Datalekken: liever voorkomen dan genezen (met tips en checklist)

Is uw organisatie getroffen door een datalek? De Autoriteit Persoonsgegevens (AP) meldt op haar website de volgende stappen die u dan direct moet nemen:

1. Zorg voor overzicht op de situatie: om welke soort datalek gaat het? Welke gegevens zijn weggelekt, en van (bij benadering) hoeveel personen? Is het lek al gedicht? Etc.; 
2. Schat de risico’s in en neem meteen maatregelen om de schade van het datalek te beperken; bijvoorbeeld het op afstand blokkeren van de toegang tot een clouddienst met een bekend geworden beveiligingslek. Beveiligingslekken van wereldwijd actieve clouddiensten bleken in 2021 meerdere keren de oorzaak te zijn van grootschalige datadiefstal;
3. Bepaal of u verplicht bent tot melding van het datalek aan de Autoriteit Persoonsgegevens. Zo ja, doe dit onmiddellijk; 
4. Bepaal of u het datalek wel of niet moet melden aan de betrokken (getroffen) personen. Zo ja, doe ook dit zo snel mogelijk;
5. Registreer het datalek in uw datalek-register. Iedere organisatie die ‘verwerkingsverantwoordelijke’ is, moet volgens de privacywet een datalekregister bijhouden. Hierin moeten zowel de meldingsplichtige datalekken, als de kleinere datalekken worden geregistreerd. 
   

Hoe verkleint u in uw organisatie de kans op een datalek? Opnieuw enkele tips: 

• Tweefactor-identificatie: medewerkers die in de systemen werken, vormen vaak de zwakste schakel in de IT-beveiliging: stel tweefactor-identificatie (2FA) verplicht bij hun toegang tot - ten minste - de bedrijfskritische applicaties. 2FA is een veilige(re) manier van inloggen. De identiteit van de gebruiker wordt hierbij vastgesteld door middel van twee digitale sleutels tot een systeem, bijvoorbeeld de combinatie van een wachtwoord en een ontvangen sms-code.
• Toegespitste risicobeoordeling: beoordeel de privacyrisico’s van producten en diensten, en van afnemers en medewerkers. Gebruik bijvoorbeeld de Privacy Quick Scan van MKB-Nederland en VNO-NCW. Kunnen uw risico’s de toets van de AVG-wetgeving doorstaan?
• Internetbeveiliging: vraag uw internetprovider naar diens maatregelen op gebied van internet security. Doet u zelf het onderhoud van de webserver? Huur zo nodig expertise in voor optimale IT-beveiliging, en laat uw bedrijf het liefst ook regelmatig auditen.
• Houd een datalek-draaiboek bij: leg in een draaiboek vast welke systemen bedrijfskritisch zijn, en wie wanneer moet worden ingeschakeld om een datalek op te lossen. Ook de communicatie naar medewerkers, klanten en leveranciers moet daarin procedureel zijn voorbereid.
• Automatische logging van informatie: richt IT en IT-beveiliging zo in dat informatie vanzelf wordt verzameld en bijgehouden. Zo zijn er systemen die logbestanden aanmaken en daarin wijzigingen en transfers monitoren. Wanneer deze zijn gekoppeld aan gebruikers, kunt u snel achterhalen wie op welk moment toegang had tot bepaalde data en wat een individu daarmee deed. Enerzijds wordt de kans op een datalek hierdoor verkleind, anderzijds vergemakkelijkt deze werkwijze forensisch onderzoek na een onverhoopt datalek. Deze gedegen werkwijze verkleint bovendien de kans dat een organisatie na een datalek wordt geconfronteerd met een boete door de Autoriteit Persoonsgegevens wegens ‘nalatig handelen’. Dit laatste is geen fictief risico: eind 2021 kreeg Transavia van de Autoriteit Persoonsgegevens om deze reden een boete van 400.000 euro: een hacker kon eenvoudig de systemen binnendringen en downloadde de gegevens van 83.000 klanten.

Datalekken nemen elk jaar in omvang en impact toe. Het is de hoogste tijd dat ook het midden- en kleinbedrijf zichzelf hiertegen professioneel bewapent. De mogelijkheden hiertoe zijn legio, zo bleek uit dit artikel, dat nog maar een fractie van het totale handelingsperspectief benoemde. De kosten om datalekken te voorkomen wegen allang niet meer op tegen de vaak enorme financiële schade van een datalek. Het is dus nu de tijd voor actie. Neemt u de handschoen op? Ga direct met beveiliging aan de slag.