Datalekfit voor organisaties
Ga ervan uit dat bepaalde gegevens van uw klanten mogelijk al zijn blootgesteld. En richt klantcontact en verificatie daarop in.
„Als iemand met alle gelekte gegevens van jouw klant telefonisch namens die klant kan handelen, doe je geen identiteitsverificatie. Dan doe je een kennistoets.”
Organisaties werken in cybersecurity al jaren met het principe assume breach: ga ervan uit dat een aanvaller mogelijk al binnen is en richt uw beveiliging daarop in.
Vooral binnen klantenservice, helpdesk-, identificatie- en verificatieprocessen past daarnaast een ander uitgangspunt: assume exposure.
Naam, adres, geboortedatum, e-mailadres, telefoonnummer of klantnummer zijn daardoor steeds minder geschikt om vast te stellen dat iemand daadwerkelijk de klant is.
De vraag wordt dan niet alleen:
“Hoe beschermen we persoonsgegevens?”
maar ook:
“Hoe handelen we veilig wanneer persoonsgegevens mogelijk al bekend zijn bij kwaadwillenden?”
Een beller noemt naam, adres en klantnummer. Is dat genoeg om gegevens te wijzigen?
Een ‘collega’ vraagt om een wachtwoordreset en kent de juiste details. Hoe stelt u vast wie het is?
Een verzoek om een rekeningnummer, e-mailadres of telefoonnummer aan te passen.
Herstelvragen en controlevragen die leunen op gegevens die mogelijk al gelekt zijn.
Op welke gegevens vertrouwen wij nu om vast te stellen dat iemand de klant of collega is?
Welke van die gegevens kunnen al bekend zijn bij kwaadwillenden?
Mogen medewerkers het gesprek verbreken en zelf terugbellen via een bekend kanaal?
Is het voor medewerkers veilig en normaal om twijfel of een fout direct te melden?