privacy

Inhoud Bedrijven hebben steeds vaker te maken met cyberdreiging, bedrijfsspionage en -sabotage. Security-teams zijn zich hiervan bewust en richten zich op het beperken van de impact door er bijvoorbeeld voor te zorgen dat de aanvallers het beoogde doel niet bereiken. Maar hoe kan een security-team nog succesvol zijn in een tijdperk waarin cyberaanvallen aan de orde van de dag zijn? Is het mogelijk om daar een plan voor te ontwikkelen of blijven we achter de feiten aanlopen? Welke tools en technologie zijn beschikbaar die nodig zijn om succes te boeken? En hoe kan de beveiliging verbeteren en daadwerkelijk waarde leveren voor het bedrijf? RSA, de security-divisie van EMC, heeft een rapport gepubliceerd dat inzicht geeft in de grote verschuiving in de wereld van informatiebeveiliging. De Security for Business Innovation Council (SBIC) pleit enerzijds voor drie belangrijke focusgebieden waarop bedrijven moeten focussen. Daarnaast bevat het rapport een reeks aanbevelingen voor sterkere bescherming tegen dreiging wat tevens ten goede komt aan de productiviteit van de organisatie. Security-specialisten De SBIC bestaat uit een groep security-specialisten van de duizend grootste bedrijven ter wereld. Deze bespreken belangrijke security-vraagstukken en onderzoeken hoe het gebruik van informatiebeveiliging ingezet kan worden om bedreigingen aan te pakken en innovatie te stimuleren. Om de beveiliging te versterken, benoemt het SBIC drie strategische gebieden waarin bedrijven moeten investeren: weerstand tegen cyberdreigingen, optimalisatie gebruikerservaring en cloud-security. Het SBIC concludeert dat nieuwe technologieën niet snel genoeg worden ontwikkeld en geïmplementeerd. Security-teams zijn nog te veel gericht op het beperken van de impact in plaats van te focussen op nieuwe technologie om makkelijker aanvallen te detecteren en te reageren. Gebaseerd op dit advies geeft het council drie concrete aanbevelingen om bedrijven te helpen nieuwe technologieën succesvol toe te passen en de investeringen in security te maximaliseren:1. Kijk ten minste drie jaar vooruit Door het gebruik van SWOT-analyses, afgestemd met IT en de business, en accountants erbij te betrekken, creëert u een Big Data-strategie voor de hele organisatie. Hierdoor kunnen organisaties plannen maken en bepalen welke security-maatregelen genomen moeten worden om bescherming te bieden tegen een dynamisch cyberlandschap.2. Het bereiken van een groter geheel door integratie De investering in security-technologie betaalt zich vaak pas echt uit bij het aansluiten en consolideren van informatie uit verschillende toepassingen. Technologieën die nu beschikbaar zijn, maken het makkelijker om systemen te integreren zoals data analyse, security intelligence en GRC-platformen.3. Meer waarde realiseren door vastgelegde ontwikkelingen Security-teams die bekend zijn met de valkuilen van veranderingen in technologie, financiële tekortkomingen en het falen van nieuwe producten, adviseren duidelijk afgesproken benaderingen bij de implementatie van nieuwe technologie om proactief de risico’s te kunnen beheren.Bron: DatacenteredHoe succesvol is uw security-team in dit tijdperk waarin cyberaanvallen aan de orde van de dag zijn en welke concrete aanbevelingen heeft u?

Inhoud De impact van cybercrime is groter geworden, niet alleen doordat digitalisering de economie afhankelijker heeft gemaakt van technologie. Wat Nederlandse organisaties minstens evenveel kopzorgen baart is de nieuwe meldplicht datalekken. Privacy-toezichthouder CBP, die een reputatie gevestigd heeft met een strenger dan streng cookiebeleid, mag in 2016 forse boetes uitdelen aan Nederlandse bedrijven bij een hack van persoonsgegevens. Daar wordt het nodige van verwacht zo bleek op de bijeenkomst Innovating NL die gewijd was aan het onderwerp cybersecurity. Wat gaat het winnen: de angst voor een discutabel imago, wat een speelgoedfabrikant als Vtech kan bevestigen, of een overijverige toezichthouder? Deze vraag speelde een centrale rol tijdens de bijeenkomst Innovating NL die op donderdag 3 december gehouden werd in het kantoor van The Hague Security Delta (HSD) in Den Haag. Gastvrouw Ida Haisma, directeur van HSD, kreeg de eer de middag te openen en wees op de driehoek van overheidsorganisaties, marktpartijen en onderwijs en onderzoeksinstellingen die gezamenlijk cybercrime op de internationale kaart hebben gezet. Het heeft nieuwe succesvolle starters voortgebracht zoals Autasas, maar minstens even belangrijk zijn nieuwe opleidingen. Het Haagse ROC Mondriaan heeft een aparte cybercrime-opleiding en recent zijn de Universiteit Leiden, de Technische Universiteit Delft en De Haagse Hogeschool de Stichting Cyber Security Academy (CSA) gestart om meer professionals met een cyber security-specialisme op te leiden.   