Nieuws
Reisorganisatie Verweg verwerkte persoonsgegevens zonder grondslag
Illustratie bij dit bericht.
Reisorganisatie Verweg heeft persoonsgegevens verwerkt zonder dat daarvoor een geldige grondslag bestond, zo blijkt uit onderzoek van de Inspectie Gegevensbescherming.
Bij herhaling kan een dwangsom worden opgelegd.
Wat er precies gebeurde
De organisatie moet de verwerking staken en betrokkenen informeren over wat er is gebeurd.
Er was geen toestemming gevraagd en een beroep op gerechtvaardigd belang ging volgens de toezichthouder niet op.
22 reacties
Gerechtvaardigd belang wordt gebruikt als toverformule voor alles.
Dat is te kort door de bocht. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Dat is te kort door de bocht. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Precies dit. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
De gemiddelde gebruiker merkt hier niets van, tot het misgaat. Bewustwording blijft het lastigste stuk.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Goed punt, maar De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Precies dit. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Precies dit. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
De vraag is niet of je gehackt wordt, maar hoe snel je het merkt. Detectie is bij de meeste organisaties nog steeds het zwakke punt.
Grappig hoe zo'n woordvoerder altijd spreekt van 'een beperkt aantal klanten'. Dat blijkt achteraf structureel anders.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Reageren kan na registratie.
Inloggen
Meer nieuws