Minister wil securitylessen putten uit datalekmeldingen bij AP

Volgens het CSR-advies ‘Beschikbaar stellen van datalekmeldingen voor wetenschappelijk onderzoek’ is het essentieel om dit onderzoeksproject te starten, zodat er betere aanbevelingen kunnen worden gemaakt voor de cyberweerbaarheid van de Nederlandse samenleving. Veel organisaties en bedrijven bevinden zich nog in grijs gebied als het gaat om cyberveiligheid. Door de voorgestelde analyse van praktijkgevallen kan de Raad beter en specifieker advies geven over in welke veiligheidsmaatregelen geïnvesteerd moet worden door organisaties.

Geanonimiseerde data

Twee jaar terug heeft de CSR in een advies al aangedrongen op het belang van informatieuitwisseling. Dit moet zorgen voor verhoogde veiligheid van Nederland in het algemeen en van organisaties in het bijzonder, aldus de Raad. Het project zal de komende anderhalf jaar worden uitgevoerd. Daarbij wordt de informatie van datalekmeldingen bij de Autoriteit Persoonsgegevens onder strikte voorwaarden verstrekt aan het Centraal Bureau voor de Statistiek (CBS). Via die instantie worden de geanonimiseerde gegevens dan beschikbaar voor wetenschappelijk onderzoek.

In Nederland is sinds 1 januari 2016 een meldplicht datalekken van kracht, waarmee ons land een voorsprong heeft genomen op Europese regelgeving GDPR (AVG in het Nederlands). "De meldplicht datalekken genereert elk jaar een substantiële hoeveelheid data rondom veiligheidsincidenten waarbij persoonsgegevens zijn betrokken", stelt de Raad in haar nieuwsbericht hierover. Aan de hand van het voorgenomen onderzoek zal de Cyber Security Raad kijken of en hoe zulke analyses in de toekomst structureel kunnen worden uitgevoerd.

Voorbereiden op digitale ontwrichting

De CSR is met dit advies gekomen naar aanleiding van het rapport ‘Voorbereiden op digitale ontwrichting’. In dat kritische rapport van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) wordt opgeroepen tot het breder delen van incidentdata, waaronder ook meldingen van datalekken. Het voorstel van de CSR is ook tot stand gekomen door de resultaten van het rapport ‘Scientific research data breach notification obligation', wat in opdracht van de Raad is opgesteld. In dat rapport uit 2018 is toen ook al het belang aangekaart van het beschikbaar stellen van datalekmeldingen.