Het nieuwe goud Digitalisering en een versnellende innovatie belooft geweldige mogelijkheden. Maar om die te kunnen benutten is een nieuwe aanpak van (cyber) security noodzakelijk. Dat stelde generaal (b.d.) Dick Berlijn, aan Deloitte verbonden als specialist binnen de Enterprise Risk Services praktijk. Systemen moeten “secure by design” zijn opgezet en er moet vanuit worden gegaan dat het breken van digitale beveiliging een reële mogelijkheid is. Incrementele verbetering wordt de nieuwe norm, maar ook internationale samenwerking en het opstellen van normen verdient de aandacht. Al deze zaken zijn volgens Berlijn een uitvoeringskwestie. Belangrijk aandachtspunt is dat Nederlandse organisaties zich er onvoldoende bewust van zijn dat data het nieuwe goud is. Je kunt er de mooiste dingen mee doen maar het kan ook van je gestolen worden als je niet goed oplet.   Wat gaat het winnen: de angst voor een discutabel imago of een overijverige toezichthouder? En wat kan er dan gebeuren? Gerrit-Jan Zwenne, hoogleraar Recht en de Informatiemaatschappij aan de Universiteit Leiden en partner van internationaal advocatenkantoor Bird & Bird, wijst op de nieuwe meldplicht datalekken die vanaf begin 2016 Nederlandse organisaties verplicht om inbreuken op persoonsgegevens door een hack te melden bij toezichthouder College Bescherming Persoonsgegevens en bij de betrokkenen. “Het gaat pijn doen en het hacken van databestanden met persoonsgegevens komt in de krant te staan”, aldus Zwenne. “Het CPB kan sancties opleggen als zaken niet goed beveiligd zijn. Dat gaat om forse bedragen: 10 procent van de jaaromzet of 810 duizend euro. Een lek is heel ruim gedefinieerd. Zo valt het verliezen van een usb-stick met persoonsgegevens in de trein er ook onder. Dat is best ruim voor een wet die doordringt tot in de haarvaten van de bedrijfsvoering.”   Openhartig Zwenne stelt dat het CBP openhartigheid verwacht van bedrijven en uitgaat van 60 duizend meldingen per jaar. Hun beleid is om bij twijfel meteen al aan de bel te trekken. Maar die melding kan een onaangenaam staartje krijgen, als een organisatie geen passende technische en organisatorische maatregelen heeft genomen om de persoonsgegevens goed te beschermen. Is dat het geval dan kan het CBP met een boete dreigen. Om zo'n boete daadwerkelijk uit te kunnen delen moet het CBP eerst een bindende aanwijzing geven. Zijn er dan nog geen afdoende maatregelen genomen dan kan die boete ook daadwerkelijk opgelegd worden. Op de vraag wat passende maatregelen zijn, valt moeilijk een antwoord te geven. Versleuteld opslaan van persoonsgegevens wordt als een belangrijke maatregel gezien. In dialoog met de zaal wordt ook de richtlijn ISO 27001 genoemd die organisaties handvatten biedt om beveiliging procesmatig te verankeren. Op het moment dat organisaties dit certificaat op de deur mogen plakken, is te veronderstellen dat informatiebeveiliging serieus genomen is. Maar een garantie is het niet en voor kleinere organisaties is zo'n certificering een onhaalbare kaart. Doorslaggevend is de beveiligingsmaatstaf in een bepaalde branche. De medische sector krijgt hogere verwachtingen opgelegd. Hetzelfde geldt voor organisaties die kritieke infrastructuren in beheer hebben.   Aansprakelijk Ben je als organisatie juridisch aansprakelijk te stellen als je de informatiebeveiliging niet op orde hebt? Evelyn Tjon-En-Fa, advocaat en partner bij Bird & Bird, betoogt van wel. Ze haalt het voorbeeld aan van Diginotar, de leverancier van beveiligingscertificaten voor grote delen van de Nederlandse overheid die in 2011 failliet is gegaan na een desastreuze hack. Door het gebruik van verouderde software, het niet versleutelen van wachtwoorden en het niet toepassen van verschillende netwerksegmenten elk met hun adequate beveiligingsmaatregelen konden hackers ongestraft toegang krijgen tot de beveiligingssleutels.  “Als je weet dat je zo kwetsbaar bent, dan kun je daarvoor aansprakelijk gesteld worden, zeker als de gevoeligheid van de data tot grote schade kan leiden bij een lek”, aldus Tjon-En-Fa. “De benodigde maatregelen gaan verder dan het installeren van de meest dringende patches. Als gegevens kwetsbaar zijn dan kunnen zwaardere eisen worden gesteld aan beveiligingsmaatregelen. Anders kun je met succes aansprakelijk gesteld worden, zoals blijkt uit het voorbeeld van Diginotar. Daarbij moest de verkoper van de aandelen in Diginotar schadevergoeding betalen aan de koper voor de waardeloos geworden aandelen, wegens schending van contractuele garanties rondom de IT-beveiliging. De Amsterdamse rechtbank is daarbij diep in de technische aspecten van de beveiliging gedoken.”   