Nieuws
Woningcorporatie De Baken verwerkte persoonsgegevens zonder grondslag
Illustratie bij dit bericht.
Woningcorporatie De Baken heeft persoonsgegevens verwerkt zonder dat daarvoor een geldige grondslag bestond, zo blijkt uit onderzoek van de Inspectie Gegevensbescherming.
De organisatie moet de verwerking staken en betrokkenen informeren over wat er is gebeurd.
Reactie
Bij herhaling kan een dwangsom worden opgelegd.
Er was geen toestemming gevraagd en een beroep op gerechtvaardigd belang ging volgens de toezichthouder niet op.
19 reacties
Gerechtvaardigd belang wordt gebruikt als toverformule voor alles.
Verwerking staken en betrokkenen informeren. Dat laatste gebeurt zelden zichtbaar.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Aanvullend: Ik heb het hier net getest en kan het bevestigen.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Aanvullend: Ik heb het hier net getest en kan het bevestigen.
Dat is te kort door de bocht. Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
De vraag is niet of je gehackt wordt, maar hoe snel je het merkt. Detectie is bij de meeste organisaties nog steeds het zwakke punt.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Precies dit. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Dat valt in de praktijk tegen. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Reageren kan na registratie.
Inloggen
Meer nieuws