"Testlijnmedewerkers kunnen uitslagen coronatests onbevoegd inzien"
Uitslagen van coronatests en bijbehorende persoonlijke gegevens zijn toegankelijk voor medewerkers van de coronatestlijn die hier eigenlijk geen toegang toe zouden moeten hebben, zo meldt Nieuwsuur vandaag. De medewerkers plannen afspraken in en bellen negatieve testuitslagen door.
Met een geboortedatum en achternaam, een straatnaam en postcode of een burgerservicenummer kunnen alle medewerkers die toegang tot het CoronIT-systeem hebben alle testafspraken, uitslagen, medische aantekeningen en telefoonnummers inzien.
CoronIT is het digitaal registratiesysteem dat GGD'en ondersteunt met het aanmelden van te testen mensen, het inplannen van afspraken voor te testen mensen, afname en registratie van monsters, het vastleggen van testuitslagen en het genereren van landelijke en regionale overzichten van het aantal afgenomen testen en resultaten.
Testlijnmedewerkers kunnen zo testgegevens van bekende Nederlanders, collega's, familie of kennissen opvragen, ook al hoeven ze deze personen niet te bellen. Nieuwsuur meldt dat er ook gevallen bekend zijn waarbij medewerkers uitslagen met kennissen deelden die hierom vroegen. Ook worden gegevens, zoals 06-nummers en testuitslagen, soms gedeeld in Whatsapp-groepen van medewerkers die elkaar om hulp vragen.
De Autoriteit Persoonsgegevens laat weten op het moment geen onderzoek te zullen doen. "De wet bepaalt dat de coronatestlijn er zelf voor verantwoordelijk is dat dit in orde is. Medewerkers mogen niet meer persoonsgegevens verwerken dan in die situatie nodig is. Dat kan bijvoorbeeld door het afschermen van informatie voor bepaalde medewerkers", aldus de toezichthouder.
Hebben die accountants naar de RACI verdeling gevraagd?
Is er afgeweken van de info die aan accountants is verschaft?
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
nee hoor, malware kan eenvoudig vol automatisch screenshots maken.
De GGD reageert met de mededeling dat er scherp wordt gecontroleerd op misbruik en mensen die zonder reden in een dossier kijken worden opgespoord. Dus logging is geïmplementeerd en natuurlijk moet een gebruiker aanloggen om het systeem te kunnen gebruiken. Maar het moet voor elk ontwikkelteam dat niet uit totale beginners bestaat geen grote moeite zijn om drie groepen gebruikers (GGD-medewerkers, callcenter-medewerkers, testlab-medewerkers) te onderscheiden die elk alleen geautoriseerd zijn voor bepaalde functies van het systeem.
Als de haast in eerste instantie zo groot was dat dat werd overgeslagen kan het in tweede instantie worden toegevoegd, en kan daar meteen aan worden doorontwikkeld. Ik haal uit de reactie van de GGD niet dat dat ook gebeurt. Dat vind ik onterecht, want het gaat hier om duidelijk te onderscheiden groepen gebruikers waarbij duidelijk is welke gegevens domweg nooit ingezien hoeven te worden. Controle achteraf aan de hand van logbestanden is de enige werkbare mogelijkheid bij bijvoorbeeld ziekenhuispersoneel dat door een noodsituatie onverwacht aan een patiënt kan worden gekoppeld, maar van dat soort situaties is hier geen sprake.
De gehanteerde werkwijze maakt overigens wel dat niet alles af te schermen is. Bij een positieve uitslag wordt namelijk door de GGD contact opgenomen met de betrokkene terwijl het bij een negatieve uitslag door een callcenter wordt afgehandeld. Dat impliceert dat bij het callcenter het onderscheid tussen positieve en negatieve uitslagen zichtbaar of afleidbaar is.
Ik trof hier wat meer informatie over CoronIT aan:
https://ggdghor.nl/thema/informatie-externe-aanvragers-coronit/
Daar gaan we weer en privacy is kind van de rekening. Uitvoerder zou beboet moeten worden voor grove nalatigheid.
