Belgische notarissen maken gratis dienst voor online opslag van documenten

Belgen kunnen gratis een digitale kluis aanmaken waarin ze persoonlijke documenten kunnen opslaan. Via de dienst kunnen ze bepalen wie er na hun overlijden toegang toe krijgt. De dienst is gemaakt door notarissen.

De dienst heet Izimi, en is gemaakt door de Federatie van het Notariaat. Het gaat om een gratis digitale opslagplek waar iedere Belg 200 megabyte aan documenten kan opslaan. Het gaat dan bijvoorbeeld om documenten rondom bankrekeningen en andere notariële akten die de gebruiker aan nabestaanden wil geven. Gebruikers kunnen hun notaris opdracht geven de documenten na hun dood door te geven aan die nabestaanden. Notarissen kunnen er notariële documenten in zetten, maar gebruikers kunnen dat ook zelf doen. Notarissen hebben zelf geen toegang tot de documenten.

De dienst is te gebruiken met een in België uitgegeven identiteitskaart met eID. Ook kunnen gebruikers de dienst via een app gebruiken.

Over de veiligheid van de dienst wordt in de faq weinig gezegd. De Fednot zegt alleen dat het Izimi heeft gemaakt met 'een op beveiliging gerichte ontwikkeling'. Ook zouden er pentests zijn uitgevoerd, maar die zijn niet openbaar en het is niet bekend wie ze heeft uitgevoerd of wat de resultaten zijn. De gegevens zijn verdeeld over drie verschillende datacentra in België, zodat ze beschermd zijn 'tegen komeetinslag en kernexplosies'. Ook zouden de datacentra 'beschikken over certificaten zoals ISO 27001, ISO 22301, ISO 14001, ISO 9901'.

Reacties (135)

[edeboeck]

Voor de Belgen onder ons: de app waarvan sprake in het artikel is Itsme, dus niet zomaar een extra app. Voor de niet-Belgen: Itsme is zowat de de facto standaard voor authenticatie.

[cricque]

Itsme is NIET de standaard voor authenticatie. Het is een externe partij die een app voorziet. Het wordt wel door velen ondersteund, maar per gebruiker betaal je zo een 4-5 euro exclusief btw per jaar voor het absolute minimum. Veel banken en onderheidsinstanties gebruiken dit, maar ze voorzien nog altijd eID. Niemand kan je verplichten om itsme te gebruiken. En itsme werkt trouwens ook niet op veel oudere toestellen. Ok je moet uiteraard ergens een grens trekken
Ik gebruik het ook omdat het handig is, maar niet iedereen heeft een smartphone. Dus je zal altijd moeten kunnen inloggen via eID. Dat is wat de overheid ons aanbied, en dat is de standaard. Mijn ouders bijvoorbeeld gebruiken nog altijd een dumbphone en tenzij ze echt geen dumphones meer maken, dan zullen ze ook nooit switchen.

Het is gemakkelijk in gebruik omdat je geen authenticator app moet gebruiken, en dat is voor veel mensen een serieuze drempel voor 2factor authentication. Daarom is itsme wel populair.

Maar voor kleinere applicaties is dit een zeer grote kost als je kijkt om 2factor authentication te implementeren. En als je alles wilt, dan je wel aardig wat geld kwijt per gebruiker. Ik heb het dit jaar nog bekeken om te gebruiken, maar na de prijzen gezien te hebben, zijn we er meteen mee gestopt. Niks is gratis uiteraard. Maar als je gebonden bent aan budgetten en er is geen budget voor dit, tsja dan niet.

[edeboeck]

Ik heb hierboven aangegeven dat het inderdaad niet de formele standaard is, maar daarom heb ik daar "de facto" bij gezet.
Van de prijzen die het als aanbiedende partij kost, wist ik niets... ik kan me voorstellen dat die inderdaad een te grote kost zijn voor een kleine app.
De reden waarom ik de opmerking maakte, is dat het artikel leek te suggereren dat je nog een extra app moest installeren, terwijl dat eigenlijk geen extra is: wie Itsme nog niet gebruikte, zal het voor Izimi allicht niet doen; wie Itsme wel al gebruikte, zal dat allicht ook hiervoor doen.

[Tweaking Along]

Toch nog even meegeven dat itsme ook al door andere Europese lidstaten werd erkend als "veilig" aanmeldingsmiddel: https://ec.europa.eu/cefd...d+eID+schemes+under+eIDAS. Niet zomaar een app-je ...

[cricque]

Was geen verwijt ofzo, maar gewoon wat extra informatie. Ik ben zelf programmeur, en afgelopen jaar itsme bekeken voor een project waar ze identiteitskaartgegevens nodig hebben, wel een bewijs dat jij ook effectief bent wie je zegt dat je bent. Vandaar dat ik ook de prijsstructuur wat ken enzo. Maar het is zeker de moeite om het te gebruiken, alleen is dit dus van een 3de partij (meerdere grote bedrijven en spelers), die dit vast kunnen bekostigen.

[edeboeck]

Was geen verwijt ofzo, maar gewoon wat extra informatie. Ik ben zelf programmeur, en afgelopen jaar itsme bekeken voor een project waar ze identiteitskaartgegevens nodig hebben, wel een bewijs dat jij ook effectief bent wie je zegt dat je bent. Vandaar dat ik ook de prijsstructuur wat ken enzo. Maar het is zeker de moeite om het te gebruiken, alleen is dit dus van een 3de partij (meerdere grote bedrijven en spelers), die dit vast kunnen bekostigen.

Mijn excuses als mijn reactie wat scherp overkwam, was evenmin zo bedoeld. No offense intended, none taken
Vond jouw info zinvolle aanvulling, maar bij herlezen van mijn reactie kan ik me voorstellen dat dat niet zo overkwam.

[TheVivaldi]

Itsme is NIET de standaard voor authenticatie.

Dat leek me nogal duidelijk gezien hij "DE FACTO" schreef...

