Begin met de dataset te minimaliseren - alles wat er niet is, kan tenslotte ook niet gelekt worden.
Wat je aan data nodig hebt voor zoiets kan prima erg snel naar offline verdwijnen. Daarmee is de impact als het fout gaat al een stuk kleiner (je leest nooit in de krant dat een site gehackt is en er data van 1 klant buit gemaakt is tenslotte...).

Als het kleinschalige verhuur betreft, kan je dat toch simpel vermijden door op die wordpress site zo min mogelijk persoonsgegevens te verwerken?

Ik denk aan de volgende implementatie:
Voor potentiële huurders gaat het erom dat ze inzicht hebben of de accommodatie beschikbaar is. Je hoeft dus alleen de beschikbaarheid van je vakantiehuisje inzichtelijk te maken.

Als vervolgens iemand boekt, dan laat je een formulier invullen en de gegevens mailen naar jou als verhuurder. Die gegevens hoeven helemaal niet binnen die Wordpress site bewaard te worden, dus na het mailen van het formulier moet de Wordpress site alle gegevens verwijderen.

Als je het heel netjes wil doen, dan zou je de dagen die de klant online reserveert wel direct in je beschikbaarheidskalender willen opnemen. (huisje op die dagen niet meer beschikbaar); maar dat is geen probleem, want dat zijn geen persoonsgegevens.

Ofwel, denk goed na welke persoonsgegevens je waar gaat verwerken en of je die gegevens echt nodig hebt en of de plaats van verwerking ook de meest geschikte is. Ik denk dat je in dit scenario snel tot de conclusie komt dat Wordpress niet de juiste plaats is om persoonsgegevens te verwerken, anders dan het laten invullen en mailen van een e formulier.

Gewoon zorgen dat voor zowel wordpress zelf als de gebruikte plugins de auto update functie aan staat. Regel ditzelfde ook op serverniveau. Dan heb je in elk geval alles gedaan wat mogelijk is om risico's te beperken.
Het gaat er niet zozeer om of je een lek hebt, maar meer om wat je hebt gedaan om het te voorkomen.
Check tevens even elke maand of er plugins gebruikt worden welke niet meer onderhouden worden, en kom je ze tegen, vervang ze dan of verwijder ze.
Het beheer van een wordpress site hoeft geen dagdagelijkse IT taak te zijn, zolang je het maar niet verwaarloosd.

Ik draai momenteel een stuk of 30 wordpress sites op twee servers die ik zelf onderhoud. Een paar sites nog voor oude klanten die ik aardig vind, dus dat host ik gratis. Dat laatste ook weer handig omdat als het "om niet" is, dat ook je aansprakelijkheid beperkt. Maar nooit helemaal uit kan sluiten. De rest zijn allemaal onze eigen projecten.

Vooral omdat wordpress een gatenkaas met vullingen is (net als mijn gebit!), moet je nooit meer in je database hebben dan je echt nodig hebt. Wat prima kan omdat de betalingsverwerkers me al minimale informatie geven, en zelf de rest van de privacy beschermen. Waar ze ook een hele leuke commissie voor inhouden. Ik ken alleen nicknames en als die betaald hebben dan worden ze geactiveerd. Wie het precies is hoort mij worst te wezen. Ik wil het ook niet weten.

Wat security betreft hoef je ook weer niet veiliger dan de bank te zijn. Maar je hoort wel je risico te minimaliseren, elke dag bij de les te zijn en wakker blijven. Anders moet je het door een derde laten doen die je daarvoor betaalt. Dan kan je die ook aansprakelijk stellen, mits binnen je eigen land. Of voor ons ook, binnen heel Europa. De USA is linke soep. Die denken alleen maar aan zichzelf en zijn bang voor alle denkbare marsmannetjes. Binnen Europa veel verstandiger. Want je hebt niet enkel met aansprakelijkheid te maken. Maar ook met doodgewoonnormaal aanspreekbaar zijn. En als je toch nog wat stoms doet, eerst aan je gebruikers denken en niet aan jezelf.

Dan hebben we nog de AVG. En of het persoonlijk is of bedrijfsmatig. Ik vind die wet geweldig. Maar om gewoon te voelen dat je niet zomaar iemand om zeep helpt heb ik de wetten van Mozes niet nodig gehad. Dat is gewoon iets wat je vanuit jezelf niet doet. Zoals zelfs dieren niks om zeep helpen als het niet nodig is. Zelfs die snappen het ook. Data hebben, persoonlijk of zakelijk, is een verantwoordelijkheid. Heel simpel te leren. Bij elk gegeven denken dat het om je eigen gegeven gaat. Of van je moeder. Anders niet opslaan, want elk dak gaat een keertje lekken. Dat wil je gewoon niet op je geweten hebben.

Met wordpress moet je ervaring hebben. Want dat dak lekte in principe al toen het bedacht werd. Daar hoef je geen securityfanaat gelijk voor te geven want die hebben dat al in de folder. Maar het werkt lekker snel, beter dan toen ik alles nog in C moest schrijven, of verder terug, HTML genereren uit Apple Hypercard of Fourth Dimension databases.

Maar het blijft spelen met vuurwerk. Er kan altijd een lontje te kort zijn en daar vliegt weer een handje door de lucht. Maar nooit vergeten dat je gebruikers mensen zijn. Die vertrouwen in je hebben zonder je te kennen.

Wat de boetes betreft denk ik zelf dat Aleid nooit een hoge oplegt aan iemand die een vakantiehuisje verhuurt. En ook als dat wel mocht zijn, je geen rechter kan vinden die daar in mee gaat. Shit can happen.

Wat ik wel hoop is dat Dilan niet weer stiekum onder mijn nest wil komen massasurveilleren. Ze mag wel, maar bel effe aan de deur dan. Als ze niet snurkt maak ik ook nog een ontbijtje voor haar. En ik koop er nog een krulset voor ook!

Security is wakker blijven. En privacy was al bedacht voordat mozes van de berg kwam met zijn stenen tafelen.

Wat datadiefstal en wordpress betreft, leuk Belgisch gezegde: Het kan iedereen overkomen. Maar de stomsten het eerst.

Als je zo min mogelijk plugins gebruikt, of liever helemaal geen voor je site, en deze elke week van updates voorziet,en je een update-melding-vinkje hebt gezet hebt (Google: "wordpress update notification"), dan zit je qua security voor je klanten goed.
Al en toe een offline backup en dan restore je je site ook zo weer als deze stukgemaakt is.

Dan nog dataminimalisatie, zodat je zo min mogelijk op de site bewaart, en dan is het voor een klant lastig aantonen dat ze schade hebben ondervonden, en voor de AP lastig dat je niet je best hebt gedaan.

En als je dan nog een excelletje bijhoudt waarin je noteert wanneer je updates gaat doen, met vinkje wat je hebt gedaan, met een docje waarin staat dat je dat doet, en hoe (voor je plaatsvervanger als je zelf op vakantie bent) dan zit je wel gebakken.

Ow, en de dag dat de AP tijd heeft voor jou als kleine vis, is de dag dat ze alle grote problemen al hebben gefixed.

Ik zou beginnen met het dumpen van WordPress.
Zoek alleen al hier op security.nl op het woord WordPress.
Het is met recht een gatenkaas met vullingen zoals hierboven al werd beschreven.