Ze doen in ieder geval de moeite om het bestand te versleutelen dus ik denk dat je een beetje heftig reageert. Doet er verder niets van weg dat het beter verpakt had kunnen worden. Je zou de partij er op kunnen attenderen dat ze het op een betere manier kunnen doen die wenselijker is voor in ieder geval jou situatie. Gezien je in de IT-security zit zal je deze aanbevelingen genoeg doen. Doe ik namelijk ook in mijn functie als IT-security.

De data is niet gelekt dus er is geen reden van het contacten van de AP. Tenminste ik begrijp dat je gegevens in de versleutelde PDF staan. Als ze als klare tekst verzonden zijn moet je gaan kijken of iemand in je e-mail kan. Zo ja, stommeling. Zo nee, dan is het tussen jou en de verzendende partij. Theoretisch kan er verder niemand bij. Waarschuwen kan, op een manier dat jij het graag anders ziet. Dreigen is kinderachtig mits er iets echt mis gegaan is.

Help de minder IT minded beter worden in plaats van ze gelijk een tik in het gezicht te geven.

De AP stelt zelf dat ze graag zien dat je eerst een klacht indient bij de organisatie (die niet goed met je gegevens omgaat) zelf.
Zie : https://www.autoriteitpersoonsgegevens.nl/nl/zelf-doen/privacyrechten/klacht-indienen-bij-de-ap

Ik zou dus eerst een klacht bij de verzekeraar indienen en kijken wat ze ermee doen. Als ze het aanpakken en de beveiliging beter / voldoende maken dan heb je je doel bereikt toch...

Als ze niet afdoende reageren / maatregelen nemen dan dien je een klacht bij de AP in. Deze zal niet gelijk een boete geven maar de organisatie eerst om een reactie vragen. Als ze op basis van jouw klacht i.c.m. met de reactie van de organisatie tot de conclusie komen dat de betreffende organisatie zich niet aan de wet houdt dan geven ze "bindende aanwijzing". De organisatie moet die dan opvolgen. Doet de organisatie dat niet (tijdig) dan leggen ze een "last onder dwangsom" op. De organisatie moet dan de opgelegde maatregelen nemen en moet een dwangsom betalen als ze dat niet tijdig doen.

Boetes worden eigenlijk alleen opgelegd bij zeer grove en opzettelijke overtredingen van de wet.

Succes.

Altijd eerst met het bedrijf zelf contact opnemen. Maar Pushen en dreigen zijn de beste methodes om iets gedaan te krijgen. En zeker niet binnen een maand resultaat eisen.

Ze hebben er over nagedacht, maar blijkbaar niet voldoende. Gewoon even contact met ze opnemen en het probleem uitleggen. Dat werkt vaak gewoon het beste.....

Ook werkzaam in de IT Security. Ik denk dat je een onderscheid moet maken tussen een "wachtwoord" en een "tweede factor". De code op het versleutelde bestand is niet zozeer een wachtwoord om ergens op in te loggen. Het is een "fail safe" om ervoor te zorgen dat áls de mail per abuis naar de verkeerde persoon gestuurd wordt (wat best nog wel gebeurt), dat die persoon niet het bestand kan openen.

De eerste laag van beveiliging is dus dat iemand toegang moet hebben tot jouw mailbox om de mail te openen. De tweede laag is dat die persoon jouw geboortedatum moet weten.

Ik vind wel dat die organisatie niet in de mail moet communiceren dat de toegangscode jouw geboortedatum is. Dat moet eigenlijk buiten de mail om aan jou gecommuniceerd worden. Maar met de vorm van het wachtwoord heb ik een minder groot probleem. Je moet als organisatie een werkbare oplossing hebben, waar een groot deel van je ontvangers mee om kan gaan. Niet alleen de IT-minded mensen die zich 100% comfortabel voelen met de oplossing.

