1 Harm van Koppen Amsterdam, juni 2015 De nieuwe meldplicht datalekken WBP Voorgestelde wijzigingen en wat dit inhoudt voor uw organisatie.

Presentatie over: "1 Harm van Koppen Amsterdam, juni 2015 De nieuwe meldplicht datalekken WBP Voorgestelde wijzigingen en wat dit inhoudt voor uw organisatie."— Transcript van de presentatie:

1 1 Harm van Koppen Amsterdam, juni 2015 De nieuwe meldplicht datalekken WBP Voorgestelde wijzigingen en wat dit inhoudt voor uw organisatie

2 2 Agenda Voorgestelde EU Data Beschermingsverordening Poll resultaten: Europeanen en databescherming Hoe ben je in overeenstemming met de verordening, en hoe minimaliseer je boetes in geval van een datalek Stop datalekken, om te beginnen Hoe Sophos kan helpen 1102 -

3 3 3 EU Data Beschermingswet 1102 -

4 4 Amendments from European Parliament 21 November 2013 (1102 paginas) Project of Regulation European Commission 25 January 2012 (118 paginas) Press pack from the European Commission 22 October 2013 Bronnen Handboek Europese Gegevensbeschermings wetgeving Raad van Europa December 2013 Interinstitutional File Presidency 11 June 2015 (201 paginas) 1102 -

5 5 Te zorgen voor een enkele Europese wet om het huidige inconsistente raamwerk van nationale wetten te vervangen. Moderniseer de principes, heilig verklaard in de EU Data Beschermingsrichtlijn van 1995 Doel

6 6 Voordelen van de nieuwe verordening Voordelen voor organisaties 1.Éen EU markt, éen wet 2.One-stop-shop – een enkele toezichtsautoriteit 3.Dezelfde regels voor alle bedrijven Voordelen voor EU-burgers 1.Betere databescherming 2.Geeft mensen de controle

7 7 Focus op Databescherming in WBP 3 sleutelartikelen over databescherming: 1.Beveiliging van de verwerking (Artikel 13) A. voorkom onrechtmatige toegang tot persoonsgegevens B. Onder onrechtmatige vormen van verwerking vallen de aantasting van de gegevens, onbevoegde kennisneming, wijziging, of verstrekking daarvan. 2.Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit (Artikel 34a, lid1) De verantwoordelijke stelt het College onverwijld in kennis van een inbreuk op de beveiliging, bedoeld in artikel 13, die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. 3.Melding van een inbreuk in verband met persoonsgegevens aan de betrokkene (Artikel 34a, lid2) De verantwoordelijke, bedoeld in het eerste lid, stelt de betrokkene onverwijld in kennis van de inbreuk, bedoeld in het eerste lid, indien de inbreuk waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer. (Geschatte € 16,60 nalevingskosten.)

8 8 Wat moet je weten Organisaties moeten: ￮ passende beveiligingsmaatregelen nemen om persoonsgegevens te beschermen ￮ een duidelijk databeschermingsbeleid hebben voor persoonsgegevens ￮ een functionaris voor gegevensbescherming aanwijzen (behalve MKB) Boetes voor onbeschermde datalekken kunnen oplopen tot €450.000 Als je data lekt maar kunt aantonen dat de persoonsgegevens niet door onbevoegden gebruikt kunnen worden (want versleuteld): ￮ Wordt de kans op een boete sterk verlaagd ￮ Is er geen meldingsplicht richting de betrokken EU-burgers

9 9 De stappen m.b.t. de Europese wet 25 januari 2012 – Eerste wetsvoorstel door EU Commissielid Vivian Reding Januari 2012 – oktober 2013 – Uitgebreide discussies en amendementen bij het wetsvoorstel 12 maart 2014 – Europees Parlement stemt met overweldigende meerderheid voor deze wet (95%) De Verordening moet nog een aantal stappen doorlopen, maar de wet zal in december 2015 aangenomen zijn.

10 10 De stappen m.b.t. de Nederlandse wet Aanscherping WBP op 10 februari 2015 voorgesteld door Tweede Kamer. Aanscherping WBP op 26 mei 2015 akkoord bevonden door de Eerste Kamer. WPB aangescherpt per 4 juni 2015. Melding in Staatsblad 2015-230

11 11 Poll resultaten: Europeanen en databescherming

12 12 Poll: Wie is bevraagd Land … per organisatiegrootte Figure D1:Analysis of respondent country Asked of all respondents (1500) Figure D2:Analysis of organisational size Asked of all respondents (1500)

13 13 Poll: de resultaten Bijna tweederde (65%) is bezorgd over de bescherming van hun bedrijfsgegevens 49% is niet op de hoogte van een databeschermingsbeleid 51% van de bedrijfslaptops is versleuteld Slechts 23% beschermt zowel klanten- als personeelsdata Significante actie is vereist om persoonsgegevens te bescherming en te voldoen aan de aanstaande Verordening

14 14 Hoe aan de nieuwe verordening te voldoen

15 15 De sleutel is versleuteling Door de Verordening moeten bedrijven : 1. ‘passende beveiligingsmaatregelen’ nemen om persoonsgegevens te beschermen  Versleuteling wordt algemeen gezien als de beste databeschermingsmaatregel die er bestaat 2. Informeer betrokken partijen in geval van een datalek  Als je kunt bewijzen dat de data versleuteld was hoef je de individuele EU-burgers geen kennisgeving te sturen 3. Boetes betalen wanneer persoonsgegevens gelekt zijn  Wanneer de data aantoonbaar versleuteld was is de kans klein dat er daadwerkelijk een boete wordt opgelegd.

