Het meest verontrustende aan datalekken is niet dat ze plaatsvinden. Het is dat ze gemiddeld meer dan tweehonderd dagen onopgemerkt blijven. Tweehonderd dagen waarin gegevens circuleren op het dark web, worden verhandeld en mogelijk misbruikt terwijl het getroffen bedrijf van niets weet.
Hoe is dat mogelijk? Omdat datalekken zelden gepaard gaan met een melding, een sirene of een zichtbaar alarm. Ze zijn stil, verborgen en ontworpen om onopgemerkt te blijven.
In dit artikel leggen wij uit wat een datalek precies is, welke signalen erop kunnen wijzen dat er iets mis is in jouw bedrijf, hoe je het onderzoekt en wanneer de wettelijke meldplicht van toepassing is.
Wat is een datalek?
Een datalek is elke inbreuk op de beveiliging die leidt tot de onbedoelde toegang tot, vernietiging van, verlies van, wijziging van of verstrekking van persoonsgegevens.
De definitie van de Autoriteit Persoonsgegevens is bewust breed. Het gaat niet alleen om gestolen data, ook verlies van een onversleutelde USB-stick met klantgegevens, een e-mail die per ongeluk naar de verkeerde ontvanger is gestuurd of ongeautoriseerde toegang tot een systeem telt als datalek in de zin van de AVG.
Drie typen datalekken komen het meest voor bij MKB-bedrijven:
Externe inbreuk. Een aanvaller krijgt toegang tot bedrijfssystemen via een gehackt account, malware of een kwetsbaarheid in software. Klant- of personeelsgegevens worden ingezien, gekopieerd of gestolen.
Intern incident. Een medewerker stuurt per ongeluk een bestand met persoonsgegevens naar een verkeerde ontvanger, of deelt gevoelige informatie zonder autorisatie. Ook dit is een datalek.
Verlies of diefstal van apparatuur. Een laptop, telefoon of USB-stick met onversleutelde bedrijfsgegevens raakt verloren of wordt gestolen.
De signalen van een datalek: wat je moet herkennen
De meeste datalekken worden ontdekt via externe bronnen, een klant die iets meldt, een beveiligingsonderzoeker die een lek publiceert, een melding van een platform dat is gehackt. Maar er zijn ook interne signalen die jij zelf kunt herkennen als je weet waar je op moet letten.
Verdachte loginactiviteit
Onbekende inlogpogingen of succesvolle logins op ongebruikelijke tijdstippen of vanaf onbekende locaties zijn een van de vroegste signalen van een gecompromitteerd account. De meeste zakelijke platforms, Microsoft 365, Google Workspace, boekhoudpakketten, tonen een logingeschiedenis. Controleer die regelmatig.
Let specifiek op: logins buiten werktijden, logins vanuit andere landen, en meerdere mislukte inlogpogingen gevolgd door een succesvolle login.
Onverklaarbare wijzigingen in accounts of systemen
E-mailfilterregels die niemand heeft aangemaakt. Doorstuurinstellingen naar een onbekend adres. Bestanden die zijn geopend of gewijzigd buiten werktijden. Gebruikersaccounts die zijn aangemaakt zonder dat iemand dit heeft gedaan.
Aanvallers die toegang hebben verkregen tot een systeem, brengen wijzigingen aan om hun toegang te behouden en hun activiteiten te verbergen. Onverklaarbare wijzigingen zijn een sterk signaal dat er iemand is geweest die er niet hoorde te zijn.
Ongebruikelijke dataoverdrachten
Grote hoeveelheden data die worden gedownload of verstuurd buiten normale werkpatronen zijn een klassiek signaal van data-exfiltratie, het stelen van gegevens. Veel bedrijven hebben hier geen zicht op zonder actieve monitoring, maar als jouw platform of server dit bijhoudt, zijn onverklaarbare pieken een rode vlag.
Meldingen van klanten of relaties
Een klant die meldt vreemde e-mails te hebben ontvangen “van jou”. Een leverancier die vraagt of jullie een bepaalde factuur hebben gestuurd. Een medewerker van een andere organisatie die meldt dat hun contactpersoon bij jullie hen om gevoelige informatie heeft gevraagd via e-mail.
Externe meldingen zijn een van de meest voorkomende manieren waarop bedrijven een datalek ontdekken. Ze zijn ook een teken dat het al enige tijd gaande is.
Systemen die trager worden of onverwacht gedrag vertonen
Ransomware begint zijn werk voordat het zich kenbaar maakt. In de aanloopfase, soms dagen of weken, wordt data verzameld en gekopieerd voordat versleuteling begint. In die periode kan een systeem trager zijn dan normaal, of onverwacht gedrag vertonen zonder duidelijke reden.
Een plotselinge vertraging van servers of werkstations zonder technische verklaring verdient altijd nader onderzoek.