Echt bizar dit

De reacties met name.volkomen ten onrechte opnemen voor een partij die in de fout gaat.
Goedbedoeld of niet, de afspraak/richtlijn is om geen gevoelige gegevens op de mail te donderen!
Het maakt geen ruk uit of dat in de mail staat of in de bijlage !!
De pseudo suggestie dat het wel okee is omdat hier sprake is van pseudo privacy middels pseudoveiligheid en omdat het allemaal zo pseudo is dan geen lek is is geklets.
Wie de mail in handen krijgt (onderweg slim onderschept) of toegang krijgt tot de mailbox heeft alles bijelkaar!

Als iemand om het even per post een wachtwoord plus alle benodigde gegevens in 1 brief per post zou versturen zodat de onderschepper van die post vervolgens toegang tot een acoount zou krijgen (medisch dossier of zo) dan staat iedereen hier te schuimbekken van verontwaardiging.
Nu het digitaal gebeurt is het, valt wel mee en was goed bedoeld.
Het valt niet mee!
Foute boel!

Met klokkeluiders loopt het meestal slecht af : lastig want kritisch! Dat wullen we niet!
Ben benieuwd of je na de melding bij die verzekeraar op zoek mag naar een andere verzekeraar.
Met andere woorden, die richtlijn van het AP is misschien niet zo hard in het geval dat er een afhankelijkheidsrelatie bestaat.
Als je dat zo voelt is het legitiem om er wel direct voor te kiezen dit netjes bij ap neer te leggen.

De meeste wachtwoordhints zijn van social media accounts te vissen
geboortedatum
naam van de partner of van de kinderen
naam van het huisdier
.. ..

Dat klinkt ook echt als een steekhoudend juridisch argument. De Autoriteit Persoonsgegevens zal in dit geval ook vertellen dat de casus voldoet aan de richtlijnen van de AVG. De gevoelige inhoud is versleuteld verstuurd naar een persoonlijk e-mailadres, en het risico op menselijke fouten middels een verkeerd e-mailadres is gemitigeerd door een tweede factor in de vorm van iets wat alleen de ontvanger weet. De afzender heeft in dit geval voldaan aan haar plicht om het risico op datalekken te minimaliseren.

Strikt genomen kun je de e-mail nóg veiliger maken door een supermoeilijk wachtwoord te bedenken en dat via een ander kanaal dan e-mail te communiceren. Maar de wijze van communiceren van deze afzender is sowieso al 100x beter dan wat ik veel bij andere bedrijven zie, waarbij de info gewoon als bijlage bij een reguliere (onbeveiligde) mail meegestuurd wordt, en waarbij iedereen mee kan lezen.

Een zorgverzekeraar die medische gegevens zou versturen?
Dan wel ik nog wel eens naar de data kijken. Een verzekeraar verstuurt rekeningsoverzichten betalingen.
Als dat medische gegevens zijn dan heeft het betalingsverkeer ook een probleem want allemaal medisch geheim.

Het kalf is al verdronken, de data ligt al op straat.
De enige vraag is of iemand het gevonden heeft.
Verzekering opzeggen. Naar een ander. En gewoon weer op papier verzekeren.

[sarcasm]Altijd leuk, reacties van security fanatici. Eerst security en privacy, dan heeeel lang niets, en dan meer aardse zaken als bruikbaarheid en begrijpelijkheid.[/sarcasm]

