HAN University of Applied Sciences krijgt boete van 175.000 euro voor onvoldoende beveiliging

Waar het over gaat

In 2021 kwam een hacker via SQL-injectie in een webformulier binnen op een webserver en een databaseserver van de HAN. Die server bevatte enkele honderdduizenden records, waaronder namen met wachtwoorden, bijzondere persoonsgegevens, 407 BSN's en 183 documentnummers van legitimatiebewijzen. De hacker eiste tevergeefs losgeld. De AP stelde vier tekortkomingen vast. Er waren onvoldoende maatregelen tegen SQL-injectie en logging en monitoring waren te beperkt. Een databaseaccount had onbeperkte rechten op 282 databases. Gegevens van uitgefaseerde applicaties werden onnodig bewaard. Wachtwoorden stonden in platte tekst of waren gehasht met MD5/SHA1. Dat is een overtreding van artikel 32 AVG. De basisboete van 310.000 euro is verlaagd naar 175.000 euro. Redenen: de HAN beperkte de gevolgen voor betrokkenen actief, er liep al een beveiligingsproject en de HAN licht andere organisaties voor. De AP schikt de zaak; de HAN tekent geen bezwaar aan.

Wat dit betekent voor de praktijk

Een datalek is op zichzelf geen overtreding. Het ontbreken van een risicoanalyse en van passende maatregelen is dat wel. Een beveiligingsbeleid op papier is niet genoeg: least privilege en verwijderbeleid moeten ook echt worden uitgevoerd. Beperk accountrechten tot wat nodig is, log en monitor databaseverkeer, ruim gegevens van uitgefaseerde applicaties op en actualiseer de hashing van wachtwoorden. De boete valt aanzienlijk lager uit als je de schade voor betrokkenen actief beperkt, al investeert in beveiliging en lessen deelt met anderen.

De AVG-artikelen waar het om gaat

• Artikel 32: Beveiliging van de verwerking