datainbraak

Een datainbraak is een incident waarbij persoonsgegevens of andere privacygevoelige informatie onrechtmatig toegankelijk worden gemaakt voor onbevoegden, of waarbij data verloren, gestolen of op een andere wijze gecompromitteerd raakt. Het kan zowel privé- als zakelijke gegevens betreffen en kan incidenteel of grootschalig voorkomen.

Veel voorkomende oorzaken zijn onder meer phishing-aanvallen die toegang geven tot accounts, malware, zwakke wachtwoorden, verouderde of verkeerd geconfigureerde systemen, en onzorgvuldig delen van data. Ook fouten bij de implementatie van beveiliging of een gebrek aan toezicht op derde partijen kunnen tot een breach leiden.

De gevolgen kunnen aanzienlijk zijn: direct risico voor de privacy van betrokkenen, mogelijk identiteitsfraude, reputatieschade voor de organisatie en (sanctie)boetes onder privacywetgeving. Voor organisaties kan een datainbraak bovendien leiden tot operationele stilstand en kosten voor onderzoek, herstel en communications.

Wettelijk kader: de Algemene Verordening Gegevensbescherming (AVG/GDPR) regelt privacy en meldplicht. Organisaties die persoonsgegevens verwerken, moeten een datalek melden aan de Autoriteit Persoonsgegevens (AP) als het waarschijnlijk risico inhoudt voor de rechten en vrijheden van betrokkenen, doorgaans binnen 72 uur. Ook betrokkenen moeten mogelijk geïnformeerd worden. De AP kan toezicht houden en sancties opleggen.

Preventie en beheersing omvatten encryptie (in rust en tijdens transport), streng toegangsbeheer, patching, security monitoring, data-minimalisatie en regelmatige beveiligingsaudits, plus medewerkersopleiding en een robuust incidentresponsplan. Ook due diligence bij uitbesteed beheer is van belang.

Bij een datainbraak: isolateer getroffen systemen, voer forensisch onderzoek uit, bepaal welke data en betrokkenen getroffen zijn, meld aan AP en mogelijk aan betrokkenen, en implementeer maatregelen om herhaling te voorkomen.