Even niet vergeten dat door jaren van vvd beleid de instanties ingrijpend zijn gekortwiekt voor je die nuance aanbrengt.
Kort gezegd en anders geformuleerd: eigenlijk is het dus zo dat bedrijven maar aan mogen rommelen? Want voor hen is de winst het belangrijkste?
Dan zitten we op dezelfde lijn.

Kort gezegd en anders geformuleerd: eigenlijk is het dus zo dat bedrijven maar aan mogen rommelen?
Dan zitten we op dezelfde lijn.

In mijn beleving mogen bedrijven niet aanrommelen. Kwaliteit is geen toeval en is niet gratis.
Maar de focus (AP) ligt teveel op opsporen en behandelen van foto's van kinderen op een (voetbal) vereniging en lijst met geslaagden dan de zaakjes voorelkaar hebben bij bedrijven met grote databases met vertrouwelijke informatie...

En je kunt wel ISO 27001 gecertificeerd zijn (zoals ODIDO beweert), maar er klaarblijkelijk toch nog een zootje van maken...

De groep Shinyhunters heeft vandaag het derde deel van de gestolen Odido-gegevens online gezet. Daarin zijn voor het eerst identificatiegegevens te vinden, zoals documentnummers van paspoorten en verblijfsdocumenten van diplomaten. Het gaat in totaal om 800.000 van deze identificatiegegevens.

Bron: RTL nieuws

veel van de reacties in dit draadje wordt de schuld 100% bij Odido gelegd. ... Dat vind ik niet terecht.

Uiteraard had men bij Odido de zaakjes meer op orde moeten hebben, maar welke mate van bescherming mogen we van ze verwachten of verlangen. Kijk eens naar de uitermate veilige branche van banken. Veiligheid zit in hun DNA. Toch worden heel wat van hun klanten opgelicht.

Dat mag natuurlijk, maar ik vind je argumenten niet sterk. Heb je je een beetje verdiept in hoe die hack heeft plaatsgevonden, en hoe makkelijk vervolgens miljoenen gegevens in een mum van tijd uit het klantensysteem werden getrokken? Er is al genoeg over geschreven: er zijn meerdere basale beveiligingen te noemen die dit onmogelijk zouden hebben gemaakt, dingen die ik als amateur nog kan verzinnen. En meerdere andere bedenkingen bij de manier waarop Odido dit klantensysteem had ingericht (o.a.: een klantenservice database moet helemaal geen toegang tot mijn paspoortgegevens hebben. Een gehackt account van één medewerker moet helemaal geen miljoenen gegevens in korte tijd kunnen benaderen/uitlezen/downloaden).

Vervolgens noem je de banken en hoe makkelijk klanten zich alsnog laten oplichten. Dat heeft er toch niets mee te maken? Bij Odido hebben de klanten geen domme dingen gedaan maar Odido zelf. Banken worden niet opgelicht of gehackt, klanten laten zich misleiden. Dat is een ander probleem.

Tussen de beveiliging van banken en de knulligheid van Odido zit volgens mij nog een heel groot gat. Dat is wel gebleken. Het is een belangrijke verantwoordelijkheid van bedrijven die miljoenen gevoelige gegevens opslaan om dat op een hele goeie manier te beveiligen en daar niet slordig mee om te gaan. Als ik het zo lees de afgelopen weken zijn de deskundigen het er wel over eens dat Odido hier flinke steken heeft laten vallen.

Overigens ook eens met nnsa hierboven: bedrijven die zoveel gevoelige data beheren moeten ook gecontroleerd worden door onafhankelijke instanties inclusief boetes bij non-compliance. Daar schort het hier ook aan, zo blijkt.

Had Odido de beveiliging op het niveau van de banken moeten brengen? Een fijne gedachte maar niet realistisch. Denk aan de extra kosten voor jou als klant en daarmee de concurrentiepositie van Odido.

In een wereld waarin hacks en digitale oplichting aan de orde van de dag zijn is het als klant noodzakelijk om weerbaar te zijn. Niet vertrouwen op overheid of bedrijven maar ook zelf goed over de veiligheid van je gegevens nadenken en daar waar dat kan maatregelen nemen.

Ook dit vind ik twee curieuze opmerkingen. De beveiliging mag een tandje lager want anders kost het teveel..? Het moet niet gekker worden.. En in je laatste zin suggereer je dat de klant hier iets te verwijten valt of iets aan had kunnen doen. Ik ben weerbaar (enorm!) en ik denk supergoed na over de veiligheid van mijn gegevens en neem alle maatregelen die ik zelf kán nemen. En toch ligt alles van mij nu op straat.

Leg mij nog maar eens uit (met goeie argumenten) waarom Odido hier niet 100% voor verantwoordelijk is. Oh ja, ik natuurlijk geen abonnement bij hun moeten afsluiten: dat is inderdaad mijn eigen schuld. Dom .