Waar gaat het nu om? Iedereen wil dat alles goedkoper en sneller moet. Dus wordt er volop geautomatiseerd. En dat betekent veranderingen ten opzichte van hoe het vroeger ging..Als je dat niet wilt moet je op een onbewoond eiland gaan wonen. Maar daar komt ook geen medische verzorging...
En nu worden er berichten gestuurd, bv. mail. Is daar een probleem mee? Niet als je een aanbieding van een web winkel krijgt, dat vindt (bijna) iedereen fijn. Mail: Handig! Of een mailtje van een vriend/vriendin/kennis/familie. Allemaal mail berichten die door anderen gelezen zouden kunnen worden. Terwijl er allerlei persoonlijke details in kunnen staan. Niemand die er om maalt.
Nu iets van een verzekeraar. Is dat dan wel ineens erg? Omdat het van een bedrijf is? Of om wat er in staat? Kennelijk het laatste: "Medische gegevens". Het zal niet je medisch dossier zijn, maar kennelijk heeft de verzekeraar bedacht dat dit misschien toch enkele gevoelige gegevens bevat, dus heeft hij een maatregel gekozen: een versleuteld PDF. Dus onderweg niet door geautomatiseerde systemen te lezen.
Wat is *het* grote probleem met versleuteling? Inderdaad, de sleutel aan de ontvangende kant krijgen. Hoe doe je dat want daar bestaan geen simpele generieke systemen voor. En je weet als zender niet wat het niveau van de ontvanger is. Dus een Diffie-Helman achtige email wisseling om samen een geheime sleutel te genereren zit er niet in...
Weet je wat? We gebruiken een "shared secret": dat gebruiken al die gebruikers ook thuis bij hun WiFi (het wifi wachtwoord) dus het principe is geaccepteerd. In dezelfde mail zetten? Nee, want dan weet een onbekende het ook. Een tweede mail versturen? Nee, die raakt kwijt of kan ook gelezen worden.
Nieuw plan, even denken: wat is een gegeven dat ongeveer iedereen in Nederland van zichzelf weet, maar anderen (op naaste familie en bekenden na) waarschijnlijk niet?
Eureka: een geboortedatum!

Ik vind het geniaal: als bedrijf kan je er vanuit gaan dat je gegevens "ontsleuteld" kunnen worden door de rechtmatige ontvanger(daar gaat het in eerste plaats om!!!), onafhankelijk van computerkennis bij die ontvanger! En tegelijkertijd kan een willekeurige andere waar die mail eventueel terecht zou komen dat niet zonder verder onderzoek kan. Mooie balans tussen bruikbaarheid en afscherming.

De openstaande vraag (waar niemand van de reageerders op KAN antwoorden) is: is het genoeg? Daarvoor moeten we bij TS: wat staat er zoal in die pdf? gaat het om naam, adres, en een rekening van de apotheek? Of om werkelijk zeer gevoelige medische gegevens? Het feit dat een ziektekosten verzekeraar je mail verstuurd is geen probleem, zeker niet als ze extra maatregelen nemen. Het gaat erom of ze voldoende maatregelen nemen. En wat de kans is dat er informatie gelekt kan worden. Want dat er computer inbraken zijn is een feit. Dat je moet beschermen ook. En dat je nooit 100% zeker kan zijn dat er informatie gestolen wordt is ook een feit. Ook als je niet aan Internet hangt. Een behoorlijk goede manier is afkoppelen, in beton gieten en afzinken in de diepste trog in de oceaan. Maar zelfs dan is er geen zekerheid dat gegevens niet meer gestolen worden. Één andere zekerheid heb je wel: je systeem is totaal niet meer bruikbaar voor waar hij voor bedoeld is! Weinig balans...

Q

Oké... Het kon dus echt nog erger. #taal

Datalek ? Welke 3e partij heeft jouw informatie in handen ? Het is een onveilige verwerking, en daarmee wellicht een *potentieel* datalek.

Indien jouw verzekeraar jouw medische gegevens op jouw verzoek aan jou verstrekt, dan schenden ze het medisch geheim ? Jij mag je eigen gegevens niet kennen ? Bizarre reactie. Wel moeten ze dit op een veilige manier doen.

Deze methode zorgt in eerste instantie al dat er geen automatische data-graaiing kan gebeuren. Als ze de gegevens in een gewone PDF versturen naar @hotmail, @gmail, ... worden de gegevens sowieso geïndexeerd. Nu dus niet, prima zet!

Als de mail bij iemand anders komt, per ongeluk, dan zal die de gegevens ook niet kunnen lezen, want die gaat niet de moeite nemen om de geboortedatum op te zoeken. Als dat een gewone PDF zou zijn, gaan veel mensen toch wel eens even kijken.

Blijft nog over: meer kwaadaardige/criminele feiten. Dat is dan vaak doelgericht en dan moet je al heel goede systemen hebben om die te kunnen counteren.

