van de betrokken personen. Wanneer organisaties bij de eerste melding nog niet alle informatie hebben adviseert de toezichthouder om het datalek binnen 72 uur te melden en later een vervolgmelding te doen.
De AVG definieert een inbreuk in verband met persoonsgegevens als volgt: "een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens."
Via de kwetsbaarheid in Citrix kunnen aanvallers toegang tot vertrouwelijke systemen met persoonlijke informatie krijgen. Er zijn nog geen organisaties bij naam bekend die door het beveiligingslek in de software met een datalek te maken hebben gekregen.
Een inbreuk in verband met persoonsgegevens, beter bekend als een datalek, is een inbreuk op debeveiliging die leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens. Het is voor de kwalificatie als ‘inbreuk in verband met persoonsgegevens’ niet relevant dat er boos opzet in het spel is. Hoewel een hack van uw systemen waarbij persoonsgegevens worden buitgemaakt een schoolvoorbeeld is van een datalek, kunnen ook gegevens die op een verloren laptop staan of een afgesloten website met persoonsgegevens die per ongeluk openstaat ook kwalificeren als een datalek.
Wat ik nog niet wist is wat daar direct onder staat:
Of moet ik het bovenstaande anders interpreteren in dit geval? D.w.z. als een beveiligingsincident nog niet tot een datalek heeft geleid, moet je dat dan wel of niet melden bij de AP? Immers er lijkt geen meldplicht voor beveiligingsincidenten te bestaan.
organisatie ernstig is verstoord, bijvoorbeeld in het geval van een stroomstoring of een "denial of
service"-aanval (DoS-aanval), waardoor persoonsgegevens niet beschikbaar zijn.
Als voorbeeld wordt ook genoemd:
In de context van een ziekenhuis kan de onbeschikbaarheid van cruciale medische gegevens over patiënten, zelfs tijdelijk, een risico voor de rechten en vrijheden van natuurlijke personen inhouden. Het kan bijvoorbeeld tot gevolg hebben dat operaties worden geannuleerd en dat levens in gevaar komen.
Een organisatie kan dus ook melden als ze van mening is dat de beschikbaarheid in het geding is, bijvoorbeeld bij afsluiten van het patiëntenportaal.
Hierover is volop discussie mogelijk als je dit preventief doet (wat is dan de inbreuk versus stilleggen voor onderhoud) en de gegevens ook nog via andere weg (binnen het ziekenhuiis) toegankelijk zijn.
Kan dan altijd zijn dat organisaties de voorzichtige kant kiezen om niet het risico te lopen op boetes van de AP.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
