Snel lezen? Klik door op de inhoudstabel:

• Wat is een clean desk policy?
• Wat zijn de voordelen van een clean desk policy?
• Tip 1: Communiceer duidelijk
• Tip 2: Zorg voor routine
• Tip 3: Voorzie veilige, centrale opslag
• Tip 4: Plan vaste back-ups
• Tip 5: Informeer anderen
• Tip 6: Vernietig correct
• Tip 7: Maak het interessant

Wat is een clean desk policy?

Een clean desk policy is een beleid waarin staat beschreven op welke manier een werkplek moet opgeruimd worden. Het beschrijft dat bureaus op vaste tijdstippen moeten leeggemaakt worden, en hoe papieren documenten en notities op specifieke plaatsen moeten worden opgeborgen of opgeslagen.

Veel bedrijven voeren een clean desk beleid in om gestructureerd en professioneel voor de dag te komen. Bovendien kan de poetsdienst zo gemakkelijk de bureaus schoonmaken. Een derde reden waarom het clean desk beleid enorm in populariteit wint, is om op een verantwoorde manier om te gaan met gevoelige data binnen de onderneming en zo te voldoen aan de GDPR.

Wat zijn de voordelen van een clean desk policy?

Hoe zien de werkplekken van jouw medewerkers er op dit moment uit? Spik en span? Of slingeren er toch nog documenten of mappen rond die al lang opgeruimd hadden moeten zijn? Een clean desk policy maakt hier korte metten mee. Opgeruimde werkplekken hebben de volgende voordelen:

• Je werkplek is open, overzichtelijk en proper waardoor je de ruimte hebt om aan projecten te werken;
• je werkomgeving ziet er voor bezoekers en (potentiële) klanten professioneel uit;
• je geeft afleiding door klaarliggende dossiers of taken geen kans, waardoor je productiviteit de hoogte in schiet;
• en heel belangrijk: je vermijdt dat onbevoegden toegang krijgen tot gevoelige informatie.

Maar hoe implementeer je nu met succes een clean desk policy binnen jouw kmo? Met deze zeven praktische tips moet het zeker lukken!

1. Communiceer duidelijk

Communiceer goed over de invoer van een nieuwe policy. Zorg dat iedereen meedoet, ook het management.

Schrijf de policy zo praktisch mogelijk uit met voorbeelden die bij jou op de werkvloer relevant zijn. Vergeet hierbij zeker geen duidelijke procedures voor efficiënt documentenbeheer zodat er geen vrij spel is over waar een document kan belanden.

Je kan de werknemers herinneren aan de maatregel door op strategische plekken (zoals bij de printer of de kopieermachine) (visuele) reminders te hangen. Leg natuurlijk ook duidelijk uit waarom het navolgen van de clean desk policy zo belangrijk is.

2. Zorg voor routine

Maak van een clean desk een vaste routine. Laat je medewerkers ’s ochtends plannen welke taken ze die dag gaan uitvoeren en de daarvoor nodige documenten, dossiers en formulieren verzamelen. Alle andere documenten blijven uit het zicht opgeborgen.

Op het einde van de dag wordt alles dan weer netjes en op de juiste plek opgeborgen, wordt de werkplek proper gemaakt en worden overbodige post-its en papieren documenten op de aangewezen manier verwijderd en vernietigd. Mensen zijn gewoontedieren, maak hier dus gerust gebruik van om orde in de chaos te scheppen! Zoals mijn collega Karen het zo mooi zegt:

“Orde op kantoor brengt focus in de job”

3. Voorzie veilige, centrale opslag

We hebben meer data dan ooit tevoren. Werk daarom proactief een vaste, maar ook veilige methodiek uit om deze bedrijfsinformatie te verwerken. Denk hierbij aan het volgende:

