Noorse universiteit krijgt boete voor datalek door open Microsoft Teams-map
De Noorse privacytoezichthouder heeft een universiteit in het land wegens een datalek veroorzaakt door een open Microsoft Teams-map een AVG-boete van omgerekend 13.000 euro opgelegd. De Universiteit van Agder werkt sinds 2018 met Microsoft Teams en SharePoint. Een universiteitsmedewerker ontdekte begin dit jaar een open Teams-map met daarin documenten vol persoonlijke data die voor alle medewerkers en studenten toegankelijk waren.
In de documenten stonden gegevens van ruim zestienduizend mensen, waaronder medewerkers en studenten. Het ging onder andere om contactgegevens, naam en burgerservicenummer. De data ging terug tot 2014. Daarnaast bevatte de map gegevens over examens van een kleine zeshonderd studenten en persoonlijke gegevens van 64 Oekraïense vluchtelingen (pdf).
Na te zijn ingelicht veranderde de universiteit de toegangsinstellingen van de map en meldde het datalek bij de Noorse privacytoezichthouder Datatilsynet. Tevens werden gedupeerden ingelicht. Verder onderzoek van de toezichthouder wees uit dat gegevens van medewerkers en studenten niet goed beveiligd waren. Daarnaast ontbrak adequate logging, waardoor onbekend is hoeveel mensen de gegevens hebben ingezien.
Tevens bleek de universiteit geen interne procedures en training te hebben voor het gebruik van Microsoft Teams door het eigen personeel. Ook waren de toegangsinstellingen vanaf het begin verkeerd ingesteld. De universiteit heeft daarmee de AVG op verschillende punten overtreden, aldus de toezichthouder. Die stelt dat gezien het grote aantal getroffen personen een boete van een kleine dertienduizend euro passend is.
Wat is dat nou weer voor opmerking? Dat SharePoint zoals die ooit in de jaren 90 bestond nog steeds dezelfde is als SharePoint nu? Uiteraard is dat niet zo. Er zitten allerlei beveiligingen en het kunnen scannen op 'open' Teams mappen is daar één van. Als je daar geen gebruik van maakt en dus teveel toestaat....tja. Dan krijg je terecht een boete.
Want het zou moeten gaan om Microsoft? Microsoft is in deze niet het probleem, de verkeerde instellingen gebruiken wel. Ook als je hier een opensource variant had gebruikt, waar blijkbaar een groot deel van de lezers hier een snellere hartslag krijgen, dan was dit nog fout gegaan door verkeerde instellingen.
Een open share in niet zorgvuldig om gaan. sterker nog, je moet je afvragen of dit soort gegevens wel op een 'share' mogen staan.
Want het zou moeten gaan om Microsoft? Microsoft is in deze niet het probleem, de verkeerde instellingen gebruiken wel. Ook als je hier een opensource variant had gebruikt, waar blijkbaar een groot deel van de lezers hier een snellere hartslag krijgen, dan was dit nog fout gegaan door verkeerde instellingen.
Voordeel is, qua security, dat als gebruikers ergens niet bij kunnen dat ze klagen. Nu klaagt er niemand want Jan en alleman kan overal bij en weet je niet of je alles wel goed dicht gezet hebt.
Want het zou moeten gaan om Microsoft? Microsoft is in deze niet het probleem, de verkeerde instellingen gebruiken wel. Ook als je hier een opensource variant had gebruikt, waar blijkbaar een groot deel van de lezers hier een snellere hartslag krijgen, dan was dit nog fout gegaan door verkeerde instellingen.
Maar je kunt inderdaad beter Zimbra gebruiken, op een professioneel geïnstalleerd OS.
https://www.security.nl/posting/860981/%27Nederland+telt+ruim+tweehonderd+Zimbra-mailservers+met+kritiek+beveiligingslek%27
Maar je kunt inderdaad beter Zimbra gebruiken, op een professioneel geïnstalleerd OS.
https://www.security.nl/posting/860981/%27Nederland+telt+ruim+tweehonderd+Zimbra-mailservers+met+kritiek+beveiligingslek%27
inderdaad!
https://www.security.nl/posting/861342/Microsoft+dicht+actief+aangevallen+kwetsbaarheden+in+Windows
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.