Deze krantenkoppen zijn slechts een snelle greep uit de cyberaanvallen die dagelijks in het nieuws komen. Cybercriminelen zien voortdurend nieuwe kansen om onze digitale werking te verstoren door gevoelige data te versleutelen en te verwijderen door gebruik te maken van ransomware.

Wat is ransomware?

Ransomware -ook wel gijzelsoftware genoemd- is een vorm van malware (malicious software) waarbij gegevens op je computer geëncrypteerd (versleuteld) worden waardoor ze onleesbaar worden gemaakt.

Cybercriminelen gebruiken ransomware als chantagemiddel doordat ze losgeld vragen (ransom) in ruil voor het vrijgeven van de decryptiesleutel. Decryptie is immers de enige manier om je gegevens terug te bevrijden omdat het de versleuteling omkeert.

En dat weten cybercriminelen. Het losgeld dat ze vragen loopt in sommige gevallen zelfs op tot 1 miljoen euro.

Doordat je de criminelen betaalt in Bitcoins, is het bijna onmogelijk om hen op te sporen. Betalen biedt dus ook geen garantie op het terugkrijgen van je data. Bovendien zien we in de praktijk dat ransomware vaak na enkele maanden terug geactiveerd wordt.

Hoe komt ransomware op je computer terecht?

Ransomware kan via verschillende wegen op je computer terecht komen. Vaak zitten deze kwaadaardige scripts in een e-mailbijlage of e-maillink. Je kan ze ook activeren door een besmette website te bezoeken. Of ze dringen rechtstreeks je computernetwerk binnen via een niet-geüpdatete server of firewall.

Werk jij van thuis uit op je server via VPN of RDP? Dan is hiervoor een bepaalde specifieke poort geopend. Niet alleen jij, maar ook hackers kunnen deze server dan aanspreken. In het geval dat de server niet geüpdatet is, kan hij kwetsbaarheden bevatten. Die kwetsbaarheden worden uitgebuit door hackers om toegang te verkrijgen. Is je server niet voldoende voorzien van beveiligingssoftware? Dan kan er een payload gedownload worden die zorgt voor de encryptie van je bestanden. Monitoringtools kunnen je wel verwittigen op het moment dat de schijfactiviteit toeneemt, maar dan is het in vele gevallen al te laat. De reactiesnelheid van je IT-verantwoordelijke is hier immers cruciaal.

Welke vormen van ransomware bestaan er?

Ransomware komt dagelijks in nieuwe vermommingen voor. Cybercriminelen kopen kant-en-klare ransomware-scripts aan en passen het bitcoin-betaaladres aan alsook de eventuele “commerciële naam”. Enkele vormen van ransomware hebben de afgelopen jaren een grote impact gemaakt in het bedrijfsleven, zoals:

CLOP

Clop ransomware maakte een opmars in 2019 en kwam enkele keren in de media doordat het de netwerken van de Universiteit van Maastricht en de Universiteit van Antwerpen trof.

Dharma

Dharma ransomware kende voor het eerst een opmars in 2016 en kwam met vernieuwde versies uit in 2019. Deze vorm van gijzelsoftware verbergt zich dikwijls achter “legitieme” antivirus-software in een phishingmail die van Microsoft lijkt te komen.

WannaCry

WannaCry is ransomware die in 2017 zo’n 200.000 slachtoffers heeft gemaakt in maar liefst 150 landen. Verschillende ziekenhuizen konden toen niet langer functioneren omdat ze geen toegang meer hadden tot hun patiëntendossiers. Ook het Spaanse telecommunicatiebedrijf Telefonica is toen getroffen, alsook bedrijven in de transportsector waaronder FedEx. Vooral oudere besturingssystemen liepen het risico om WannaCry zijn gang te laten gaan. Daarom is het belangrijk om steeds tijdig updates en upgrades uit te voeren. In het bijzonder wanneer je Windows-versie verouderd is en niet meer ondersteund wordt.

Hades Locker

Hades Locker staat sinds 2016 bekend om zijn vermomming als e-mailbijlage in een fake mailbericht van een transportbedrijf. Het transportbedrijf is er volgens de e-mailboodschap helaas niet in geslaagd om een pakketje af te leveren. In bijlage zit een document dat moet ingevuld worden om een nieuwe afspraak te maken voor de aflevering van je pakket. Open je deze bijlage, dan open je het virus en wordt je data versleuteld, net zoals bij andere ransomwarevormen.