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
Behalve het zinnetje:
[quoqte}Nieuwsuur meldt dat er ook gevallen bekend zijn waarbij medewerkers uitslagen met kennissen deelden die hierom vroegen. Ook worden gegevens, zoals 06-nummers en testuitslagen, soms gedeeld in Whatsapp-groepen van medewerkers die elkaar om hulp vragen.[/quote]
Dan wordt namelijk de Citrix "veiligheid" omzeild.
Er komt (gevoelige) data ook bij FB/Whatsapp terecht.
En bij de kennissen (niet-collega's).
Suwinet op/na Koninginnendag 2009 all over again.
Daar gaan we weer en privacy is kind van de rekening. Uitvoerder zou beboet moeten worden voor grove nalatigheid.
Als je de rest van mijn reactie had gelezen en begrepen dan had je geweten dat ik echt niet heb gesteld dat het dan allemaal wel in orde is. Maar misschien zijn dat soort nuances te moeilijk voor je.
Daar gaan we weer en privacy is kind van de rekening. Uitvoerder zou beboet moeten worden voor grove nalatigheid.
Ik zeg: met toegangslogging, auditing en de dreiging van ontslag bij misbruik.
Daar gaan we weer en privacy is kind van de rekening. Uitvoerder zou beboet moeten worden voor grove nalatigheid.
Ik zeg: met toegangslogging, auditing en de dreiging van ontslag bij misbruik.
Wat je stelt kan inderdaad, achteraf de medewerker ter verantwoording roepen. Het gaat echter al veel eerder mis. Volgens het nieuwsartikel krijgen medewerkers weinig tot geen training over privacy. De opdrachtgever neemt het blijkbaar niet zo nauw met privacy, als het maar werkt en door. Opdrachtgever ook op de bon slingeren vanwege grove nalatigheid.
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impact drastisch verminderd.
nee hoor, malware kan eenvoudig vol automatisch screenshots maken.
Daarnaast ziet de malware dan alleen de informatie die toevallig op het beeldscherm staat.
Daar gaan we weer en privacy is kind van de rekening. Uitvoerder zou beboet moeten worden voor grove nalatigheid.
Was het ook grove nalatigheid, als door IT falen mensen overleden waren, omdat de GGD niet snel genoeg kan handelen?
Natuurlijk kan het beter laten we dat voorop stellen. Maar overdrijven is een vak, wat vele op Securty natuurlijk heel goed kunnen.
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
nee hoor, malware kan eenvoudig vol automatisch screenshots maken.
App Protection implementeren?
https://www.citrix.com/blogs/2019/05/21/protect-apps-from-keyloggers-and-screen-scrapers-with-citrix-workspace/
Dan wordt namelijk de Citrix "veiligheid" omzeild.
Er komt (gevoelige) data ook bij FB/Whatsapp terecht.
En bij de kennissen (niet-collega's).
Suwinet op/na Koninginnendag 2009 all over again.
Citrix kan dit inderdaad niet voorkomen, al bied App Production wel bepaalde mogelijkheden.
https://www.citrix.com/blogs/2020/04/23/secure-sensitive-data-while-your-employees-work-from-home/
Maar Watermark kan dit tot een zekere hoogte, het traceerbaar bij wie het vandaan komt. Ofwel traceability.
https://www.citrix.com/blogs/2017/12/04/a-new-option-to-protect-your-workspace-in-session-watermark/
Natuurlijk niet perfect, maar wel heel gemakkelijk te implementeren en activeren.
Citrix kan dit inderdaad niet voorkomen, al bied App Production wel bepaalde mogelijkheden.
https://www.citrix.com/blogs/2020/04/23/secure-sensitive-data-while-your-employees-work-from-home/
Maar Watermark kan dit tot een zekere hoogte, het traceerbaar bij wie het vandaan komt. Ofwel traceability.
https://www.citrix.com/blogs/2017/12/04/a-new-option-to-protect-your-workspace-in-session-watermark/
Natuurlijk niet perfect, maar wel heel gemakkelijk te implementeren en activeren.