Het argument dat ik gaf is dat wanneer Odido de beveiliging op het niveau van banken zou brengen dit extra kosten voor de klanten met zich meebrengt en daardoor de concurrentiepositie verzwakt.

Dit heb je veranderd in dat ik zou beweren dat de beveiliging een tandje lager mag omdat het anders teveel kost.

Dat is vervolgens makkelijk af te schieten wat je overigens onbeargumenteerd doet ("het moet niet gekker worden").

Ik vind het prettiger wanneer in een discussie op de gegeven argumenten ingegaan wordt in de context waarin deze geplaatst zijn.

Eenvoudiger dan: ik heb nog nooit van een bank in Nederland gehoord dat alle klantgegevens werden gejat. Dus ja: de beveiliging van klant-data bij Odido mag (moet!) van mij richting dat niveau. En dat zou voor alle bedrijven moeten gelden die gevoelige gegevens beheren. Hoe precies daar gaat het niet om: ik gaf aan dat het bij Odido zeer slecht geregeld was, op het amateuristische af.

De relatie met kosten en concurrentiepositie zie ik niet zo. Het is maar hardware en software, en vooral keuzes in de manier waarop je processen en procedures inricht. Waarom zou dat enorm veel duurder moeten zijn, zodanig dat je niet meer concurrerend bent? Het is juist logischer om ervan uit te gaan dat de concurrenten van Odido dit wel beter op orde hebben. Die zijn immers niet gehackt. Inbrekers kiezen ook voor de makkelijkste huizen.

Maar goed: even terug naar je hoofd-stelling:

Bij veel van de reacties in dit draadje wordt de schuld 100% bij Odido gelegd. Dat vind ik niet terecht.

Waar moeten we een deel van de schuld dan leggen volgens jou?

Odido-hackers publiceren resterende klantdata, ook miljoenen ID-nummers.
https://nos.nl/artikel/2604461-odido-hackers-publiceren-resterende-klantdata-ook-miljoenen-id-nummers

De criminelen die miljoenen klantgegevens hebben gestolen van Odido hebben alle resterende data online gezet.

Bron: nu.nl

En weer is de communicatie van Odido zeer slecht. Ondanks al het wereldnieuws (Iran) is het op alle nieuwssites nieuws. Maar Odido zwijgt. Geen update op hun site of email.

Het argument dat ik gaf is dat wanneer Odido de beveiliging op het niveau van banken zou brengen dit extra kosten voor de klanten met zich meebrengt en daardoor de concurrentiepositie verzwakt.

Ik weet niet of het niveau van beveiliging van de banken nou zou extreem bijzonder is, en of dat nou zo duur is dat het klanten geld kost. Volgens mij doe jij aannames die je opvoert als argumenten. Scam en fraude kosten de banken handenvol geld, en dat kun je gedeeltelijk besparen met een hoge mate van beveiliging.

Of de beveiliging van een provider het niveau van de banken moet hebben is ook niet relevant. De digitale beveiliging moet tegenwoordig bij elk bedrijf een bepaalde mate van kwaliteit hebben. Punt. En dat heeft helemaal geen 'extra' geld te kosten. Het gaat er bv om hoe je je training geeft aan nieuwe en bestaande medewerkers, welke protocollen je gebruikt, hoe je controleert of die protocollen nog juist worden gebuikt, en of die protocollen nog voldoen. Dit hoort allemaal bij de integrale kernactiviteiten en is dientengevolge geen aparte onkostenpost.

Jij schurkt wel erg dicht tegen victim-blaming aan: 'had je maar geen klant moeten zijn van Odido'. Want dat is zoals @boiing opmerkt, de enige keuze in deze materie die je zelf had kunnen maken.

@boiing

Je laatste vraag had ik al beantwoord.

Jammer dat je niet ingaat op het verdraaien van een van mijn argumenten.

Ik ben het met je eens dat de beveiliging van alle bedrijven die gevoelige gegevens hebben op het niveau van banken zou moeten zijn.

Helaas is dat niet realistisch omdat dit niet wordt afgedwongen. Niet door de overheid, de AP treedt alleen achteraf op, het kwaad is dan al geschiedt.
En evenmin door de klanten, de goedkoopste leverancier heeft doorgaans de voorkeur.

Door een bedrijf moet een optimum gekozen worden tussen wat door klanten gewenst is en wat bedrijfsmatig aanvaardbaar is. Dat hierin fouten gemaakt worden is niets anders dan realiteit.

Als klant dien je je daar bewust van te zijn en moet je niet alleen op anderen vertrouwen. Dat was in het verleden al zo en daar verandert deze hack niets aan.