Hoe herken je een infectie met ransomware?

De volgende kenmerken zijn typisch voor ransomware-infecties:

• Je bestanden kunnen niet meer geopend worden omdat ze een vreemde extensie hebben gekregen.
• Er wordt een betaling geëist in bitcoins.
• De gevraagde betaling heeft een deadline en kan maar enkele dagen uitgevoerd worden.
• Je hebt per ongeluk op een besmette e-mailbijlage of onbetrouwbare link geklikt.
• Je antivirusprogramma kan je bestanden niet zelf herstellen, daar is een decryptiesleutel voor nodig.

Hoe raakt je toestel besmet met malware?

Er zijn verschillende manieren waarop malware je werkcomputers kan besmetten:

E-mail

Veruit de grootste oorzaak voor het verspreiden van malware is e-mailverkeer. Je kent ze vast wel: de mailtjes die melden dat je nog verzendkosten moet betalen, je een levering hebt gemist of dat er iets mis is met je bankrekening. Werknemers worden in dit scenario gevraagd om dringend actie te ondernemen zoals (gevoelige) gegevens doorgeven, een bestand downloaden of een betaling uitvoeren. Wie hier onbezonnen op reageert, krijgt gegarandeerd af te rekenen met malware.

Websites

Net zoals links die je in e-mails ontvangt, ben je best voorzichtig met links die je tegenkomt op websites. Klik niet zomaar op onbekende links en download ook niet zomaar bestanden of software op websites die je niet kent. De kans bestaat namelijk dat je op die manier malware toegang geeft tot je computer of laptop.

Besmette hardware

Naast e-mailverkeer en websites vormt ook hardware een mogelijk risico voor de veiligheid van jouw toestellen. Maak daarom niet zomaar verbinding met vreemde toestellen zoals harde schijven, andere laptops of usb-sticks. Ook hier kunnen besmette bestanden op staan.

Niet-bijgewerkte servers, software of services

We promoten niet voor niets de inlassing van een strikt IT veiligheidsbeleid & updatebeleid in organisaties! Wanneer je servers onvoldoende bijgewerkt worden, je met een verouderd besturingssysteem werkt, er shadow IT wordt geïnstalleerd of verkeerde poorten opengesteld staan, verhoogt de kans op malware-, en ransomwareinfecties aanzienlijk.

Waar kan je proactief op letten om malware te voorkomen?

Ransomware-infecties zijn dikwijls niet onmiddellijk zichtbaar. Proactieve beveiligingsmaatregelen zijn echt een must om deze vorm van internetcriminaliteit tegen te houden. Las daarom de volgende veiligheidsmaatregelen in:

Sensibilisering

Door logisch na te denken, kan je al veel issues vermijden. Zorg voor gebruikersopleidingen die hen in staat stellen om kritisch te zijn bij o.a. het verwerken van e-mails, zeker bij onbekende afzenders.

Enkele tips:

• Lees steeds de omschrijving van de inkomende e-mails en controleer het e-mailadres van de afzender. Verifieer of het om een bestaand bedrijf gaat, en controleer of de inhoud van de e-mail klopt (is er daadwerkelijk een pakket onderweg van deze verzenddienst?)
• Twijfel je over een bepaalde e-mail? Open hem niet maar stuur hem door naar je IT partner ter controle.
• Weet dat een pakketdienst, bank, telecomprovider of betaaldienst je nooit een bijlage stuurt, en nooit vraagt naar vertrouwelijke gegevens of wachtwoorden.
• Vaak zitten er spellingsfouten in de onbetrouwbare e-mails omdat cybercriminelen anderstalig zijn. Werp een kritische oog op het taalgebruik.
• Bekijk de links die in de e-mail staan. Controleer hoe ze zijn opgebouwd en parkeer je cursor eerst op de link om te zien naar welke website hij je wil brengen. Is deze verdacht? Ga er dan zeker en vast niet op klikken!