• Alles op papier bewaren is geen goed idee. Opslag op papieren documenten, betekent dat deze informatie toegankelijk is voor iedereen die weet waar deze documenten zich bevinden. Bovendien is alles afprinten nogal belastend voor moeder natuur.
• Ook lokale opslag op je pc of laptop is vandaag de dag not done. Één foutieve mailbijlage openen is vaak al voldoende om onherstelbare schade aan te richten. En denk naast ransomware ook aan bijvoorbeeld brand of diefstal. Krijg je hier mee te maken? Wuif dan je kostbare data maar vaarwel!
• Kies voor een gecentraliseerde, veilige oplossing zoals een back-up in de cloud of synchronisatietools zoals Datasync. Of ga een stapje verder en werk niet meer op je lokale toestel maar via een Cloud Desktop of een Cloudserver. Zo wordt je waardevolle data afgeschermd. Doordat er niets meer opgeslagen wordt op je lokale toestel kan je bij overmachtsituaties zoals brand, diefstal of een hardwaredefect nog steeds op beide oren slapen. Je documenten blijven dankzij deze oplossingen bereikbaar en dankzij back-uproutines gedurende lange tijd recupereerbaar. Zorg bij het uitkiezen van een cloud back-upoplossing voor eentje die een streng informatie- en toegangsbeveiligingsbeleid hanteert.

4. Plan vaste back-ups

Overstappen naar digitale documentatie is een goed begin, maar zorg er in dat geval ook voor dat je automatische back-ups voorziet. Zo worden gebruikers ontmoedigd om zelf kopieën op te slaan.

5. Sensibiliseer anderen

Wil je nog een stapje verder gaan? Dan kan je anderen ook sensibiliseren over het belang van een clean desk policy. Voeg aan de disclaimer van je e-mailhandtekening bijvoorbeeld het volgende zinnetje toe: “Denk aan het milieu vooraleer je deze e-mail afprint”. Hoe minder e-mails er afgedrukt worden, hoe minder risico dat deze documenten in de verkeerde handen terechtkomen. Maar vergis je niet! Een disclaimer is veeleer een sensibiliseringsmaatregel dan een effectieve garantie om e-mailverkeer veilig te laten verlopen.

6. Vernietig correct

Wat met documenten die je toch op papier in handen krijgt? Een 100% papierloos bedrijfsproces is vaak niet haalbaar. Veel belangrijke correspondentie gaat vandaag nog via de post en het gebeurt nog regelmatig dat digitale data wordt uitgeprint. Bovendien beschikken veel bedrijven nog steeds over papieren archieven met gegevens die bewaard moeten blijven. Neem deze verwerkingen zeker op in je dataregister en zorg voor een passende beveiliging ervan. Bij Datalink hebben we de routine ingevoerd om de meeste papieren documenten onmiddellijk in te scannen en te vernietigen.

Wat doe je dan precies met de papieren documenten die je niet meer nodig hebt? De vernietigingsprocedure hangt af van de gevoeligheid van de informatie die er op staat. Folders kunnen in de papiercontainer maar investeer zeker in een papierversnipperaar voor de informatie die gevoelige gegevens, bedrijfsgeheimen of persoonsgegevens bevat. Maak een duidelijk onderscheid in je clean desk policy of IT veiligheidsbeleid.

7. Maak een clean desk interessant

Hoewel een clean desk policy een goede bondgenoot is op je reis naar GDPR-compliancy zullen niet al je werknemers er het nut van inzien. Maak de overgang naar een clean desk werkbeleid interessant via een ludieke ‘punishment’ of reward.

Merk je dat een collega gevoelige informatie heeft laten rondslingeren op zijn bureau tijdens afwezigheid? Sluit een van je medewerkers zijn scherm niet correct af na het verlaten van zijn werkplek? Of staat het bureaublad van je werknemer vol met onnodige documenten? Dan dient deze persoon de volgende dag het kantoor op taart te trakteren. Positief voor de veiligheid van je data? Ja! Positief voor de weegschaal? Dat is een ander verhaal!

Maak jij al gebruik van een clean desk policy binnen jouw kmo? Of mis jij de nodige tools om hiermee van start te gaan?

Onze informatieveiligheidsexperts helpen je graag op weg. Start met een helicopterview over je data met behulp van een IT Audit. In deze audit komen de gegevensstromen aan het licht en heb je een overzichtelijk plan in handen om de nodige beveiligingsmaatregelen stapsgewijs toe te passen. We denken strategisch met je mee om effectief en veilig samen te werken in het team. Of duik rechtstreeks in de praktijk en schakel ons team in. We werken samen met jou een clean desk policy of een IT veiligheidsbeleid uit. Stuur een e-mail naar onze experts!

Het bericht GDPR & clean desk policy: informatieveiligheid in jouw kmo verscheen eerst op Datalink.

Waarom is e-mailverkeer zo risicovol?