Ik weet niet of het niveau van beveiliging van de banken nou zou extreem bijzonder is, en of dat nou zo duur is dat het klanten geld kost. Volgens mij doe jij aannames die je opvoert als argumenten…

+1

De hoofdschuldige is ODIDO, die hebben hun ‘zaakjes’ niet voor elkaar.
Daarnaast moet de AP en de certificeringsinstantie voor NEN-EN ISO 27001 ook maar eens afvragen of ze hun zaakjes voor elkaar hadden. Zou best het audit-rapport eens willen lezen…

Door een bedrijf moet een optimum gekozen worden tussen wat door klanten gewenst is en wat bedrijfsmatig aanvaardbaar is. Dat hierin fouten gemaakt worden is niets anders dan realiteit…

Een bedrijf met de grootte van ODIDO wordt ook geacht (moet) Maatschappelijk Verantwoord te Ondernemen…

@boiing Je laatste vraag had ik al beantwoord.

Tsja, dan concludeer ik dat je bedoelt dat 'de klanten' mede schuld hebben, want die noem je vijf keer in je eerdere stukje.

Als klant dien je je daar bewust van te zijn en moet je niet alleen op anderen vertrouwen.

En hier nogmaals. Sterker nog: ik had beter moeten weten als klant, want de goedkoopste provider etc.. (onzin overigens, ze ontlopen elkaar allemaal niet veel). Echt, ik kan deze redenering totaal niet volgen en hij klopt wat mij betreft van geen kanten.

En verder zie Flix, dat bedoel ik.

@boiing

Zolang je blijft verzinnen wat mijn argumenten volgens jou betekenen is het moeilijk om serieus te discussieren.

Ik heb niet beweerd dat je als klant beter had moeten weten want de goedkoopste provider etc. dat maak jij er maar weer van. Wanneer je dat zo uitlegt snap ik wel dat je er niets van begrijpt.

Een redenering niet kunnen volgen maar wel kunnen beweren dat die niet klopt snap ík dan weer niet.

Wat is dan wel de strekking van mijn argument?

Gezien dat de concurrentie op de telecommarkt moordend is zal een prijsverhoging ervoor zorgen dat klanten voor een andere, doorgaans goedkopere aanbieder kiezen.

Dat striktere beveiliging tot op het niveau van banken nauwelijks extra kosten opleveren zodat er geen prijsverhoging nodig is acht ik niet erg waarschijnlijk.

Zolang je blijft verzinnen wat mijn argumenten volgens jou betekenen is het moeilijk om serieus te discussieren. Ik heb niet beweerd dat je als klant beter had moeten weten want de goedkoopste provider etc. dat maak jij er maar weer van.

Eén post eerder:

…
En evenmin door de klanten, de goedkoopste leverancier heeft doorgaans de voorkeur.

Het zal wel aan mij liggen dan dat ik alles verkeerd begrijp en verdraai 🤷🏻‍♂️…

Wat is dan wel de strekking van mijn argument?

Gezien dat de concurrentie op de telecommarkt moordend is zal een prijsverhoging ervoor zorgen dat klanten voor een andere, doorgaans goedkopere aanbieder kiezen.

Ja, en dus? Zeg nou eens precies wat je bedoelt en waarom dat met verantwoordelijkheid voor de hack te maken heeft. Volgens mij zijn we het eens over het feit dat jij vindt dat de klant inzake de Odido hack deels verantwoordelijkheid draagt. Daar begon je deze discussie mee. Hoe had ik - als klant - dan mijn keuze moeten maken om de kans op een hack van mijn gegevens zo klein mogelijk te laten zijn? Ik begrijp dat echt niet. Had ik voor de duurste provider moeten kiezen? Zo ja, welke is dat dan? Hoe weet ik dat een duurdere provider zijn beveiliging beter op orde heeft? Hoe heb je zelf je keuze gemaakt op dit gebied?

Ik kan jouw redenering vooralsnog niet anders samenvatten dan: had je maar geen mobiel abonnement moeten nemen. Als je dat bedoelt dan zijn we uitgepraat denk ik.

Ik heb het idee dat jij je hebt vastgebeten in de veronderstelling dat ik de klanten van Odido medeverantwoordelijk acht voor deze hack.

Dat is niet zo. Wat ik bedoelde is dat ook klanten zelf een verantwoordelijkheid hebben in het herkennen en adequaat reageren op gevolgen van dit soort hacks. Dat was altijd al zo. Daar verandert deze hack niets aan.

Ja, daar had ik me in vastgebeten inderdaad. Over dat laatste zijn we het uiteraard eens, maar zo begon ons onderonsje niet hè.. De vraag blijft wie je dan medeschuldig acht, maar laat maar .

