Jeugdzorg liet medische dossiers uitlekken via verlopen domeinnaam

Een afdeling van Bureau Jeugdzorg in Utrecht heeft duizenden dossiers in handen laten vallen van derden via een verlopen domeinnaam. Twee klokkenluiders registreerden de verlopen domeinnaam en kregen zo alle mails binnen die medewerkers naar dat domein verstuurden.

De klokkenluiders kregen de mails in handen via catch-all voor mail van de hostingpartij, waardoor alle mails die naar een server gaan, op een centrale plek komen. Daardoor kwamen 2700 dossiers van kinderen en jongeren uit de omgeving van Utrecht bij de klokkenluiders terecht, schrijft RTL Nieuws. De klokkenluiders schakelden RTL Nieuws in, omdat ze menen dat dit mogelijk is bij tientallen zorgaanbieders.

De dossiers waren te lezen doordat er mails met die dossiers in plaintext en zonder enige andere vorm van beveiliging of authenticatie de gevoelige medische dossiers in mailboxen op het oude domein kwamen. Daarin staat onder meer wat kwetsbare kinderen en jongeren is overkomen, zoals psychische aandoeningen en seksueel misbruik. RTL heeft de dossiers geprobeerd anoniem te analyseren door een Python-script te laten draaien om zo het aantal unieke namen en steekwoorden voor de problematiek te achterhalen.

Het datalek was mogelijk doordat Bureau Jeugdzorg Utrecht de naam wijzigde in Samen Veilig Midden-Nederland en daarvoor een nieuwe domeinnaam registreerde. Het oude domein, dat voor tien euro per jaar te verlengen is, verliep daardoor vorig jaar.

Bestuurder Paul Janssen van Samen Veilig Midden-Nederland biedt excuses aan voor het datalek. "We hebben het lek gedicht, een onderzoek ingesteld en extern advies ingewonnen. We gaan direct ons securitybeleid aanpassen. Ik baal echt als een stekker." De Autoriteit Persoonsgegevens is op de hoogte van het datalek.

Reacties (129)

[Groningerkoek]

Als men zoveel dossiers plain text verzonden via mail kon afvangen, hoeveel staan er dan wel niet in plain text op laptops, telefoons en PC's van personeel vraag ik mij dan af. En hoe kan een bedrijf voorkomen dat de dossiers buiten bereik van onbevoegden blijven als men dit zo veelvuldig rondstuurt?

Vind dit echt een fout in de gevolgde procedures die om mij niet zonder gevolgen hoeft te blijven voor verantwoordelijken.

[Reactie gewijzigd door Groningerkoek op 23 juli 2024 04:11]

[3raser]

Het begint al met het feit dat gevoelige dossiers via de mail verstuurd worden. E-mail is niet veilig! Waarom is er geen speciaal platform voor het uitwisselen van deze gevoelige informatie? Iets waar je ook wat meer grip hebt op wie welke informatie mag ontvangen.

[kimborntobewild]

speciaal platform voor het uitwisselen van deze gevoelige informatie

Welk systeem gebruiken ze dan voor medische dossiers, zodat ze achteraf konden zien dat -tig medewerkers ongeoorloofd inzage deden in het medisch dossier van Barbie?
Dat systeem werkt dan ook niet (goed genoeg); je kan dan tenminste wel zien wie er inzage had (althans, de eerste lijn - iedereen kan natuurlijk weer ongebreideld kopieën hebben verstuurd) maar het systeem heeft de inzage niet tegen kunnen houden.

[HKLM_]

Nu nog hopen dat de AP hard zal straffen voor deze prutsers.

[webmaster777]

En dit is hoe het AP en de AVG nu dus niet werken. Omdat het lek netjes gemeld is bij het AP krijgen ze hoogstwaarschijnlijk geen boete, hoe ernstig het lek ook is in dit geval.

Als het AP een boete zou opleggen moet dat namelijk gegrond worden op diverse factoren, en zeker bij een eerste overtreding zal het AP niet snel tot een dergelijke maatregel overgaan. Als de organisatie verder goed meewerkt aan het onderzoek (wat er ongetwijfeld wel komt) hebben ze in principe op dat vlak weinig te vrezen.

De kans op een boete wordt pas groot als de nalatigheid van de organisatie duidelijk aangetoond kan worden, en dat dit bijvoorbeeld al wel bekend was als probleem, maar nooit is opgepakt door FG/bestuur.
Je moet niet vergeten dat de grootste bron van het lek slecht geïnstrueerde medewerkers betreft. Er is geen opzet in het spel, vooral laksigheid.

Het idee van de handhavingsmaatregelen (waaronder een aanwijzing geven aan organisatie en dus boetes) is dat de privacy gewaarborgd wordt, niet het binnenharken van grote geldbedragen. Het AP zal dus in eerste instantie sturen op het voorkomen van dergelijke fouten in de toekomst. Pas als de organisatie hieraan geen gehoor geeft of op andere manier laakbaar gedrag vertoond ten aanzien van aanwijzingen van het AP zal deze overgaan tot een dwangsom of boete. Maar ook dan heeft de organisatie tijd om orde op zaken te stellen. Zie bijvoorbeeld hoe de Politie een dwangsom kreeg na het niet opvolgen van de aanwijzing van het AP. Ze hadden 6 maanden de tijd om hun zaakjes op orde te krijgen!

[kimborntobewild]

Er is geen opzet in het spel, vooral laksigheid.

Als je laks bent in 't verkeer, of met je belastingaangifte, of met veiligheidszaken in het algemeen, krijg je toch ook gewoon boetes?
Waarom bij het ernstig verkloten van zulke extreem privacy-gevoelige data niet?

[OruBLMsFrl]

Ik vermoed omdat het nog net wat te nieuw is allemaal. Zeker digitale privacy is een snel ontwikkelend verhaal, terwijl het op tijd betalen van belasting/leges/huur al honderden jaren een bekende maatschappelijke afspraak is, waar de sancties/boetes in de loop van de tijd ook nauwkeurig afgebakend zijn.