Antivirussoftware of beveiligingssystemen die alarm slaan
Dit is het meest directe signaal. Meldingen van antivirussoftware, firewalls of beveiligingssystemen mogen nooit worden genegeerd of weggeklikt, ook niet als ze op het eerste gezicht een vals alarm lijken. Elke melding verdient onderzoek.
Een melding van een extern platform of dienst
Als een platform dat jouw medewerkers gebruiken aangeeft dat het is gehackt, is de eerste vraag altijd: hadden onze medewerkers daar een account? En gebruikten ze hetzelfde wachtwoord ook elders?
Volg dit altijd actief op, ook als het platform aangeeft dat de gegevens “versleuteld” waren. Versleuteld is niet hetzelfde als onbruikbaar.
Wat doe je als je een datalek vermoedt?
Vermoeden is niet hetzelfde als zekerheid maar wacht niet op zekerheid voordat je handelt. De schade van een datalek groeit met elke dag dat het onopgemerkt blijft.
Stap 1: Isoleer het probleem. Als je vermoedt dat een specifiek account, apparaat of systeem is gecompromitteerd, koppel het dan los van het netwerk. Verbreek de internetverbinding van het apparaat. Deactiveer het account. Dit beperkt de mogelijke verspreiding.
Stap 2: Documenteer wat je ziet. Maak screenshots, noteer tijdstippen en bewaar alle logs die beschikbaar zijn. Verwijder niets, ook bewijs dat op het eerste gezicht onbelangrijk lijkt kan later essentieel zijn.
Stap 3: Informeer de juiste mensen intern. Wie is de eigenaar of directeur? Wie is de IT-verantwoordelijke? Wie houdt zich bezig met privacy en AVG-compliance? Zorg dat de juiste mensen direct op de hoogte zijn.
Stap 4: Schakel externe expertise in. Een datalek correct onderzoeken vereist technische kennis. Een forensisch onderzoek, waarbij wordt vastgesteld wat er precies is gebeurd, welke gegevens zijn betrokken en hoe de aanvaller toegang heeft gekregen, is essentieel voor zowel de melding als de beveiliging achteraf.
Stap 5: Beoordeel de meldplicht. Zie hieronder.
De meldplicht: wanneer ben je verplicht te melden?
Dit is het onderdeel waar veel MKB-ondernemers onzeker over zijn en dat begrijpelijk is, want de regels zijn genuanceerd.
De basisregel: Als je als bedrijf persoonsgegevens verwerkt, wat vrijwel elk bedrijf doet en er vindt een inbreuk op die gegevens plaats, dan moet je die inbreuk melden bij de Autoriteit Persoonsgegevens. Binnen 72 uur na het moment waarop je het incident hebt ontdekt.
Wanneer geldt de meldplicht niet? Als het datalek waarschijnlijk geen risico oplevert voor de rechten en vrijheden van betrokkenen, hoef je niet te melden. Voorbeeld: een onversleutelde USB-stick met alleen bedrijfsintern materiaal zonder persoonsgegevens gaat verloren. Geen meldplicht.
Wanneer moet je ook betrokkenen informeren? Als het datalek waarschijnlijk een hoog risico oplevert voor de betrokkenen, mensen wiens gegevens zijn gelekt, moet je hen ook persoonlijk informeren. Dat is een aanvullende verplichting bovenop de melding bij de AP.
Wat als je het niet zeker weet? Meld bij twijfel. De Autoriteit Persoonsgegevens beoordeelt meldingen niet punitief als een bedrijf te goeder trouw meldt. Niet melden terwijl de meldplicht wel van toepassing was, kan leiden tot aanzienlijke boetes.
De 72-uurtermijn gaat in bij ontdekking, niet bij het moment van het lek zelf. Als een lek weken geleden is begonnen maar je het vandaag ontdekt, heb je 72 uur vanaf vandaag.
Hoe voorkom je dat een datalek onopgemerkt blijft?
Wachten op een extern signaal of een zichtbaar alarm is geen strategie. De meest effectieve manier om een datalek vroeg te detecteren is actieve monitoring op meerdere niveaus.
Loginmonitoring. Stel alerts in voor ongebruikelijke inlogpogingen op zakelijke accounts. De meeste platformen bieden dit als instelling maar je moet het zelf activeren.
Dark web monitoring. Zodra zakelijke inloggegevens opduiken in een datalek, wil je dat weten, voordat een aanvaller er gebruik van maakt. Continue monitoring van jouw domein op het dark web geeft je die voorsprong. Lees meer over onze dienst Gelekte Wachtwoorden →
Regelmatige audits. Wie heeft toegang tot welke systemen? Zijn er accounts van vertrokken medewerkers die nog actief zijn? Zijn er onbekende apparaten op het netwerk? Een periodieke toegangsaudit brengt dit in kaart.
Medewerkerstraining. De meeste datalekken beginnen bij menselijk handelen, een klik op de verkeerde link, een bestand naar het verkeerde adres. Medewerkers die weten hoe ze verdachte situaties herkennen en melden, zijn jouw vroegste detectiesysteem.