Spamfilter

Een degelijke spamfilter is een absolute must voor elke onderneming. Deze zorgt er namelijk voor dat e-mailberichten met slechte bedoelingen grotendeels proactief weggefilterd worden.

Antivirus en firewall

De firewall controleert alle informatie die het netwerk wilt binnenkomen. Wanneer er verdacht verkeer wordt gesignaleerd, houdt de firewall dit tegen. Ook blokkeert de firewall ongebruikte toegangspoorten. Antivirussoftware gaat daarnaast actief op zoek naar indicaties dat er malware aanwezig is in bestanden. Komt hij geïnfecteerde bestanden tegen? Dan worden deze bestanden direct onschadelijk gemaakt en verwijderd.

Back-uproutine

Maak gebruik van de 3-2-1 back-upregel. Ze stelt dat je bestanden op 3 verschillende locaties dient te bewaren, op 2 verschillende opslagmedia waarvan 1 op een offsite locatie staat. Door met een externe locatie te werken of een back-up in de cloud ben je ook gewapend tegen dataverlies door overmachtsituaties waaronder diefstal of brand.

Combineer een:

• synchronisatieback-up die continu al je bestanden synchroniseert met een externe server
• termijnback-up die op vaste tijdstippen een volledige situatieback-up neemt en er een aantal versies en revisies van bewaart
• offline back-up die niet toegankelijk is via het internet

Toegangsbeperking

Geef je collega’s of werknemers enkel toegang tot bestanden die zij nodig hebben. Wanneer je dit doet, perk je risico’s in.

Merk je verdachte zaken op?

Heb je per ongeluk toch op een verdachte mail, link of bijlage geklikt? Of is er op een andere manier malware op je werktoestel of in het bedrijfsnetwerk binnen geraakt? Signaleer dit onmiddellijk aan je IT partner. De snelheid van handelen is immers bij ransomware-aanvallen cruciaal.

Ook proactief handelen is van groot belang. Zeker gezien de strenge GDPR die stelt dat je een passende beveiliging moet voorzien voor de persoonsgegevens die er in het bedrijf verwerkt worden.

Het bericht Ransomware: wat is het en hoe kan je het voorkomen in je bedrijf? verscheen eerst op Datalink.

Maar wat houdt een websiteonderhoud juist in? En welke risico’s neem je indien je website niet bijgewerkt en gemonitord wordt? Dat leg ik graag aan je uit in deze blog.

Cybercrime tegengaan

Je hoort, ziet en leest het dagelijks in de actualiteit: websites worden gehackt om persoonlijke gegevens zoals gebruikersnamen en wachtwoorden te bemachtigen. Of ze worden gehackt om malware te verspreiden of bezoekersverkeer om te leiden naar fake bestemmingswebsites. Zo werd dit jaar een website van de Europese Centrale Bank (ECB) gehackt met als doel phishing-activiteiten uit te voeren nadat er e-mailadressen, namen en titels van abonnees waren buit gemaakt.

Maar het zijn niet steeds de grote spelers die getarget worden. KMO-websites en websites van verenigingen zijn vaak heel interessant voor hackers omdat in deze omgevingen niet altijd de nodige budgetten worden vrijgemaakt om proactief een degelijke routine voor het onderhoud van de website te voorzien. Daarnaast zijn websites die gekoppeld zijn aan externe diensten, of persoonsgegevens verwerken zoals bij een e-commercemodule of leerplatform, ook interessant voor hackers. Bovendien is het met de GDPR-wetgeving wettelijk verplicht om data enerzijds veilig te verwerken, maar ook om datalekken te melden aan de Gegevensbeschermingsautoriteit.

Volgens onderzoek zou minstens één op de zes Belgische bedrijfswebsites kwetsbaar zijn voor cyberaanvallen.

Maar mijn bedrijfswebsite is toch professioneel ontwikkeld?