Geef digitale privacy wat tijd en dat zal ook steeds beter verankerd raken in de maatschappij. Je wilt ook niet de verkeerde raken met boetes, of boetes die onevenredig harde impact hebben op bepaalde doelgroepen. Deze gemeentelijke zorginstelling moet in redelijkheid toch verder kunnen met de maatschappelijke taak. Niet makkelijk vast te stellen zo'n boete vrees ik, gelukkig met deze aandacht wel weer wat meer maatschappelijke bewustwording.

[Verwijderd]

Daarnaast is de vraag, wie lekt wat. Het zou netter zijn geweest om de oude domeinnaam even aan te houden, bijvoorbeeld 2 jaar. Maar op een gegeven moment houdt dat op. Ik snap niet dat er niet eerst gebeld wordt voordat de dossiers zo maar klakkeloos naar een email adres worden gestuurd.

[Verwijderd]

Er is zeker nalatigheid van de instanties die de dossiers per mail versturen. Het is namelijk al langere tijd verplicht om dit gencrypt te versturen cq laten downloaden via een beveiligde verbinding voor de tegenpartij. Versturen per mail is allang verboden van dit soort dossiers

[mcDavid]

Laten we vooral hopen dat deze prutsers de hulp krijgen die ze nodig hebben. Met het opleggen van straffen bereik je alleen maar een angstcultuur en dat is niet bepaald bevorderend voor de veiligheid.

Ik heb dan ook ernstige bedenkingen bij de manier waarop dit lek naar buiten gebracht is. Het lijkt me ten aller tijde zeer onwenselijk om dit soort dossiers te delen, zelfs al is het met journalisten die de boel goed anonimiseren. De doelgroep is zeer kwetsbaar en is er geenszins bij gebaat dat journalisten (of wie dan ook) in hun dossiers zitten te neuzen. Het voegt ook totaal niets toe aan de disclosure, behalve dat RTL er een smeuïger verhaal van kan maken.

[Groningerkoek]

Maar eigenlijk laten we al jarenlang verantwoordelijken wegkomen met dit soort dingen, misschien moeten we maar een keer mensen in de gevangenis gaan gooien voor dit dingen of hen persoonlijke boetes gaan opleggen want men is zich helaas maar al te vaak niet bewust van de plichten die men heeft en springt daar dientengevolge vaak nog veel te gemakkelijk mee om. In dit geval is het allemaal weer goed gegaan, maar voor hetzelfde geval stonden die dossiers in een folder op thepiratebay nog afgezien van de positie welke iemand die deze dossiers in bezit heeft kan innemen naar betrokkenen om publicatie te voorkomen.

Men komt er veel te vaak gewoon mee weg, en het bedrijf betaald de boete wel weer. Moet maar een keertje afgelopen zijn.

[Juice2000]

Naar de organisatie zelf stappen leidt in alle gevallen tot het in de doofpot stoppen en "ja we fixen het wel een keer", is de ervaring. Dus wat mij betreft een goede stap om naar de pers te gaan. Ben het met je eens dat het niet goed is om direct alle 2700 dossiers met privacygevoelige informatie op een redactiebureau te gooien. Een paar dossiertjes zonder namen was genoeg geweest.

[WillySis]

Hoe moeten ze straffen?
Geld valt er niet te halen, want op jeugdzorg is al zoveel bezuinigd dat het nog een wonder is dat het nog een beetje functioneert.

[pe0mot]

Waar staat dat er minder geld is?
Door verkeerd aanbesteden en torenhoge facturen van diverse advies en zorg clubjes is er meer uitgegeven dan dat er budget was.
De schuldigen van dit wanbeleid roepen nu dat er te weinig geld is, ja dat klopt. Bodemloze putten zijn niet te vullen en de jeugd is de klos.

[WillySis]

Op jeugdzorg wordt al jaren lang bezuinigd. Google maar eens op "bezuiniging jeugdzorg".

De druk op de medewerkers om zaken zo snel mogelijk af te handelen wordt steeds groter. Er moeten mensen verdwijnen, terwijl er steeds meer beroep op hun gedaan wordt.
Dat ICT en beveiliging dan als noodzakelijke kostenpost worden gezien licht voor de hand. Afdelingen die zich niet met het "echte werk" bezig houden zijn bij bezuinigingen meestal het eerst de klos. Er moet immers zoveel mogelijk personeel bezig blijven met de "zaken die er toe doen".
Overheveling van de jeugdzorg van het rijk naar gemeenten heeft ook veel geld gekost. Het geld dat daarvoor werd gereserveerd was bij lange na niet voldoende. Het maakt het hele systeem ook decentraal. Problemen als nu bij de beveiliging liggen dan op de loer.

[pe0mot]

Yep, gedaan. Binnenlands bestuur:
"De krantenkoppen liegen er niet om: veel gemeenten in Nederland hebben sinds de decentralisaties in 2015 te maken met tekorten in het sociaal domein."
Tekorten wil zeggen dat er teveel wordt uitgegeven, dus dat gemeenten als paniekoplossing moeten gaan bezuinigen op de zorg.
De gemeenten hebben destijds extra geld gekregen voor de transitie, dat is schijnbaar verbrast want het is op en sterker nog er is een groot tekort ontstaan terwijl de zorg is verminderd.
Dat de gemeenten nu bezuinigen is niet meer dan logisch, het alternatief "effectief en efficiënt" de zorg geven kunnen ze schijnbaar niet door incompetentie. De rijksoverheid nog meer geld in deze put te laten gooien is niet de oplossing, dat geld gaat dan niet naar zorg maar naar verkwisting.
De rijksoverheid heeft dit natuurlijk verkeerd ingeschat, de verantwoording geven aan lagere overheden heeft een verkwisting van geld en verlaging van zorg gegeven.

