UWV lekte door fout bij versturen van e-mail gezondheidsgegevens cliënten
Het UWV heeft door een menselijke fout bij het versturen van een e-mail de gezondheidsgegevens van een niet nader genoemd aantal cliënten gelekt. Dat staat in de Stand van de uitvoering sociale zekerheid die gisteren werd gepubliceerd. In de eerste drie maanden van dit jaar meldde het UWV in totaal 216 datalekken bij de Autoriteit Persoonsgegevens (AP).
Twee daarvan hadden een hoge impact, zo staat in het document vermeld. Door een menselijke fout werd in januari een interne e-mail per ongeluk naar een cliënt gestuurd. De mail bevatte een bijlage met persoonsgegevens waaronder gezondheidsgegevens van andere cliënten. De ontvanger liet het UWV weten dat hij de mail ongeopend heeft verwijderd. Het UWV informeerde getroffen cliënten en de AP. Daarnaast is er een onderzoek ingesteld naar de mogelijkheden om dit soort documenten op één plek te delen, zodat die niet meer per e-mail hoeven te worden verstuurd.
Het tweede datalek met een hoge impact deed zich voor in februari. Wederom ging het mis bij het versturen van e-mail. Een bericht met twee bestanden werd naar een verkeerde afnemer gestuurd. De twee bestanden bevatten persoonsgegevens van 158 personen. Ook dit incident werd bij de AP gemeld. Het UWV zegt dat het contractueel gedragscodes heeft afgesproken die voldoende waarborgen moeten bieden voor de bescherming van de betrokkenen. Volgens de uitkeringsinstantie is de impact voor betrokkenen daardoor minimaal en heeft het besloten deze personen niet te informeren. De ontvanger liet weten dat hij de betreffende bestanden meteen heeft verwijderd.
Moet een document naar buiten toe een client of derde die normaliter niets te maken heeft met de organisatie dan is het een bewuste actie qua bestandnaam aanpassing met een zeer duidelijk papertrail.
Dit zijn menselijke fouten waar we (IT) al ervaring mee hebben sinds dat e-mail uitgevonden is.
Mensen maken nu eenmaal fouten beperk de mogelijkheden dat ze dat kunnen.
Om de zelfde reden geef je medewerkers geen CC mogelijkheden standaard.
En de back-up server dan?
Moet een document naar buiten toe een client of derde die normaliter niets te maken heeft met de organisatie dan is het een bewuste actie qua bestandnaam aanpassing met een zeer duidelijk papertrail.
Dit zijn menselijke fouten waar we (IT) al ervaring mee hebben sinds dat e-mail uitgevonden is.
Mensen maken nu eenmaal fouten beperk de mogelijkheden dat ze dat kunnen.
Om de zelfde reden geef je medewerkers geen CC mogelijkheden standaard.
Dat betekent dat nu mensen uit mijn straat volledig op de hoogte zijn van mijn medisch dossier inclusief de rechtszaak.
Die gegevens zijn verhandelbaar, dus een zinnige vraag voor het UWV.
Hier zit ook ieder bedrijf bij mij te bedelen om m'n e-mail adres maar dat krijgen ze niet. De gebruiken het toch alleen maar om me gegevens te mailen die ik helemaal niet op de e-mail wil hebben en om m'n mailbox vol te duwen met spam. Als ze me iets belangrijks op schrift willen laten weten dan sturen ze maar een brief.
Moet een document naar buiten toe een client of derde die normaliter niets te maken heeft met de organisatie dan is het een bewuste actie qua bestandnaam aanpassing met een zeer duidelijk papertrail.
Dit zijn menselijke fouten waar we (IT) al ervaring mee hebben sinds dat e-mail uitgevonden is.
Mensen maken nu eenmaal fouten beperk de mogelijkheden dat ze dat kunnen.
Om de zelfde reden geef je medewerkers geen CC mogelijkheden standaard.
Sorry, maar dat klinkt als een 1990 oplossing voor een probleem dat je daarmee nog steeds niet effectief kan voorkomen. Een papertrail is het probleem niet, dat hebben ze nu ook.
Aangezien de overheid toch grotendeels op Microsoft draait kun je beter Purview inzetten en actief data classificeren; labelen en regels aanmaken wat er met die data gedaan mag worden. Dan kan je actief voorkomen dat documenten bijvoorbeeld gemaild kunnen worden; of eerst goedkeuring van manager, of versleuteld etc.
Voorkomen is beter dan genezen.
En die techniek is trouwens ook via third parties beschikbaar voor willekeurige andere (self hosted) mail servers.
Al is de kans dat iemand die onbedoeld zoiets ontvangt zowel te kwader trouw is, als ook de contacten heeft, om de data door te verkopen, gelukkig erg gering. Een heel ander scenario, dan een kwaadwillende die zelf bewust data steelt.
Denk je dat de kans erg groot is dat een willekeurige medepatient die dat ontvangt je data misbruikt, los van dat het natuurlijk niet had mogen gebeuren ? Het argument dat de persoon op een half uur afstand woont, is natuurlijk verder zonder inhoud.
Maak je zelf weleens een menselijke fout, in je leven ? Vrij obvious, dat zo'n fout mogelijk is.
