Preventie datalekken

Doel: Uitleggen wat datalekken zijn en hoe deze te voorkomen

Doelgroep: Iedereen die werkt met persoonsgegevens

Als je een mogelijk datalek ontdekt, meld dit dan onmiddellijk bij meldpunt-datalek@nikhef.nl

English version of this page

Introductie

Datalekken ontstaan wanneer persoonsgegevens in handen vallen van personen die daar geen rechtmatige aanleiding voor hebben, of wanneer persoonsgegevens verloren gaan en niet kunnen worden hersteld. Voorbeelden van gevoelige persoonsgegevens bij Nikhef zijn gegevens over sollicitanten, stagiairs en (oud-)medewerkers, zoals e-mailadressen, NAW-gegevens, telefoonnummers, opleidingen en werkervaring, beoordelingsverslagen en foto's.

Een datalek kan op verschillende manieren onstaan:

• een gebruikersaccount wordt gekraakt en ongeauthoriseerde personen kunnen bij de gegevens
• een laptop, telefoon of gegevensdrager met persoonsgegevens raakt kwijt of wordt gestolen
• gegevens worden onbedoeld gedeeld met teveel mensen via een publieke website of sociale media

Nikhef heeft de wettelijke plicht om snel en adequaat te reageren op een datalek, zodat de schade zoveel mogelijk beperkt blijft. Daarom is het belangrijke om een mogelijk datalek direct te rapporteren bij meldpunt-datalek@nikhef.nl.

Instructies

Voorkomen van datalekken

De eerste en belangrijkste regel is deze: wat niet opgeslagen is, kan niet worden gelekt.

Bewaren van persoonsgegevens

Hanteer de volgende leidraad bij het verwerken van persoonsgegevens.

• Verzamel alleen noodzakelijke gegevens. Vraag mensen niet om gegevens die niet strikt nodig zijn voor het werk.
• Neem altijd contact op met de afdeling Computer Technologie als je een nieuwe verzameling data met daarin persoonsgegevens gaat aanleggen.
• Verwijder persoonsgegevens wanneer deze niet meer nodig zijn, bijvoorbeeld na afloop van een sollicitatieprocedure of als een medewerker of stagiair het instituut verlaat. Dit is een wettelijke verplichting.
• Ruim oude data regelmatig op. Verwijder bestanden die niet meer nodig zijn of niet meer gebruikt worden.

Indien het verzamelen van persoonsgegevens echt nodig is, meld dit dan bij het Nikhef privacy team:privacy@nikhef.nl.

Neem hierbij het volgende in acht:

• Sla alleen gegevens op op versleutelde gegevensdragers (zie onder). Dat geldt voor laptops en mobiele telefoons maar ook voor back-ups en externe gegevensdragers zoals USB drives.
• Houd een zorgvuldige administratie bij van de opgeslagen persoonsgegevens, zodat het eenvoudig is deze later op te ruimen.

Versleutelen van gegevensdragers

Versleuteling is een extra bescherming van gegevens die zorgt dat gegevens gebruikt kunnen worden als deze in verkeerde handen valt. Zonder het bijbehorende sleutelmateriaal is het technisch onhaalbaar om de gegevens te ontcijferen.

Voor effectieve beveiliging is het noodzakelijk dat het sleutelmateriaal niet openlijk bij de gegevens bewaard wordt. Afhankelijk van het soort apparaat en encryptie kan het sleutelmateriaal bestaan uit een computerbestand, een wachtwoordzin, vingerafdruk (of andere biometrische eigenschap), pin code of dergelijke. Dit dient strikt geheim gehouden te worden en mag met niemand worden gedeeld.

Zorg ervoor dat je apparaten met versleuteling beschermd zijn!

Elk modern besturingssysteem ondersteunt deze mogelijkheid en het zou vrij eenvoudig moeten zijn. Hier zijn instructies voor de meest gebruikte systemen.

Accounts en wachtwoorden

• Gebruik je Nikhef emailadres niet voor privédoeleinden.
• Kies sterke wachtwoorden, zeker voor werk accounts of (privé) bankzaken. Volg deze leidraad voor nieuwe wachtwoorden.
• Sterke wachtwoorden zijn lang (tenminste 10 tekens), bevatten verschillende tekens (kleine letters, hoofdletters, cijfers, en tekens als !@#$%^&\*()_+<>;':",./<?>.
• Wachtwoorden die achterhaald kunnen worden omdat ze gebaseerd zijn op namen of geboortedata zijn niet sterk.
• Langere wachtwoorden zijn sterker dan kortere
• Kies verschillende wachtwoorden voor alle accounts en registraties bij websites.
• Om al die verschillende wachtwoorden te onthouden, kun je een password manager als KeePass (https://keepass.info/) of Bitwarden (https://bitwarden.com/) gebruiken.
• Bewaar wachtwoorden niet in een onversleuteld bestand.
• Schrijf wachtwoorden niet op een notitieblaadje.
• Accounts en wachtwoorden zijn persoonlijk. Deel ze niet met anderen, ook niet met je collega's of familieleden.

Buitenlandse reizen

Zie de pagina over buitenlandse reizen voor meer uitleg.

Houd er rekening mee dat bij reizen naar bepaalde landen de informatie op laptops of telefoons door veiligheidsdiensten ingezien of gekopieerd kan worden, of dat het apparaat overgenomen kan worden. Dit kan gebeuren bij reizen naar bijvoorbeeld China, Rusland, Iran, Turkije en de VS.

• Neem een lege laptop en telefoon mee, die je normaal niet gebruikt. Bij de Helpdesk kun je tijdelijk een laptop lenen.
• Zorg dat er geen gevoelige informatie of wachtwoorden staan op je telefoon of laptop als je naar deze landen reist. Er zijn schone leenlaptops beschikbaar bij de helpdesk.

Verwijzingen

Uitgebreidere informatie is te vinden op de site van het Nationaal Cyber Security Centrum (NCSC), met name ook het fact sheet "Help! Mijn gegevens zijn gelekt op internet".