[WillySis]

De taak die de overheid heeft opgelegd door ineens met gemeenten te moeten onderhandelen is geen kattenpis! Bijna alle zorginstellingen hebben met meerdere gemeenten te maken en die wisten echt niet wat er op ze af kwam. Elke gemeente stelde maar wat eisen op. Je kan dat geld verkwisten noemen. Dat is het ook, maar je kan de zorginstellingen daar niet op afrekenen. Het was door de overheid opgelegd! Zo'n overgang is organisatorisch een flinke klus en kost daarmee veel geld. Het geld dat door de overheid beschikbaar werd gesteld dekte maar een kwart van de kosten.
Geld verkwisting zou ik het niet meer willen noemen Men werkt onwijs hard, met onrealistische eisen voor de tijd waarbinnen dossiers afgehandeld moeten worden. Daardoor leidt de kwaliteit ernstig onder de bezuinigingen, worden wachtlijsten langer en is ICT al helemaal tot het absolute minimum uitgeknepen. Een groot deel van de tijd moet men nu ook nog eens besteden aan het inpassen van de bezuinigingen, onderhandelingen met gemeentes enz. Zonde van het geld.

Er zijn een aantal jeugd-zorginstellingen in Nederland die door alle veranderingen en bezuinigingen eigenlijk nauwelijks meer kunnen functioneren. Grote tekorten zijn eerder norm als uitzondering. Als je het hier over commerciële bedrijven zou hebben, dan zou Nederland nog maar heel weinig jeugd-zorg hebben. De meeste instellingen zouden door alle overheids maatregelingen allang failliet zijn.

Zo'n datalek, puur uit onkunde, moest er eens van komen.

[pe0mot]

Het is duidelijk dat je vanuit de oude zorginstellingen reageert. Deze hadden het inderdaad moeilijk. Maar ik had gisteren een gesprek met een directeur dat het allemaal wel is gelukt bij hem, en nee, de nieuwe ICT omgeving voor rapportage is amateuristisch (CSV bestanden uploaden) en kost veel extra werk.
Waar ik het over heb is onkunde bij de lagere overheid en de verkwisting die daardoor is gedaan bij de graaiers.
Voorbeeld: ik ken iemand die sinds drie jaar een nieuw zorgbureau voor jongeren runt, en nu een nieuw huis van 1M euro laat bouwen.

[WillySis]

Zeker, de oude zorginstellingen hebben de omslag nauwelijks kunnen maken. Veel onkunde zit inderdaad bij de gemeentes. Daar is vaak nog niemand die echt goed op de hoogte is van de problemen en de mogelijkheden.
De nieuwe (commerciële) bureau's hebben het veel gemakkelijker die zitten niet met een opeenstapeling van reorganisaties (die landelijk gezien ook miljoenen kosten) en oude werkwijzen. De oude zorginstellingen hebben zeker last van een remmende voorsprong en wellicht is het beter om die maar te sluiten en met frisse moed opnieuw te beginnen.

[Anonymoussaurus]

Jeugdzorg is een overheidsinstelling, dus dan gaan ze maar bij de overheid aankloppen en daar een boete uitdelen. Is al de zoveelste godganse keer. Word er niet goed van.

[Seal64]

En wie denk je dat daar dan weer de rekening voor gepresenteerd krijgt? Geld dat de overheid uitgeeft is per definitie geld dat jij ze betaald hebt middels belastingen. Boetes worden betaald aan de overheid, dus het enige dat je dan bereikt is dat er geld van het ene potje naar een ander potje schuift. Met nog wat extra kosten voor de tien medewerkers die daar iets mee moeten doen, en onder de streep kost dat jou als belastingbetaler alleen maar geld, en is niemand er iets mee opgeschoten.

[gorgi_19]

Toch wel...

Potjes worden leger; het beschikbare budget voor een jaar wordt lager. En daar wordt een bestuurder op afgerekend; hij houdt zijn tent niet draaiend.

Niettemin toont dit aan dat de aandacht voor privacy bij de medewerkers / management onvoldoende blijkbaar is. Wellicht worden dossiers ook naar huis gestuurd, naar de prive-gmail, om thuis verder te werken?

Wel mooi te zien dat voor dit datalek naar de systeembeheerders wordt gekeken en het datalek opgelost zou zijn. Deze groep is alleen de messenger; het probleem ligt veel fundamenteler in de organisatie.

[ajolla]

AP is ook overheid, dus dat geld is niet weg; alleen maar overgeheveld.

[Anonymoussaurus]

Fair point. Dan verlagen ze die salarissen maar van die topmannen . Aan de andere kant: dan wil er al helemaal niemand bij een overheidsinstelling werken.

[Reactie gewijzigd door Anonymoussaurus op 23 juli 2024 04:11]

[WillySis]

Dan mag de belasting wel flink omhoog, want als men ergens laks is met de privacy zijn het wel de overheidsinstellingen die al jarenlang de ene na de andere bezuiniging op moeten vangen. De ICT heeft er dus flink onder te leiden. ICT en overheid is overigens toch al een combinatie die bijna per definitie voor problemen zorgt.

[SuperDre]

De klokkenluiders schakelden RTL Nieuws in, omdat ze menen dat dit mogelijk is bij tientallen zorgaanbieders.

En blijkbaar in plaats van naar de betreffende afdelingen te stappen, eerst naar de media.....
Ik vind dit weinig te maken hebben met 'klokkenluiders'.....

Het probleem zit em hier dus niet zo zeer in dat de dossiers zouden zijn uitgelekt via een verlopen domainnaam, maar dat de mensen deze mails sturen (inclusief dossiers) naar een oud emailadres..

[Brousant]

[...]
En blijkbaar in plaats van naar de betreffende afdelingen te stappen, eerst naar de media.....

Ik vind het terecht dat wij als publiek het te horen krijgen als dit soort dingen misgaan.

In dit geval kon behalve de klokkenluiders niemand via deze methode de gelekte gegevens opvangen, dus het enige dat je zou bereiken door eerst naar de Jeugdzorg te stappen zou zijn beperking van de imagoschade. En dat wil je juist niet, hoe harder je dit soort fiasco's aan de kaak stelt, hoe meer alertheid kweek je bij instanties om dat te voorkomen.

[kimborntobewild]

Het probleem zit em hier dus niet zo zeer in dat de dossiers zouden zijn uitgelekt via een verlopen domainnaam, maar dat de mensen deze mails sturen (inclusief dossiers) naar een oud emailadres.

