Amersfoort: contact met softwareleverancier over datalek verliep moeizaam
Het contact tussen de gemeente Amersfoort en een externe softwareleverancier waar de gegevens van honderdduizend huidige en voormalige inwoners werden gestolen verliep moeizaam, zo laat wethouder Johnas van Lammeren in een brief aan de gemeenteraad weten. Daarnaast gaat de gemeente met de leverancier in gesprek over de consequenties van het datalek.
De gemeente werd op 31 oktober door de softwareleverancier ingelicht dat die was getroffen door een aanval. Het was toen nog niet bekend dat er ook gegevens van de gemeente waren gecompromitteerd. Vanwege de overgang van een on-premise applicatie naar een SaaS-oplossing, is in het kader van de migratie op 17 oktober een (database) back-up door de gemeente geüpload naar een beveiligde omgeving.
De softwareleverancier heeft deze back-up, met gegevens van inwoners van de gemeente Amersfoort, gedownload naar zijn eigen netwerk. De leverancier verzorgt het digitale afsprakensysteem van de gemeente, waar inwoners afspraken kunnen maken voor een nieuw paspoort of rijbewijs. De back-up bestaat uit twee datasets met gegevens van 2009 tot en met 10 oktober 2024. De "oude" dataset met persoonsgegevens van 2009 tot en met 2019 is niet versleuteld. De "nieuwe” dataset", van 2016 tot en met 10 oktober 2024, bevat persoonsgegevens die deels versleuteld zijn.
Op 1 november vond een eerste contact plaats tussen de gemeente en de softwareleverancier waarin onder andere nadere vragen werden gesteld over de back-up die de gemeente had verstrekt. "In een poging precies te achterhalen wat er is gebeurd hebben we de softwareleverancier meerdere malen om informatie verzocht. Dit proces verliep moeizaam. Met behulp van een advocaat, externe experts en eigen onderzoek hebben wij het beeld zo goed als mogelijk gereconstrueerd", laat Van Lammeren weten.
De reden om de advocaat in te schakelen was dat de benodigde gegevens voor een risico-inschatting voor de (voormalige) inwoners op 12 november nog altijd niet was ontvangen. De advocaat heeft de leverancier per brief op 13 november en per e-mail op 15 en 18 november gesommeerd alsnog de benodigde informatie, waaronder de rapportage van een expertbureau, te verstrekken. Op woensdag 20 november kreeg de gemeente schriftelijke bevestiging van de leverancier dat er sprake was van een datalek, waarbij gegevens van inwoners zijn buitgemaakt.
Naast het per brief informeren van zevenduizend getroffen inwoners van wie het Burgerservicenummer (BSN) is gestolen gaat de gemeente ook in gesprek met de softwareleverancier over de consequenties van dit incident, aldus Van Lammeren (pdf).
Als de gemeente niet transparant wilt zijn moet iemand het voor ze doen, mensen hebben het recht te weten door wie ze gena@id zijn. )-:<
Als de gemeente niet transparant wilt zijn moet iemand het voor ze doen, mensen hebben het recht te weten door wie ze gena@id zijn. )-:<
Dat er iets gebeurd vervelend dat kan ieder overkomen laten we wel wezen maar als er slecht gecommuniceerd wordt, niet een duidelijk protocol bestaat vindt ik dat zeer kwalijk en zou ik ze niet nemen in een aanbesteding. En dat is vervelend voor het bedrijf maar dat is niet mijn zorg.
Daar in tegen als ergens iets mis gaat en ze hebben alles netjes uitgestippeld voor herstel zijn snel online en durven gewoon fouten toe te geven zonder pr onzin dan weet ik met wat voor soort partij ik te maken heb en dan heb ik meer vertrouwen in daar mee in zee te gaan dan een bedrijf wat geen info levert. Want fouten worden altijd gemaakt, leren ervan dat is een ander verhaal.
Als de gemeente niet transparant wilt zijn moet iemand het voor ze doen, mensen hebben het recht te weten door wie ze gena@id zijn. )-:<
https://www.ad.nl/amersfoort/gegevens-in-amersfoorts-datalek-hadden-al-lang-verwijderd-moeten-zijn~acf3b178/
(let op: dpg paywall)
Maar de gelekte gegevens gaan terug tot en met 2009. "
"Van een ander deel van de data was wél bekend dat die verwijderd had moeten worden. Omdat er eerst aan gewerkt werd om de afspraken-applicatie ‘naar de cloud te brengen’ werd er ‘gezien de beperkte capaciteit en middelen’ gewacht met het vernietigen van de persoonsgegevens."
Bij een afspraken/klantvolgsysteem zijn al die historische persoonsgegevens niet nodig.
Daar had de gemeente zelf een statische geaggregeerde set van kunnen maken voor eigen gebruik. En dan schoon beginnen in de SaaS omgeving. (op zijn hoogst de actuele afspraken, en misschien de afgehandelde afspraken van de rest van dat jaar)
15 jaar historie is echt te lang. En geen capaciteit is een zwak excuus.
Waarom zijn die gegevens (mn die toch vernietigd hadden moeten worden) uberhaubt dat naar JCC gestuurd? Wat was het idee daarachter?
Eigenlijk zou zo'n klantenvolgsysteem tegenwoordig moeten voorzien in een vernietigingsproces:
Dat afgehandelde afspraken na enige tijd ge-anonimiseerd worden, en dan ge-aggregeerd (waarbij de originele afspraken verdwijnen).
In die 15 jaar tijd is er zoveel veranderd, dat alles van voor Covid al achterhaald is.
Details daarvan (met naam en toenaam) zijn totaal overbodig.
Dit in het kader van dataminimalisatie van de AvG. Hoe interessant is het nog voor een gemeente om een afspraak voor een rijbewijsaanvraag uit 2009 te bewaren? Zou dit anders onder de archiefwet vallen?
Of wil de gemeente prestatiemetingen doen op het werk van de ambtenaren? /i
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.