[ejabberd]

Inderdaad en ik kan bevestigen dat het ook niet altijd goed werkt. Ik ben er in het verleden niet in geslaagd om mijn eID aan Itsme te koppelen zodat ondertekenen mogelijk zou zijn en dat ging toen niet. Ik heb de app verwijderd en gebruik nog altijd de eID zelf. Dat maakt wel gebruik van standaarden.

[Admiral Freebee]

En wat meer achtergrond over Itsme: Het is een app waarmee je je identiteit kan bewijzen voor bepaalde transacties. Je moet hem eerst koppelen met je elektronische identiteitskaart.

Interessant is dat het een initiatief is van een aantal banken en telecomoperatoren en niet van de Belgische overheid. Je kan er wel mee inloggen bij de Belgische en Vlaamse overheid dus het wordt blijkbaar wel vertrouwd door de overheden. Per transactie wordt er aangegeven welke persoonsgegevens er worden gedeeld.

Zelf heb ik de Itsme app nog niet gebruikt/durven gebruiken. Ik doe mijn transacties met de overheid nog met een kaartlezer en mijn elektronische identiteitskaart. Minder handig want je moet een kaartlezer ter beschikking hebben maar het gemak van de app voelt aan als een tradeoff met veiligheid. Misschien zijn er andere tweakers die er goede ervaringen mee hebben?

[Aardbol_23564]

Het werkt vlot maar heb vernomen dat er een grote security flaw is. Je kan namelijk een account aanmaken voor iemand anders (als die er nog geen heeft) en op die manier bij al zijn gegevens bij de overheid en zelfs contracten afsluiten. Ik heb dit zelf nog niet kunnen verifieren.

Ik ben ook geen voorstander van mijn heel profiel, contactgegevens, bankrekeningen bij een commerciele partij te hebben die het voor vele jaren bijhoudt (en waar de overheid dan ook aan kan). En die trouwens ook niets van de technische details over de veiligheid openbaar maakt. Ik vind dat ik daar een foute keuze heb gemaakt die ik nu wil rechtzetten.

[gc73]

Het aanmaken van een account kan enkel via je eID of via je bankapp. Je hebt dus ofwel iemands eID nodig of zijn bankkaart. Bovendien zijn beiden dan nog eens beveiligd met een pincode.

[bush]

bankrekeningen etc komen niet bij itsme terecht. Enkel je GSM nr en je rijksregister nr.
Je rijksregister nr, wordt gedeeld bij het inloggen bij de overheid, bij de bank is dat meestal enkel je mobiel nummer.
Ik gebruik het al een hele tijd en het is veel handiger dan een kaartlezer.
Van die security flaw heb ik nog niks gehoord, en dat lijkt me ook zeer sterk wat je verteld.

[Aardbol_23564]

Er worden wel logs bijgehouden van je login pogingen. Je rekeningnummer wordt daar niet mee opgeslagen bij itsme maar wel je bank. En dat zegt al genoeg waar je een rekening hebt.

[woutersamaey]

Even toevoegen dat dit idd geen non-profit organisatie is en dat elke aanmelding met It's Me centen kost. Hoe meer data je wil ontvangen bij de aanmelding, ook hoe duurder. Heb destijds hier eens naar geinformeerd, maar viel aardig van m'n stoel wat de kost per aanmelding was.

Niet voor KMO / MKB dus.

[OGrasmachien]

Kan je hier wat meer uitleg over geven?
Ik gebruik Itsme nu al een tijdje en heb volgens mij toch nog nooit moeten betalen. Ik vind op hun website ook nergens iets terug.
Geldt die betaling enkel als je iets wil digitaal ondertekenen misschien?
Ik heb het op dit moment enkel nog maar gebruikt om in te loggen om m'n belastingen te betalen en dergelijke.

[xp65]

Ik vermoed dat je "woutersamaey" niet juist begrijpt. Het zijn de bedrijven die het aanbieden aan hun klanten die hiervoor betalen. Niet de eindgebruiker rechtstreeks.

[Don Kedero]

Klopt, als bedrijf wou ik zelf ook een authenticatie-mechanisme, en gezien e-ID brak is (door de weinige documentatie, frameworks, clientsoftware of browser plugins) leekt Itsme een mooi alternatief, echter als klein bedrijf is dit echter wel een dure implementatie.

[Carharttguy]

Je moet bij itsme betalen per gebruiker betalen, niet per aanmelding. Niet zo goedkoop overigens, imho.

[System]

Csam kan ook met een 2FA app zoals lastpass of google authenticator. Dan heb je uw eID niet nodig.

[Stannieman]

Ik vind het zelfs positief dat het niet van de overheid is maar van een aantal 3e partijen. Que beveiliging heb ik meer vertrouwen in die banken aangezien beveiliging daar echt van levensbelang is.
Als bij een overheid iets misloopt zegt er ergens een minister op het nieuws een keertje "oepsie, volgende keer beter" en zo komen ze er wel mee weg.

[Crazy Harry]

Qua vertrouwen zou ik niet teveel op de banken vertrouwen. Je zou denken dat ze het op orde hebben maar helaas is de realiteit anders. En ik heb ook nog geen bankdirecteuren af zien treden of hun bonussen zien teruggeven vanwege misstanden. Ze houden er altijd een hoop aan over, hoeveel ze ook verknallen.

[redzebrax]

Met als opmerking dat een aantal van de oprichtende bedrijven (telecom/bank) van Itsme, juist Belgische overheidsbedrijven zijn, dus de link met de overheid zit er wel degelijk, o.a. Proximus heeft in het verleden Itsme vrij agressief gepromoot (de eerste keuze bij inloggen was een Itsme account maken).

De oorspronkelijke intentie:
"Itsme is geen betaal-app, maar is wel een Belgisch antwoord op Facebook en Google, die sinds enkele jaren ook modules hebben om in te loggen op externe websites.
Het succes van Itsme zal vooral afhangen van het aantal partners dat de komende maanden en jaren de app zal gebruiken. De Belgische tegenhanger wil het alvast beter doen door rekening te houden met de privacy van gebruikers en door meer zekerheid te geven over de identiteit van de gebruiker."