Dat laatste is een probleem wat je niet kunt voorkomen. Gebruikers zullen altijd fouten maken.
Dus misschien moet er toch nagedacht worden over hoe 't zit met 't verlopen van domeinnamen: bedenk daar iets op. Bijv. 25 jaar lang een domeinnaam niet opnieuw mogen/kunnen registreren (ik brainstorm maar wat).

[hgr]

Je kunt afvragen wie het datalek moet melden en of er wel sprake is van een datalek. Het is vrij logisch dat het hier bij Tweakers vooral om de technische kant gaat.
In deze casus gaat het om zorg, waarbij "geheimhouding" vastgelegd is in diverse wetten. bv de wet BIG
Ook de strafbaarheid van schenden van de geheimhouding, hierbij wordt onderscheid gemaakt in bewust schenden en onbewust schenden. Het eerste is bv door medische gegevens door te geven aan een andere partij, het tweede bv door een USB stick met medische gegevens ergens te vergeten.
De strafbaarheid is dan anders.

Bij delen van deze gegevens ligt de verantwoordelijkheid van de geheimhouding bij de verzender.
Want die deelt de informatie.
De verzender moet het initiatief nemen om informatie versleuteld te delen en te zorgen dat de ontvanger een sleutel krijgt.
Als een organisatie de naam verandert en dit aan alle partijen doorgeeft (ahw adreswijziging), dan mag je verwachten dat op gegeven moment deze organisatie aan haar verantwoordelijkheden heeft voldaan.

Ik werk als begeleider in de gehandicaptenzorg, wij werken samen met een andere organisatie in hetzelfde gebouw. De nachtzorg hebben wij ingekocht bij die organisatie. De overdracht tussen dag en nacht gebeurd nog via een "nachtklapper", omdat digitale overdracht op dit moment niet voldoet aan de wetgeving. Daar ga ik verder niet op in, omdat dit buiten het onderwerp valt.

[kimborntobewild]

omdat digitale overdracht op dit moment niet voldoet aan de wetgeving

Je kunt je afvragen welke medische digitale overdracht wèl voldoet aan wetgeving: is er een systeem te bedenken (als internet gebruikt wordt) waarbij de data niet afgeluisterd kan worden door 'veiligheidsdiensten'?

[hgr]

Je kunt het organiseren zodat het voldoet aan wetgeving, alleen zit de kwetsbaarheid dat vooral in het technische aspect en de gebruiker die zich aan de juiste procedures moet houden.

[the_stickie]

Ik vraag me dan vooral af hoe ze dat lek gedicht hebben; de domainname is toch niet (meer) onder hun beheer? Hoe kunnen ze dan zorgen dat er geen mails meer daanaartoe verzonden worden

Een transitieperiode met geautomatiseerde reply en evt forward naar de juiste adressen had dit wellicht kunnen voorkomen. Maar dan nog is het per mail versturen van gevoelige informatie gewoon fout.

[SPT]

Ik neem aan dat de klokkenluiders het lek gedicht hebben, door het domein vrijwillig af te staan, ipv. de organisatie zelf.

[the_stickie]

ik was zo verdiept in het artikel dat het me tegen het eind compleet ontging dat het om klokkenluiders gaat die het domain registreerden.

Het lijkt zeer logisch dat zij goede bedoelingen hebben en dus het domain vrijwillig zouden afstaan of, op z'n minst na onderzoek de mails zouden sinken.
Zonder catchall krijgt de verzender 'zelfs' een mailtje terug met een foutmelding en met de juiste configuratie zelfs een mooi mailtje met wat informatie.

[yowkah]

Binnen de mailservers, staan de oude mail adressen waarschijnlijk nog gewoon alias voor de accounts. Wat je dan kan doen is in de hostfile van je SMTP server, een entry maken voor je oude domein en die naar je eigen mailservers laten verwijzen. Dan zorg je er in ieder geval voor dat de interne mail niet meer naar buiten gaat. Volgens het artikel ging het namelijk over collega's die elkaars oude mail adressen gebruikte. Niet zo zeer mail van buiten naar binnen.

Dat, of het domein is terug gegeven.

[the_stickie]

Is het niet zo dat het hier per definitie om mails van buiten de organisatie ging, de klokkenluiders hadden tenslotte de 'eigen' domainname in handen?

Een mailserver configuratie binnen het nieuwe, andere domain zal er dan ook weinig toe doen lijkt me?

[Skit3000]

Bestuurder Paul Janssen van Samen Veilig Midden-Nederland biedt excuses aan voor het datalek. "We hebben het lek gedicht, een onderzoek ingesteld en extern advies ingewonnen."

Hoe kan je dit lek dichten, behalve door het originele domein weer over te nemen?

[Reactie gewijzigd door Skit3000 op 23 juli 2024 04:11]

[Detmer]

Blokkeren alle mail naar een bepaald domein vanaf de mailserver is volgens mij ook een mogelijkheid

[gorgi_19]

Dan nog gaat het dat niet oplossen als je geen invloed hebt op de verzendende partij.

Vooral verrassend dat ze geen aanvullende eisen hebben gesteld en uitgevoerd, zoals de dossiers versturen via een versleuteld bestand, of een apart beveiligde omgeving.

Dat lijkt me eerder het probleem te zijn; het verlopen van het domein vergroot het probleem een stuk uit.
ze hadden ook al een datalek gehad als ze naar een verkeerd email adres hadden gestuurd.

Bovendien verlies je op deze manier alle zicht op wie toegang heeft tot welke informatie; enige auditmogelijkheid ontbreekt ook. Je kan niet aantonen wie welke informatie heeft, en wie deze onterecht heeft ingezien.

[Reactie gewijzigd door gorgi_19 op 23 juli 2024 04:11]

[divvid]

Don’t worry. Zelfs banken (ING o.a) vragen rustig of klanten getekende offertes met b.v. een loonstrook op te sturen via plain text mail en onbeveiligde PDF scans.