E-mailberichten behoren tot de ‘ongestructureerde data’ van een organisatie. Dit houdt in dat deze gegevens vaak ongesorteerd bewaard blijven en niet in een vast register of vaste structuur staan waardoor ze minder beheersbaar zijn dan gestructureerde data waarover je onderneming wel een duidelijk zicht heeft.

Bovendien worden e-mails vaak via de webbrowser bekeken en is deze toegang niet altijd optimaal beveiligd. Ten derde is het ook erg moeilijk om de impact te meten in het geval van een gelekte of gehackte mailbox. Waren alle inkomende CV’s van potentiële medewerkers en stagiairs wel netjes uit de mailbox gewist? Stonden er nog offertes in van prospecten? Werden er in het verleden mogelijk gevoelige gegevens of documenten via e-mail uitgewisseld?

Wanneer er een Data Access Request plaatsvindt oftewel een aanvraag van een betrokkene om zijn of haar gegevens in te zien, aan te passen of te vergeten, wordt het dankzij de vele bijgehouden e-mails en e-mailbijlages bovendien erg moeilijk om efficiënt aan deze rechten te voldoen. Hoewel de GDPR hier thans een plicht voor oplegt.

Een laatste risicofactor van e-mailverkeer is het feit dat veel medewerkers hun mailbox ook via hun mobiele apparaat zoals tablet of smartphone gebruiken. Hier loop je dus ook weer een risico op datalekken indien zo’n toestel gestolen wordt of verloren gaat.

Hoe kan je je e-mailverkeer optimaal beveiligen tegen datalekken?

E-mail is echter niet weg te denken in de communicatie binnen én tussen kmo’s. Daarom start je best met een optimale beveiliging tegen datalekken. In samenwerking met onze juridische partner bespraken we in de blog: GDPR en e-mails: grootste oorzaak van datalekken bij kmo’s al een aantal effectieve maatregelen die je kan implementeren om het e-mailverkeer van jouw kmo te beschermen tegen datalekken:

• voorzie een streng en afdwingbaar e-mailbeleid via een uitgeschreven beleid en duidelijke procedures;
• kies door middel van UTM (Unified Threat Management) voor proactieve afwering van bedreigingen zoals malware;
• zet e-mails met gevoelige informatie in quarantaine dankzij Data Loss Prevention;
• beveilig bestanden en mailboxen door Two Factor Identification in te schakelen;
• kies voor kwalitatieve versleuteling of encryptie van de gegevens, en dit zowel voor je mailbox als de gebruikerstoestellen.

Indien je bovenstaande maatregelen geïmplementeerd hebt, ben je alvast op de goede weg ????Maar je kan nog een stap verder gaan om de kostbare data van jouw bedrijf én jouw contacten te beschermen. Zo kan je ook kiezen voor alternatieven voor zakelijk e-mailverkeer.

Welke alternatieven bestaan er voor e-mails?

Medewerkers wisselen constant gegevens uit. E-mails met persoonsgegevens of gevoelige data worden al snel van de ene naar de andere collega doorgestuurd terwijl dit in principe niet nodig is. Met de Europese GDPR-regelgeving is het extreem belangrijk dat het overzicht over alle data die persoonsgegevens bevat, behouden wordt. Wenst een betrokkene gebruik te maken van zijn recht op inzage of zijn recht om vergeten te worden? Dan is het niet handig om op dat moment alle mailboxen van je medewerkers uit te moeten pluizen en op zoek te gaan naar de informatie die voorgelegd of vergeten moet worden.

Daarom stel ik twee alternatieven voor waardoor intern mailverkeer én het risico op datalekken tot een minimum herleid kunnen worden: digitale platformen en een cloud opslag- en synchronisatieoplossing zoals Datasync.

Centraliseer data in een digitaal platform

Het eerste alternatief voor mailverkeer is een digitaal platform of webapplicatie op maat. Een eigen intranet of documentenplatform heeft verschillende voordelen waaronder de mogelijkheid voor klanten om zelf hun gegevens in te sturen, te bekijken en te bewerken. Denk bijvoorbeeld aan “My Telenet”, waar gebruikers hun persoonsgegevens, hun telefonie- of internetpakket alsook hun facturen kunnen bekijken. Je voorziet ineens de mogelijkheid om gegevens zelf te laten corrigeren door gebruikers én je bespaart je medewerkers tijd. Duimpje omhoog voor transparantie!