Natuurlijk! Wanneer je website ontwikkeld wordt, kan je webbouwer gebruik maken van actuele technologie waarbij de achterliggende code en het eventuele Content Management System (CMS) of beheerderspaneel up-to-date zijn. Bovendien kunnen er strikte veiligheidsmaatregelen genomen worden om toegang voor onbevoegden te voorkomen. We denken dan onder meer aan de installatie van een SSL certificaat, een blacklistingbeleid bij brute force attacks, strenge configuratie van de webserver, minimale vereisten voor gebruikerswachtwoorden, proactieve monitoring van technische KPI’s om afwijkingen op te sporen, maatregelen om DDoS-aanvallen en SQL-injecties tegen te gaan… Bij Datalink hebben we bijvoorbeeld een security checklist die onderverdeeld is in verschillende categorieën.

Belangrijk is om het hier niet bij te laten. Ook na de lancering van je website dien je periodieke controles in te voeren. Zij moeten ervoor zorgen dat je website tot in de puntjes in orde blijft. Dit behoort tot het websiteonderhoud dat een cruciale factor is om de kans op hacks en datalekken te minimaliseren.

Je CMS, een opportuniteit of bedreiging?

Veel websites worden ontwikkeld op basis van een CMS. Een CMS bevat een log-inpagina en beheerderspaneel waarbinnen je zelf teksten, blogberichten en/of afbeeldingen kan aanpassen of publiceren. Dat is handig, want zo moet je de webbouwer niet steeds inschakelen voor allerhande kleine aanpassingen. We kennen bijvoorbeeld WordPress, Joomla! en Drupal. Deze CMS-systemen zijn internationaal bekend en een team van ontwikkelaars werkt voortdurend aan updates en nieuwe releases.  Bovendien kunnen er veel extra functionaliteiten toegevoegd worden via plugins of extensies.

Ga je teveel plugins toevoegen van allemaal verschillende ontwikkelaars, kan dit gevaarlijk worden en ernstige veiligheidsrisico’s met zich meebrengen. Wij hanteren de vuistregel dat je het aantal plugins en extensies best onder de 10 à 15 houdt. Je voelt het al aan; een grafisch aantrekkelijke website is leuk en wel. Maar het zijn vaak de technische aspecten die je website maken of kraken.

Moet je daarom een populair CMS vermijden? Natuurlijk niet. Maar zorg er wel voor dat je website technisch goed in elkaar zit door te kiezen voor een partner die functionaliteiten correct programmeert, onderhoudt en controleert.

De meerwaarde van onderhoud voor je website

De relatie met je websitebouwer stopt dus niet bij de oplevering van je website. Integendeel! Er wordt best gewerkt met een onderhoudsroutine waarbij de webbouwer gedurende een vooraf afgesproken aantal prestatie-uren per maand of een forfaitair tarief en takenpakket de website onderhoudt.

De webbouwer monitort de website of webapplicatie en voert de nodige updates en upgrades uit om de broncode veilig en up-to-date te houden. Dit is trouwens extra belangrijk geworden omwille van de GDPR-plichten die we als organisatie dienen na te leven.

Welke taken kunnen er in het periodiek onderhoud van je bedrijfswebsite voorkomen?

Taken die frequent voorkomen in onderhoudsovereenkomsten zijn:

• Onderhoud van de servers om ervoor te zorgen dat de website bereikbaar en veilig blijft;
• Het voorzien en tijdig verlengen van een SLL-certificaat voor de versleuteling van de communicatie die bezoekers in formulieren ingeven;
• Onderhoud van de database en periodieke back-ups zodat er geen belangrijke gegevens verloren gaan;
• Updates of upgrades naar nieuwe versies van het CMS, thema’s of de broncode;
• Updates en controles m.b.t. de aanwezige plug-ins of extensies;
• Implementatie van nieuwe beveiligingstechnieken of configuraties;
• Monitoring en blacklisting van IP’s bij brute force attacks;
• Monitoring van KPI’s zoals het bandbreedteverbruik,…

Daarnaast kan het onderhoud ook gecombineerd worden met extra (marketing-)prestaties zoals het uitvoeren van SEO-checkups, het schrijven van blogs (of de eindredactie ervan), het bieden van telefonische hulp, bijstand via e-mail of het voorzien van gepersonaliseerde rapportages.

Wat zijn de risico’s als je bedrijfswebsite geen onderhoudsroutine heeft?