Driekwart van de mkb'ers weet niks van cybersecurity en vindt het de verantwoordelijkheid van de IT-leverancier Is de schade die voortkomt uit cybercrime te verzekeren inclusief een boete die het CBP uitdeelt? Dat blijkt het geval. Er zijn op dit moment al cybersecurity polissen in de markt waarmee risico's breed af te dekken zijn. Dat kan gaan om kosten voor het vinden en repareren van het datalek, schade die voortvloeit door het platleggen van processen, maar ook het in waarde verminderen van bedrijfsgeheimen door het uitlekken van deze vertrouwelijke informatie en eventueel geleden imagoschade. Ook een eventuele boete van het CBP valt onder de verzekering, mits geen sprake is van opzet. Dit soort schade is niet of maar zeer ten dele gedekt onder traditionele verzekeringen. De geleden schade kan fors oplopen doordat incidenten als een olievlek ook andere organisaties in een waardeketen raakt. Naast dit soort gespecialiseerde cyber-polissen valt hoofdelijke aansprakelijkheid van bestuurders voor cyber-incidenten onder gangbare bestuurdersaansprakelijkheidsverzekeringen.   Kleine lettertjes Sla de kleine lettertjes in de verzekeringspolissen zeker niet over, raadt Tjon-En-Fa aan. Ze noemt het een zachte, nieuwe markt waarbij verzekeraars graag nieuwe polissen willen verkopen. Kijk wel goed naar wat er van de dekking is uitgesloten en vergelijk verschillende aanbieders. Naast dergelijke nieuwe verzekeringsproducten is het ook raadzaam om de leveringsvoorwaarden van bestaande leveranciers te screenen op hun aansprakelijkheid wat betreft de schade die voortvloeit uit cyber-incidenten. Het is raadzaam om meer en expliciete garanties te vragen rondom de informatiebeveiliging op het moment dat een organisatie voor het eigen functioneren afhankelijk is van de infrastructuurdiensten van deze partij.   Bewustwording En dan komt de dialoog in de zaal op een voor de IT-sector interessant punt. Bij de vraag van dagvoorzitter Ferry Mingelen of de IT-leverancier verantwoordelijk is voor de informatiebeveiliging steekt een overgrote meerderheid van de deelnemers in de zaal een groene kaart op. De leverancier wordt er blijkbaar op aangesproken als de beveiliging niet op orde is, terwijl dit in eerste instantie een verantwoordelijkheid van de gebruiker is. Bij grotere organisaties die met uitbestedingsopdrachten werken wordt die verantwoordelijkheid meestal goed afgekaart. Bij kleinere organisaties die IT-diensten afnemen is dat minder goed geregeld en afgesproken. Afnemers willen over het algemeen voor een dubbeltje op de eerste rang zitten en gaan er stilzwijgend van uit dat de leverancier de beveiliging op orde heeft. De leverancier brengt het onderwerp niet ter sprake omdat er aanvullende maatregelen nodig zijn en hiervoor een extra factuur gestuurd moet kunnen worden. Hier zit een spanningsveld. Dat bevestigt Frans van de Wetering die vanuit zijn bedrijf Threadstone betrokken is geweest bij een bewustwordingscampagne van MKB Nederland rondom cybersecurity. “Het animo om mee te doen aan deze scan onder mkb'ers naar kwetsbaarheden was laag”, aldus Van de Wetering. “Driekwart van de ondernemers weet niks van cybersecurity af en vindt dat de verantwoordelijkheid hiervoor in zijn geheel ligt bij de IT-leverancier. Die zou net als een autofabrikant verborgen gebreken als een slechte beveiliging kosteloos moeten repareren als deze zich voordoen. Gevolg is dat tal van kleinere bedrijven niet goed beveiligd zijn tegen verlies, diefstal of misbruik van persoonsgegevens. Naast de schade kan hen dat straks ook nog op een bestuurlijke boete komen te staan. Meer ruchtbaarheid aan deze meldplicht is geen overbodige luxe.”   Hogere eisen In de discussie gaan fabrikanten en leveranciers zeker niet vrijuit. Succesvolle hacks bestaan bij de gratie van kwetsbaarheden in veel gebruikte software. Afnemers kunnen hun opdrachtgevers eisen opleggen rond het uitbrengen en uitrollen van patches om deze kwetsbaarheden tijdig en adequaat te repareren. Bij het ontwikkelen van nieuwe software is het verstandig om expliciet te vereisen dat het eindproduct tal van maatregelen en hulpmiddelen bevat om informatie goed te kunnen beveiligen. Hetzelfde gebeurt voor de huidige en toekomstige consumentenproducten die op de markt gebracht zullen worden. Steeds meer apparaten krijgen een ip-adres, waardoor ze aan internet gekoppeld zijn met bijkomende gevolgen voor de bescherming van deze informatie. Aan dit soort nieuwe producten mogen hoge eisen gesteld worden rond de beveiliging.   Meldplicht Met ingang van 1 januari 2016 treedt een wijziging van de Wet bescherming persoonsgegevens (Wbp) in werking die een meldplicht regelt voor datalekken. Deze meldplicht houdt in dat bedrijven, overheden en andere organisaties die persoonsgegevens verwerken datalekken moeten melden aan het College bescherming persoonsgegevens (CBP). Een organisatie mag de melding aan de betrokkenen achterwege laten als aantoonbaar passende technische beschermingsmaatregelen genomen zijn. Belangrijkste maatregelen is het versleutelen van de informatie zodat de gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor onbevoegden.   Legacy besmettelijk Het Nationaal Cyber Security Center (NCSC) waarschuwt bedrijven voor de risico's van legacysystemen. Deze zijn groter omdat legacysystemen kwetsbaarder zijn. De gebruikte technologie wordt niet of nauwelijks meer ondersteund door externe leveranciers of de eigen organisatie. Als er zich wel een incident of probleem voordoet, is er vaak binnen de eigen organisatie niet meer voldoende kennis aanwezig om het op te lossen. Daarnaast zijn veel legacysystemen inmiddels gekoppeld aan andere systemen of aan het internet, koppelingen waar de systemen oorspronkelijk niet voor zijn ontworpen. Het kenniscentrum voor cybersecurity heeft een self-assessment ontwikkeld om deze risico's inzichtelijk te maken.Auteur: Sytse van der Schaaf