Als je die onderschept heb je dus naam, adres, handtekening, geboortedatum, rekeningnummer, bsn en financieele gegevens.

[sarcasme modus on]
Maar ja, dat is een bank, die weten niks van fraude
[/sarcasme modus off]

[Ryan_]

Klopt. Maar deze mailtjes kwamen van externe organisaties.

[Yannick97]

De dossiers waren te lezen doordat medewerkers elkaar in plaintext en zonder enige andere vorm van beveiliging of authenticatie de gevoelige medische dossiers toestuurden.

[Vaevictis_]

Je kunt hiervoor ook een dienst zoals Zorgmail gebruiken, waar je wel veilig gegevens kunt uitwisselen. Je zou als bestuurder van een kleine dienst gewoon over organisatie moeten heen durven kijken en zo'n dienst verplicht laten gebruiken. Bij een provincie zag ik een goed business principes op 1 staan. ICT is uitbesteedt.

[Platpoot]

Nou is een dienst als zorgmail ook niet helemaal zaligmakend. Zodra een domein niet bekend is, en/of de afzender niet expliciet het vertrouwelijk vinkje aanklikt in de webmail wordt het gewoon onversleuteld verzonden.
Juist door te vertrouwen op zulke diensten zul je bovenstaande lekken krijgen. Het is voor niemand meer overzichtelijk en de afzender denkt dat er door een dienst als zorgmail niets meer kan gebeuren.

[mhnl1979]

Het probleem is alleen dat al die organisaties weer hun eigen zorgmailvariant gebruiken met als gevolg 70 verschillende accounts met dito wachtwoorden. Dat werkt ook niet bepaald lekker. En ja ik weet van het bestaan van passwordmanagers.

[pe0mot]

Helaas niet.
De DNS van het oude domein is niet meer toegankelijk voor de oude eigenaar......
Tenzij de nieuwe eigenaar mee wil werken.

Ik zou er een autoreply op zetten met de melding dat de gegevens nu openbaar zijn en dat men een ander email adres had moet gebruiken.
Als je de verzenders niet laat schrikken wordt het nog jaren unecnrypted naar oude email adressen gestuurd.

[kimborntobewild]

Maarre... Om een autoreply te kunnen geven, moet je de mail toch kunnen ontvangen (en moet je het domein hebben)?

[Reactie gewijzigd door kimborntobewild op 23 juli 2024 04:11]

[The-Source]

Ik denk dat dat 1 van de maatregelen is. Encryptie gebruiken bij het versturen zal er ook 1 van moeten zijn

[Powermage]

Encryptie gebruiken zegt op zichzelf nog niets natuurlijk, dan heb je alleen de zekerheid dat de klokkenluiders in iedergeval de mail veilig ontvangen hebben namelijk ;-)

je hebt dan een tussenligend portal en een 2FA optie nodig, dus je krijgt een email met de download link en een password via app.

[DarkMagician]

Waren de mails of bijlage met bijvoorbeeld PGP versleuteld dan hadden ze er niks aan gehad. Ik denk dat @The-Source dat bedoeld met encryptie.

**EDIT**:
Ik bedoel natuurlijk dat Encryptie meer is dan "alleen de zekerheid dat de klokkenluiders in iedergeval de mail veilig ontvangen hebben".

Wij sturen de cijfers ook "gewoon" via mail maar als wij geen sleutels hebben uitgewisseld krijg je een leuke mail met heel veel willekeurige tekens

[Reactie gewijzigd door DarkMagician op 23 juli 2024 04:11]

[markjanssen]

Dit soort dossiers mogen niet eens (unencrypted) gemailed worden... ze moeten het oplossen door niet meer dossiers te mailen, niet domeinen aan te houden.
Gaat hier op mensenlijk niveau al hard fout.

[MuddyMagical]

Betere oplossing is deze dossiers niet laten mailen. Met een techniek zoals OneDrive gebruikt deel je een link naar het bestand naar de ontvanger van de mail. Je houd dan zelf het bestand in beheer en kan toegang op elk moment wijzigen.

En nee, OneDrive is hier geen goede oplossing.

[Reactie gewijzigd door MuddyMagical op 23 juli 2024 04:11]

[Powermage]

En dan komt de link voor het document bij de klokkenluider terecht...
nog steeds een dingetje he ;-)

[latka]

Ik ken de one-drive versie niet, maar NextCloud/OwnCloud kent ook plugins voor e-mail. Je krijgt een link naar Next/Owncloud en als je daarop klikt mag je inloggen. 2FA op je instance activeren en veel plezier met je link. Kun je niets mee. Audit trail aan op je server en je kan ook aangeven met wie de link allemaal gedeeld is (voor organisaties waar mensen onderling weer links sturen).
Mail server zo instellen dat attachments niet mogen en automatisch via de Next/Onecloud lopen (zijn iig. plugins voor) en je zit redelijk dicht. Dan heb je alleen nog aardappels die een dossier copy-paste in een mail zetten. Voorkom dat door alleen plain-email toe te laten en te scannen op specifieke steekwoorden en blokkeer die mails. Gebruikers opvoeden zou de juiste oplossing zijn, maar dat heb ik nog nooit zien werken.

[Powermage]

Ja, maar zat mensen denken "encryptie en het is klaar"
We werken ook regelmatig met een tool die iets vergelijkbaars doet, pluging in outlook, bijlages naar centrale server, audit trail, expirey van de documenten na tijd of x aantal downloads en eventueel 2fa erop met sms naar mobiele telefoon...

en wat gebeurt er, de gebruikers vinden t maar lastig, dus word het vaak gewoon niet gebruikt....

[latka]

Ja, dan heb je nog de security polizei (de interne auditors). Bij gebleken overtreding een notitie in het personeelsdossier en een officiele waarschuwing. Dan leren ze het wel of ze staan op straat. Halfzachte security is hetzelfde als geen security.

[BoGu5]

Breng ze nou niet op ideeen.