Maar ondertussen groeit itsme (Belgian Mobile ID) verder ook naar andere Europese landen en instellingen. Het is en blijft een privébedrijf dat uiteindelijk winst wil maken en naarmate het groter wordt kan het ook meer druk zetten en heb je het als bedrijf zelfs nodig, ga je dan nog veel verschil zien met andere commerciële diensten ?

[System]

niet bepaald.
Csam is DE standaard. En Itsme maakt hier gebruik van.
Maar je kan ook die standaard Csam gebruiken via uw eID of login&pwd+2FA

[edeboeck]

niet bepaald.
Csam is DE standaard. En Itsme maakt hier gebruik van.
Maar je kan ook die standaard Csam gebruiken via uw eID of login&pwd+2FA

Daar heb je gelijk in, mijn reactie was wat kort door de bocht. Ik bedoelde eerder dat Itsme meer en meer de leidende rol neemt bij het authenticeren (onderliggend dus gebruik makend van CSAM) i.p.v. dat we telkens een eID-lezer erbij moeten nemen.

[System]

idd. Ik gebruik het niet zo veel omdat ik het vervelend vend dat hij niet een popup geeft. Je moet altijd zelf de app laden, wachten tot hij een request ontvangt en dan pas authificeren. Dat gaat veel te traag dan wat zou kunnen met een popup zoals google, microsoft, lastpass of iedere andere ernstige authenticator doet.

[GORby]

Dat is net een onderdeel van de veiligheid van ItsMe. Dat zorgt ervoor dat mensen niet zomaar "ja" klikken op een popup, maar echt bewust ItsMe opstarten wanneer ze het willen gebruiken om ergens aan te melden.

[System]

Zo kan je natuurlijk alles verkopen
Een gebrek een feature noemen...
Maar doordat het zo 'veilig' is gebruik ik het nauwelijks....

Vanuit ontwikkellaars standpunt zal het eerder zijn omdat het te complex is dit goed te implementeren.

[Reactie gewijzigd door System op 22 juli 2024 15:01]

[GORby]

Ik vind het persoonlijk niet meer moeite om ItsMe even te starten vanop zijn makkelijk bereikbare icoontje dan het via een notificatie zou zijn. Het bewust starten van de toepassing is voor de gemiddelde gebruiker nu eenmaal veel veiliger dan het reageren op een notificatie.

Het is absoluut niet ondenkbaar dat er vrij veel mensen een notificatie openen en vervolgens de login bevestigen wanneer iemand anders probeert aan te melden met hun gegevens.

[System]

Het is absoluut niet ondenkbaar dat er vrij veel mensen een notificatie openen en vervolgens de login bevestigen wanneer iemand anders probeert aan te melden met hun gegevens.

Dan moet ik vast stellen dat ik niet behoor tot de doelgroep van de app.
Voor mij is dat ondenkbaar...

[itsme]

Ik weet van niets

[cadsite]

Wel jammer dat mijn gsm (huawie P20 Lite) niet voldoende is...

[telenut]

itsme werkt niet op een rooted smartphone...
Ik hoop dat ze dus alle CSAM opties aanbieden om in te loggen.
Hoewel ik het toch niet snel zal doen als men de pen test resultaten niet openbaar maakt

[unrealbe]

Tip: via magisk en root hide kan je itsme werkend krijgen op een geroote telefoon.

[telenut]

Root hide Staat aan, krijg nu een "technische fout" in de itsme app

[unrealbe]

je moet ook maken dat magisk manager verborgen geïnstalleerd staat

[ElliesMeatpie]

Itsme kan gebruikt worden voor de authenticatie, maar heeft voor de rest niets met het Izimi platform te maken.
Er is een aparte mobiele app voor het Izimi platform.

[Kun]

Ik zie weinig reden waarom dit online zou moeten. Dit lijkt me veel beter om gewoon lekker offline te regelen...

[edeboeck]

Ik zie weinig reden waarom dit online zou moeten. Dit lijkt me veel beter om gewoon lekker offline te regelen...

Ik kan wel een scenario verzinnen: als je dat offline wilt regelen, moet je bij elke aanpassing een afspraak maken bij de notaris. Met dit platform doe je dat vanuit je luie zetel (ik kan me voorstellen dat mensen in het begin hetzelfde redeneerden voor bankzaken, al hadden we daar de tussenstap met automaten om geld af te halen en selfbank - hier België toch).

Eenvoudig voorbeeld: wachtwoorden achterlaten na je dood zodat je nabestaanden/partners waarmee je samenwerkt bepaalde toegang hebben.

[Aial0n]

[...]
Eenvoudig voorbeeld: wachtwoorden achterlaten na je dood zodat je nabestaanden/partners waarmee je samenwerkt bepaalde toegang hebben.

En toch is dit wel een héél waardevol hackdoelwit. Je kan ook het masterpassword van je passwordmanager (offline) bij de notaris neerleggen. Je moet wel 'bij elke aanpassing' een afspraak inplannen, maar dit zal lang niet zo vaak zijn als ergens een willekeurig ww aanpassen

[svenk91]

Maar dan moeten je nabedstaanden nogsteeds toegang tot je password manager krijgen. Als je die nou maandelijks bijwerkt in deze notaris cloud, en het wachtwoord offline bij een notaris achterlaat (of bankkluis). Dan heb je mooie 2FA voor na je overlijden.

[edeboeck]

[...]

En toch is dit wel een héél waardevol hackdoelwit. Je kan ook het masterpassword van je passwordmanager (offline) bij de notaris neerleggen. Je moet wel 'bij elke aanpassing' een afspraak inplannen, maar dit zal lang niet zo vaak zijn als ergens een willekeurig ww aanpassen

Ik ben het volledig met je eens dat het een héél waardevol hackdoelwit wordt. Ervan uitgaand dat ze hun beveiliging op orde hebben (ik weet, dat is nogal een aanname) blijft het wel uitermate gemakkelijk: zie jij je bij iedere aanpassing van je masterpassword, ook al is dat maar eens in de drie jaar, een afspraak maken bij de notaris?