Een digitaal platform kan ook intern ingezet worden om de werking van het team te ondersteunen. Zo kan je bijvoorbeeld gebruik maken van een planningstool of intranet waarin je met verschillende medewerkers samen kan werken en dus onnodig mailverkeer uit de weg kan gaan. Ook procedures, afspraken en belangrijke informatie kan je zo op één centrale plek opslaan zodat uitsluitend de hiertoe gemachtigde personen deze kunnen consulteren. Let er wel op dat je de privacy by default en privacy by design principes correct toepast die de GDPR verlangt van nieuwe software-platformen.

Centraliseer je data in de cloud

Ook kan je kiezen voor een cloudmap om data in te centraliseren en uit te wisselen. In een cloudmap kunnen verschillende gebruikers, al dan niet met aangepaste toegangsrechten, hun bestanden delen. Het grote voordeel? Je hebt steeds de meest recente versie van je bestanden voor handen en je vermijdt dat er al snel vijf verschillende versies circuleren over vijf verschillende mailboxen. Hoe minder e-mails je intern moet versturen, hoe veiliger! Daarom is een cloud-synchronisatiedienst het ideale alternatief voor e-mails bij in-company gebruik tussen medewerkers alsook extern met bijvoorbeeld freelancers.

Wil je gebruik maken van een clouddienst? Dan adviseer ik je om je cloud partner zorgvuldig uit te kiezen. Je blijft namelijk steeds verantwoordelijk voor de veiligheid van je gegevens. Stel je daarom steeds de volgende vragen:

• Waar bevindt de cloud zich?
• Wie beheert de cloud?
• Wordt mijn data nog met andere verwerkers gedeeld? Zoja, met wie?
• Exporteert de cloudleverancier mijn data naar niet-Europese servers?
• Welke beveiligingsmaatregelen worden er toegepast? Zijn deze voldoende?

Veel ondernemers maken gebruik van cloudoplossingen van niet-Europese aanbieders. Helaas kunnen deze giganten meestal geen of onvoldoende garanties bieden op GDPR-conformiteit. Dit hhoewel zij volop communiceren over de privacywetgeving die jij als ‘verwerkingsverantwoordelijke’ correct moet toepassen. Bovendien schuiven zij via de gebruikersvoorwaarden alle verantwoordelijkheid van zich af.

Verwerk je gegevens met een gevoelig karakter of wil je op safe spelen, dan kan je best overschakelen op een oplossing die gehost wordt binnen Europa, met transparante overeenkomsten die evenwichtig zijn en zowel de verwerker als de verwerkingsverantwoordelijke garanties bieden.

Wist je dat onze eigen dienst Datasync volledig ontwikkeld is om in regel te zijn met de GDPR-wetgeving? Bestanden worden gecentraliseerd én geëncrypteerd in de Benelux opgeslagen. Hiernaast kan je ze gemakkelijk delen met collega’s en apparaten, op kantoor én onderweg. Met Datasync:

• wordt je data geëncrypteerd en gecentraliseerd in de cloud;
• staat je data in een fysiek en softwarematig beveiligd datancenter in de Benelux;
• worden er minimaal 10 versies van je cloud-bestanden bewaard;
• kan flexibel documenten uitwisselen met collega’s zonder ze heen en weer te mailen;
• zijn toegangsrechten aanpasbaar naargelang de noodzaak.

Even samenvatten?

• E-mailverkeer is de grootste oorzaak van datalekken in kmo’s.
• E-mailberichten zijn ongestructureerde data waarover een kmo vaak geen duidelijk overzicht heeft. Bovendien betekenen mobiele apparaten van medewerkers een bijkomend veiligheidsrisico.
• Er bestaan maatregelen om het mailverkeer van je kmo te beveiligen zoals een streng e-mailbeleid, two factor verification en een UTM-firewall.
• Hiernaast bestaan er ook alternatieven voor e-mailverkeer in kmo’s zoals digitale platformen en cloudoplossingen.
• Een digitaal platform is te gebruiken voor externe communicatie tussen onderneming en klant alsook voor interne communicatie tussen medewerkers.

Minimaliseer overbodig mailverkeer

en structureer zo de werking van jouw kmo!