Inhoud Privacy staat volop in de belangstelling. Niet gek, gezien de mogelijkheden die digitale dienstverlening biedt. Organisaties vragen zich steeds vaker af of ze privacy binnen hun organisatie wel goed hebben georganiseerd en waar mogelijkheden en grenzen aan het gebruik van informatie liggen. Martijn van der Veen, eigenaar van privacy-adviesbureau Procis, juicht deze ontwikkeling toe. Volgens hem ligt in een goede omgang met privacy de sleutel naar nieuwe kansen en innovatie.In control Sinds Martijn zich in 2008 volledig toelegde op privacy heeft hij de aandacht voor privacy zien veranderen. “Privacy was lange tijd iets dat er een beetje bij hing. Nu willen organisaties en bedrijven ‘in control’ zijn als het om privacy gaat. Ze moeten ook wel. Bedrijven beloven aan hun klanten dat ze zorgvuldig met hun gegevens omgaan, maar het wordt steeds moeilijker om die belofte te houden. Niet alleen blijft de rol van ICT toenemen, ook wetgeving stelt hogere eisen. Klanten worden steeds kritischer op bedrijven die hun zaken niet op orde hebben.” Martijn vervolgt: “Wil je in control zijn, dan moet je drie zaken op orde hebben. Als eerste privacy compliance. Je moet aantoonbaar voldoen aan privacywet- en regelgeving zoals de Wet Bescherming Persoonsgegevens en de Telecommunicatiewet. De basis daarvoor is weten welke persoonsgegevens je organisatie verwerkt, door wie en hoe je processen en beheersmaatregelen zijn ingericht. Als tweede moet je kunnen acteren op veranderingen van je processen, je ICT en nieuwe wetgeving. Kortgezegd, je wilt je privacy-governance op orde hebben. Als derde moeten je medewerkers integer omgaan met de gegevens. Je wilt dat je mensen de juiste keuzes maken en het belang van klanten niet schaden”, legt Martijn uit. “We moeten niet vergeten waar privacy om gaat. Het gaat uiteindelijk om de mensen over wie de gegevens gaan. Soms gaat het om mensen in een kwetsbare of afhankelijke positie, dan zal je extra zorgvuldig moeten werken.”Wat houdt organisaties tegen om deze drie zaken op orde te krijgen? “Bedrijven lopen vaak aan tegen het probleem dat privacy gefragmenteerd is over verschillende onderdelen van een organisatie. Bij een eenvoudig proces zijn al snel minimaal meerdere business units, de afdeling ICT en juridische zaken betrokken. Al die losse elementen en aantallen betrokkenen maakt afstemming en een integraal beleid rond privacy lastig, terwijl je daar wel naar moet streven. Ook missen veel bedrijven het inzicht in hoe ze omgaan met privacy. Als je niet weet waar risico's zitten zal je niet goed weten wat je moet verbeteren.” Om organisaties te ondersteunen bij hun privacyvraagstukken ontwikkelde Procis een Privacy Framework. Met dit Framework kan een organisatie volledig zicht krijgen op privacy en een integraal beeld van maatregelen in beheer brengen. Daarmee wordt het eenvoudig om aan te tonen dat de organisatie handelt volgens de geldende normen. Door meteen governance-processen in te richten worden resultaten geborgd wat de kosten voor het beheer van privacy verlaagt.Privacy Framework Voor de inrichting van het Privacy Framework gebruikt Procis de informatiemanagementsoftware van Mavim, Rules. “Het Privacy Framework is een template waarin alle elementen zijn opgenomen die van belang zijn bij het ‘in control’ raken en blijven. Denk aan privacywetgeving, normeringen zoals de ISO27000 en de gemeentelijke BIG norm, aangevuld met rapportages en analyses”, vertelt Martijn. “ Voor de verbinding tussen processen en wetgeving gebruiken we Rules. Wil je kunnen toetsen of de dagelijkse gang van zaken voldoet aan wet- en regelgeving zal je de relevante processen in kaart moeten hebben”, licht Martijn toe. Op de vraag waarom hij heeft gekozen voor Rules als technische ondersteuning voor het Framework, antwoordt Martijn: “Rules kwam als beste uit de bus in mijn onderzoek. Ik heb bewust gezocht naar tooling om het inrichten en beheer van privacy te ondersteunen. De tooling moest voldoen aan een aantal requirements. Ik vind het essentieel dat ondersteunende techniek ‘licht’ in gebruik is”, vervolgt Martijn. “Rules is gebaseerd op de Microsoft Office Suite wat het heel herkenbaar en intuïtief in gebruik maakt. Bovendien kan je direct met bestaande documenten van