[AndrewF]

Absoluut.

Vaak heeft een password manager de mogelijkheid om er ook notities in te schrijven. De belangrijkste data die mijn vrouw moet weten staat in zo'n document. In haar account staan instructies hoe ze mijn account kan unlocken.

Ik ga haar de procedure om de 2 jaar laten oefenen.

[Blokker_1999]

Omdat je hiermee duidelijkheid hebt. Jij hebt vooraf bepaald welke documenten naar wie gaan, je kunt ze ook nog altijd eenvoudig bijwerken terwijl je in leven bent en ze staan veilig tegen bijvoorbeeld brand. Doe je dit offline dan moet je thuis alles goed bewaren, goed aangeven wat naar wie moet, zorgen dat je, als je iets nodig hebt, het telkens ook weer correct wegsteekt en om je in te dekken tegen rampspoed zul je dan thuis ook nog eens een goede brandkast moeten plaatsen en niet een gewone lockbox die door velen wel eens brandkast wordt genoemd maar bij brand de vlammen niet buiten houdt.

[jeroen_loeffen]

Offline op het kantoor van de notaris, alle belangrijke gegevens van de lokale bevolking in een multomap? Gesorteerd op naam uiteraard zodat een inbreker de gewenste mappen kan ophalen? Of offline bij jou thuis zodat de nabestaanden het niet kunnen vinden, of het niet door de juiste nabestaande gevonden wordt....
Het lijkt mij juist wel prettiger om een digitale kluis te hebben voor persoonlijke documenten waar de erfgenamen bij kunnen. Het verkrijgen van account toegang op hotmail, gmail van een overledene is nog wel eens lastig...

[Mickey77]

Ik denk dat heel veel mensen dit offline slecht hebben geregeld. Dus als er een online dienst welke voor die groep laagdrempelig is, dat het veel ellende kan voorkomen. Want als er dingen slecht geregeld zijn, dan kan dat heel veel ellende geven en families echt verscheuren.

Wat ik mij dan wel bedenk is dat een dienst als deze continu van de hoogste beveiliging moet worden voorzien, want het is duidelijk dat deze kluisjes voor hackers niet alleen waardevol zijn maar ook nog eens trofeeën zouden kunnen zijn. Daarom zou ik het zelf liever offline regelen, maar ik begrijp de dienst wel.

[Tukkertje-RaH]

Ik denk dat veel mensen dit helemaal niet hebben geregeld...

Er zijn voor de mensen die achterblijven zoveel digitale dingen "op te ruimen" waarvoor je wachtwoorden nodig hebt, account gegevens of wellicht het mobiele nummer van de overledene dat een kluis waar nabestaanden -alleen na overlijden- bij kunnen goed zou kunnen helpen.

Denk aan digitale munten, wachtwoorden voor veracrypt volumes met data of alleen al heel praktisch de admin-wachtwoorden van je thuis netwerk. Ik denk dat als ik onder een tram loop, er best wat issues zullen ontstaan met mijn LAN en de servertjes die er draaien. Zou handig zijn als mijn familie daar dan bij kan.

Lijkt me overigens wel een dingetje dat niet een of andere overheidsdienst, zwaaiend met een papiertje daar dan weer bij zou kunnen. Recente verhalen over DNA-databanken waar de Amerikaanse wouten nu lekker in grutten, daar heb ik weinig trek in.

[ajakkes]

Er zit wel iets in. Als je de code van je wachtwoord-kluis in deze online kluis kan opslaan. En de nabestaanden de eID toegang overgedragen krijgen van de overheid. Maar ik vraag me af wat er met de eID van onze zuiderburen gebeurd na je overlijden? Want als ik het goed begrijp van de website. Moet je de gegevens voor je overlijden delen met je notaris. Dan kan je notaris het na je overlijden delen met je nabestaanden.

Daarmee kan je dus gratis, periodiek, de code geven aan de notaris. Deze zou je kunnen vertrouwen. En je wachtwoord-kluis hou je bij jezelf. Na je overlijden gaat de notaris aan de slag met je testament en krijg je de code van de wachtwoord-kluis en heb je toegang tot alle accounts van de overledene.

[System]

Om de data te kunnen garanderen? Een enkele offline kopie is geen backup.
Dit is trouwens ook niet zomaar online. Dit is een digitale kluis. Die is kwasie niet te kraken zonder social engineering.

[Gomez12]

Dit is trouwens ook niet zomaar online. Dit is een digitale kluis. Die is kwasie niet te kraken zonder social engineering.

Dat zeggen ze, maar ze onderbouwen het nergens mee.

En er wordt over het algemeen wel heel erg makkelijk gezegd dat iets niet te kraken is hoor, totdat het gekraakt wordt en de kraak openbaar gemaakt wordt.

Hoe is er bijv gegarandeerd dat malware op de client zijn computer erbij kan...

[System]

Van langs client side is alles te kraken.
Ik bedoelde eerder als men de server hackt kan men nog steeds niet aan de data.
Uiteraard heeft de gebruiken toegang, en als hij slordig om gaat met zijn passwoorden liggen die op straat.
Dat is zo voor banken, pornhub, en dus ook voor notarissen.
Tenzij je een 2FA systeem hebt. Wat ik wel verwacht.

[grimlock]

Paswoorden en andere documenten die je niet snel bij een notaris neerlegt, maar mocht je plotseling komen te overlijden of wilsonbekwaam worden dan maakt dit de werkzaamheden van de notaris wel simpeler en minder kostbaar. Hier in Nederland hebben ze de Notaris Kluis tegen 5 EUR de maand en is te kloppen aan een te kiezen notaris, echter mijn indruk is dat dit nog niet echt soepel loopt.

[Reactie gewijzigd door grimlock op 22 juli 2024 15:01]

[TijsZonderH]

Hier in Nederland hebben ze de Notaris Kluis tegen 5 EUR de maand, echter mijn indruk is dat dit nog niet echt soepel loopt.