Verloopt de uitwisseling van gegevens in jouw organisatie al optimaal? Of is de kans op datalekken reëel? Contacteer onze IT experts voor een kennismaking en eerste advies.

Contacteer Team Datalink

Het bericht Ongestructureerde e-mail: alternatieven voor kmo’s verscheen eerst op Datalink.

Het aantal gehackte websites stijgt enorm, met alle desastreuse gevolgen van dien. Veel gebruikers hebben echter een “dat overkomt mij toch niet” -mentaliteit. Hierdoor beseffen ze niet dat hun gegevens, net zoals die van miljoenen andere gebruikers, mogelijk nu al op het internet te raadplegen zijn. Via een online zoekmachine check je zelf of je paswoord voorkomt in een databank met gelekte accountgegevens. Deze zoekmotor is al een goede start om awareness te creëren. Maar natuurlijk is deze databank niet volledig en spreekt het voor zich dat je ook voor toekomstige risico’s vandaag proactief moet handelen om je gegevens te beschermen.

Snel lezen?

1. Have I Been Pwned
2. Waar komen deze gehackte gegevens vandaan?
3. Wat is het gevaar van een datalek?
4. Hoe kan ik mezelf beschermen tegen datalekken?

Have I Been Pwned

“Haveibeenpwned.com” is een website, gelanceerd door beveiligingsspecialist Troy Hunt, waarop je als surfer zelf kan testen of je e-mailadres en wachtwoord achterhaald zijn uit één van de opgespoorde databanken met gehackte gegevens. De verzameling telt al enkele miljarden gebruikersaccounts en is vrij te raadplegen op het internet.

Hunt, Regional Director bij Microsoft, maakt het via deze website mogelijk om je username of e-mailadres in te vullen en onmiddellijk te zien of jouw gegevens tot de gehackte data behoren. Wanneer er een “red alert” tevoorschijn komt met de melding: “Oh no – pwned!”, is het raadzaam om je inloggegevens onmiddellijk te veranderen op de desbetreffende website alsook op andere websites waar je dit wachtwoord gebruikt.

Misschien een kleine fun fact? De term “pwned” komt oorspronkelijk uit de gamingwereld waarbij in het spel Warcraft een Map Designer een spelfout schreef in het woord “owned”. Wanneer de computer een speler versloeg in het spel, kwam de melding “you have been pwned”. Al snel kwam er een eigen betekenis aan vast te hangen, namelijk het “gedomineerd worden” of “verslagen worden door een computer of externe kracht”.

Waar komen deze gehackte gegevens vandaan?

De logingegevens die in de online databank zijn verzameld, zwerven al enige tijd rond op het internet. Websites en webapplicaties worden al jaren geteisterd door hackers die uit zijn op het bemachtigen van gebruikersgegevens voor criminele doeleinden. Zo werd Dropbox in 2012 gehackt en maakten cybercriminelen gebruikersnamen én wachtwoorden van 69 miljoen gebruikers buit. De grootte van de hack kwam echter pas in 2016 aan het licht, vier jaar na de feiten.

Zo werd ook LinkedIn gehackt in 2012 en werd er destijds bekend gemaakt dat 6 miljoen onversleutelde (!) e-mailadressen en wachtwoorden werden gelekt. Helaas was er veel meer aan de hand. Zo ontdekte Motherboard dat in 2012 niet 6 miljoen maar 117 miljoen gegevens gestolen werden. Dit werd later ook officieel door LinkedIn bevestigd.

In februari 2018 werd zelfs applicatie MyFitnessPal gehackt waarbij data zoals e-mailadressen, wachtwoorden en gebruikersnamen van 150 miljoen gebruikers gelekt werden wat dit het grootste datalek van 2018 maakt (tot nu toe). Ook giganten zoals Ebay, Adobe en Uber werden al gehackt.

Klaar om te werken aan een naadloze digitale ervaring?

Wil je een webapplicatie zoals een klantenportaal en de gebruikerservaring naar een hoger niveau tillen? Het Datalink webteam staat klaar om je te helpen bij elke stap van je digitale groei!

Contact OPNEMEN

Wat is het gevaar van een datalek?