een klant aan de slag. Verder was een van mijn eisen dat de software flexibel in te richten moest zijn, dus zonder dwingend karakter. Voor iedere klant wil ik een passende oplossing kunnen bieden. Iedere klant is uniek, die wil niet vastzitten aan strakke richtlijnen of beperkingen van de ICT. Daarnaast speelde schaalbaarheid een belangrijke rol. Het Privacy Framework kan ik updaten. Het beheer van privacy is een continu proces en klanten willen niet bij iedere verandering een compleet project moeten opstarten. De software van Mavim maakt privacy compliance makkelijker en goedkoper voor klanten. Dat is winst voor mijn klanten en winst voor privacy.”Toegevoegde waarde Best handig zo’n Privacy Framework! Zou iedere organisatie zelf haar privacy beleid en –beheer met wat technische ondersteuning in kunnen richten? “Ja, in principe kan dat”, onderkent Martijn, “maar goede tooling is maar het halve verhaal. De benodigde expertise die bij de inrichting van privacy komt kijken, moet niet worden onderschat. Privacy is een vakgebied op zich. En dat vakgebied verandert snel, dus up-to-date kennis is lang niet bij iedere organisatie aanwezig.” “Wanneer ik het Privacy Framework inzet, profiteren organisaties van een ‘best practice’ model, gebaseerd op ervaringen in de markt, met voorgedefinieerde content. Daarmee is de basis meteen gelegd en maken klanten een vliegende start. Doordat het Framework up-to-date is, kan ik die korte doorlooptijd van twee tot drie maanden toezeggen.” Privacy is een breed begrip. Hoe positioneert Procis zich? “De basisdienstverlening is gericht op de implementatie van het Privacy Framework. Het gaat dan om het modelleren van de processen met privacygevoelige gegevens, inventariseren van risico's en toewerken naar het management en beheer. Wanneer een klant zijn processen al in kaart heeft gebracht bouwen we daar natuurlijk op voort. Voor de technische installatie van Rules werken we samen met consultants van Mavim, of van andere Mavim Partners. Zo blijven wij doen waar we goed in zijn.” Nadat Procis de privacy in kaart heeft gebracht en de eerste analyses heeft gemaakt, vindt overdracht van expertise plaats. “Wat ons betreft zijn organisaties zo snel mogelijk in staat om zelf analyses te maken en risico’s te monitoren. Voor het onderhoud en beheer kan een klant kan ervoor kiezen het beheer van privacy in eigen beheer te nemen, te profiteren van updates van het Framework of het beheer volledig uit te besteden aan Procis. We bieden daarmee volledige ondersteuning.” De dienstverlening van Procis is met name gericht op business-to-consumer bedrijven en (semi) overheidsinstellingen. Binnen deze branches is het belang van de bescherming van persoonsgegevens het grootst.Toekomstvisie Martijn ziet het belang en vooral ook de complexiteit van informatie steeds verder toe nemen. “Wetgeving rond informatiebeveiliging en beveiliging van persoonsgegevens wordt steeds strenger. De Meldplicht Datalekken en het uitbreiden van de boetebevoegdheid van het College Bescherming Persoonsgegevens, de privacy waakhond, zijn hier concrete uitingen van. En laten we niet de komende Europese wetgeving vergeten. Naar verwachting wordt in 2015 de nieuwe Algemene Verordening Gegevensbescherming aangenomen. Deze legt de lat van informatiebeveiliging en privacy een stuk hoger dan nu het geval is.” Wat is de belangrijkste verandering van de Europese Wetgeving? “Op dit moment is veel privacywetgeving te negeren, de controle is beperkt. Het CBP wordt wel een waakhond zonder tanden genoemd. Onder het nieuwe regime liggen de eisen hoger. Voor een bedrijf is de boodschap straks helder: zorg dat je aantoonbaar compliant bent. Het staat er letterlijk. Boetes kunnen sneller worden uitgedeeld bij een datalek of niet voldoen aan de wetgeving.” Martijn benadrukt de importantie van kennis van zaken rond privacy beheer. “Heb je de juiste mensen binnen je organisatie? Privacy doe je er niet even bij, de juiste expertise en ervaring is onontbeerlijk. Een voorbeeld. De nieuwe Europese privacywetgeving stelt een DPO, een data protection officer, verplicht voor organisatie met meer dan 250 medewerkers. Nu is dat nog optioneel. Op dit moment zijn er in Nederland nog maar enkele honderden van terwijl je duizenden DPO's zou verwachten. Ik verwacht dan ook dat de behoefte aan dergelijke functionarissen toeneemt. Soms als voltijds functionaris, maar vaker zullen organisaties ondersteuning inhuren of dienstverlening op het gebied van privacy uitbesteden.” Martijn ziet de diensten van Procis stevig groeien. Het is daarbij zijn doelstelling om een vast netwerk te creëren van bedrijven en business analisten uit verschillende sectoren die de relaties tussen de bedrijfsprocessen en de privacy voorwaarden van een organisatie in kaart brengen. Met een team van privacy officers, ondersteund door het Privacy Framework, komen nieuwe privacy diensten in zicht."