[Verwijderd]

Ik dacht echt precies hetzelfde. Daarnaast is dit geen lek, ze hebben simpelweg het domein niet verlengd. De volgende eigenaar ontvangt gewoon de 'post' van de vorige eigenaar, beetje hetzelfde als wanneer iemand verhuisd.
Verschil is alleen dat een huis aanhouden voor alleen het adres natuurlijk vrij kostbaar is, maar een domeinnaam, come on! Dat is tientjes werk op jaarbasis.
Je zou toch verwachten dat bij een naamswijziging, waar miljoenen voor worden uitgetrokken, dit soort dingen aangekaart zouden moeten worden binnen zo'n organisatie.
Daarnaast is het niet de eerste keer dat zoiets gebeurd is.

[.oisyn]

Daarnaast is dit geen lek, ze hebben simpelweg het domein niet verlengd. De volgende eigenaar ontvangt gewoon de 'post' van de vorige eigenaar, beetje hetzelfde als wanneer iemand verhuisd.

Dat heet gewoon een lek. De gegevens lekken buiten de bedoelde kaders.

[Verwijderd]

Je hebt gelijk, de informatie lekt inderdaad wel uit.
Ik doelde eigenlijk meer op een lek in een systeem, die kan je dichten. Hier is geen sprake van een lek in een systeem maar ze hebben het adres gewoon beschikbaar gesteld voor een ander.

[.oisyn]

Nou ja, het lek is natuurlijk dat er allerlei oude emailadressen worden gebruikt om naartoe te mailen . Dat kan idd op individueel niveau fout gaan (mensen die gewoon nog oude emailadressen in hun adresboek hebben staan), maar ook systematisch (mailinglists die niet worden bijgewerkt). Dat laatste zou je natuurlijk kunnen "dichten".

[Verwijderd]

Daarnaast mogen dat soort dossiers niet eens meer per mail verstuurd worden. Dat het is ook een groot lek bij de instanties die dat toch doen

[Verwijderd]

Dat gaat waarschijnlijk nooit lukken omdat die mails vrijwel overal van afkomstig kunnen zijn.
Rechtbank, GGZ, Kinderbescherming, Politie ik noem maar wat.

Ik kan er gewoon met mijn hoofd niet bij dat dit zomaar kan. Naamswijziging prima, maar er moet toch iemand zijn die nadenkt over wat de gevolgen (kunnen) zijn als je een domein opzegt.
Helemaal aangezien dit binnen de overheid al vaker is voorgekomen. (Bij de politie geloof ik).

[Stoelpoot]

Het domein was gekocht door klokkeluiders. Ik verwacht dat die het domein gewoon netjes aanboden.

[GORby]

De domeinnaam terug overnemen is inderdaad één manier om dat te doen, maar een goed uitgewerkte procedure voor het personeel lijkt me ook een goed idee.
Om te beginnen kan men ook het personeel beter laten omspringen met privacy-gevoelige gegevens door bijvoorbeeld geen mails te versturen met medische gegevens erin, tenzij er encryptie gebruikt wordt.

[iew]

maar een goed uitgewerkte procedure voor het personeel lijkt me ook een goed idee.

Lekker makkelijk achteraf lullen, dat had natuurlijk allang in orde moeten zijn.
Fouten zoals dit bij dit soort organisaties mogen nooit voorkomen, en natuurlijk is er weer niemand verantwoordelijk en volgen er geen consequenties.

Sorry zeggen is weer genoeg, gek he dat dit soort shit maar voor blijft komen wanneer het gaat om overheid/instanties en IT gerelateerde zaken.

[kimborntobewild]

Sorry zeggen is weer genoeg, gek he dat dit soort shit maar voor blijft komen wanneer het gaat om overheid/instanties en IT gerelateerde zaken.

Het gebeurd evengoed bij bedrijven; niet alleen bij overheden en instanties. Trouwens, bij overheden is je baan ook niet zeker meer; dat is nu ook allemaal commerciëler geworden en ook daar kan je er tegenwoordig zo uitvliegen (geen ontslagbeschermingen meer). Er is gewoon weinig verschil meer tussen overheid en bedrijfsleven.

[Arjan90]

Alle mails afvangen die naar dat domein worden verstuurd? Overigens is het nu een lek naar mensen die bewust hebben gekeken of het fout ging, je wil er niet aan denken dat iemand dit moedwillig had gedaan met de intentie misbruik ervan te maken. Amateurs.

[bwerg]

Alle mails afvangen die naar dat domein worden verstuurd?

En hoe vang je mails af die worden gestuurd naar een domeinnaam die je zelf helemaal niet meer in beheer heb? Het is niet alsof je zomaar mails kan afvangen die naar de president van de VS worden verstuurd.

[Arjan90]

Via de mailserver kun je dit lijkt me gewoon tegenhouden. Je lost het probleem natuurlijk niet op: geen encryptie, medewerkers die zich niet bewust zijn van de risico's van in plain text dossiers delen, etc.

[Yggdrasil]

Jij bedoelt de verzendende mailserver? Ja dat zou inderdaad ingesteld kunnen worden, maar werkt alleen als dat één partij is. Het is me hier niet helemaal duidelijk, maar zou me niks verbazen als er vanuit meerdere organisaties naar dat domein gemaild werd en dan wordt de kans op een 'foutje' substantieel hoger.

[Verwijderd]

1. Een domein verloopt.
2. Ik koop dat domein.
3. Ik zet een mail-server op (inclusief TLS) die alle emails accepteert.
4. Ik verwijs het MX record van dat domein naar die server.
5. Alle email -gericht- aan het domein worden dan ontvangen.

Op dezelfde manier maakt het domein gmial.com misbruik van deze constructie. Dit is een malefide domein dat misbruik maakt van de typfouten van gmail.com gebruikers.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 04:11]

[Yggdrasil]

Dat begrijp ik. Ik ben zelf mailserverbeheerder. Mijn reactie ging specifiek over de reactie van @Arjan90: "Via de mailserver kun je dit lijkt me gewoon tegenhouden." Anyway, maakt niet uit.

[tszcheetah]

Volgens NRC is dat precies wat ze hebben gedaan:

Samen Veilig Midden-Nederland zegt het lek inmiddels gedicht te hebben: de organisatie heeft volgens een woordvoerder de oude domeinnaam teruggekocht.

