Nieuws
Rechter fluit Accountantskantoor Bijl terug over een verplichte identiteitscontrole
Illustratie bij dit bericht.
De rechter heeft geoordeeld dat Accountantskantoor Bijl moet stoppen met een verplichte identiteitscontrole. De maatregel is volgens de uitspraak niet proportioneel.
Hoger beroep is nog mogelijk.
Wat er precies gebeurde
De uitspraak is ook relevant voor andere partijen die op vergelijkbare wijze werken.
Volgens de rechter bestaan er minder ingrijpende alternatieven die hetzelfde doel bereiken.
22 reacties
Proportionaliteit blijft het toverwoord, en terecht.
Mooi dat dit ook doorwerkt naar andere partijen.
Goed punt, maar De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Dank, dat verklaart wel het een en ander. Formeel klopt het, praktisch schiet je er weinig mee op.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Eens, met een kanttekening: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Niet helemaal. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Dat valt in de praktijk tegen. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Dat is te kort door de bocht. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Ik ben benieuwd hoeveel systemen er over een half jaar nog ongepatcht zijn. Meestal is dat percentage schrikbarend hoog.
Dat valt in de praktijk tegen. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Dat is te kort door de bocht. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Reageren kan na registratie.
Inloggen
Meer nieuws