Wetsvoorstel meldplicht datalekken naar Tweede Kamer
Staatssecretaris Teeven van Veiligheid en Justitie heeft vandaag het wetsvoorstel meldplicht datalekken naar de Tweede Kamer gestuurd. Zowel private als publieke organisaties die persoonsgegevens verwerken worden straks verplicht om inbreuken op de beveiliging die leiden tot diefstal, verlies of misbruik van persoonsgegevens te melden.
Dat zijn dus meer organisaties dan de aanbieders van elektronische communicatienetwerken en -diensten voor wie op grond van de Telecommunicatiewet reeds een meldplicht geldt bij diefstal, verlies of misbruik van persoonsgegevens van abonnee of gebruiker.
Boete
De meldplicht moet voor een betere bescherming van persoonsgegevens zorgen. Volgens de staatssecretaris kunnen door beveiligingsfouten grote hoeveelheden persoonsgegevens op straat belanden. Organisaties waar deze gegevens zijn gelekt, zijn vervolgens verplicht om de toezichthouder - het College bescherming persoonsgegevens (Cbp) - in te lichten.
Daarnaast ontvangt in veel gevallen ook degene wiens persoonsgegevens het betreft een melding. Hierbij geldt wel dat het datalek 'ongunstige gevolgen' voor de persoonlijke levenssfeer moet hebben. Worden gedupeerden niet door een organisatie ingelicht, dan kan het Cbp een boete van maximaal 450.000 euro opleggen.
Had eigenlijk nog wel bij gemogen dat bedrijven nu ook verplicht moeten worden om actief in de gaten te houden wat er allemaal op en emt hun systemen en data gebeurd.
Zit nu wel een gaatje dat ze kunnen roepen dat ze het gewoon niet gezien of gemerkt hebben.
Niet zo goed voor de reputatie maar scheelt een boete van 450.000,-
Dat is niet hetzelfde. Er zijn ongetwijfeld veel ex-hackers die graag met hun tooltjes spelen, maar dat is niet de manier om een systeem te controleren. Dat doe je met een audit. Bepaald geen junior taak, daar heb je echte kennis en inspanning voor nodig.
Meen jij dat een pentest een junior taak is waar je geen echte kennis en inspanning voor nodig hebt ? Een goede pentest is ietsje moeilijker dan een audit...
serieus hey, het hoeveelste voorstel is dit nou?
lelelele wat een verstand hey, en nog gewoon doorkeutelen ook met z'n allen nou?
Ik heb met enige regelmaat met mijn neus in de (wet)boeken gezeten. Ik ben geen Arnoud Engelfriet, maar van wat ik heb gezien krijg ik de indruk dat men dat gewoonlijk oplost door een clausule dat de ene wet voorrang heeft op de andere. In dit geval schat ik dat het voorstel zal zijn om verplicht te zijn datalekken te melden tenzij het expliciet verboden is.
Overigens, indien dit klopt is het wel bepaald onverwachte daadkracht met betrekking tot privacybescherming. Zo onverwacht dat het verdacht is. Kan iemand met een stofkam over dit voorstel gaan?
Dat is niet hetzelfde. Er zijn ongetwijfeld veel ex-hackers die graag met hun tooltjes spelen, maar dat is niet de manier om een systeem te controleren. Dat doe je met een audit. Bepaald geen junior taak, daar heb je echte kennis en inspanning voor nodig.
Al jaren zijn er normeringen die met audits worden getoetst, maar dat is niet voldoende, zo blijkt bijna iedere maand weer.... Audits zijn vaak gericht op deelsystemen, implementaties of processen. Dan mis je gegarandeerd stukken waar een hacker graag gebruik van maakt. Lekken in de informatiebeveiliging preventief opzoeken en dichten is belangrijk omdat je dan het gedrag van een hacker het beste simuleert. En daaruit blijkt dat er altijd wel mogelijkheden zijn om 'binnen' te komen. Daarop actie ondernemen helpt direct aan betere beveiliging.
Zit nu wel een gaatje dat ze kunnen roepen dat ze het gewoon niet gezien of gemerkt hebben.
Niet zo goed voor de reputatie maar scheelt een boete van 450.000,-
Die datalek meldingsplicht staat niet in de wet bescherming persoonsgegevens, dat persoonsgegevens met de gepaste technische en organisatorische maatregelen beschermd moeten worden wel. Monitoringstools en logging hoort daarbij. Een bedrijf kan dus niet zeggen "oeps, niet gezien" want dan zitten ze ook fout. Helaas mag de CBP daar dan inderdaad geen boete voor uitschrijven, maar het bedrijf kan wel vervolgd worden voor niet nakomen WBP en de schade die daaruit voortkwam.
Deze meldingsplicht is ook niet echt bedoeld om datalekken te voorkomen m.i., maar wel om er voor te zorgen dat er transparantie is over die lekken en dat bedrijven daardoor verplicht worden snel actie te ondernemen volgend op het lek.
Laten we maar hopen dat er vanuit de transparantie, die zo ontstaat, een afschrikwekkend effect ontstaat, want de boete zal dat niet bewerkstelligen. In ieder geval niet voor de bedrijven die de meeste informatie van ons hebben, bedrijven als Google, Apple, Microsoft, Amazon, etc.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.