[TweakerNummer]

Teruggekocht van de klokkenluiders dus? Big business, de 10 euro die zij ervoor betaald hebben of een symbolish bedrag van een euro?

[B0MBACI]

Waar ligt de verantwoordelijkheid, domein behouden is een pleister. Fout ligt bij deze verzenders die kennelijk dossiers versturen naar niet meer officiële mail adressen en daarnaast natuurlijk persoons gevoelige info zonder enig vorm van encryptie per mail versturen.

[Fluttershy]

officiële mail adressen

Welke?

De naamgeving veranderd om de haverklap. Het huidige officiële mailadres is slechts een gemeentelijke reorganisatie of marketingkunstje verwijderd van de status 'niet officieel'..

Een beter idee is om geen gevoelige data over een onbetrouwbaar medium te laten verlopen...

[B0MBACI]

Als het je werk is en je neemt verantwoordelijkheid dan check je wel wie je wat stuurt, waaronder dus of mail adressen nog actueel zijn. Het is heel simpel om een overheidsinstelling te bashen met slechte IT, maar in deze zijn de verantwoordelijken de verzenders.

[LeoT]

Het zijn ook keten partners van jeugdzorg. Vaak hooguit HBO maatschappelijk werkers. En die mogen geen psycholoog of orthopedagoog mening uitwisselen wat onbevoegd medisch handelen is. Hier zijn er vele juridische fouten in een systeem keten. Maar niemand controleert deze 4 miljarden industrie
zonder toezicht van gemeenschaps geld. Een OTS (Onder Toezicht Stelling) of UHP (Uit Huis Plaatsing) levert bij jaarlijkse verlenging. €8 of €48 K, per kind per jaar op. Inspanning wordt vaak verricht bij de jaarlijkse verlenging als financiering van deze Kinderhandel.

[dehardstyler]

Gelukkig hebben ze weer 10 euro aan domeinkosten bespaard... Man man man.

[hotabibber]

10 euro voor een domeinnaam registreren is toch al zelfs veel te duur. Kan veel goedkoper.

https://www.vimexx.nl/domeinnaam/domeinnaam-registreren

0,89 euro cent waar spreekt men toch over of verlengen 3,98 euro

Schande Schande en schande dit beleid.

Minister er is werk voor u.

[fastedje]

Je domeinnaam registeren bij de registrar is slechts een deel van de kosten. Je hebt ook nog een DNS server nodig, al zou je die ook zelf kunnen hosten (liefst met secondary DNS server erbij). Echter in dit voorbeeld is het registreren van je oude domeinnaam al voldoende lijkt me om misbruik zoals dit te voorkomen. Het lijkt me dat privacy van zoveel patiënten toch wel die 0.89 euro per jaar waard is voor een .nl domein.

[Reactie gewijzigd door fastedje op 23 juli 2024 04:11]

[wica]

Nee, er is geen verplichting, die zegt dat je, je domein actief moet gebruiken.
Dus het was echt alleen de kosten voor het domein.

Het was juist beter geweest als ze hem alleen maar hadden en niet actief hadden. Want dan kregen de verzenders namelijk de mail terug. En wisten ze dat ze een verkeerd adres hadden.

Maar hoe kunnen ze zeggen dat allen de 2 melders en RTL deze gegevens in gezien hebben?

Deze e-mails waren niet encrypted Dus elke beheerder van de verstuurde en ontvangende partij kon er in theorie bij.
Is er ook via bijvoorbeeld via Google verstuurd?
Vragen, vragen en nog eens vragen.
Hier zou denk ik een strafrechtelijk onderzoek naar gedaan moeten worden. Niet alleen naar Jeugdzorg Utrecht, maar ook naar de verzendende partijen.
Gevoelige informatie, in leesbare tekst per e-mail in 2019?

[neokarasu]

Je kunt prima de DNS servers (/nameservers) van de provider gebruiken. Het is gangbaar dat providers dat kosteloos aanbieden bij een domeinregistratie.

Dus het kost dan niet meer dan de registratiekosten en éénmalig enkele minuten om het correct in te stellen om te verwijzen naar de mail-server (die je al hebt en welke je al voor je nieuwe domein gebruikt dus die kosten tellen niet als meerkosten).

[Guus Leeuwis]

Ja precies! Gaat nergens over. Maar nu wel het lek dichten, een onderzoek instellen en extern advies inwinnen. Wat valt er nu nog over zo'n basale fout te melden ... zoeken ze een schuldige?

[Wim-Bart]

Ja precies! Gaat nergens over. Maar nu wel het lek dichten, een onderzoek instellen en extern advies inwinnen. Wat valt er nu nog over zo'n basale fout te melden ... zoeken ze een schuldige?

Grappig:

Bestuurder Paul Janssen van Samen Veilig Midden-Nederland biedt excuses aan voor het datalek. "We hebben het lek gedicht, een onderzoek ingesteld en extern advies ingewonnen. We gaan direct ons securitybeleid aanpassen. Ik baal echt als een stekker." De Autoriteit Persoonsgegevens is op de hoogte van het datalek.

Vraag me hoe ze lekken dichten wanneer ze een domein niet meer bezitten waar toch de e-mail op binnen komt.

Is gewoon onzin, dat kunnen ze niet. Of ze moeten de domeinen kopen. Want in hoeveel externe en custom adresboeken en systemen staat het oude e-mail adres nog...

[CivLord]

Vraag me hoe ze lekken dichten wanneer ze een domein niet meer bezitten waar toch de e-mail op binnen komt.

Is gewoon onzin, dat kunnen ze niet. Of ze moeten de domeinen kopen. Want in hoeveel externe en custom adresboeken en systemen staat het oude e-mail adres nog...

Het ligt er aan waar de emails vandaan komen. Komen ze van externe zorgverleners, die nog steeds de oude emailadressen gebruiken, dan zit er inderdaad niets anders op dan het domein overnemen van de klokkenluiders.
Waren het interne emails, van de ene naar de andere afdeling, of tussen collega's, waarbij de interne emailadressen niet zijn aangepast in het adressenboek van de mailprogramma's, dan is een eenvoudige blokkade op het oude domein in de mailserver voldoende.