Eens dat dit niet optimaal is, maar ik mis van de mensen die zo hard roepen wel alternatieven. 'Het moet beter' is makkelijk roepen, maar hoe dan, zodat het ook werkbaar blijft voor de organisatie. In mijn ogen zou in dit geval een suggestie kunnen zijn om niet de wachtwoordhint in dezelfde mail te sturen, maar via een ander kanaal. En dan zou je nog kunnen opteren om iets 'moeilijker' te nemen dan de geboortedatum, maar wel iets dat de eindgebruiker makkelijk kan terugvinden.

Ik hoor graag welke werkbare alternatieven de mensen die zo fel reageren nog kunnen aanbieden? Werkbaar voor de organisatie en de eindgebruiker.

Inkopper: een beveiligd platform van de overheid, waar je documenten kan neerzetten en waar alleen jij aan kan met je eID. Dat is nu hot topic in BE. Maar wil je dat? Al die documenten op 1 plaats, in handen van de overheid? Ook dan wil je nog steeds een wachtwoordje erop, zodat alleen jij er aan kan.

Hoezo is hier sprake van onveilige versturen van informatie. Mogelijk is de e-mail zelf ook al versleuteld middels opportunistic TLS. Het lijkt zinvoller om bij de organisatie de constatering te melden en te verzoeken te laten informeren over de handelswijze. Met andere woorden, treed in overleg in plaats van direct een heksenjacht. Mijn ervaring is dat over het algemeen organisaties te goeder trouw zijn en graag meewerken aan verdere verbetering van beveiligingsmaatregelen.

- Even kijken hoe deze logica standhoudt.

Jij:
Beste verzekeraar,
Ik ben het niet eens met u.
U moet mijn schade door inbraak, alles wat ik kwijt ben vergoeden!!
De voordeur zat op slot!

Verzekeraar:
Beste jij,
Wij stellen inderdaad als eis dat u uw huis goed moet afsluiten.
Wij hebben echter geconstateerd dat u de voordeursleutel onder de voordeurbuitenmat bewaarde.
Dat vinden wij geen accurate manier van het huis beveiligen en vatten wij samen onder de uitzonderingen noemer nalatigheid en onachtzaamheid.

Jij:
Jamaarjamaar ik heb precies de letter opgevolgd!

Verzekeraar:
Maar de geest van de bepaling heb je gemist.

- De voordeurmat en de sleutel
Bijvoorbeeld
https://www.security.nl/posting/544269/123456+en+password+nog+altijd+meestgebruikte+wachtwoorden

- Tijd voor een nieuwe uitdaging?
Denk het wel 'job' !

- Wat een diepe letterstaar droevenis als dit de mentale stand van zaken is in it land.

Verkeerde framing.
De topic starter legt in alle redelijkheid een paar opties voor met redenen omschreven.
Opvallen dat zoveel reageerders tegen de topic starter zijn, iets met aangesproken voelen en te lange tenen?
Het lijkt er erg veel op.

Je doet het niet, je doet het half of je doet het goed.
Maar voor het eindresultaat bij gevoelige zaken is alleen goed voldoende aanvaardbaar goed.
Dat is hier duidelijk niet het geval, puntjes op de i vergeten.
Bel horen luiden en in de weer gegaan met speakertjes.

Opvallend dat er zoveel reaguurders zijn die aannemen dat als je iets beweerd dat het niet goed is dat het dan ook niet goed is. TS zegt in de ICT te werken en met security te maken te hebben. Ik mis echter een verwijzing naar de dataklassificatie BIA en de CIA voordat we gaan kijken naar technische invullingen. Hij begint met technische invullingen als zijnde de waarheid.

Laten we eerst eens uitsluitsel krijgen over wat er in die brief voor soort data staat.
Dbc's kun je bij de NZA vinden met overeengekomen kosten.

LMFAO.

Volstrekte onzin.

Omdat?
Inhoud is toch versleuteld?

Omdat: "versleutelde PDF met als wachtwoord mijn geboortedatum."

Het gebruikte wachtwoord voor de versleuteling is niet relevant.
Dat in dezelfde mail staat dat je daar je geb. datum voor moet gebruiken is wel een discutabel feit, echter voldoet het nog steeds aan de AVG.