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
En eerder ging het al fout: https://www.ad.nl/rotterdam/oplichting-bij-coronanummer-ggd-er-vraagt-geld-voor-gratis-test~a9c20f7b/
Afgezien dit eigenlijk altijd via citrix aangeboden wordt, ivm mfa.
Iets wat de scope en impsct drastisch verminderd.
nee hoor, malware kan eenvoudig vol automatisch screenshots maken.
App Protection implementeren?
https://www.citrix.com/blogs/2019/05/21/protect-apps-from-keyloggers-and-screen-scrapers-with-citrix-workspace/
dit kan fundamenteel niet;
gebruiker draait thuis een OS met malware. malware maakt elke sec een screenshot. gebruiker logt in op citrix en start app.
niets is in staat 100% tegen een rootkit op een OS hetzelfde OS te beschermen .
omdat er door de cirix software tegen het OS gezegd wordt, laat gebruiker niet toe screenshots te maken, moet citrix software maar aannemen dat het OS niet liegt en als antoowrd 'ok' geeft maar stiekem wel dingen doet. de werkwijze van een goede rootkit dus.
- De corona-app zou zeer privacy vriendelijk zijn, het was zowat het enige waar het om ging.
- Deze app heeft als enige resultaat het advies van je laten testen. En dan ....
De faal: je moet de hele keten overzien.
- De corona-app zou zeer privacy vriendelijk zijn, het was zowat het enige waar het om ging.
- Deze app heeft als enige resultaat het advies van je laten testen. En dan ....
De faal: je moet de hele keten overzien.
Wat wil je nu zeggen? Zekerheden bestaan niet, dat weet je toch? Je kan tóch neerstorten met dat veilige vliegtuig dat je hebt geboekt. Je kan tóch bijwerkingen krijgen bij dat veilige medicijn. Je kan tóch longkanker krijgen, ondanks dat je niet rookt. Et cetera, et cetera...
https://nos.nl/nieuwsuur/artikel/2348581-testlijnmedewerkers-kunnen-bij-persoonsgegevens-ook-als-dat-niet-mag.html
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Als FG ben je de onafhankelijke toezicht-houder op naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen de gehele TU/e. Je houdt toezicht op de toepassing en naleving van de AVG door de universiteit op diverse domeinen: onderwijs, onderzoek, valorisatie en bedrijfsvoering.
Digital Forensic Researcher
Netherlands Forensic Institute (NFI)
Immerse yourself in research projects covering the analysis, reparation, and accessing of modern integrated circuits at various levels, from packages to components. In addition, contribute to law enforcement in the Netherlands. You will only find that unique combination at the NFI, where you get to work as a digital forensic researcher and examiner.
Security consultant
Weet jij alles van security, governance, risk en compliancy en weet je dit te vertalen naar gerichte oplossingen voor onze klanten? Begrijp jij als geen ander zowel de inhoudelijke kant, als de ‘organizational change’ kant van cybersecurity? Dan ben jij wellicht onze nieuwe security consultant!
IT Security Officer
Wil jij werken bij een organisatie die het belang van informatiebeveiliging en privacy inziet en zich realiseert dat dit continue aandacht vergt? Als IT Security Officer bij Zaanstad heb je een coördinerende, ondersteunende en adviserende rol op het gebied van informatiebeveiliging. Een veelzijdige en uitdagende functie!
Privacy Officer / CISO
Denk jij bij het lezen van artikelen in de media die het belang rondom privacy en informatiebeveiliging duiden, het hoeft toch helemaal niet zover te komen als je als organisatie je zaken op orde hebt? Dan zoeken wij jou!
Digital Forensic Researcher Mobile Device Hacking
Netherlands Forensic Institute (NFI)
As a digital expert in the field of mobile device hacking, you will strengthen the Digital Technology team. Your challenge? Reverse engineer the workings and security of mobile consumer devices.