Een ex-ICT'er van het AZ Sint-Jan in Brugge kraakte maar liefst honderden computers op zoek naar naaktbeelden. Hoe gemakkelijk is het voor een IT-afdeling om aan privédocumenten van collega's te geraken? Ethisch hacker Inti De Ceukelaire hamert op meer cyberhygiëne. "Hoe eenvoudig het voor IT'ers is om aan intieme informatie te geraken, hangt af van hoe we er zelf mee omgaan."
Hoe eenvoudig raken collega-IT'ers aan intieme gegevens op je laptop van het werk?
Tom Antonissen
Gepubliceerd:
Toen eind 2021 een intern onderzoek begon nadat een van de vrouwelijke medewerkers aan de alarmbel had getrokken, moest de omvang van de zaak nog duidelijk worden. Dat is vandaag anders: het openbaar ministerie in Veurne schreef 950 potentiële slachtoffers aan, een dertigtal onder hen stelde zich uiteindelijk burgerlijke partij. De 42-jarige verdachte, voormalig ICT-systeembeheerder van het Brugse ziekenhuis, verschijnt in april volgend jaar voor de rechter.
Clandestiene tools
De rechtszaak roept vragen op over de toegang van IT’ers tot persoonlijke informatie op de bedrijfslaptops van hun collega's. “Zonder te willen wijzen naar de slachtoffers: hoe eenvoudig het voor hen is om aan intieme informatie te geraken, hangt ook af van hoe we er zelf mee omgaan”, vertelt ethisch hacker Inti De Ceukelaire in De Wereld Vandaag op Radio 1.
“Tegenwoordig gebruiken we onze computer voor het werk steeds meer voor persoonlijk gebruik. Dat kan wel eens fout gaan en daar staan mensen niet altijd bij stil.”
“IT'ers hebben veel macht, met goede redenen. Ze moeten snel kunnen ingrijpen als er een hack plaatsvindt, maar dat betekent ook dat ze bepaalde tools kunnen installeren die soms clandestien kunnen zijn.”
Wachtwoorden
Toegang tot inloggegevens hebben IT'ers normaal gezien niet, zegt hij. “De meeste werkgevers, zeker grote bedrijven, hebben wel degelijk een manier om computers toch een beetje in de gaten te houden vanop afstand. Maar die software bevat de functionaliteit om aan te melden niet. Werknemers hebben recht op privacy.”
“Wat een werkgever wel van jou kan opvragen, moet staan in je arbeidscontract of in het intern IT-veiligheidsbeleid waarover je geïnformeerd bent. Er is in dat opzicht geen reden om wachtwoorden bij te houden, wat ook niet betekent dat ze daar niet aan kunnen geraken.”
Uitzonderlijk is het voor IT’ers zelfs toegestaan om zonder toestemming een wachtwoord te gebruiken, vertelt hij. “Wanneer iemand bijvoorbeeld verdacht wordt van fraude en daar intern een bijzonder goed gedocumenteerde zaak rond is opgebouwd, kan je dat als IT-team doen zonder medeweten van de werknemer. Ook dat is niet altijd en overal toegestaan, maar ik ken wel een aantal van die gevallen.”
Beluister: ethisch hacker Inti De Ceukelaire in De wereld vandaag op Radio 1
Hoe makkelijk kan een IT'er aan persoonlijke informatie van collega's geraken?
Om risico’s te beperken, leg je als werknemer dus best zelf de nodige cyberhygiëne voor de dag, beklemtoont De Ceukelaire. “Een voorbeeld: ik zie veel mensen voor persoonlijke accounts hun e-mailadres van het werk gebruiken. Dat raad ik af, want je werkmails kunnen ook gelezen worden. Dat mag voor alle duidelijkheid niet altijd, je werkgever moet daar reden toe hebben, maar het kan dus wel. Voor elk account dat je zo aanmaakt, kan je werkgever het wachtwoord opnieuw instellen en er dus toegang tot verkrijgen. Als je iCloud daaraan vasthangt, kan je werkgever misschien op die manier aan je foto’s raken.”
“Persoonlijke documenten op je werklaptop plaatsen is niet altijd verboden — er zijn bedrijven die het tot op zekere hoogte tolereren — maar het is gewoon niet verstandig. Stel dat het bedrijf waarvoor je werkt het slachtoffer wordt van externe gijzelsoftware, dan kunnen het bij wijze van spreken ook jouw naaktfoto’s zijn die daarna gelekt worden.”
Worden IT'ers zelf voldoende gecontroleerd?
“Het is niet evident om de controleur zelf te controleren”, weet bedrijfsjurist Thomas Van Gremberghe van technologiefederatie Agoria. “Maar ik denk dat er als werkgever wel een aantal mogelijkheden zijn.”
“Een IT’er moet in principe toch begrijpen dat er een bepaalde integriteit en verantwoordelijkheidsplicht vasthangt aan zijn job. Als werkgever is het daarom sowieso belangrijk om bij sollicitanten een goede screening uit te voeren en voldoende navraag te doen.”
“Denk ook aan de algemene vertrouwelijkheidsplicht. Die staat in de wet en wordt meestal ook nog vertaald in de arbeidsovereenkomst. Bovendien zien we dat voor IT’ers vaak een soort gedragscode wordt opgesteld. De Kruispuntbank Sociale Zekerheid voorziet die specifiek voor ziekenhuizen, dus ik raad alle werkgevers aan daarnaar op zoek te gaan.”
