PRO - SEPII - Deel1

• Applicatie- en mediaontwikkelaar
• MBO
• Studiejaar 2

PRO - SEP-II - deel1

SEP-II

Na afloop van deze module
ben je op de hoogte van relevante wetgeving
en zaken rondom security.

Gevoelige data is bij jou in veilige handen
en dat blijkt ook uit de code die je produceert 

SEP-II

Na afloop van deze module
ben je op de hoogte van relevante wetgeving
en zaken rondom security.

Gevoelige data is bij jou in veilige handen
en dat blijkt ook uit de code die je produceert 

Het gaat in deze module
niet over de technische beveiliging
van gegevens  

We hebben het er hier over hoe je
veilig
omgaat met situaties

SEP-II

Onderwerpen in deze module:

Security (deze les)

Ethiek (les2)

Privacy (les3)

SEP-II

Onderwerpen in deze module:

Security

Ethiek

Privacy

Wat is 'security'?

1. Beveiliging
2. Veiligheid
3. Voorkomen van toegang
4. Bescherming van gegevens

Security

Alle betekenissen van security zijn juist

In deze module gebruiken we de term security

om aan te geven dat het gaat om de
beveiliging van computerdata en computercode

We hebben het al over AVG gehad

Wat is de betekenis van AVG?

Security

AVG is Algemene Verordening Gegevensbescherming

Bedrijven en overheden die persoonsgegevens gebruiken
moeten deze gegevens volgens de AVG beveiligen

Zo kunnen datalekken worden voorkomen

Security

Algemene Verordening Gegevensbescherming

Volgens de AVG moeten bedrijven en overheden hiervoor passende technische en organisatorische maatregelen nemen

• Organisaties moeten moderne techniek gebruiken om persoonsgegevens te beveiligen
  Is alles op de meest moderne manier opgeslagen?

• Regels hebben hoe om te gaan met persoonsgegevens omgaan
  Wie heeft er bijvoorbeeld toegang tot welke gegevens?

Security

Algemene Verordening Gegevensbescherming

Organisaties die persoonsgegevens gaan verzamelen,
moeten vooraf nadenken over de beveiliging hiervan

Beveiliging van persoonsgegevens moet
binnen de organisatie
een blijvend punt van aandacht zijn

Je komt erachter dat klanten via een bug in jouw code
bij de persoonsgegevens van andere klanten
kunnen komen

Wat doe jij?

1. Bug oplossen voordat iemand het merkt
2. Bekennen bij je baas
3. Negeren, laat iemand anders maar oplossen
4. Gegevens verwijderen

Je komt erachter dat klanten via een bug (niet jouw code)
bij de persoonsgegevens van andere klanten
kunnen komen

Wat doe jij?

1. Bug oplossen voordat iemand het merkt
2. Verklikken bij je baas
3. Melden bij de collega die bug veroorzaakte
4. Niets, is immers code van collega

Je baas hoort dat klanten via een bug bij de persoonsgegevens van andere klanten
kunnen komen

Wat moet hij doen?

1. In datalekregister bijhouden en oplossen
2. In media bekennen en oplossen
3. Melden bij Autoriteit persoonsgegevens en oplossen
4. Niets, hij is immers manager

Security

Een datalekregister is verplicht voor iedere organisatie

Wanneer er een datalek plaatsvindt moet 

dit worden opgenomen in een register

Security

Een omschrijving

Wanneer het heeft plaats gevonden

Wat er met de persoonsgegevens is gebeurd

Van welke groep(en) personen er gegevens zijn gelekt

Beschrijving van het type gegevens

Mogelijke gevolgen van het datalek

De maatregelen die zijn genomen om de schade
               te beperken en om herhaling te voorkomen

Security

Naast deze registratieplicht in het datalekregister

is er ook een meldplicht

Ernstige datalekken moeten binnen 72 uur gemeld worden
aan de Autoriteit Persoonsgegevens (AP)

Security

Naast deze registratieplicht in het datalekregister

is er ook een meldplicht aan betrokkenen

De betrokkenen (waarvan gegevens zijn gelekt) hoeven niet altijd op de hoogte gesteld te worden. Dit moet wel wanneer het lek een risico oplevert voor rechten en vrijheden van de betrokkenen. 