Ze mogen van geluk spreken dat het verlopen domein niet door een ander is overgenomen. Een aantal jaar geleden heb ik een domein laten verlopen (niet meer in gebruik en niet mee nodig) en ik kreeg binnen een paar weken het 'aanbod' van een domeinkaper om mijn domein tegen betaling van een paar duizend dollar administratiekosten terug te krijgen. Hard om gelachen, maar ik ben blij dan een ander domein, dat ik nog wel gebruik bij een provider zit die jaarlijks automatisch verlengt en de kosten automatisch afschrijft.

[rdoorn]

die tien euro besparen is prima. Maar clienten dossiers doorsturen per mail zonder versleuteling, controle op ontvanger etc. Dat is de besparing en eenvoud waar ze wat aan hadden moeten doen. Mailen van dossiers is een nogo. Neem desnoods Zivver of Zorgmail. of zorg voor een goed veilig uitwisselings platform.

[dehardstyler]

Ja, daar heb je helemaal gelijk. Belachelijk dat het op zo'n grootte schaal gedaan wordt.

[CivLord]

Het kan heel goed zijn dat het om interne mail gaat, van [e-mail] naar [e-mail]. In de oude situatie was het interne mail, die niet van de eigen mailserver af kwam. In de nieuwe situatie is het oude emailadres (dat onzichtbaar blijft wanneer je 'b' aanklikt in het adressenboek van het mailprogramma) plotseling een extern emailadres geworden.

[blazez]

Lijkt me niet dat het een bewuste keuze is geweest om die paar euro te besparen.
Waarschijnlijker is dat zo een domeinnaam ergens op een verkeerd lijstje, of helemaal niet op een lijst heeft gestaan.
In de zorg zijn zoveel kleinere bedrijven/zorgverleners over gegaan naar nieuwe grotere organisaties dat er soms wel hele lijsten met oude namen als domeinnaam blijven bestaan.

[Bazvv]

Het zou bekend moeten zijn bij systeembeheerders dat domeinen die je gebruikt hebt maar niet meer gebruikt het beste geregistreerd kan houden om misbruik te voorkomen.

[Seal64]

En jij gelooft dat systeembeheerders daar iets over te zeggen hebben? Als die van hogerhand af opdracht krijgen om dat af te sluiten, omdat dat overbodige kosten bespaart, dan hebben die daar ook geen zeggenschap meer over...

[jpsch]

Als er facturen komen voor domeinnamen en niemand kan aangeven dat je ze nodig hebt of waarvoor ze dienen, zeg je ze op. Je gaat ook geen auto verzekeren die je niet hebt.

Slechte zaak is dat je ongecodeerde gegevens en communicatie toestaat op zo'n domein.

[Verwijderd]

Dus de privacy van bijna 3000 minderjarigen is nog geen 10 euro per jaar waard... Dat is echt van de pot gerukt

[Fish]

Het is een fout van de verzender dat ze naar een verkeerd adres de email sturen.

het is wel voorspelbaar dus aan te raden de resevering te laten lopen zonder smtp oid

[TweakerNummer]

Gaan die dan over security? Denk je dat het die nog iets kan schelen dat security dom doet als ze als stresspaal gebruikt worden door het personeel, weinig carrièrekansen hebben, certificaten moeten halen van waardeloze opleiding instituten en gepasseerd worden door niet IT WO afgestudeerden?

Voor het gemak ga ik er maar even vanuit dat dit niet met de systeembeheerders te maken heeft.

[Reactie gewijzigd door TweakerNummer op 23 juli 2024 04:11]

[Arjan90]

Maar je bent toch als werknemer gewoon verantwoordelijk voor het op zijn minst melden van dit soort dingen? Als iedereen er zo in staat, ongeacht het onderwerp, ga je er als bedrijf echt niet komen. Waarmee ik niet zeg dat dit niet is gebeurd, maar je doet het voor mij lijken of het niet hun probleem is. Je post komt op mij wat gefrustreerd over, er zijn genoeg bedrijven waar je dit wel kan delen.

Hell, ik heb onze Group CEO eens gemaild over een grote zorg in een project waar ik in zat waar ik twijfels had over integriteit door een belachelijke tunnelvisie van een van de beslissers. Iedereen zag het, maar niemand vond het zijn of haar verantwoording. Op basis van mijn email en daaropvolgend gesprek zijn er echt wat veranderingen doorgevoerd en hebben we niet een keuze gemaakt die veel negatieve gevolgen had gehad.

[TweakerNummer]

En wellicht hebben ze dit ook gedaan: https://www.ad.nl/binnenl...te-nul-zaken-op~a0e6d73f/

[edit] En met dit doel ik op het onverantwoordelijke gebruik van dossiers.

[Reactie gewijzigd door TweakerNummer op 23 juli 2024 04:11]

[Bazvv]

Ik heb als systeembeheerder alle domeinnamen in zicht en in mijn administratie die wij geregistreerd hebben.
En ik doe ook best veel met security. Het bedrijf waar ik werk is niet heel groot en mijn taken zijn vrij breed maar dat vind ik zelf leuk aan het werk.

[monsieurpinot]

"De dossiers waren te lezen doordat medewerkers elkaar in plaintext en zonder enige andere vorm van beveiliging of authenticatie de gevoelige medische dossiers toestuurden."

neem aan dat dat dus niet "elkaar" was maar "naar elkaars oude e-mail adres"?

edit: lees nu ook de reactie van @Ryain_: vanaf buiten is nog een dingetje inderdaad (maar dat los je niet op door intern het oude domein te blokkeren voor e-mail).
En dan de leuke vraag: wie is er vervolgens verantwoordelijk voor die fout vanaf externen?

(überhaupt geen e-mail gebruiken lijkt me nog het beste)

[Reactie gewijzigd door monsieurpinot op 23 juli 2024 04:11]