16 16 De sleutel is versleuteling Technische en organisatorische maatregelen dienen cumulatief te worden getroffen. Software is een belangrijk instrument tot beveiliging. Dit wetsvoorstel geeft de normen die mede met behulp van software dienen te worden gehandhaafd. Klassieke technische beveiligingsmaatregelen omvatten mede de fysieke afscherming van de randapparatuur die toegang geeft tot de te beveiligen gegevens. Daarnaast zijn er de modernere informatietechnologische maatregelen zoals beveiliging met een «password» en door middel van encryptie. Grotere bedrijven zullen een eigen beveiligingsafdeling hebben. Kleinere bedrijven zullen beveiligingsexpertise van buitenaf inhuren. Wat betreft encryptie zijn de initiatieven vermeldenswaard van de Europese Commissie om te komen tot een min of meer uniform systeem van vertrouwenstussenpersonen (trusted third parties) binnen de Europese Unie. (Bron: Richtsnoeren CBP: beveiliging persoonsgegevens)

17 17 Verloren of Gestolen Apparaat Onversleuteld Versleuteld Verlies of diefstal van een apparaat kan iedereen overkomen, en overkomt dus ook velen van ons. Alleen geauthoriseerde gebruikers zouden iets met deze apparaten moeten kunnen. Hoeveel apparaten heb jij verloren?

18 18 Zet bestanden op Removable Media Op deze kleine apparaatjes past heel veel data, maar je bent ze zo kwijt Blokkeer je ze of bescherm je de data erop? Waar is je eerste USB stick en wat staat erop?

19 19 Zet bestanden in E-Mail We emailen allemaal & we maken allemaal wel eens een foutje (het gebeurt) Wat kan het gevolg zijn van het verkeerde bijvoegsel aan de verkeerde persoon sturen? Versleutel je bestanden, of inspecteer je op de Gateway?

20 20 Zet bestanden op een Network Share De huidige Operating Systems maken het delen van data op het Network zeer eenvoudig. Bescherm tegen interne dreigingen. Wie is bevoegd voor bedrijfs- of persoonsgegevens?

21 21 Zet bestanden in de Cloud Cloud Storage heeft de manier waarop data tussen gebruikers een apparaten wordt gedeeld gerevolutioneerd. Wat heb jij in de Cloud staan, en wat gebeurt er als iemand het steelt? Versleutel de data voordat je het in de Cloud zet.

22 22 Een solide databeschermingsstrategie Data is waar het om gaat 1.Hoe gaat data je organisatie in en uit? 2.Wat doen de gebruikers met de data? 3.Wie heeft er toegang tot data?

23 23 Datalekken voorkomen

24 24 5 stappen om datalekken te voorkomen 1.Zorg dat je patches up-to-date zijn Data-stelende malware maakt vaak gebruik van bekende kwetsbaarheden. 2.Gebruik meerlaagse bescherming Malware komt binnen via Web en Mail, hou het daar tegen waar het de organisatie binnenkoment 3.Kies voor Advanced Threat Protection Gebruik een next-generation firewall die aanvallen op het netwerk detecteert en tegenhoudt, maar ook data exfiltratie tegenhoudt. 4.Gebruik Selective Sandboxing Tegen malware die zich in het begin “netjes” gedraagt. 5.Limiteer verspreiding van gevoelige data Maak gebruik van Application Control en Data Control

25 25 Hoe Sophos kan helpen

26 26 Onze topgeklasseerde versleutelingsoplossingen zijn passende beveiligingsmaatregelen om persoonsgevens te beschermen

27 27 SafeGuard Enterprise Encryption Versleutelt data op allerlei apparaten en operating systems Vertraagt niet – en zit niet in de weg van de workflow en processen van de organisatie Inclusief centraal beheer van Microsoft’s BitLocker en Apple’s FileVault Voorziet in uitgebreide rapporten om naleving aan te kunnen tonen SafeGuard verzekert dat persoonsgegevens beschermd zijn in geval van een datalek

28 28 SPX Email Encryption Emailversleuteling en DLP oplossing die privacy, vertrouwelijkheid en integriteit van gevoelige emails beschermt. Detecteert automatisch wanneer gevoelige informatie de organisatie verlaat, en blokkeert of versleutelt.. Neemt beveiliging uit de handen van uw medewerkers en regelt het voor hen. Beschikbaar in Sophos UTM en de Sophos Email Appliance

29 29 We kunnen helpen bij het opzetten van databeschermingsbeleid

30 30 Voorbeeld databeschermingsbeleid Gebruik het Sophos voorbeeldbeleid als basis. Pas het aan voor je eigen organisatie.

31 31 En we kunnen helpen bij het voorkomen van datalekken

32 32 Bescherming tegen hackers en onopzettelijk dataverlies Sophos Endpoint Protection ￮ Patch assessment om ontbrekende patches te identificeren en prioritiseren ￮ Application Control ￮ Malicious Traffic Detection ￮ Data Control ￮ Geavanceerde web bescherming ￮ Data Leakage Protection Sophos UTM ￮ Advanced Threat Protection ￮ IDS / IPS ￮ Selective sandboxing ￮ Geavanceerde web bescherming ￮ Optionele SPX email versleuteling

33 33 Om je te helpen Voorbeeld Databeschermingsbeleid EU Data Security Compliance Check in 60 seconden Whitepaper over EU Data Protection Regulation Probeer gratis: Sophos SafeGuard Enterprise and SPX email encryption Te vinden op www.sophos.com/EUwww.sophos.com/EU

34 34 © Sophos Ltd. All rights reserved. Deel uw mening of vragen: @SophosBenelux