Ik vind dit niet zo heel gek als je vraagt wat ze willen vs. welke garanties je krijgt. Je moet héél gevoelige documenten uploaden op één plek, als die in handen komen van een hacker heb je een enórm probleem, en het enige dat die toko's zeggen is 'het is veilig, geloof ons maar, hier is een nietszeggende iso-norm'. Geen audits, geen broncode, niet eens de pretentie van transparantie...

Als je kijkt naar hoe de overheid duidelijk probeert te maken hoe veilig/privacyvriendelijk zo'n corona-app is versus hoe notarissen (die ook nog eens puissant rijk zijn) maar gewoon hopen dat je op hun online veiligheid vertrouwt snap ik wel dat je weinig klanten trekt.

[Reactie gewijzigd door TijsZonderH op 22 juli 2024 15:01]

[John Doos]

"et is veilig, geloof ons maar, hier is een nietszeggende iso-norm'. Geen audits, geen broncode, niet eens de pretentie van transparantie..."

Als je bepaalde ISO normeringen hebt, dan wordt je toch juist geaudit mocht je die ISO willen blijven houden?

Geen stab ofzo, gewoon oprecht benieuwd.

[jeroen_loeffen]

Een ISO norm houdt in dat je procedures duidelijk zijn, NIET persé dat ze GOED zijn.
Een procedure "we laten jaarlijks een audit doen" zegt niet door wie je 'm laat doen en of je de veiligheid er een gunst mee doet.

[Niet Henk]

En vergeet ook niet: een ISO norm zegt niet of de procedures gehandhaafd worden, buiten de makkelijk toetsbare procedures. Het houdt enkel in dat ze er zijn. Als daarna iemand denkt, wat een gedoe die procedure, ik doe iets lekker anders, dan komt de normerende organisatie daar praktisch nooit achter, behalve als het misgaat en publiek merkbare gevolgen heeft gehad.

En dan is de ISO geweldig om schuld toe te wijzen (je kan zeggen, kijk, we hadden deze procedures maar deze persoon hield zich er niet aan), maar je koopt er alsnog niks voor.

[Eonfge]

Nee, de ISO richtlijnen gaan eigenlijk nooit over uitvoering, ze gaan over processen en organisatorische verantwoording. He doen van een externe audit kan een onderdeel van zijn van een ISO 27001 proces, maar als jij het niet nodig acht om zo iets te doen, dan hoef je zo iets ook niet aan jezelf op te leggen.

Wat de ISO 27001 bijvoorbeeld wel regelt, is wat er moet gebeuren als er een beveiligingsfout wordt gemeld. Wie wordt Responsible, Accountible, Consulted en Informed? (RACI en dergelijke in management termen). Wat je vervolgens met de beveiligingsfout doet, is je eigen keuze. Je kunt best besluiten om via het proces tot de conclusie te komen dat een hotfix nodig is, maar andersom kun je ook besluiten dat het teveel kost om nu te fixen. ISO 27001 is er alleen om te garanderen dat zo'n beveiligingsfout niet blijft hangen in de Inbox.

Ander voorbeeld. Werkrichtlijnen. De ISO 27001 stelt je voor om werkrichtlijnen op te stellen, en om deze te toetsen en evalueren. Welke software je dus mag gebruiken kan hier een onderdeel van zijn. Nu kun je dat in de IT meteen doen met een centraal beheersysteem, maar dat hoeft niet. Gewoon een interne-wiki pagina maken met goedgekeurde software is ook voldoende, zolang je deze ook handhaaft door steekproefgewijs te testen.

TL:DR ISO normen draaien om bureaucratie, niet veiligheid per se.

[Reactie gewijzigd door Eonfge op 22 juli 2024 15:01]

[Anoniem: 696166]

ISO en CE normering is een administratieve, papieren tijger. Het lijkt er sterk op dat dit enkel tot meerdere eer en glorie van dure consultants is gemaakt, het wordt jaar na jaar complexer zodat niemand er nog wijs aan uit kan en je wel verplicht bent een consultant onder de arm te nemen. Deze hebben dan ook nog eens vaak 2 petjes op: consultant en auditor. De ene keer komen ze als consultant, het jaar erna komen diezelfde consultants hun eigen werk auditen. Kost handenvol geld en het is me nooit duidelijk geworden wat het nut ervan is, behalve extra administratie.

[FreezeXJ]

Voorkomen dat je krijgt wat er nu bij de overheid speelt met toeslagen: "ja ik moest het doen van hunnie" tegen "ik wis nie da het een probleem was". Dit soort normeringen verplicht je om vooraf een zwarte piet aan te wijzen, en hem/haar daar ook van bewust te maken. Dat er vervolgens alsnog de hand mee gelicht wordt, is een ander verhaal. Er moet in elk geval iets op papier staan over verantwoordelijken, en het informeringsproces.

[Unipuma]

Volgens het artikel hebben de datacentra waar het draait die certificering, niet de applicatie zelf.

Daarnaast zijn er veel 'nietszeggende' ISO certificaten. Daarin gaat het er meestal om dat je je houdt aan de procedures die je beschreven hebt, maar wordt er geen uitspraak gedaan of die procedures ook goed en veilig zijn.
Dus als je beschrijft dat je alle servers zonder UPS rechtstreeks aan het stroomnet hangt en je dat vervolgens ook doet, heb je je ISO certificaat.

[icceni]

Uit mijn ervaring blijkt echt wel dat een auditor kijkt naar zinvolle werkwijzen. Alleen wordt er per audit maar een beperkt werkgebied/proces/procedure bekeken, dus er kan van alles misgaan zonder dat het opgemerkt wordt. Maar over de jaren wordt de noodzaak wel duidelijk dat je al je systemen op orde moet hebben/krijgen.