• Je loopt een verhoogd risico op hacking door cybercriminelen die meestal volledig geautomatiseerd en willekeurig websites aanvallen. Een voorbeeld is het datalek bij Marriott en meer recent het datalek bij het Belgische dataleerplatform Datacamp waarbij persoonsgegevens van 700.000 gebruikers op het dark web aangeboden werden voor nog geen 50 euro.
• Is je bedrijfswebsite gehackt? Dan kan deze gebruikt worden om spam de wereld in te sturen of om andere computers aan te vallen bijvoorbeeld door middel van ransomware.
• Wanneer je website geïnfecteerd raakt met malware zal dit een onmiddellijk effect hebben op de ranking van je site in Google en andere zoekmachines. Je website is dan slechter vindbaar.
• Je loopt het risico op imagoschade indien je website geïnfecteerd is met malware. Browsers kunnen surfers immers waarschuwen wanneer een infectie wordt aangetroffen waardoor bezoekers je website zullen verlaten.
• Je domeinnaam kan op een zwarte lijst komen te staan en zakelijke e-mails kunnen bestempeld worden als spam. Daardoor bestaat het risico dat e-mails niet meer aankomen.
• Het zou zelfs kunnen dat je website of functionaliteiten ervan compleet geblokkeerd worden.
• Het niet hebben van een SSL-certificaat maakt dat ingevulde formulieren (bv. in combinatie met achterstallig onderhoud) onderschept kunnen worden wat kan wijzen op een datalek.

Er zijn genoeg praktijkvoorbeelden waarin gebrekkig onderhoud heeft geleid tot mega-lekken van persoonsgegevens zoals recentelijk nog weergegeven is in dit persbericht over een online huurwebsite.

Zoals je kan zien, zijn de risico’s van een website die niet up-to-date is niet te onderschatten. Periodiek onderhoud van je website kan veel ellende voorkomen. Niet alleen maak je van het world wide web een veiligere plek, ook de online reputatie van je bedrijf is veilig gesteld!

Even samenvatten: waarom is websiteonderhoud een must?

• Het houdt je websiteranking technisch in topvorm;
• je website blijft functioneel (up and running);
• het houdt mensen met slechte bedoelingen buiten;
• je beschermt je kostbare data en je vermindert het risico op datalekken;
• je website wordt sneller door zoekmachines weergegeven aan potentiële klanten of gebruikers;
• bedreigingen worden proactief opgespoord en verholpen;
• en zoals we wel weten…… repareren kost veel meer dan voorkomen!

Hulp nodig?

Hoe is het met de gezondheid van jouw website gesteld? Laat een website check-up uitvoeren en je ontvangt een inzichtelijk rapport over de betrouwbaarheid en veiligheid van je website.

Het bericht Waarom is onderhoud van je website belangrijk? verscheen eerst op Datalink.

Waarom bestaat er een wettelijk kader rond gegevensbescherming?

Er worden vandaag in het bedrijfsleven heel wat persoonsgegevens verzameld. Denk maar aan gegevens die in websiteformulieren worden ingevuld, databanken met klantgegevens, e-maillijsten, ticketingsystemen enzovoort. Om een goede bescherming van deze gegevens te verzekeren, legt Europa verplichtingen op aan bedrijven die gegevens verzamelen en verwerken, en geeft het rechten aan natuurlijke personen die hun persoonsgegevens met deze bedrijven delen. Europese burgers dienen immers de controle te kunnen behouden over hoe en aan wie hun gegevens verstrekt worden en waarvoor ze gebruikt worden. De GDPR heeft als doel om één overkoepelende wetgeving over gegevensbescherming te verstrekken die automatisch geldt in alle Europese lidstaten.

Is de GDPR ook voor mijn bedrijf van toepassing?

De General Data Protection Regulation (GDPR) is een officiële Europese wetgeving die van toepassing is op alle organisaties die gegevens van Europese burgers verzamelen en verwerken. Ook indien je een éénmanszaak of vereniging hebt dus.

Wat valt er onder persoonsgegevens?

Met persoonsgegevens wordt alle informatie bedoeld waarmee een natuurlijke persoon geïdentificeerd kan worden. Hieronder vallen onder andere namen, adressen, telefoonnummers, e-mailadressen, foto’s, klantennummers, IP-adressen, maar ook genetische en biologische gegevens.

