Datalekken bij bedrijven

Tegenwoordig delen mensen van alles op internet, vooral op sociale media. Denk aan berichten op Facebook, Instagram, Twitter en WhatsApp. Bij het delen van deze berichten houden mensen vaak geen rekening met hun privacy.

Naast het delen van informatie over vrijetijdsactiviteiten worden ook persoonsgegevens gedeeld met bedrijven. Dit gebeurt bijna altijd via een contactformulier op een website, via een chatbox of op WhatsApp. Als bedrijf is het cruciaal om deze gegevens te beschermen. Wanneer een consument iets deelt met een bedrijf, is het bedrijf verantwoordelijk als deze gegevens openbaar worden.

In dit artikel lees je over de gevolgen van een datalek en wat wij voor jou als bedrijf kunnen betekenen. Wij raden je dan ook aan om het hele artikel te lezen, want een datalek kan jouw bedrijf in grote problemen brengen.

Wanneer is er sprake van een datalek?

Je bedrijf heeft te maken met een datalek als derden persoonlijke gegevens in handen krijgen, die door jouw bedrijf zijn opgeslagen, terwijl ze die niet mogen inzien. Het maakt niet uit hoe deze gegevens gelekt zijn. Als bedrijf kan je je nergens achter verschuilen. Zelfs als je per ongeluk persoonsgegevens naar een verkeerd e-mailadres hebt gestuurd, is er sprake van een datalek.

Het is belangrijk om te onthouden dat er pas prake is van een datalek als er persoonlijke gegevens zijn gelekt, zoals namen, telefoonnummers, e-mailadressen en wachtwoorden.

Waar krijg je als bedrijf mee te maken bij een datalek?

Een Nederlands bedrijf moet een datalek zo snel mogelijk melden bij de Autoriteit Persoonsgegevens. Volgens de wet moet dit binnen 72 uur gebeuren. Dit kan via https://dataleks.autoriteitpersoonsgegevens.nl.

De Autoriteit Persoonsgegevens verdeelt meldingen over datalekken in verschillende niveaus. Bij een ernstig datalek spreekt het College Bescherming Persoonsgegevens van het lekken van een grote hoeveelheid persoonsgegevens, wat grote gevolgen kan hebben voor iemands leven.

Een datalek wordt als "ernstig" bestempeld wanneer de volgende gegevens zijn gelekt:

• Inloggegevens
• Medische informatie
• Identiteitskaarten
• Financiële gegevens
• Gegevens over ras of geloofsovertuiging

Als bedrijf bent je verplicht het datalek te melden aan alle betrokkenen. Zo kunnen zij tijdig maatregelen nemen die grote schade kunnen voorkomen. Je moet de betrokkenen bijvoorbeeld aanbieden hun wachtwoord te wijzigen.

Je hoeft de betrokkenen niet te informeren wanneer de persoonsgegevens met encryptie zijn beveiligd. Dit betekent dat derden toegang hebben tot de gegevens, maar deze dankzij de beveiliging niet kunnen inzien. Je moet hier echter wel zeker van zijn. Als de Autoriteit Persoonsgegevens vindt dat je de betrokkenen had moeten informeren, kan je alsnog een boete krijgen. Dit is gegarandeerd als je opzettelijk een datalek verzwijgt. De boete kan oplopen tot 820.000 euro of 10% van de jaaromzet.

De Autoriteit Persoonsgegevens kan een bindende aanwijzing opleggen als blijkt dat er geen sprake is van opzet of ernstige verwijtbare nalatigheid. Aan deze aanwijzing moet je voldoen.

Mag je persoonsgegevens verwerken?

Hoe weet je zeker dat je persoonsgegevens mag verwerken?De Autoriteit Persoonsgegevens heeft hiervoor een stappenplan opgesteld, waar jij je als mkb'er aan kunt houden. De volgende vier punten zijn belangrijk voor het MKB:

• Als MKB mag je persoonsgegevens verwerken om een overeenkomst uit te voeren.
• Het kan zijn dat je persoonsgegevens moet verwerken omdat dit wettelijk verplicht is.
• Als MKB mag je ook persoonsgegevens verwerken als iemand daarvoor toestemming heeft gegeven.
• Je mag persoonsgegevens verwerken als dit gebaseerd is op een gerechtvaardigd belang. Wil je weten of dit het geval is? Klik dan op deze link!