Inhoud De Europese Privacywetgeving, in Nederland officieel bekend als de Algemene Verordening Gegevensbescherming (AVG), is op 14 april goedgekeurd door het Europees Parlement. Maar wat betekent het precies voor Nederlandse woningcorporaties? CorporatieGids.nl ging in gesprek met Rani Honcoop, Juriste en Business Consultant bij Audittrail, over wat corporaties moeten doen om te voldoen aan deze wet. “Wanneer corporaties tot dusver weinig aandacht hebben geschonken aan de bescherming van persoonsgegevens, staat hen een flinke klus te wachten.” “Tot 13 april was de Europese richtlijn uit 1995 nog van kracht,” begint Rani. “Die is in 2001 omgezet naar de Wet bescherming persoonsgegevens (Wbp). Maar deze richtlijn was toe aan vervanging, vanwege bijvoorbeeld snelle technologische veranderingen, het bevorderen van uniforme gegevensbeschermingsregels binnen de EU en het versterken van rechten van individuen. Dat moet gebeuren met de Algemene Verordening Gegevensbescherming, ook wel de General Data Protection Regulation (GDPR) in het Engels.”    Twee jaar Rani geeft aan dat de wet in de lente van 2016 in werking zal treden, twintig dagen na publicatie in het Staatsblad (datum publicatie nog onbekend). Corporaties hebben vervolgens twee jaar om de regels te implementeren. “Dat klinkt lang, maar wanneer corporaties nog niet veel tijd aan de bescherming van persoonsgegevens hebben besteed, kan dat erg veel werk zijn. De Algemene Verordening Gegevensbescherming komt op veel punten overeen met de aangepaste Wet bescherming persoonsgegevens die op 1 januari 2016 in werking trad. Maar dat betekent niet dat een corporatie stil kan zitten. Nieuwe regels gaan bijvoorbeeld over hoe bedrijfsprocessen worden ingericht, hoe deze processen omgaan met persoonsgegevens en wat de rechten van betrokkenen zijn.” “In de praktijk betekent dat onder andere de documentatie over de verwerking van persoonsgegevens verplicht is. Ook moeten corporaties privacyaspecten meenemen bij de ontwikkeling van nieuwe diensten, processen of systemen, krijgen betrokkenen de mogelijkheid een digitale kopie van hun persoonsgegevens aan te vragen en wordt de onafhankelijkheid van nationale toezichthouders vergroot. De aanstelling van een Data Protection Officer (de Engelse benaming voor de Functionaris voor de Gegevensbescherming) is voor corporaties geen verplichting. Desalniettemin raad ik corporaties wel sterk aan om een Privacy Officer aan te stellen vanwege de maatschappelijke en wettelijke veranderingen van dit onderwerp: privacy wordt nu eenmaal belangrijker gevonden dan voorheen.”   Meer inzicht en controle Door de nieuwe wetgeving moeten corporaties meer inzicht en controle krijgen over de persoonsgegevens binnen hun organisatie. “Het aanstellen van een Privacy Officer levert een bijdrage aan het overkoepelende toezicht van de privacyaspecten en het privacybeleid. Hiermee zal privacy een onderdeel worden van de organisatiecultuur.”   Hoge boetes Wanneer corporaties de eerdergenoemde regels niet op de juiste manier naleven, kan hen grote boetes worden opgelegd. De boetes van de Algemene Verordening Gegevensbescherming kunnen oplopen tot twintig miljoen euro, of vier procent van de wereldwijde jaaromzet. Hoger dan de 8,2 miljoen euro boete bij het niet naleven van de Wet bescherming persoonsgegevens. “Toch zal in geval van overtreding vaak eerst een bindende aanwijzing worden gegeven, voordat er wordt overgegaan tot het opleggen van een boete. De overtreder krijgt dan de mogelijkheid om binnen een gestelde termijn hieraan te voldoen.”   Grote inhaalslag Het niet naleven van de nieuwe Europese Privacywet is volgens Rani vooral iets dat onbewust gebeurt. “Bewerkersovereenkomsten en recht op inzage zijn voorbeelden van regels die al sinds 2001 geïmplementeerd hadden moeten worden. We krijgen vaak de vraag van klanten of dit iets nieuws is. Het is niet een kwestie van niet willen, maar een kwestie van niet weten. Omdat er nu veel aandacht is voor privacy gaan er bij corporaties belletjes rinkelen. Maar omdat dit al in 2001 had gemoeten, hebben corporaties een grote inhaalslag in een korte periode voor de boeg. Daarnaast zijn financiële middelen beperkt, en met de eerdergenoemde boetes in het achterhoofd is dit voor corporaties het omslagpunt om te investeren in privacy.” Autoriteit Persoonsgegevens (AP), toezichthouder van zowel de Wbp als de AVG, heeft daarnaast met haar agenda voor 2016 bekendgemaakt extra te letten op de beveiliging van persoonsgegevens. Volgens Rani betekent dit dat ernstige datalekken aanleiding kunnen zijn voor een extra controle. “Hierdoor kan een corporatie in een negatief daglicht komen te staan. Aan de andere kant; een incident betekent niet altijd dat een corporatie fout heeft gehandeld of nalatig is geweest. Er moet sprake zijn van een adequate beveiliging, en vanwege die open definitie is de inrichting een lastige opgave. Wat heeft mijn organisatie op dit moment nodig, en welke maatregelen dienen wij te implementeren?”   Ondersteuning Rani vertelt dat Audittrail corporaties helpt om zich voor te bereiden op de nieuwe wet. “Bijvoorbeeld met een nulmeting op de organisatie. Deze toont de stand van zaken met betrekking tot privacy, en laat zien hoe een corporatie zichzelf kan verbeteren. Indien de eerste stappen al zijn gezet, kunnen wij door middel van ons Privacy Update Pakket bepaalde privacyonderwerpen adviseren. Denk hierbij aan het opstellen van een doelbestemmingenlijst en het trainen of ondersteunen van de Privacy Officer. Zo kan een corporatie zich optimaal voorbereiden op de nabije komst van de AVG.”In samenwerking met Mavim heeft Audittrail het ISMS framework ontwikkeld. Lees hier meer over de voordelen van het ISMS framework of download de factsheet.