[Piemol]

Ook in andere sectoren kun je gecertificeerd zijn (sector specifiek, geen iso) waar audits plaatsvinden.
In de praktijk vinden die audits 'af en toe' plaats en kun je tussendoor systematisch en procesmatig heel wat aankloten. Als er geen hoge sanctie tegenover staat, heeft de consument er allemaal niets aan.

Een voorbeeld dat ik ken waar wel 'zware' sancties zijn: bij autogarages op de apk keuringen. Audits in de zin van 'steekproeven'.
Die steekproeven doen ze dan weer liever niet bij heel 'louche' autobedrijven,
daar gaan ze niet graag het terrein op.....

[dr.joep]

Als je kijkt naar hoe de overheid duidelijk probeert te maken hoe veilig/privacyvriendelijk zo'n corona-app is versus hoe notarissen (die ook nog eens puissant rijk zijn) maar gewoon hopen dat je op hun online veiligheid vertrouwt snap ik wel dat je weinig klanten trekt.

wie zijn er rijk en waarom is dat belangrijk?

traditioneel regelen mensen dit soort dingen via een notaris.
vind het zelf geen verrassing dat een notaris nou net zo'n product uit hun hoed trekt.

heb meermaals zelf een dergelijke constructie gemaakt zodat men toegang had tot bijvoorbeeld mijn digitale accounts om eea. te kunnen regelen als ik niet terug kwam.
met een soort killswitch.
zou er zelf verder niet voor betalen maar als je dat professioneel wilt aanpakken dan zul je vast met een aantal standaarden kunnen schermen.
kun je van vinden wat je wilt natuurlijk.

[Reactie gewijzigd door dr.joep op 22 juli 2024 15:01]

[Jeroenneman]

Dat puissant rijk moet duidelijk maken dat het hier niet om een hobby clubje gaat. Een paar notariskantoren samen zouden prima een partij kunnen betalen die ook qua beveiliging een goed platform kan aanbieden.

[dr.joep]

ja goed, maar vind beiden producten die Tijs aanhaalt een zwaar niche-product.
dus sta er überhaubt niet van te kijken dat beiden misschien niet heel populair zijn.
we gaan allemaal een keer dood en beiden willen daar iets mee.
en de mensen die er bewust mee bezig zijn dat die kans bestaat die zullen er dan misschien wel nut in zien.

denk dat een overheid ook niet minder speelgeld heeft dan een keten notarissen en snapte niet helemaal wat Tijs nou probeerde te vertellen.

vind het allemaal niet zo vreemd.

[Reactie gewijzigd door dr.joep op 22 juli 2024 15:01]

[Gomez12]

[...]
zou er zelf verder niet voor betalen maar als je dat professioneel wilt aanpakken dan zul je vast met een aantal standaarden kunnen schermen.
kun je van vinden wat je wilt natuurlijk.

Alleen ze kunnen hier dus niet met de juiste standaarden schermen...

[dr.joep]

daar zullen een aantal tweakers best beter over nagedacht hebben als je een technisch vak hebt die met dataretentie en redundancy te doen heeft.

zoals gezegt, betaal zelf ook weinig tot niet voor gemaksproducten en zeker niet wanneer ze technisch van aard zijn.
vertrouw een commerciële toko sowieso minder dan wat ik zelf maak en in beheer heb.
zal de eerste keer niet zijn dat je iets aan een ander overlaat en er het onderspit in delft.
toch? transip?
bedrijven beloven altijd "veel voor weinig" en de mensen die het geloven en zelf niet snappen of kunnen die worden klant.

maar ik begreep niet goed wat Tijs nou probeerde duidelijk te maken.

[Reactie gewijzigd door dr.joep op 22 juli 2024 15:01]

[NWT15]

... hoe notarissen (die ook nog eens puissant rijk zijn) ...

Man man man, krijgen we nu die borrelpraat weer. Teleurstellend dit. Weet je niet eens dat de prijzen in de jaren negentig zijn vrijgegeven en dat er toen een race to the bottom is geweest. De netto-winst op een akte is voor een notaris tegenwoordig uiterst beperkt. Anders gaat de concurrent qua prijs eronder zitten. De kosten van een notariskantoor zijn veel hoger dan jij waarschijnlijk denkt, en die kosten worden onvermijdelijk omgeslagen over de aktes, dat kan nu eenmaal niet anders want dat is het enige product.
Ja er zijn wel rijke notarissen, maar die zijn niet meer de norm, zeker niet bij degenen die startten na de jaren 90.

[Dennisdn]

Als je het een nietszeggende norm vind, noem hem dan wel juist... ISO9001.

[ajakkes]

Ja, precies, noem hem dan wel juist. Ze hebben het op de website van IZIMI daadwerkelijk over de ISO-9901.

Waar worden mijn documenten opgeslagen:
"... De datacentra hebben een tier-3 certificaat. Dit wil zeggen dat ze 99.982% beschikbaar zijn. Daarnaast beschikken zij over certificaten zoals ISO 27001, ISO 22301, ISO 14001, ISO 9901, 100% groenestroomcertificaat, en vele andere."

ISO/TR 9901:1990 Solar energy — Field pyranometers — Recommended practice for use

Geen idee wat de website doet moet Pyranometers voor Zonne-energie, maar toch fijn dat ze zich aan die norm houden.

[bvdbos]

Er zal vast en zeker 9001 in plaats van 9901 bedoeld worden

[Gomez12]

Waarbij 9001 dus 100% waardeloos is, aangezien die alleen maar zegt dat wat je doet gedocumenteerd moet zijn.
Als jij documenteert dat je alle wachtwoorden accepteert om binnen te komen en je applicatie doet dat dan voldoet je applicatie aan ISO 9001 alleen het heeft (qua wachtwoord) nul beveiliging.

[ajakkes]

Of je wilt strooien met ISO-normeringen en de 9001 was te ingewikkeld. Koop je gewoon een Pyranometer en je hebt een 9901. Niemand die het ziet.

