Nieuws
Kamervragen over de opslag van zorgdata bij buitenlandse aanbieders
Illustratie bij dit bericht.
Kamerleden willen opheldering over de opslag van zorgdata bij buitenlandse aanbieders. De vragen zijn gesteld naar aanleiding van berichtgeving van de afgelopen week.
De vragenstellers willen weten welke waarborgen er zijn en of aanvullende regels nodig zijn.
Hoe het werd ontdekt
Het kabinet heeft toegezegd de vragen binnen drie weken te beantwoorden.
Eerdere vragen over hetzelfde onderwerp leidden tot een toezegging die volgens de indieners nog niet is nagekomen.
18 reacties
Kamervragen zijn leuk, maar wat gebeurt er met het antwoord?
Dit speelt al jaren en er verandert structureel weinig.
Aanvullend: Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Precies dit. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Niet helemaal. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Dit is precies waarom segmentatie zo belangrijk is. Eén lek betekent dan niet meteen het hele netwerk.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Dank, dat verklaart wel het een en ander. Formeel klopt het, praktisch schiet je er weinig mee op.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Dat valt in de praktijk tegen. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Aanvullend: Ik heb het hier net getest en kan het bevestigen.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Reageren kan na registratie.
Inloggen
Meer nieuws