Wat als mijn beleid niet GDPR compliant is?

Heb je je bedrijfsvoering niet afgestemd op de Europese regelgeving, en komt er een klacht of vindt er een ernstige datalek plaats? Dan riskeer je boetes en sancties die kunnen oplopen tot 20 miljoen euro of 4% van je jaarlijkse wereldwijde omzet, afhankelijk van welk bedrag hoger is. De Belgische Gegevensbeschermingsautoriteit is bevoegd om controles uit te voeren en sancties uit te delen.

Wat houdt de GDPR in?

Veel van de basisprincipes van de GDPR kennen we uit de vroegere Belgische privacywetgeving. Onderstaande pijlers zijn belangrijke aspecten die de nieuwe Europese regels kenmerken:

Transparantie

Het is de plicht van je bedrijf om personen duidelijk te informeren over welke gegevens er verzameld en verwerkt worden, en waarvoor je ze gebruikt. Dit alles moet op een begrijpelijke, transparante manier gebeuren.

Verantwoording

Het is noodzakelijk dat je kan verantwoorden voor welk vooropgesteld doel je de verwerkte persoonsgegevens nodig hebt, anders mag je ze niet langer bijhouden (purpose limitation). Ook is het belangrijk dat er een rechtsgrond of actieve toestemming is toegekend aan de verwerkingsactiviteit. Anders mag er geen verwerking plaatsvinden.

Dataportabiliteit

Europese burgers moeten persoonsgegevens die ze aan je bedrijf hebben gegeven, kunnen overdragen naar een andere dienstverlener. Bijvoorbeeld bij een verandering van telecomprovider. Deze pijler is een aanvulling op het reeds bestaande inzagerecht waarbij personen een verzoek kunnen indienen om opgeslagen informatie te bekijken. Personen hebben trouwens ook het recht op hun persoonsgegevens te laten wissen, ook indien hun data gedeeld is met derde partijen.

Data Protection by Design

Maak een Data Protection Impact Assessment (DPIA) op wanneer je een nieuwe tool laat bouwen. Nog voordat je website of webapplicatie daadwerkelijk ontwikkeld wordt, maak je een risicoanalyse op met betrekking tot de privacy en bescherming van persoonsgegevens.

Databeveiliging

het is je plicht om persoonsgegevens veilig op te slaan en te beveiligen via gepaste technische en organisatorische maatregelen. Indien er toch een datalek plaatsvindt (bijvoorbeeld via een gestolen laptop of smartphone, virus of hacking) ben je in bepaalde gevallen verplicht om dit datalek kenbaar te maken. Afhankelijk van de ernst moet dat in je logboek, aan de Gegevensbeschermingsautoriteit en/of aan de betrokkenen. Voorzie nu al een Data Disaster Plan waarin staat beschreven welke procedure je zal toepassen wanneer het fout loopt met je gegevensbescherming.

Wat moet ik ondernemen om ervoor te zorgen dat mijn bedrijf GDPR compliant is?

Er bestaat helaas geen standaard stappenplan of checklist die je kan afvinken waarbij je zeker bent dat je gegevensverwerking in overeenstemming met de GDPR plaatsvindt. Meer nog, wat voor andere ondernemingen te verantwoorden is, is dat mogelijk niet voor jou.

We delen graag het GDPR compliancy traject dat we bij Datalink hebben doorgevoerd omdat het een handige richtlijn is om zelf te volgen:

1. Training

Netwerkarchitect Danny Daniëls is een opleiding gaan volgen tot DPO en mag zich vandaag gecertificeerd Data Protection Officer noemen. Vervolgens hebben er interne GDPR-opleidingen en sensibiliseringstrainingen plaatsgevonden.

2. GDPR audit

Door middel van een doorgedreven audit zijn we een analyse gaan opmaken van de mate waarin de GDPR-principes reeds correct werden toegepast in onze kmo. In deze audit zijn we alle verwerkingen van persoonsgegevens van websitebezoekers, fysieke bezoekers, prospects, klanten, leveranciers, (freelance) partners en medewerkers gaan analyseren. Het resultaat werd een helder adviesrapport, opgesteld door onze DPO, gevolgd door een actieplan.