[bvdbos]

Van de ene kant heb je gelijk. Van de andere kant : als ik ooit zie wat voor chaos klant- en projectadministratie bij sommige bedrijven nog is dan heeft 9001 zeker nut. Het nut is mijn inziens wel stukken minder dan 20-25 jaar geleden toen er nog geen gebruik werd gemaakt van shared mappen op een netwerk en databases met klant- en projectgegevens.... Denk ook dat dat de reden is dat ISO9001 steeds verandert...

[TijsZonderH]

Ik quote letterlijk uit hun FAQ.

[TijsZonderH]

Het zegt letterlijk niks voor 99,9% van de klanten die je hiermee wil aanspreken. Als ik deze dienst wil gebruiken wil ik een uitleg zien over hoe je dit veilig doet, niet alleen een opsomming van codes die ik niet snap en die verder geen context krijgen.

[zenlord]

Met alle respect, maar dan ga je voorbij aan het nut van standaardisatie en (ISO-)normering...
En bovendien: zelfs als ze de broncode van de app ter beschikking zouden stellen, zou dit ook voor 99,9% van de klanten niets zeggen. Zou jij persoonlijk de broncode downloaden en van voor naar achter de connectie, authenticatie en authorizatie-lagen doorlezen?

[edeboeck]

Het zegt letterlijk niks voor 99,9% van de klanten die je hiermee wil aanspreken. Als ik deze dienst wil gebruiken wil ik een uitleg zien over hoe je dit veilig doet, niet alleen een opsomming van codes die ik niet snap en die verder geen context krijgen.

Ik ben het met jou eens dat de uitleg wel heel summier is, maar ze geven toch extra info die ik in het artikel niet terugvind.

quote: https://www.izimi.be/nl/faq/

Hoe kan ik zeker zijn van de veiligheid en conformiteit van Izimi?
FEDNOT heeft een op beveiliging gerichte ontwikkeling uitgewerkt om informatie te beschermen en de risico’s van de Izimi applicatie te beoordelen. Het ontwikkelingsteam heeft een beveiligingstraining gevolgd. De Izimi applicatie werd uitvoerig getest door bekende spelers uit de beveiligingswereld. De penetratietesten werden uitgevoerd:

Voor de webapplicatie volgens een methodologie gebaseerd op gekende normen en best practices zoals OSSTMM, PTES en OWASP test methoden en normen.
Voor de volgende mobiele applicatie OWASP Mobile Application Security Verification Standard (MASVS) Niveau 2 (v1.2).

Wat word (sic!) gedaan om de infrastructuur beveiligd te houden?
Elk document dat u op Izimi plaatst, wordt opgesplitst in kleinere fragmentjes die versleuteld worden. Al deze kleine fragmentjes worden over meerdere schijven verspreid, dus moest iemand zo’n schijf weten te bemachtigen, zelfs eeuwen nadat de fragmenten versleuteld werden, hebben ze geen toegang tot uw documenten omdat ze slechts over kleine stukjes en brokjes beschikken.

Alle op Izimi geüploade documenten worden eerst gescand. Dit wil zeggen dat elk document dat iemand toevoegt door ons gecontroleerd wordt om er zeker van te zijn dat het geen malware of virus bevat. Zelfs als er een virus door het net zou gaan, worden de bestanden in een niet-uitvoerbare omgeving bewaard – beschouw ze als bevroren in de tijd, dus al zouden ze een virus bevatten, dan kan het zich niet verspreiden.
Wat wordt er met mijn gegevens gedaan?
[...]
Alle gegevens, met inbegrip van gescande en gedownloade documenten, die in de databank bewaard worden, zijn met 256-bit AES versleuteld. Zo heeft de fraudeur, die zich toch illegaal toegang tot de database zou weten te verschaffen, geen toegang tot de aldaar opgeslagen data.

Ja, die "eeuwen" staat er letterlijk
Nu, eerlijk is eerlijk: die FAQ boezemt me niet veel vertrouwen... dat document is duidelijk onvoldoende gereviseerd. Zie bovenstaande spelfout, maar ook volgende aanduiding (vet is mijn markering):

quote: https://www.izimi.be/nl/faq/

Wij hebben Izimi redundant (= Engels?) gemaakt, zodat er steeds een back-up is in geval er ooit een probleem met de internetverbinding optreedt.

Deze ochtend op m'n gsm zag ik nog een andere interne nota m.b.t. formulering op de site staan, maar die vind ik niet terug.

[jeroen_loeffen]

Maar het IS nietszeggend: het is juist goed dat de journalist niet alleen weergeeft wat ie aan informatie gevonden heeft, maar daar ook een conclusie uit kan presenteren voor de mensen die niet beseffen dat een ISO normering helemaal NIETS zegt over de kwaliteit van de processen. Dat er een werkbeschrijving is voor de schoonmaakster betekent niet dat het er schoon is.

[Arator]

Paswoorden en andere documenten die je niet snel bij een notaris neerlegt, maar mocht je plotseling komen te overlijden of wilsonbekwaam worden dan maakt dit de werkzaamheden van de notaris wel simpeler en minder kostbaar.

Was mijn eerste gedachte ook. Mijn nabestaanden kennen mijn wachtwoorden niet van de mail- en social media accounts. Om ze zomaar op een briefje te laten rondslingeren vind ik ook maar niets, dus daar zou deze tool een handige oplossing voor zijn, mits, en het is een grote, hun beveiliging op orde is.

Ik zie weinig reden waarom dit online zou moeten. Dit lijkt me veel beter om gewoon lekker offline te regelen...

@Kun Om elke keer een afspraak te maken bij een notaris omdat je elke maand je wachtwoorden wijzigt, de notaris gaat het graag zien gebeuren, daar het een gratis dienst betreft.
Je zou dan ook kunnen opteren voor een bankkluis, maar dan moeten de nabestaanden al wel weten bij welke bank, en liefst ook de kluisjescode.
Ik heb het ooit meegemaakt bij een kinderloze groottante. In huis werden er papieren gevonden van verschillende banken, maar was ze daar overal nog aangesloten? Dus moest de notaris alle banken (in België) aanschrijven om te horen of mevrouw er nog klant was. En als er dan een kluis is, moet je nog aan de bank betalen om de kluis te laten openmaken als je geen code weet.
Een andere mogelijkheid is om in die app enkel de inloggegevens van een offline thuisserver te plaatsen, en dat al je andere documenten veilig op je eigen server staan.