Je denkt nu misschien dat het niet zo’n drama is dat de gegevens van je oude e-mailadres of je slechts zelden gebruikte Twitter-account gelekt werden. Maar dat is het wel degelijk! Hackers bieden zulke info namelijk vaak aan op het “dark web”, de onderwereld van het internet, waardoor persoonsgegevens van miljoenen mensen voor het grijpen liggen. Vaak gebruiken surfers ook nog eens hetzelfde wachtwoord voor verschillende toepassingen waardoor de hacker toegang heeft tot een gigantische hoeveelheid van data. Beter vermijden dan genezen dus.

Ben je ondernemer? Dan heeft jouw organisatie verantwoordelijkheden als verwerkingsverantwoordelijke van persoonsgegevens. Je bedrijf is niet alleen verantwoordelijk voor eigen data maar ook voor de data die verzameld en verwerkt wordt van (potentiële) klanten, leveranciers en medewerkers. Om de persoonsgegevens van Europese betrokkenen te beschermen is de GDPR van kracht. Eén van de plichten die je dient te vervullen, is de meldplicht datalekken. Deze meldplicht houdt in dat je een datalek in bepaalde gevallen binnen de 72 uur moet melden bij de Gegevensbeschermingsautoriteit. Dit is verplicht wanneer er een gevaar is dat het lek aan persoonsgegevens een risico met zich mee brengt voor de vrijheden en de rechten van natuurlijke personen. Gebruik je een externe app of tool om gegevens van je klanten te delen met je collega’s en wordt deze dienst gehackt? Dan blijft jouw bedrijf verantwoordelijk en moet je dit lek ook zelf melden. Afhankelijk van de ernst is dit aan de Gegevensbeschermingsautoriteit en/of de betrokkene.

Hoe kan ik mijn organisatie beschermen tegen datalekken?

Eerst en vooral wil ik je adviseren om gebruik te maken van sterke wachtwoorden, en deze geregeld te veranderen om zo de kans op diefstal te verkleinen. Gebruik bij voorkeur voor ieder account een uniek wachtwoord. Zo voorkom je dat met één hack ook andere accountgegevens kunnen buitgemaakt worden.

Bij Datalink hebben een uitgebreide checklist van maatregelen opgesteld die je kan nemen om je organisatie te beschermen tegen datalekken. Natuurlijk zijn niet alle maatregelen in de praktijk toepasbaar of noodzakelijk. Dit hangt volledig af van je bedrijfsprocessen, je IT infrastructuur en je digitale tools.

Vele softwarediensten bieden Two Factor Authentication (2FA) aan, encrypteren (versleutelen) standaard alle opgeslagen data en voorzien een geautomatiseerd update-, patch-, en monitoringbeleid. Via 2FA krijg je pas toegang tot je account na het doorlopen van twee stappen: de eerste keer door je pincode of wachtwoord in te geven en de tweede keer door bijvoorbeeld een code aan te vragen via een mobiele app zoals Google Authenticator. Bij encryptie bestaat de kans dat een buitgemaakte databank onleesbaar is doordat de gegevens zijn veranderd in random tekst. Door middel van een strikt update-, patch en monitoringbeleid worden apparaten zeer snel bijgewerkt waardoor het risico op cybercrime afneemt.

Kortom: een audit op maat is nodig om alle risico’s nauwgezet in kaart te brengen en gerichte IT securitymaatregelen te implementeren.

Wil je hiermee begeleid worden door IT security-experts?

Dan helpen we je heel graag verder met een IT Audit. In deze audit:

• Bevragen we je huidige digitale werking;
• peilen we naar je toekomstambities;
• inventariseren we je IT-apparatuur, software en clouddiensten;
• onderzoeken we de sterktes, zwaktes, opportuniteiten en bedreigingen;
• lijsten we concrete actiepunten op;
• vullen we aan met ontbrekende beveiligingsmaatregelen;
• formuleren we een strategisch toekomstadvies.

Kwam jouw domeinnaam of e-mailadres gelukkig heelhuids uit de opzoeking op de website haveibeenpwned.com en wil je dit graag zo houden? Of is het nodig om de informatieveiligheid in je organisatie dringend aan te scherpen? Start een livechat met onze Data Protection Officer, Ethical Hacker of een andere adviseur uit ons IT-team en minimaliseer het risico op datalekken in jouw kmo.

Wil je een IT-expert inschakelen?

Of wens je jouw bedrijfsnetwerk te laten auditen? Contacteer de cybersecurity experts van Datalink voor een voorstel!

We vliegen erin!