Kan het lek leiden tot fysieke, materiële of immateriële schade?

En ook discriminatie, (identiteits-)fraude, financiële schade en reputatieschade

Security

Dit moet wel wanneer het lek een risico oplevert
voor rechten en vrijheden van de betrokkenen. 

Kan het lek leiden tot fysieke, materiële of immateriële schade?

En ook discriminatie, (identiteits-)fraude, financiële schade en reputatieschade

Er is ingebroken
Een USB stick met een beveiligde backup van persoonsgegevens is meegenomen

MOET je dit melden aan de autoriteit persoonsgegevens?

1. Ja
2. Nee

Er is ingebroken
Een USB stick met een beveiligde backup van persoonsgegevens is meegenomen

MOET je dit melden aan betrokkenen?

1. Ja
2. Nee

Security

Zolang de gegevens met een geavanceerd

algoritme zijn versleuteld, er back-ups van de

gegevens bestaan, de unieke sleutel niet is

gecompromitteerd en de gegevens tijdig kunnen

worden hersteld, is het mogelijk dat deze inbreuk

niet hoeft te worden gemeld. Vindt er later echter

een compromittering plaats, moet de inbreuk wel

worden gemeld

Er is ingebroken
Een USB stick met een lijst van persoonsgegevens is meegenomen

Moet je dit melden aan betrokkenen?

1. Ja
2. Nee

Security

Gegevens zijn niet versleuteld opgeslagen,
dus incident moet worden gemeld

Door een stroomstoring in een callcenter kan de verantwoordelijke enkele minuten niet bij de persoonsgegevens.

MOET dit worden gemeld?

1. Ja, aan autoriteit persoonsgegevens
2. Ja, aan betrokkenen
3. Ja, aan beide
4. Nee

Door een stroomstoring in een callcenter weet de verantwoordelijke enkele minuten niet of de persoonsgegevens veilig zijn. Wellicht is er gehackt?

MOET dit worden gemeld?

1. Ja, aan autoriteit persoonsgegevens
2. Ja, aan betrokkenen
3. Ja, aan beide
4. Nee

Een persoon belt naar een bank omdat hij het maandoverzicht van iemand anders heeft ontvangen.
Uit onderzoek blijkt dat het waarschijnlijk om een incidenteel geval gaat.
MOET dit worden gemeld?

1. Ja, aan autoriteit persoonsgegevens
2. Ja, aan betrokkenen
3. Ja, aan beide
4. Nee

Een persoon belt naar een bank omdat hij het maandoverzicht
van iemand anders heeft ontvangen.
Uit onderzoek blijkt dat het waarschijnlijk om meerdere personen gaat.

Moet dit worden gemeld?

1. Ja, aan autoriteit persoonsgegevens
2. Ja, aan betrokkenen
3. Ja, aan beide
4. Nee

Security

Een incidenteel geval hoeft niet te worden gemeld aan de betrokkene.

De AP moet altijd worden gemeld.

Persoonsgegevens van 2000 studenten worden per ongeluk naar de verkeerde maillijst gestuurd.

Moet je dit melden aan de betrokkenen?

1. Ja, aan autoriteit persoonsgegevens
2. Ja, aan betrokkenen
3. Ja, aan beide
4. Nee

Security

Meld deze inbreuk aan de toezichthoudende autoriteit als er

waarschijnlijk gevolgen zijn voor personen.

Deel deze inbreuk mee aan personen afhankelijk van de aard van de

betrokken persoonsgegevens en of de waarschijnlijke gevolgen voor

personen zeer ernstig zijn.