3. Opstellen van het dataregister

Het dataregister is een nieuwe wettelijke verplichting die de vroegere aangifteplicht bij de Privacycommissie heeft veranderd naar een documentatieplicht. Het register met de verwerkingsactiviteiten van persoonsgegevens moet je bij een eventuele controle kunnen tonen. Omdat wij bij Datalink zowel een rol als verantwoordelijke als een rol als verwerker vervullen, hebben we meerdere registers opgesteld.

4. Doelbinding

Iedere verwerking van persoonsgegevens moet met een rechtmatig doel verbonden zijn. Voor iedere verwerkingsactiviteit hebben we het doel bepaald én daarbij het principe van dataminimalisatie in het achterhoofd gehouden. Je mag immers niet méér persoonsgegevens bijhouden dan nodig voor het beoogde doel.

5. Controle van de rechtsgrond en/of toestemming

Voor iedere verwerkingsactiviteit is een rechtsgrond of actieve toestemming vereist. Toestemming van de betrokkenen moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Bij verwerking van persoonsgegevens van minderjarigen is bovendien de toestemming van een ouder of voogd nodig. Bij iedere verwerkingsactiviteit vulden we de rechtsgrond aan in het register.

6. Communicatie over privacy

Door ons privacybeleid en onze overeenkomsten kritisch te evalueren zijn we gaan kijken of we steeds op een beknopte, begrijpbare en duidelijke manier informeerden over de verwerkingsactiviteiten. Zo herschreven we onze privacy policy.

7. Opstellen van overeenkomsten, clausules en procedures

We hebben overeenkomsten, werkwijzen en procedures opgesteld met betrekking tot de rechten van de betrokkenen, de bescherming van de gegevens die we bij Datalink verwerken en de plichten die we als verantwoordelijke en als verwerker te vervullen hebben.

8. Evaluatie van de technische en organisatorische maatregelen

Omdat de beveiliging van de persoonsgegevens die wij verwerken als verantwoordelijke, én als verwerker voor de klant aantoonbaar moet zijn, en omdat we van security een top priority maken, werken we bij Datalink zowel met geautomatiseerde als met manuele controles van de beveiliging. We zetten alles op alles om een datalek te voorkomen en dat moet de standaard zijn.

9. Sensibilisering van het team

We blijven de medewerkers in ons bedrijf bewustmaken over de GDPR. Vandaag bieden wij zelf ook in-company GDPR workshops aan op maat.

10. Opvolgingsaudits

Door middel van periodieke opvolgingsaudits plannen we onze kritische denkoefening jaarlijks opnieuw in en blijft ook in de toekomst duidelijk in welke mate de veilige omgang met data nog steeds correct wordt toegepast. Zo blijft onze organisatie, maar ook ons team scherp!

Conclusie

Het is enorm belangrijk dat je een actueel zicht behoudt op je datastromen en data-opslaglocaties, hoe je data verwerkt en beschermd wordt. Organiseer daarom een interne GDPR audit waarbij je alle activiteiten en verwerkingsdoeleinden van persoonsgegevens gedetailleerd in kaart brengt. Deze houd je bij in een dataregister dat bij een controle kan worden opgevraagd. Het dataregister kan je samen met je IT partner opstellen.

Focus in het verzamelen en verwerken van persoonsgegevens enkel op de informatie die je écht nodig hebt. Je zal kritisch moeten onderzoeken waarom je bepaalde data hebt (doelbinding) en mag ze ook niet onnodig lang bewaren (dataminimalisatie). Wis alle overbodige data.

Check je organisatie op alle overige GDPR-vereisten, al dan niet met behulp van een Data Protection Officer (DPO). Zorg er ook voor dat al je overeenkomsten en voorwaarden GDPR compliant zijn en beroep je hiervoor op een gespecialiseerde advocaat. Je kan de volledige GDPR-wetgeving hier terugvinden.

Is jouw kmo klaar voor de GDPR regelgeving?

Plan vandaag nog je GDPR traject of je GDPR controleaudit in. Of stel gerust je vraag via ons contactformulier. Onze DPO & GDPR adviseurs staan voor je klaar.

Het bericht GDPR, wat betekent het voor je KMO? verscheen eerst op Datalink.