Het bericht Is je wachtwoord gehackt na een datalek? Check “haveibeenpwned” verscheen eerst op Datalink.

Je mag bijvoorbeeld personen die je een e-mail hebben gestuurd via de website, niet automatisch aan je marketinglijst toevoegen. Acht stappen die wij alvast aanbevelen vind je hieronder in mijn blog! Ready…. Set…. Action !

Privacy by design

Vooraleer je een nieuwe website of applicatie bouwt, moet je rekening houden met de bescherming van de persoonsgegevens van toekomstige gebruikers. Dit principe wordt privacy by design genoemd. Privacy by design stelt dat je enkel de absoluut noodzakelijke informatie mag verwerken, dat standaard de privacy-instellingen maximaal ten voordele van de betrokkene moeten staan (privacy by default) en dat je uiteraard de nodige technische maatregelen moet nemen om de persoonsgegevens passend te beveiligen.

Cookies

Vervolgens starten we met de verwelkoming van je websitebezoekers. Nog voordat zij actief hun persoonsgegevens meedelen via bijvoorbeeld een formulier, begin je vaak al met het verzamelen ervan. Google Analytics maakt bijvoorbeeld gebruik van analytische cookies en zij vallen onder de definitie van persoonsgegevens. Hoe kan je dit oplossen? Door actief te laten bevestigen dat websitebezoekers akkoord gaan met het gebruik van cookies dat transparant en duidelijk beschreven staat in je privacybeleid, door niet meer gegevens te verzamelen dan nodig (je verantwoordingsplicht), en uiteraard door voldoende technische maatregelen te nemen om de persoonsgegevens te beveiligen en waar mogelijk te pseudonimiseren of anonimiseren. Ook dien je ervoor te zorgen dat het doel waarvoor de gegevens verwerkt worden, absoluut beperkt blijft tot datgene je vooropstelt (denk aan benchmarking en doorgifte aan Google of andere partijen).

Formulieren

Kunnen websitebezoekers een digitaal formulier invullen? Zorg ervoor dat de inhoud ervan enkel naar de strikt noodzakelijke ontvanger(s) verzonden worden en zorg ervoor dat je websitebezoeker kennis heeft van het privacybeleid en de disclaimer. We komen tijdens onze website audits vaak tegen dat er overbodige kopieën (levenslang) op de webserver bewaard worden, of dat er andere ontvangers in CC staan. Behandel inkomende vragen of inschrijvingen steeds via één bepaalde procedure (via een portaal of via een mailbox) en gebruik de persoonsgegevens nooit breder dan voor de opgegeven doeleinden. Als iemand verzoekt om zijn of haar persoonsgegevens te wissen, moet je daar op een snelle en eenvoudige manier aan kunnen voldoen en niet op vijf verschillende plaatsen kopieën en back-ups gaan aanspreken. Bovendien is het je plicht om de e-mails standaard te wissen na een verantwoordbare termijn.

HTTPS

Gebruik maken van een SSL-certificaat is vandaag de standaard. Hierdoor zorg je ervoor dat ingevoerde data in geëncrypteerd wordt verzonden en tijdens het transport van de gegevens de kans op onderschepping nihil is. Bovendien kan de websitebezoeker er zeker van zijn dat de tentoongestelde website de juiste is. Het correct installeren van een SSL-certificaat is één van de technische maatregelen die je kan aanhalen in je verwerkingsregister of GDPR-documentatie.

Opt-ins

Je mag websitebezoekers nog steeds de kans geven om zich in te schrijven op je nieuwsbrief wanneer zij een formulier invullen. Let wel dat je voor dit extra verwerkingsdoel een aankruisvakje voorziet waardoor je kan aantonen dat er uitdrukkelijk voorafgaandelijke toestemming werd gegeven via een opt-in. Let wel: dit vakje mag standaard niet aan staan, en het mag natuurlijk ook geen vereist veld zijn aan een offerteformulier. Gebruikers moeten bewust aangeven dat ze de verwerking van hun persoonsgegevens voor bijvoorbeeld marketingdoeleinden goedkeuren. Stuur bij twijfel een e-mail naar de gebruiker met een bevestigingsvraag. Zo heb je een aantoonbare opt-in wanneer hij of zij antwoordt. Let er op dat je nieuwsbrief in regel is met de GDPR-wetgeving en er bij de opt-in ook een verwijzing staat naar je privacyverklaring.