Inhoud Het management van veel Nederlandse bedrijven denkt te lichtvoetig over de eisen die de GDPR aan organisaties stelt. Slechts een kwart van hen is betrokken bij de compliance van deze regelgeving en een aanzienlijk deel weet niet welke persoonsgegevens zij precies moeten beschermen. Daarop duidt onderzoek van Trend Micro. Paradoxaal genoeg is er aardig wat kennis aanwezig over GDPR in het algemeen. Zo weet zeker 93 procent van de onderzochte professionals in Nederland dat ze aan de regelgeving moet voldoen en 72 procent heeft zelf kennis genomen van enkele exacte regels. Zes op de tien Nederlandse bedrijven zegt dat hun data niet veiliger opgeslagen kan worden.   Persoonsgegevens? Er heerst nogal wat onduidelijkheid over welke ‘persoonsgegevens’ goed beschermd moeten. Dat begint al bij de inventarisatie. Bijna een kwart van de Nederlandse respondenten kan niet aangeven welke persoonsgegevens ze hebben opgeslagen en waar. Van alle Nederlandse respondenten weet vervolgens 22 procent niet dat een geboortedatum geclassificeerd moet worden als een ‘persoonsgegeven’ en meer dan de helft van de Nederlandse IT-beslissers ziet informatie in hun e-mail marketingdatabases onterecht niet als persoonsgegeven. Voor wat postadressen aangaat, stijgt dat percentage tot 71 procent en voor e-mailadressen zelfs tot een alarmerende 78 procent. Organisaties die dergelijke gegevens – die hackers vaak genoeg munitie geven voor identiteitsdiefstal – niet goed beveiligen, riskeren hoge boetes. Meer dan 60 procent weet niet dat het hierbij om bedragen gaat die tussen de 2 en 4 procent van hun jaarlijkse omzet kunnen liggen. Een opvallende kwart van de ondervraagde organisaties in Nederland maakt zich echter niet druk over een mogelijke sanctie. “Het ontbreken van kennis over GDPR, dat duidelijk naar voren komt in dit onderzoek, is schokkend. Geboortedata, e-mailadressen, marketingdatabases en postadressen zijn allemaal belangrijke klantgegevens en het is zorgelijk dat zo veel Nederlandse organisaties dat, ondanks het zelfvertrouwen, gewoon niet weten”, zegt Rik Ferguson, VP Security Research van Trend Micro. “Als organisaties deze gegevens niet beschermen, nemen ze niet alleen hun klanten niet serieus, ze zijn zeker niet klaar voor GDPR.”   Verantwoordelijkheden Op de vraag wie verantwoordelijk is voor het verlies van grote hoeveelheden EU-data bij of door Amerikaanse aanbieders wist slechts 10 procent het correcte antwoord: beide partijen dragen evenveel verantwoordelijkheid, iets minder dan het wereldwijde gemiddelde van 14 procent. Bijna de helft van de Nederlandse organisaties denkt dat de boete betaald moet worden door de data-eigenaar, een kwart denkt dat de verantwoordelijkheid overzee ligt. Ook hebben Nederlandse beslissers niet helder voor ogen wie intern verantwoordelijk is voor compliance aan deze regelgeving. Een kwart denkt dat de CEO verantwoordelijk is, een iets groter percentage vindt dat het in handen is van de CISO en/of het security team. Slechts 10 procent van de Nederlandse hogere managers houdt zich echter actief met dit onderwerp bezig. “Het is zaak dat de C-suite GDPR gaat zien als een business-uitdaging in plaats van een security-probleem voordat het te laat is”, zegt Ferguson. “Het voorbereiden op GDPR is een enorme klus. Van investeren in state of the art technologie tot en met het implementeren van regels rondom dataprotectie en notificaties. Die voorbereiding is echter nutteloos als bedrijven niet weten om welke data het precies gaat en wie daarvoor verantwoordelijk is.” De GDPR verplicht bedrijven om de benodigde, moderne technologie te implementeren om goed om te kunnen gaan met risico’s. Toch heeft slechts 20 procent van de Nederlandse bedrijven geavanceerde technologie in huis om indringers op hun netwerk op te kunnen sporen. 26 procent heeft encryptietechnologie geïnstalleerd en 16 procent van de Nederlandse ondernemingen heeft geïnvesteerd in technologie die datalekken moet voorkomen.Bron: Felix Speulman, IT ExecutiveMeer weten over GDPR/AVG en hoe Mavim uw organisatie daarbij kan helpen? Lees meer op onze website of download de whitepaper "In 5 stappen voldoen aan de GDPR/AVG"

