Beveiligen persoonsgegevens: van printer tot prullenbak
Beveiligen persoonsgegevens: van printer tot prullenbak
Ongeveer een maand geleden passeerde dé datum: op 25 mei werd de AVG van kracht. Inmiddels zijn alle mailtjes over privacyverklaringen waarschijnlijk opgeborgen of weggegooid. De media-aandacht ebt weg. Even pas op de plaats. Maar die rust is schijn, want nu wordt het pas écht interessant. Tot voor kort ging het vooral over de wet zelf: wat schrijft die voor, hoe krijgen we dat tijdig georganiseerd, wat gaat er veranderen? Veelal theorie, nog geen praktijk. Nu moeten we ermee aan de slag, onder andere op de dagelijkse werkplek. Een plek die bárst van de persoonsgegevens.
Beveiliging ondermaats
De beveiliging van veel werkplekken is ondermaats en organisaties lopen hierdoor risico’s. Ik kom daar zo op terug. Eerst wil ik de noodzaak van een goed beveiligde werkplek benadrukken. Het gaat namelijk vaak mis bij gevoelige persoonsgegevens; informatie die de betrokkene toevertrouwt aan bijvoorbeeld de zorgsector, de overheid, financiële dienstverleners en het onderwijs.
Het is verontrustend dat drie van deze groepen in de top 4 van meeste datalekken in 2017 staan. Opmerkelijk: de zorg loopt meer risico’s op interne datalekken dan op externe, aldus recent onderzoek van Verizon Communications. Dat heeft alles te maken met werkplekken.
Belangrijke schakel
In de informatievoorziening van een organisatie vormt de werkplek een belangrijke schakel. Hier vindt een scala aan activiteiten plaats. Er wordt bedacht, gecreëerd, uitgeprobeerd, ingevoerd en geëvalueerd. We brainstormen, vergaderen en schrijven wat af. Dit proces levert enorm veel en verschillende informatiestromen op, al dan niet in documentvorm, waarin persoonsgegevens een rol kunnen spelen. De werkplek bevat diverse digitale en fysieke elementen waar de persoonsinformatie terecht kan komen: wifi, archief(kast), papieren op het bureau, laptop, flipover, printer, telefoon, netwerk, videoconferentie, interactief whiteboard, USB-stick, prullenbak én de medewerker zelf.
In feite bestaat dit hele rijtje – hier interactief in kaart gebracht – uit potentiële veroorzakers van datalekken. Laten we beginnen met printers. Wie heeft er niet ooit een vergeten printje gevonden? En als mensen van buitenaf er gebruik van kunnen maken (denk aan onderwijsinstellingen!), ligt informatie nóg makkelijker op straat. En hoe om te gaan met videovergaderen? Mogelijk worden persoonlijke gegevens via een netwerk of internet met andere organisaties gedeeld. Passende beveiliging van de digitale werkplek is dus noodzakelijk. Ook wanneer medewerkers de mogelijkheid van Bring Your Own Device (BYOD) krijgen.
Onderschat daarnaast de archiefkast niet. Als die niet goed afgesloten is, kan iedereen erbij. En zorgt een adequaat systeem er wel voor dat elk geleend archiefstuk teruggebracht wordt? Er zijn nog heel wat sectoren met een groot papieren archief, zoals notarissen, verzekeraars en ziekenhuizen.
Een ander minder in het oog springend risico is de prullenbak. Hoe eenvoudig is het om daar een document uit te vissen? Vaak weet je niet waar de weggegooide informatie terechtkomt. Zelfs over de prullenbak moet nagedacht worden.
Bewustwording
Goed nadenken, gezond verstand gebruiken, bewustwording. Hier draait het om. Organisaties hebben daar een belangrijke 
verantwoordelijkheid in, afgeleid van de AVG. Het vergroten van bewustwording kan op allerlei manieren. Zo kun je dit bij medewerkers bijvoorbeeld testen door in of rondom het bedrijfspand enkele USB-sticks te laten rondslingeren. Wat doet de medewerker als hij zo’n stick vindt? Meteen afgeven bij de receptie of toch eerst in zijn computer steken? Ik heb dit niet zelf bedacht, maar vind het een interessante manier om je eigen organisatie uit te dagen.
Bij die ene test kan het niet blijven. Medewerkers zullen blijvend gevoed en ondersteund moeten worden via informatie, trainingen en uitdagingen. De bescherming van persoonsgegevens en andere issues rondom informatiebeveiliging zal bij elke organisatie permanent op de agenda moeten staan. Alleen dan kan privacybescherming in ons DNA gaan zitten.
Erica van den Biggelaar (auteur) Niets is zo blijvend als verandering. Maar ondanks dat worden bij veel organisaties “repeterende” bedrijfsprocessen dagelijks (handmatig) nog steeds op dezelfde manier uitgevoerd. Ik daag mensen, organisaties en mezelf graag uit om samen te kijken...
