Veilig bestanden bewaren en delen
Recent kwam het nieuws naar buiten dat er bij Fontys Hogeschool in Tilburg een datalek heeft plaatsgevonden waarbij gevoelige informatie van studenten en medewerkers in te zien was. De oorzaak van dit lek werd geweid aan het feit dat medewerkers per ongeluk bepaalde documenten openbaar deelden via het interne netwerk.
Dit zorgde er gelukkig niet voor dat de documenten buiten het netwerk beschikbaar waren. Wel dat gebruikers met een emailadres van Fontys via de zoekfunctie van de online omgeving toegang konden krijgen tot veel documenten die niet voor hen bestemd waren. Denk hierbij aan pasfoto's, adressen en andere persoonlijke gegevens.
Een ongeluk als dit zit een klein hoekje, maar de gevolgen kunnen groot zijn. Kwaadwillenden hadden, in theorie, bijvoorbeeld een mailadres van Fontys kunnen krijgen door zich aan te melden voor een cursus op de hogeschool en op deze manier veel gegevens buit kunnen maken. Dit is niet gebeurd, maar het is geen onrealistisch scenario.
Bewustwording is een belangrijke stap in het verkleinen van de kans op dit soort incidenten. Daarom wil School-CERT deze casus aangrijpen om aandacht te vragen voor het belang van het correct delen van bestanden en de impact die het kan hebben als je dit niet doet.
Advies
In het verleden werden belangrijke documenten in afgesloten archiefkasten of zelfs in kluizen bewaard. Het is belangrijk om op dezelfde manier om te gaan met je digitale documenten en deze goed afgesloten te bewaren. Om je hierbij de te helpen kun je onderstaande zogenaamde 'best practices' in acht nemen:
1. Beperk externe toegang tot bestanden
Laat externen nooit standaard toegang hebben tot je bestanden. Als een extern persoon een bestand nodig heeft, deel dan alleen dat wat nodig is. Ook kun je bij sommige leveranciers een bestand tijdelijk delen door een verloopdatum in te stellen. Na het verlopen van de datum heeft de ander geen toegang meer.
2. Controleer regelmatig wie toegang heeft
Plan periodiek een check in om te kijken wie er allemaal toegang heeft tot bepaalde gevoelige documenten of mappen. Verwijder de toegang van de personen waarvoor het niet meer relevant is om toegang te hebben. Bij sommige leveranciers kun je ook periodiek een seintje krijgen om de toegang te controleren. Dit heet 'Access Review'.
3. Zet je mappen en documenten standaard op 'Privé'
Door de toegang van je mappen standaard op 'Privé' te zetten voorkom je dat personen binnen de organisatie alles kunnen zien wat daarin staat. Een beheerder kan dit ook als standaardinstelling hanteren voor alle nieuw aangemaakte Teams (Microsoft) of Gedeelde Drives (Google Workspace), waardoor je er als medewerker niet steeds aan hoeft te denken.
4. Controleer de logs als je twijfelt
Twijfel je of een ongeautoriseerd persoon mogelijk toegang heeft gekregen tot documenten met persoonsgegevens, gebruik dan de logfunctie van Microsoft Teams of Google Workspace om dit te controleren. Let op: deze functie is vaak alleen te gebruiken door beheerders.
5. Wees waakzaam
Stel jezelf bij elk document en elke map die je deelt de vraag of delen noodzakelijk is, zeker als het om persoonsgegevens gaat. Is het echt nodig, probeer de gegevens die de ander kan inzien dan te beperken tot het minimale. Deel bijvoorbeeld alleen het document dat diegene nodig heeft en niet de hele map waar ook andere documenten in staan.
School-CERT
Wil je op de hoogte blijven over actuele ontwikkelingen op het gebied van cyberveiligheid voor het funderend onderwijs? Schoolbesturen kunnen zich gratis aanmelden voor School-CERT. Het CERT (Computer Emergency Response Team) voor het funderend onderwijs biedt efficiënte online ondersteuning in het geval van een cybersecurity-incident of datalek.
Heb je een vraag over het veilig bewaren en delen van bestanden? Neem dan contact met ons op via cert@kennisnet.nl.
Bron rechtevrije foto Alexandre Lecocq via Unsplash.
