Britse school berispt voor overtreden privacywet met slecht wachtwoordbeleid
Een Britse school die meerdere keren het slachtoffer van cyberaanvallen werd, waaronder een ransomware-aanval, is door de Britse privacytoezichthouder berispt wegens het slechte wachtwoordbeleid dat werd gevoerd. Bij één van de aanvallen werden de gegevens van meer dan 1800 mensen gecompromitteerd.
Volgens de ICO had de school in Coventry geen passende technische maatregelen genomen om de vertrouwelijkheid en integriteit van de systemen te waarborgen. Zo was de account lockout policy onvoldoende en was 'reversible password encryption' ingeschakeld. "Waren deze zaken eerder aangepakt, dan had het de kans op een succesvolle aanval aanzienlijk kunnen verminderen", zo oordeelt de Britse privacytoezichthouder.
Verder maakte de school geen gebruik van multifactorauthenticatie (MFA) en had personeel onvoldoende kennis over en begrip van het hergebruik van wachtwoorden. "Had Finham Park het personeel beter onderwezen over wachtwoordbeheer, dan had het incident mogelijk voorkomen kunnen worden", zo laat de ICO verder weten. Dat stelt dat de school door slechte beveiliging de Britse privacywetgeving heeft overtreden.
Naar aanleiding van het incident heeft de school maatregelen genomen, waaronder het herstel van systemen via beschikbare back-ups, het implementeren van MFA en het starten van een digitaliseringsplan, waaronder het monitoren van inloggegevens. Vanwege de genomen maatregelen besloot de ICO het bij een berisping te laten.
Jammer dat het slechts een berisping is. Wanneer er een hoge boete had moeten worden betaald, dan zouden andere organisaties wellicht wakker worden en ook eens naar hun wachtwoord beleid (en andere security maatregelen) gaan kijken.
De genoemde maatregelen horen niet thuis bij privacy maar bij een gedegen technologische vaardigheid.
Dat hoort thuis met benoemde richtlijnen bij een andere toezichthouder
Het noemen van de naam van de school (naming and shaming) is een sanctie waar deze privacywaakhond blijkbaar over beschikt.
Een boete aan een onderwijsinstelling wordt misschien niet als de beste aanpak gezien. Die zou ook ten koste van het onderwijs gaan (meestal niet ten koste van de bestuurderssalarissen in ieder geval).
Naming and shaming zal andere organisaties mogelijk ook wakker doen schrikken.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