Precies, en met al die makkelijk omkoopbare ambtenaren en werknemers hier en daar, kan ook nog bewust medische gegevens aan verkeerde gelekt worden. In verkeerd envelopje gestopt. Duh.
Aan een bloemetje heb je dan heel weinig.
"Het UWV heeft door een menselijke fout bij het versturen van een e-mail de gezondheidsgegevens van een niet nader genoemd aantal cliënten gelekt. Dat staat in de Stand van de uitvoering sociale zekerheid die gisteren werd gepubliceerd. "
is gewoon pertinent onjuist. Het niet nader genoemde aantal cliënten is 216, volgens de link.
Verder gebruikt UWV gewoon Zivver, is mijn ervaring, en worden medische stukken als regel per post verzonden. Dan zal er wel eens iets in een verkeerde envelop komen.
"Het UWV heeft door een menselijke fout bij het versturen van een e-mail de gezondheidsgegevens van een niet nader genoemd aantal cliënten gelekt. Dat staat in de Stand van de uitvoering sociale zekerheid die gisteren werd gepubliceerd. "
is gewoon pertinent onjuist. Het niet nader genoemde aantal cliënten is 216, volgens de link.
Verder gebruikt UWV gewoon Zivver, is mijn ervaring, en worden medische stukken als regel per post verzonden. Dan zal er wel eens iets in een verkeerde envelop komen.
Je hebt het zelf fout, beter lezen: "In de periode van januari tot en met maart 2025 heeft UWV 216 datalekken gemeld bij de AP. In deze periode hebben zich twee datalekken voorgedaan met een grote impact."
"Het UWV heeft door een menselijke fout bij het versturen van een e-mail de gezondheidsgegevens van een niet nader genoemd aantal cliënten gelekt. Dat staat in de Stand van de uitvoering sociale zekerheid die gisteren werd gepubliceerd. "
is gewoon pertinent onjuist. Het niet nader genoemde aantal cliënten is 216, volgens de link.
Verder gebruikt UWV gewoon Zivver, is mijn ervaring, en worden medische stukken als regel per post verzonden. Dan zal er wel eens iets in een verkeerde envelop komen.
Niet alleen in verkeerde enveloppe, medewerkers van lokale postdistrubitiecentra worden ook door buurtbewoners geïnstrueerd post met medische gegevens en andere post te laten "verdwijnen" of verwisselen met een ander poststuk. Heel vervelend om in zo'n wijk te moeten wonen, waar zelfs je buren en postbezorgers niet te vertrouwen zijn. Netwerken zijn bekend, overheid doet er niets tegen.
Boete lijkt me meer dan terecht.
Wel inhouden van het loon vd medewerker in kwestie anders draait de belastingbetaler er weer voor op.
Moet een document naar buiten toe een client of derde die normaliter niets te maken heeft met de organisatie dan is het een bewuste actie qua bestandnaam aanpassing met een zeer duidelijk papertrail.
Dit zijn menselijke fouten waar we (IT) al ervaring mee hebben sinds dat e-mail uitgevonden is.
Mensen maken nu eenmaal fouten beperk de mogelijkheden dat ze dat kunnen.
Om de zelfde reden geef je medewerkers geen CC mogelijkheden standaard.
Sorry, maar dat klinkt als een 1990 oplossing voor een probleem dat je daarmee nog steeds niet effectief kan voorkomen. Een papertrail is het probleem niet, dat hebben ze nu ook.
Aangezien de overheid toch grotendeels op Microsoft draait kun je beter Purview inzetten en actief data classificeren; labelen en regels aanmaken wat er met die data gedaan mag worden. Dan kan je actief voorkomen dat documenten bijvoorbeeld gemaild kunnen worden; of eerst goedkeuring van manager, of versleuteld etc.
Voorkomen is beter dan genezen.
En die techniek is trouwens ook via third parties beschikbaar voor willekeurige andere (self hosted) mail servers.
Ik snap je punt en ging daarin mee tot het third party stukje :)
Zelf zou ik nooit een derde partij betrokken willen zien in dit soort processen. Elke partij erbij maakt het een groter risico.
Zeker een overheid zou dit soort dingen prima zelf moeten kunnen faciliteren, zeker gezien de gevoeligheid van gegevens warmee gewerkt wordt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
SOC Lead
Directie Informatievoorziening & Inkoop
Als SOC Lead ben jij verantwoordelijk voor het aansturen van de dagelijkse operatie binnen het SOC. Je stuurt medewerkers functioneel aan en rapporteert aan de manager. Daarnaast ben je ook betrokken bij SOC-werkzaamheden, zoals het detecteren en afhandelen van security incidenten. Je verzamelt dreigingsinformatie, richt detectie-regels in, en zorgt ervoor dat aanvallers vroegtijdig worden geïdentificeerd.
Senior Security Specialist
Directie Informatievoorziening & Inkoop
Als senior security specialist ben je verantwoordelijk voor het detecteren en af-handelen van (mogelijke) security incidenten. Je vergaart dreigingsinformatie en richt de-tectieregels in op basis van risico's, zodat aanvallers in een vroeg stadium geïden-tificeerd kunnen worden. Deze risico's haal je actief op bij systeemeigenaren. Wanneer een dreiging wordt gedetecteerd, zorg jij ervoor dat de juiste acties worden uitgezet en voorzie jij alle stakeholders van handelings-perspectief.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.