Beter zou het zijn als ze een tweede e-mail hadden gestuurd met daarin de uitleg welk wachtwoord te gebruiken voor die PDF.
Of dat ze het betreffende document op hun website in jou mijn.verzekeraar.xyz stukje achter DigiD hadden gezet en jou een mail hadden gestuurd dat het document klaar staat om gedownload te worden vanaf die veilige plek ( ZONDER een link/url erbij te sturen natuurlijk, dat doen alleen fishers ;-) )

Maar niet direct een datalek. Immers het is versleuteld. Er is wel veel ruimte voor verbetering, maar "volstrekte onzin" klopt niet. Want er is voldaan aan de eisen, maar zeker een stuk beter gedaan worden.

Conclusie zou moeten zijn: Voor verbetering vatbaar.

Echt waar? Dan is de AVG een papieren tijger. Want een geboortedatum als wachtwoord is bijna hetzelfde als plaintext. En als instructies voor wachtwoord worden meegestuurd in dezelfde e-mail dan is dat bijna hetzelfde als de pincode bij het bankpasje voegen en opsturen.

Op het werk versturen we in zo'n geval een link in de mail en als de ontvanger daar op klikt krijgt hij/zij even later
een SMS op zijn/haar telefoon met het wachtwoord.
Dit werkt prima maar ik weet zeker dat er hier op het forum idioten rondhangen die dit "onveilig want SS7 kan gehacked
worden" verklaren. Dus het is nooit goed.

Dit is zo onwaarschijnlijk kortzichtig !
Dus met de letter als wachtwoord ben jij ook tevreden mee want voldoet aan de eis versleuteld?
Wat een f%! waanzin!
Aan dit soort opdracht is opdracht denkers en uitvoerders gaat de maatschappij kapot en ten onder.
Bovendien hebben we daar computers voor, sneller en goedkoper.
Tjongejonge.. je gelooft het gewoon niet dat dit bestaat, vrij rondloopt en ook nog met de vingers aan dingen mag zitten.

Verbazingwekkend.

Wat de verzekeraar beter had kunnen doen, is een aangetekende brief op diens verzoek tot inzage naar de verzekerde versturen, met daarin een HTTPS download link en het wachtwoord. Lijkt mij niet meer dan redelijk.

In die brief kan dan kort de instructie plus randvoorwaarden worden vermeld, waaronder het PDF-dossier aan de verzekerde wordt verstrekt, onder verwijzing naar de algemene voorwaarden.

Zodra de verzekerde de brief ontvangt en het PDF dossier veilig via HTTPS download, kan het door de server automatisch van een datum, tijd en een (zichtbaar) "watermerk" worden voorzien.

https://en.wikipedia.org/wiki/Digital_watermarking

Na goede ontvangst van het gewatermerkte PDF-dossier ligt de verantwoording voor het veilige beheer daarvan dan bij de ontvanger, de verzekerde partij, want de brief met het wachtwoord was immers aangetekend.

Mocht het ontvangen PDF-dossier naderhand overhoopt toch uitlekken, bijvoorbeeld door een gebrekkige Windows of foute firewall configuratie, dan is de client daarvoor zelf minstens mede-verantwoordelijk.

De schuld ligt dan in ieder geval niet meer bij de verzekeraar, want die kan naderhand schriftelijk aantonen dat zorg is besteed aan het veilig overdragen van het PDF dossier.

Veiligheidshalve zou de verzekeraar wel, het zorgprincipe in gedachten houdend, het versleutelde PDF dossier als optie ook als niet-printbaar kunnen aanleveren en/of van een vervaldatum of van extra beveiligingen kunnen voorzien.

Het mogelijke alternatief, voor een aangetekende brief, is het gebruik maken van DigID of de technische opvolger daarvan. Dat staat een digitaal watermerk aanbrengen niet in de weg.

AVG bespreekt niet de technische kant. Dat deze oplossing beter kan, is zeker. Maar het is ook niet de slechtste implementatie. Er is over nagedacht maar kan (veel) beter.

