Lek in verzuimsoftware gaf toegang tot gegevens 300.000 mensen

Niet helemaal. Een voorbeeld: als jij je geld toevertrouwd aan de bank, en de bank laat vervolgens de kluisdeur op een kier staan dan wil de bank ook verantwoordelijk wordt gehouden.

In het geval van bank+kluis is het makkelijk: je wil het gestolen geld dat je hebt toevertrouwd aan de bank terug hebben. In het geval van deze gegevens is het lastiger, immers ben jij niets kwijt alleen hebben anderen opeens wel privacygevoelige informatie van jou in handen. Het bedrijf heeft is hier niet verantwoord met de gegevens die hen in vertrouwen zijn gegeven omgegaan. Ik ben van mening dat je bedrijven hierop zeker moet kunnen aanpakken.

Let wel: bedrijven aanpakken wanneer zij de hen toevertrouwde gegevens onvoldoende beveiligen betekent niet dat je niet ook de inbrekers aanpakt. Het lastige hierin is dat sommige inbrekers (Prof. Jacobs in dit geval bijvoorbeeld) met een goede reden inbreken, als zij het niet doen dan weet niemand van het lek en dan kunnen criminelen er mee vandoor gaan zonder dat iemand het door heeft.

Wat dat betreft zou het misschien een idee zijn (vooral voor systemen waar zoveel privacygevoelige data staat) om het systeem niet enkel intern te testen maar, gevuld mt onschuldige testdata, online te gooien en er zoveel mogelijk mensen op los te laten. Schrijf een beloning uit per gevonden lek en voilà, dit soort stomme beveiligingsfouten worden gevonden zonder dat er meteen gegevens van duizenden mensen op straat komen te liggen.

Ik opteer ervoor dat niet de eigenaar, maar de hacker wordt aangepakt.
Als er bij mij thuis wordt ingebroken gaat men in principe ook achter de inbreker aan i.p.v. Mij een boete te geven voor de ondeugdelijke beveiliging. En ik kan maar niet begrijpen waarom dit in de cyber wereld precies andersom is.

In het artikel noemt het Radbout het anders aan uitlokking grenzende beveiliging.
Als jij 's avonds je gevulde portemonnee op de motorkap van je auto legt, dan is die 99,9% zeker de volgende ochtend verdwenen.
En dan wil jij dat de dader wordt gepakt??

Deze 'professionele' bedrijven zitten op een forse stapel zeer persoonlijke documenten, van een zeer grote groep mensen, daar hoort een gepaste verantwoordelijkheid bij.
Onnozelheid na dataroof is niet meer van deze tijd, men had beter moeten weten en conform moeten handelen.

Het is echt nodig dat de drempel voor deze bedrijven, om met gevoelige data om te gaan, ernstig wordt verhoogd.
Daarnaast zou men geheel moeten voldoen aan alle gestelde veiligheidseisen, die misschien alsnog met grote spoed geformuleerd moeten worden en zullen nieuwe veiligheidsgaten binnen een afgesproken tijdsbestek alsnog moeten worden afgedicht, op straffe van het verlies over het databeheer.

Deze roof kan de gedupeerden nog vele jaren achtervolgen, het gaat immers om gegevens waarmee gechanteerd kan worden.
De verantwoordelijken mogen van mij een proportionele straf krijgen, er moet nu echt een duidelijke streep in het zand worden getrokken om gewone burgers tegen nonchalante dataroof en fraude te beschermen.

Ik opteer ervoor dat niet de eigenaar, maar de hacker wordt aangepakt.
Als er bij mij thuis wordt ingebroken gaat men in principe ook achter de inbreker aan i.p.v. Mij een boete te geven voor de ondeugdelijke beveiliging.

Maar als het geen inbraak in je huis is, maar insluiping (dus je hebt de deur niet op slot terwijl je niet thuis was), dan is de strafmaat al minder. Zet je je dure spullen in de tuin achter een hekje van 30cm hoog, dan zal dat zelfs geen insluiping zijn maar "slechts" diefstal, omdat de inbreker niet eens moeite heeft hoeven doen om bij je spullen te komen, en reken er ook maar niet op dat de verzekering iets uitbetaald omdat je zelf gewoon nalatig bent geweest. En SQL-injecties zijn al sinds SQL1.0 (ruim 20 jaar) bekend en verplichtte stof voor elke informaticus die er iets mee doet, en daarom wel vergelijkbaar met een beveiliging d.m.v. tuinhekje.

En ter informatie: uitlokken van diefstal kan je zeker wel een boete voor krijgen (bijvoorbeeld een fiets niet op slot zetten). Gebeurt niet vaak, maar mag m.i. wel vaker bij beveiliging van tuinhekjes-niveau. Daarnaast is het moreel gezien nogal een verschil of jij achteloos je eigen spullen laat stelen (je eigen probleem, al kan dat dus al een boete voor jou opleveren), of je beheert andermans spullen (of gegevens) en die laat je stelen. Zoals in dit geval, en bijna alle gevallen van hacks die op tweakers gemeld worden.

En ik kan maar niet begrijpen waarom dit in de cyber wereld precies andersom is.

Daarnaast is het ook nog eens zo dat er in de cyber-wereld geen sociale controle is, die je wel hebt in een gemiddelde woonwijk. Zet je in een flat je deur open en wordt er ingeslopen, dan heb je grote kans dat medebewoners dit merken en insluiping of inbraak wordt (eventueel achteraf) altijd ontdekt. Het bestraffen van de inbreker heeft hiermee een preventieve werking, omdat hij ontdekt kan worden. Op internet heb je dit niet, zodra een website lek is kan de hele wereld erbij en je hebt geen idee wie deze database allemaal geplunderd heeft. Achter hackers aan gaan heeft dus geen enkele preventieve werking, het is meer een mazzeltje als je toevallig een hacker ontdekt maar zelfs als je zo iemand vind, dan heb je geen idee wie er nog meer deze database heeft geplunderd. De enige manier om een website goed te "verdedigen" is door inbreken überhaupt onmogelijk te maken, en dat weet iedereen met een beetje verstand van digitale veiligheid. Dat zouden websitebeheerders dus ook moeten weten, zij zijn verantwoordelijk voor deze databases.

[Reactie gewijzigd door bwerg op vrijdag 20 april 2012 10:53]