Inhoud   Sinds wanneer hebben we het eigenlijk over privacy? Hoe lang speelt dit vraagstuk al? We kunnen natuurlijk teruggaan tot de Romeinse tijd. De Romeinen bouwden bijvoorbeeld hun toiletten met een heel open karakter. De latrines waren open ruimtes met banken aan de zijkant met daarin gaten. Men kon zijn of haar behoefte doen terwijl het gesprek gewoon verder ging. Hoe zo privacy? Maar goed, dat is een ander soort privacy natuurlijk. Hoewel, we zeggen vandaag de dag in onze gedragscode wel iets over wat je wel of niet zou mogen bespreken in een publieke ruimte.   Het wissen van informatie is onmogelijk Het is niet gemakkelijk om de ontwikkelingen binnen het privacydomein te volgen en dat vervolgens uit te leggen aan de gemiddelde leek. Wat wel langzamerhand begint door te dringen is dat we in een onomkeerbaar proces terecht zijn gekomen. Het uitzetten of wissen van informatie op internet lijkt onmogelijk te zijn. Ik verwacht niet dat de nieuwe privacy wet in Europa(Algemene Verordening voor bescherming van persoonsgegevens (AVG) of General Data Protection Regulation (GDPR)) die in mei 2018 in werking zal gaan daar iets aan verandert. Ondanks dat er een soort van ‘right to be erased’ in is opgenomen. In juli 2000 werden we al ruw wakker geschud toen bleek dat er een Europees spionage systeem Echelon zou bestaan. Tegenwoordig weten we niet beter dat spionage en afluisteren standaardpraktijken zijn van praktisch alle overheden ter wereld. Door de onthullingen van Snowden is het bestaan van dit Echelon spionagenetwerk in 2015 bevestigd aan de hand van enkele documenten van de NSA.   Niet meer anoniem Als je anoniem wilt zijn in de huidige maatschappij kun je niet meer naar de grote stad verhuizen en je onderdompelen in de mensenmassa. Alles wordt daar geregistreerd. Je zult nu juist naar het platteland moeten gaan en je te voet of per fiets verplaatsen. En natuurlijk alle elektronische gadgets voorgoed achterlaten, en dat is voor veel mensen een uitdaging. Dat werd mooi geïllustreerd in het tv-programma ‘Hunted’ waarbij deelnemers moesten proberen om uit de handen van ‘rechercheurs’ te blijven. Binnenkort komt er een nieuwe serie van afleveringen van ‘Hunted’.   Wel of geen sleepnet? In Amerika werd begin 2017 door het Amerikaanse Senaat een wet aangenomen die het mogelijk maakt voor Internet Service Providers om al het internetverkeer van haar gebruikers individueel te analyseren en door te verkopen aan commerciële partijen. Maar ook in Nederland lijkt informatie steeds vaker openbaar te worden. Denk maar aan de introductie van de zogenaamde ‘sleepwet’ en het referendum wat daarover zal gaan plaatsvinden. Het gaat hierbij om wijzigingen in de Wet op de inlichtingen- en veiligheidsdiensten (Wiv). Deze wet uit 2002 volstaat volgens de rijksoverheid niet meer. Het is natuurlijk logisch dat met de enorm snelle technologische ontwikkelingen ook wetten regelmatig aangepast moeten worden.  Ik denk dat veel Nederlanders wel kunnen instemmen met het grootste deel van deze wet. Het lijkt immers logisch dat er een bevoegdheid moet komen om chatberichten van bijvoorbeeld een terrorist te onderscheppen, als er serieuze verdenkingen zijn uiteraard. Het probleem van deze wet zit onder andere in het feit dat veel informatie als ‘bijvangst’ ook beschikbaar komt en langere tijd bewaard kan worden. De AIVD zelf nuanceert dit door te stellen dat er juist meer controle en toezicht is ingebouwd en dat veel van de bijvangst direct weer wordt verwijderd. Ik denk niet dat het verstandig is om een referendum te houden over de gehele sleepwet. Feit is wel dat dit referendum er komt. Maar hoe kun je over zo een complexe wet de bevolking om een Ja/Nee gaan vragen? Ik verwacht dat de wet met aanpassingen op het toezicht er uiteindelijk toch wel zal komen, ongeacht de uitkomst van het referendum.Door: Jeroen Veraart Meer weten over de AVG? Lees hier meer over hoe u met het AVG framework aantoonbaar in control komt! Of meld u aan voor het webinar 'In 5 stappen voldoen aan de AVG'