Belangrijke vragen die u moet stellen bij het opstellen van een plan voor het reageren op datalekken (deel I)

Zoals veel bedrijven uit eigen ervaring hebben geleerd, kunnen datalekken en beveiligingsincidenten op elk moment voorkomen en wanneer dat gebeurt, kunnen ze een organisatie snel lamleggen. Hoewel bedrijven vaak geen voorafgaande waarschuwing krijgen voordat een datalek zich voordoet, kunt u uw organisatie beter voorbereiden op de talloze problemen die zich voordoen in de nasleep van een datalek door middel van een doordachte planning vooraf. Een van de belangrijkste stappen: ontwikkel een plan voor het reageren op datalekken.  

Goed opgestelde responsplannen voor beveiligingsinbreuken bieden een draaiboek dat een organisatie kan volgen wanneer zij kennis neemt van een daadwerkelijk of vermoedelijk beveiligingsincident of gegevensinbreuk. Het plan moet onder meer de volgende elementen bevatten:

• Leden van het responsteam en contactgegevens
• Procedures voor het analyseren en beperken van een mogelijke inbreuk op de gegevensbeveiliging
• Communicatieplan dat rekening houdt met alle belanghebbenden van de organisatie (klanten, leveranciers, aandeelhouders, regelgevende instanties)
• Plan voor het informeren van betrokken personen
• Maatregelen die moeten worden genomen na een inbreuk op de gegevensbeveiliging
• Externe bronnen (juridische dienstverleners, communicatie, IT-beveiliging/forensisch onderzoek en kredietbewakingsdiensten)
• Informatie van kredietbureaus
• Verzekeringsinformatie (indien van toepassing)

Bij het opstellen van een plan voor het reageren op beveiligingsinbreuken moet uw organisatie een breed scala aan vragen stellen over haar activiteiten om een plan op te stellen dat zoveel mogelijk potentiële problemen en scenario's omvat, terwijl de procedures die na een incident worden gebruikt, worden afgestemd op de cultuur, het bedrijf, het regelgevingsklimaat, de klantfilosofie en de risicotolerantie van de organisatie. We beginnen hier met een paar vragen, die in volgende berichten worden voortgezet:

Welke persoonlijke gegevens verzamelen we en van wie?

Persoonlijke informatie komt in alle soorten en maten voor en omvat alle informatie met betrekking tot een geïdentificeerde of identificeerbare persoon (werknemers, consumenten, patiënten, enz.). Voorbeelden van persoonlijke informatie zijn: de naam van een persoon, fysiek adres, telefoonnummer, e-mailadres, burgerservicenummer, creditcardnummers, rijbewijsnummers, paspoortnummers, andere ID-nummers (al dan niet gegenereerd door de organisatie), geboortedatum, spaarrekening, betaalrekening, verzekeringspolis of andere gezondheids- of financiële rekeningnummers of -informatie, beveiligingscodes, pincodes, wachtwoorden, gezondheids- of invaliditeitsinformatie, achtergrondcontroles van werknemers, inclusief kredietrapporten, en alle gegevens die zijn afgeleid van deze informatie en die betrekking hebben op een geïdentificeerde of identificeerbare consument.

Bij het opstellen van een responsplan is het van cruciaal belang om vast te stellen welke soorten persoonlijke gegevens door de organisatie worden verzameld en van wie deze gegevens worden verzameld. Vergeet bij het uitvoeren van deze analyse niet om zowel de persoonlijke gegevens van werknemers als die van externe doelgroepen in kaart te brengen.

Met deze informatie kunt u vervolgens bepalen waar de informatie wordt opgeslagen, in welke vorm deze wordt verzameld en bewaard (fysiek, elektronisch, enz.), wie er toegang toe heeft, hoe lang deze wordt bewaard en hoe deze wordt beveiligd.

Welke derde partijen verzamelen, raadplegen of gebruiken onze persoonlijke gegevens?

Een plan voor beveiligingsinbreuken moet niet alleen betrekking hebben op incidenten of inbreuken die intern plaatsvinden, maar moet ook voorzieningen bevatten voor inbreuken waarbij externe leveranciers betrokken zijn die zich bezighouden met het verzamelen, gebruiken en opslaan van de persoonlijke gegevens van de organisatie. Voor de hand liggende externe partijen zijn onder meer leveranciers van cloudopslag, datacenters, leveranciers van fysieke archiefopslag en externe partijen die verwerkings-, analyse- en andere gegevensgerichte diensten leveren.

Naast leveranciers die een belangrijke rol spelen bij de verwerking van persoonsgegevens, zijn er nog veel andere derde partijen die, hoewel ze gemakkelijk over het hoofd worden gezien, net zo belangrijk zijn om te identificeren. Een organisatie moet bijvoorbeeld consultants, aannemers en leveranciers identificeren die toegang hebben tot bedrijfssystemen (zelfs als ze ogenschijnlijk niet-gerelateerde diensten leveren, zoals marketing, grafisch ontwerp, boekhouding of juridische diensten). Evenzo moet de lijst alle leveranciers bevatten die toegang hebben tot fysieke infrastructuur die wordt gebruikt voor het verzamelen, opslaan of verwerken van gegevens, met inbegrip van leveranciers die systemen en andere computerhardware onderhouden of leveranciers die mobiele apparaten, tablets, medische apparatuur of andere soortgelijke systemen (zelfs HVAC-systemen) leveren en onderhouden.

In elk geval moet de organisatie ervoor zorgen dat zij met elke leverancier passende contractuele waarborgen heeft afgesproken om de informatie te beschermen, evenals duidelijke vereisten dat de leverancier de organisatie op de hoogte stelt als hij een inbreuk op of verband met de informatie ontdekt of vermoedt.

In komende berichten zullen we enkele aanvullende vragen over dit onderwerp stellen.