Bij veel van de reacties in dit draadje wordt de schuld 100% bij Odido gelegd. Dat vind ik niet terecht.

Mijn inziens is dat men erop moet kunnen vertrouwen dat een provider zijn beveiliging op orde heeft, immers de klanten betalen er grof geld voor èn leggen hun vertrouwen bij provider neer.

Ten tweede is dat de klanten ook altijd zelf even alert moet blijven voor wat betreft beveiliging. Maar niet iedereen is even technisch onderlegd en/of naïef: 'het werkt'.

Maar ze hadden hun database op orde moeten hebben. De ex-klanten hadden allang verwijderd moeten zijn. En ja, dat is schuld van odido.

Hebben andere providers ook soort statement gemaakt of ze hun beveiliging op orde hebben? Want dat is wat ik me afvraag als niet-klant van Odido.

@boiing

Ook de overheid in de vorm van de AP vind ik medeschuldig. Pro-actief handhaven van regels (zoals b.v. de bewaartermijn) is noodzakelijk. Geen handhaving, geen naleving.

@iSan
Er op kunnen vertrouwen dat een bedrijf de beveiliging op orde heeft klinkt heel fijn maar is niet de realiteit. Hacks van bedrijven, instanties en zelfs de overheden komen zeer regelmatig voorbij. En dan zijn er ook nog de onbedoelde stommiteiten van medewerkers.

Je kunt als klant/burger beter investeren in weerbaarheid bij calamiteiten zoals deze.

Of andere providers hun beveiliging wél op orde hebben is een interessant punt. Nu was Odido aan de beurt, wie is dat straks. Hopelijk is men de interne procedures en rollen met de nieuwe kennis opnieuw aan het beoordelen.
En dan graag niet alleen bij de telecombedrijven.

Even niet vergeten dat door jaren van vvd beleid de instanties ingrijpend zijn gekortwiekt voor je die nuance aanbrengt.

De VVD (of welke andere partij dan ook; het moet in ieder geval een kamermeerderheid zijn geweest in zowel de Eerste als de Tweede Kamer) kan bezuinigen, maar dat ontslaat instanties nog niet om hun werk te doen. Dus AP moet te allen tijde een Autoriteit zijn inzake Persoonsgegevens. Daar hoort handhaving bij (regelgeving hoeven ze niet te doen, dat doet de politiek).

Bedrijven doen wel vaker domme dingen. Zo moet de publieke omroep bezuinigen (volledig terecht, er zijn teveel clubs die teveel dubbel doen en baasjes die teveel verdienen), maar in plaats van dat ze baasjes ontslaan en de uitgaven voor sport, wat ook prima door de commerciële omroepen kan worden uitgezonden, drastisch gaan verminderen (zie bv ook Lubach), gaan ze snijden in programma's die je verwacht bij de publieke omroep. Hoe dom!

Oftewel: de AP kan en mag zich niet verschuilen achter de politiek. En de NPO ook niet; ze zijn geen slachtoffer van de bezuinigingen, zij zijn de reden dat de bezuinigingen nodig zijn.

De VVD (of welke andere partij dan ook; het moet in ieder geval een kamermeerderheid zijn geweest in zowel de Eerste als de Tweede Kamer) kan bezuinigen, maar dat ontslaat instanties nog niet om hun werk te doen. Dus AP moet te allen tijde een Autoriteit zijn inzake Persoonsgegevens. Daar hoort handhaving bij (regelgeving hoeven ze niet te doen, dat doet de politiek)…

De AP is inmiddels ook zelf gehacked…

https://www.security.nl/posting/926697/Ivanti+EPMM-servers+van+meerdere+Nederlandse+overheidsinstanties+gehackt

Je kunt als klant/burger beter investeren in weerbaarheid bij calamiteiten zoals deze.

Dat klinkt natuurlijk mooi. Maar je neemt als consument een produkt af. Dan mag je verwachten dat dat veilig is. En nu zoekt de consument het maar uit.

je neemt als consument een produkt af. Dan mag je verwachten dat dat veilig is.

Helaas kom je dan nogal eens bedrogen uit. Denk aan blauwe bessen met hepatitis a of speelzand met asbest.

Helaas kom je dan nogal eens bedrogen uit. Denk aan blauwe bessen met hepatitis a of speelzand met asbest.

Maar die producten kan je terugbrengen…

Helaas kom je dan nogal eens bedrogen uit. Denk aan blauwe bessen met hepatitis a of speelzand met asbest.

Maar dan vindt er een terugroepactie plaats waarover over het algemeen goed gecommuniceerd wordt; er wordt duidelijk verteld wat je moet doen. Bij Odido blijft het echter stil en moet je het zelf maar uitzoeken. Ik weet bijvoorbeeld nog steeds niet wat er precies van mij gelekt is.