[Anoniem: 85014]

Notarissen in Belgie zijn juridisch verantwoordelijk voor die handtekening en de juridische correctheid van wat er in die documenten staat.

Dat is anders dan in vele landen.

[3_s]

Jij weet dat dat geld niet voor henzelf is, maar voor een groot stuk belastingen?
Wat niet wegneemt dat ze zeer goed verdienen, maar toch.

[K-aroq]

Een beetje IT-er komt aardig in de buurt van wat notarissen verdienen. Vergeet niet dat van het bedrag dat clienten aan de notaris betalen niet zijn of haar directe inkomsten zijn maar de kosten van het kantoor. Als ik mijn externe uurtarief zie, dan is dat meer dan wat je bij een notaris betaald.

[3_s]

‘Notaris verdient 50.000 à 100.000 euro per maand’
Ik ken uw vergoeding niet, maar het mijne komt toch nog niet in de buurt, hoor .

[stijn014]

Goh. Toen ik mijn appartement kocht heeft de notaris nog een gebrek ontdekt en op basis daarvan de akte nog aangepast waardoor de verkopers de helft van de herstelkosten moesten betalen. Veel geluk met een computerprogramma dat zoiets doet.

[cadsite]

Ik heb net voor de 3de keer mijn huis gekocht (initiële aankoop - herschrijven krediet naar andere bank - inkopen na scheiding), dus al drie keer langs hun kassa gepasseerd.
Ja, dat is veel en heel zuur geld.
Maar bekijk de detail afrekening eens. Het overgrote deel van het geld dat je daar achterlaat gaat naar de staat. Als je wilt schieten, schiet dan op de juiste.

[WickedStealthy]

Ik deel je mening volledig. Werk wordt gewoon gedaan door bedienden in dienst. Merendeel kan gewoon door de administratie gedaan worden. En het is typisch ouder/kinderen dynastie

[joppetie]

Die 'bedienden in dienst' zijn wel net zo hoog opgeleid als de notaris zelf. Ik weet niet hoe het exact zit in België, maar volgens mij is het vergelijkbaar met Nederlands, waar een waarnemingsbevoegd kandidaat-notaris een bachelor, master én drie jaar beroepsopleiding heeft gedaan. Dus op z'n allerminst zeven jaar opleiding voordat hij het werk voor de notaris mag doen (die overigens nog steeds geheel verantwoordelijk en soms aansprakelijk is). Er zijn zeker dingen op aan te merken, maar ik denk wel dat je opmerking wat kort door de bocht is.

[Reactie gewijzigd door joppetie op 22 juli 2024 15:01]

[WickedStealthy]

...

[Reactie gewijzigd door WickedStealthy op 22 juli 2024 15:01]

[R0BK3]

Ik sta sowieso twijfelachtig tegenover dit soort diensten. Ze vragen heel veel vertrouwen. Het voordeel van deze is wel dat het bij een "officiële" organisatie ligt.
Ik heb nog minder vertrouwen in diensten zoals Doccle, POM, Itsme, Cake, … Allemaal gerelateerd aan betalingsverkeer of documentdelen. Uiteindelijk willen ze een cent verdienen met jouw data.

[stijn014]

Doccle is opgezet door Acerta, Telenet en KBC. Ik denk dat het voor hen vooral al een grote besparing is om geen post meer te moeten sturen. Doccle is bij hen ook het digitale archief in de eigen organisatie. Het is dus gratis voor jou, maar niet gratis aan de aanbiederszijde.

[K-aroq]

Gezien al het commentaar neem ik aan dat iedereen zijn gegevens maar beter op een papiertje thuis in de la kan leggen. Veel beter.....

[WimV48]

Over het beheren van de informatie gesproken. Wachtwoorden die, regelmatig veranderen, moet je dan wel updaten in de kluis. Het is dingetje dat nadat je het wachtwoord hebt veranderd op de website, nog wel even moet doen en niet vergeten. Zo, dat is gebeurd eerst koffie en dan nog even de notariskluis updaten.

[!nFerNo]

eBox, Doccle, Zoomit en nu Izimi. https://xkcd.com/927/

[Trycho]

Ok, even moeten bekomen van het lachen: 'gratis' en 'notaris' in dezelfde zin? Hilarisch!

Meer to-the point: er zijn al gratis diensten die emails sturen na je overlijden zoals vb. ifidie.org. Daar kan je vb. instructies nalaten om je pass van je wachtwoord beheerder te vinden dat ergens old-school begraven in de tuin steekt. Geen kans dat je tuin/zolder/kelder gehackt wordt. Dat zou al moeten beschermen tegen de meeste online gevaren...

/offtopic: Notariaat is hopeloos verouderd. De notarissen waar wij mee te maken hadden deden niks meer zelf, hebben ze personeel voor. Enkel nog handtekening zetten. Bij gerichte vragen was het ook duidelijk dat personeel van alles op de hoogte was. Gewoon de hele handel vervangen door gewone ambtenaren. Er is geen enkele objectieve reden waarom een akte een paar 1000 euro zou moeten kosten.

[gwartena]

De gegevens zijn verdeeld over drie verschillende datacentra in België, zodat ze beschermd zijn 'tegen komeetinslag en kernexplosies'.

Ik vind het wel nogal zware gebeurtenissen om het hebben van 3 datacenters te verklaren. Er is toch wel een lijstje van minder grote calamiteiten die hier relevanter is om te vermelden.
Bij een komeetinslag denk ik ook meteen aan een 'wat blijft er dan nog over van België' scenario'. Misschien bedoelen zij dat er een kleintje net op het datacenter valt :-)

[Robby517]

Ja maar bij een komeetinslag heb je natuurlijk wel een use-case waarbij heel veel mensen hun testament in werking treedt