Wat kunnen criminelen doen met de verkregen persoonsgegevens?

Criminelen kunnen persoonlijke gegevens gebruiken om een online identiteit te kopiëren. Zo kunnen ze identiteitsdiefstal plegen. Ze doen zich voor als iemand anders om ongehinderd misdaden te plegen. Ze kunnen de gegevens bijvoorbeeld gebruiken om toegang te krijgen tot jouw bankrekening.

Meer voorbeelden van identiteitsfraude

• Producten bestellen onder de naam van iemand anders
• Een geloofwaardig social media account aanmaken om iemand op te lichten
• Overeenkomsten sluiten onder de naam van iemand anders

Als bedrijf wil je natuurlijk niet medeverantwoordelijk zijn voor deze ellende. Daarom is het van groot belang om de online privacy van jouw klanten te beschermen.

Ransomware
Criminelen misbruiken niet alleen de verkregen persoonlijke gegevens om hun klanten het leven zuur te maken. Ze kunnen het ook gebruiken om jouw bedrijf af te persen. Dit doen ze door persoonlijke gegevens te gebruiken als ransomware. Dit is kwaadaardige software die de computers binnen een bedrijf overneemt en vergrendelt. Ransomware kan ook de oorzaak zijn van een datalek.

Criminelen krijgen vaak toegang tot het bedrijfsnetwerk via phishing. Een voorbeeld van phishing is het sturen van e-mails naar werknemers van het bedrijf met een gevaarlijke bijlage. Wanneer deze bijlage wordt gedownload, krijgt de crimineel toegang tot de computer van de werknemer. Deze bijlage heet bijvoorbeeld 'factuur'.

De crimineel steelt dan de persoonlijke gegevens van de computer en installeert een virus. Dit virus vergrendelt de gegevens op de computer. Via een pop-up op het scherm laten de criminelen weten dat de gegevens weer toegankelijk zijn na betaling van bijvoorbeeld Bitcoin. Als je niet op tijd betaalt, dreigen de criminelen jouw persoonlijke gegevens openbaar te maken. Hierdoor komt de vertrouwensrelatie met jouw klanten in gevaar.

Hoe voorkom ik een datalek?

Bescherm je online privacy en die van je klanten door goede cybersecurity software te gebruiken. Guardey is zo'n softwarepakket. Dankzij Guardey kunnen medewerkers veilig gegevens uitwisselen, zonder dat criminelen er iets mee kunnen.

De klant op de hoogte brengen
Allereerst moeten jouw klanten weten dat je hun gegevens opslaat. Maak dit heel duidelijk en leg ook uit waarom u dit doet.

Gebruik goede beveiliging
Zorg er daarnaast voor dat alle gevoelige gegevens beveiligd zijn met een sterk wachtwoord en eventueel multi-factor authenticatie. Voorkom ook dat derden toegang hebben tot deze wachtwoorden.

Hou je team op de hoogte
Het is ook verstandig om regelmatig gesprekken te voeren met je team. Zo kun je hen eraan herinneren hoe ze persoonsgegevens moeten verwerken, wat er op dit gebied goed gaat en wat er verbeterd kan worden.

Zakelijk VPN
Werknemers die op afstand werken, kunnen via een bedrijfs-VPN verbinding maken met het bedrijfsnetwerk. De benodigde gegevens worden ingepakt met een veilige laag. Zo kunnen eventuele cybercriminelen niets met de gegevens doen, omdat ze er niet bij kunnen. Alleen de medewerker die toegang heeft tot het VPN kan de bestanden inzien en gebruiken. Medewerkers kunnen de VPN-verbinding in een handomdraai tot stand brengen via Guardey.

Medewerkers trainen via een spel
In Guardey kunnen medewerkers gebruik maken van een game. Dit spel maakt hen bewust van hun online gedrag. Medewerkers leren bijvoorbeeld hoe ze onbetrouwbare e-mails kunnen herkennen, maar ook wat ze wel en niet kunnen delen met derden.

Cyber alerts
Guardey scant continu het bedrijfsnetwerk om te zien of er verdachte activiteiten zijn. Zo kan een ransomware-aanval worden voorkomen.

Probeer Guardeys cybersecurity software nu 14 dagen gratis uit!