In de zorg ontstaan regelmatig datalekken via verlopen domeinnamen. Om te voorkomen dat privacygevoelige gegevens van patiënten op straat komen, hebben het ministerie van Volksgezondheid Welzijn en Sport (VWS) en stichting Z-Cert (Computer Emergency Response Team voor de zorg) een handreiking opgesteld. Daarin staat wat zorgorganisaties kunnen doen om de kans op een datalek via een verlopen domeinnaam zo klein mogelijk te maken.
De handreiking Verlopen Domeinnamen is ontstaan als reactie op twee grote datalekken bij jeugdzorginstellingen (zie kader). In beide gevallen konden derden gevoelige data zoals patiëntgegevens inzien via een verlopen domeinnaam. Z-Cert adviseert stap voor stap welke maatregelen noodzakelijk zijn voor veilig beheer van domeinnamen. Deze zijn toegespitst op de huidige wet- en regelgeving.
In de handreiking staat dat zorginstellingen bij fusies, naamswijzigingen, faillissementen en de beëindiging van een project of praktijk scherp moeten letten op de registratie van domeinnamen. De domeinnamen worden namelijk na veertig dagen weer vrijgegeven als ze niet tijdig zijn verlengd of opgeheven bij Stichting Internet Domeinregistratie Nederland (SIDN; de organisatie die Nederlandse domeinnamen registreert).
In het stappenplan staat ook de oproep om webdomeinnamen goed in kaart te brengen. Bijvoorbeeld door bij te houden waarvoor ze worden gebruikt (e-mailadressen, adresboeken, geautomatiseerde mail naar het domein). Ook moet in het overzicht staan welke applicaties en systemen informatie uitwisselen met de domeinnaam. Eén van de belangrijkste checks is of er geen mailservers verbonden zijn aan de verlopen domeinnaam. Berichten kunnen anders eenvoudig in handen komen van derden, lees criminelen.
‘Tientje per maand’
In de handreiking stelt Z-Cert dat het aanhouden van een oude domeinnaam ‘verreweg de makkelijkste manier is’ om een datalek te voorkomen. ‘Een domeinnaam kost vaak maar een tientje per jaar.’
‘In sommige gevallen kan het onwenselijk of zelfs onmogelijk zijn om de domeinnaam te blijven verlengen, zoals bijvoorbeeld in het geval van een faillissement of pensioen. Houd een domeinnaam die niet meer wordt gebruikt tenminste nog tien jaar aan, met de voorwaarde dat er al minstens een jaar geen netwerkverkeer overheen loopt’, staat in de handreiking.
Datalekken door naamswijzigingen jeugdzorg-instellingen
Bureau Jeugdzorg Utrecht veranderde in 2015 zijn naam in Samen Veilig Midden-Nederland (SAVE). De oude website van Jeugdzorg Utrecht ging drie jaar later offline en zou normaal gesproken beveiligd worden afgesloten om misbruik te voorkomen. Dat gebeurde niet. Daardoor kwamen in 2019 duizenden dossiers op straat te liggen van kinderen die bij de Utrechtse instelling onder behandeling zijn. In de dossiers was zeer persoonlijke informatie te vinden, zoals gegevens over psychische stoornissen, details over misbruik en zelfmoordpogingen.
Ook bij de Noord-Hollandse organisatie Kenter Jeugdhulp ging het mis. Bij de naamswijziging van Jeugdriagg naar Kenter Jeugdhulp was onvoldoende oog voor de verlopen domeinnaam. Ook bij die instelling belandde privacygevoelige gegevens op straat. Staatssecretaris Paul Blokhuis (Volksgezondheid, Welzijn en Sport) uitte in de Tweede Kamer zijn zorgen over de beveiliging van persoonsgegevens in de jeugdzorg.
Begrijp ik het nu goed dat met het overnemen van een vrijgekomen domainnaam het wachtwoord van administratieve accounts van nog actieve website gereset konden worden zodat er toegang verkegen werd tot informatie? En moet ik de cijfers over datalekken corrigeren omdat er nogal wat gevoelige informatie naar verkeerde adressen wordt gestuurd doordat oude eigenaar geen ‘verhuisbericht’ heeft gestuurd?
@Een Oudlid Je kan met een domeinnaam e-mailverkeer opzetten naar dat domein, als er dan mensen zijn die oude emailadressen gebruiken krijg je deze dus onbedoeld binnen via het domeinnaam.