Recht op toegang, verbetering en wissing

De GDPR legt op dat gebruikers hun gegevens moeten kunnen bekijken en verbeteren. Een klantvriendelijke oplossing kan een online self-service system zijn waarbij betrokkenen zelf de gewenste aanpassingen kunnen doen. Dit is geen verplichting (het mag ook een manueel proces zijn) maar kan wel tijdbesparend zijn voor je kmo.

Daarnaast hebben betrokkenen the right to be forgotten. Dit recht om vergeten te worden betekent dat individuen jou als bedrijf kunnen vragen om al hun persoonsgegevens te wissen indien er geen reden is waarvoor je ze zou nodig hebben (zoals bijvoorbeeld het kunnen uitvoeren van een overeenkomst).

Samenwerking met externe dienstverleners

MailChimp, Google, Salesforce, Sendgrid, Facebook, HotJar,…. allemaal externe gegevensverwerkers waar je mogelijk mee samenwerkt. Vaak zijn deze bedrijven buiten Europa gevestigd en maken ze gebruik van niet-Europese servers voor gegevensopslag. Ook merken we dat in hun gebruikersovereenkomsten vaak staat opgenomen dat ze de gegevens nog met subverwerkers delen. In dit geval ben je als verantwoordelijke gegevens aan het doorgeven en exporteren. Het is belangrijk dat je – wanneer er export van persoonsgegevens plaatsvindt – de nodige GDPR-conforme overeenkomsten afsluit met deze bedrijven, en aan alle overige GDPR-verplichtingen voldoet.

Plugins

Is je website gebaseerd op een CMS (content management system) zoals WordPress of Drupal? Dan heb je mogelijk plugins of extensies van externe ontwikkelaars in de website zitten. Het is je plicht om ervoor te zorgen dat alle partijen waar je mee samenwerkt, GDPR compliant zijn en niet ongevraagd persoonsgegevens verwerken. Stel: je website wordt gehackt doordat je gebruik maakt van een onbetrouwbare plugin. Ben jij daar dan van op de hoogte en kan je alle betrokkenen die hun gegevens via deze weg verzonden hebben nog bereiken? Jij wordt immers wel als verantwoordelijke aangeduid.

Website audit

Wist je dat de bovenstaande acht stappen slechts de tip van de sluier zijn? In onze privacy audit gaan we nog veel verder in onze technische analyse. Mijn advies? Trek je interne GDPR-audit zeker ook door naar je website en stel jezelf kritisch de vraag:

• welke persoonsgegevens er verzameld worden
• door wie deze persoonsgegevens verwerkt worden
• waar deze persoonsgegevens opgeslagen worden
• of de verwerking van deze persoonsgegevens strikt noodzakelijk is
• hoelang deze persoonsgegevens bijgehouden worden
• of met eventuele derden de nodige overeenkomsten bestaan, én zij voldoende technische en organisatorische maatregelen hebben genomen om de gegevens te beschermen

Onthoud dat het jouw plicht en verantwoordelijkheid is om op eigen initiatief te controleren of je externe verwerkers in orde zijn. Ook dient alle informatie op een transparante manier in je privacybeleid te staan. Zijn je partners niet in orde met de regelgeving? Dan is het belangrijk dat je hen begeleidt om dat voor jouw data in orde te brengen voor 25 mei 2018. Gebeurt dat niet? Dan adviseer ik je om op zoek te gaan naar alternatieve dienstverleners.

Website monitoring

Tot slot wordt website monitoring eens zo belangrijk. Bij een datalek is het immers je plicht om het lek kenbaar te maken. Website monitoring voer je best op serverniveau uit om de website niet onnodig te belasten. Daarnaast is het superbelangrijk om de broncode en het eventuele CMS met haar uitbreidingen goed up-to-date te houden.

Is jouw website klaar voor de GDPR regelgeving?

Vergeet je websites en applicaties niet onder de loep te nemen in je voorbereiding op de GDPR-regelgeving. Of stel gerust je vraag aan onze privacy experts! Bij Datalink hebben we gecertificeerde DPO’s (Data Protection Officers) in het team én hebben we een GDPR Traject ontwikkeld dat ook je applicaties doorgrondt.

Vraag hier meer informatie aan

Het bericht Hoe maak ik mijn website GDPR compliant? verscheen eerst op Datalink.