Nee, dat is niet echt waar. De AVG eist adequate beveiliging. Er is hier geen sprake van adequate beveiliging want een huisgenoot zou zonder meer het wachtwoord kunnen gebruiken en de mail zou ook kunnen worden onderschept via een MitM aanval en zo nodig ook kunnen worden gekraakt in minder dan een seconde. Geboortedatums zijn totaal ongeschikt als wachtwoord.

Medische gegevens zijn bijzondere persoonsgegevens (art. 9 AVG). Ik zou het sowieso melden aan de AP, dit is een ernstige zaak.

Ik zou het daarnaast rechtstreeks opnemen met de Functionaris voor de Gegevensbescherming (FG) van de verzekeraar, zonder dreigementen en zonder AP te noemen. Een referentie aan de AVG en zeggen dat deze wijze van gegevensoverdracht niet voldoet is voldoende. De AP kan een boete opleggen en naar mijn mening kunnen ze dit al direct doen, ze hoeven niet eerst een kans te geven de problemen op te lossen, maar de hoogte van de boete is hiervan wel afhankelijk.
Een verzekeraar moet contactgegevens van de FG verstrekken. Die kun je meestal wel op de site vinden. Stuur zelf geen medische gegevens op.

De GDPR is er niet om misbruikt te worden voor nitwits met een eigen agenda en eigen vinkenlijstje.
Het is iets wat als beleid (strategie) via taktiek (information management) naar de vloer/operatie moet gaan lopen.
Nogal een probleem gezien https://www.security.nl/posting/587922/ISO+standaarden+voor+management
Vol aannames dat die PDF gevoelige informatie bevat, daarvan nog niets gezien.

Een Wc-deur heeft een zeer zwak slot voldoet nergens aan een IPK keurmerk. Toch is het een toegangsdeur.

En dat blijkt echt geweldig te werken! Van die papieren tijgers die beleid (strategie) via taktiek [sic!] (information management) naar de vloer/operatie laten lopen. Met als uiteindelijk resultaat opgestuurde 'versleutelde' gegevens met wachtwoordhint 'geboortedatum' erbij in dezelfde e-mail. Wat een beschamende schertsvertoning! Maar ja, dat snap jij toch niet.

Waarmee we weer terug zijn dat die os-nerds er een grote janboel van maken met beperkt geloof in een stukje techniek.
Ga die WC deur van je eens op orde brengen met gedegen beveiliging een kluisdeur van 30 cm dik of zo lijkt me op zijn plaats.

Waar staat dat?

Ehh, meneer Foss (en andere reageerders),
heeft U de tekst van de AVG wel eens gelezen?
De AVG gaat over kaders waarbinnen vrij verkeer van persoonsgegevens plaats kan vinden.
Het is NIET een verbodslijst van wat je niet mag doen, maar een kader voor veilig uitwisselen van gegevens.

Er staat nergens: alles moet altijd met militaire encryptie worden versleuteld. Er staat dat passende maatregelen genomen moeten worden. En dat is dan afhankelijk van de gevoeligheid en de dreiging.

Dus:
- wat voor soort gegevens betreft het (gevoeligheid)? Daar hebben we nog geen antwoord op gekregen van TS.
- wat is de dreiging? Dat iemand ze leest.
De gekozen methode maakt dat niet iedereen het zo maar kan lezen, dat het niet automatisch door Google of Microsoft gelezen kan worden, en dat zelfs een digibeet het zou moeten kunnen ontsleutelen. Dus voor niet al te spannende zaken een juiste balans tussen afscherming en bruikbaarheid.

Is het genoeg? Dat weten we pas als TS gaat vertellen wat er allemaal voor spannends in de PDF stond. Tot die tijs is dit een vermakelijke discussie tussen mensen die kennelijk de AVG nooit gelezen hebben en denken dat er inderdaad een kluisdeur nodig is om te voorkomen dat iemand je toilet binnen dringt...


Q

Kan ik hier op dit forum vragen welke software daar dan voor gebruikt wordt?