Nieuws
Universiteit Noord-Holland verwerkte persoonsgegevens zonder grondslag
Illustratie bij dit bericht.
Universiteit Noord-Holland heeft persoonsgegevens verwerkt zonder dat daarvoor een geldige grondslag bestond, zo blijkt uit onderzoek van de Autoriteit Digitale Gegevens.
Er was geen toestemming gevraagd en een beroep op gerechtvaardigd belang ging volgens de toezichthouder niet op.
Achtergrond
De organisatie moet de verwerking staken en betrokkenen informeren over wat er is gebeurd.
Bij herhaling kan een dwangsom worden opgelegd.
25 reacties
Gerechtvaardigd belang wordt gebruikt als toverformule voor alles.
Precies dit. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
De gemiddelde gebruiker merkt hier niets van, tot het misgaat. Bewustwording blijft het lastigste stuk.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Dank, dat verklaart wel het een en ander. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Dat is te kort door de bocht. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Dat is te kort door de bocht. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Niet helemaal. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Precies dit. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Reageren kan na registratie.
Inloggen
Meer nieuws