KSF-data betrokken bij beveiligingsincident bij externe partner

KSF is de afgelopen week geïnformeerd over een beveiligingsincident bij een externe hostingpartner van onze samenwerkingspartner voor het KSF Trendpanel en de KSF Trendmonitor. Voor deze onderzoeken wordt (deels) gebruikgemaakt van chatvragenlijsten.

Bij het incident is van buitenaf toegang verkregen tot enkele back-upbestanden met data uit deze chatvragenlijsten. Specifiek gaat het om data die is gebruikt voor het uitnodigen van personen voor de laatste KSF Trendpanelpeiling en de gegevens die respondenten in deze vragenlijst hebben achtergelaten. Daarnaast zijn ook enkele bestanden met chatvragenlijsten voor de onboarding voor het KSF Trendpanel en de KSF Trendmonitor betrokken. Er zijn geen andere systemen of data van KSF betrokken of van onze samenwerkingspartner betrokken. Er is geen aanleiding om aan te nemen dat de actie specifiek gericht was op KSF of op onze partner.

Data

Het incident heeft voor KSF betrekking op vier bestanden met 2.386 registraties van in totaal 2.298 verschillende personen. In de meeste gevallen gaat het om naam, veelal zakelijk e-mailadres en organisatienaam. In enkele gevallen gaat het ook om telefoonnummers. Bij recente aanmeldingen als lid voor het KSF Trendpanel kan daarnaast mogelijk een geboortedatum betrokken zijn. In de chatvragenlijst voor de KSF Trendmonitor wordt alleen naar naam, emailadres en telefoonnummer gevraagd. 

Het uitgangspunt bij de vragenlijsten van KSF is dat in principe niet gevraagd wordt naar gegevens die naar personen of organisaties herleidbaar zijn. Respondenten kunnen wel een e-mailadres achterlaten om deel te nemen aan een winactie. Ook kan iemand een telefoonnummer achterlaten wanneer hij of zij in de toekomst via WhatsApp of sms wil worden uitgenodigd voor onderzoek. Personen die aangeven lid te willen worden van het KSF Trendpanel krijgen een korte aanvullende vragenlijst daarin wordt naar de geboortedatum gevraagd.

Melding gemaakt

Zodra duidelijk werd dat er KSF-data bij het incident betrokken waren, heeft KSF de personen die hierdoor mogelijk zijn geraakt zo snel mogelijk op de hoogte gebracht. Ook is melding gedaan bij de Autoriteit Persoonsgegevens. Het onderzoek naar het incident bij de externe hostingpartner loopt nog. Op dit moment zijn er geen aanwijzingen dat de betrokken gegevens openbaar zijn gemaakt of actief worden misbruikt.

KSF en haar samenwerkingspartner betreuren dat dit incident heeft plaatsgevonden. KSF werkt met een ISO-gecertificeerde partner en hanteert strenge procedures en voorschriften voor de beveiliging van persoonsgegevens. Tegelijk onderstreept dit incident hoe belangrijk blijvende aandacht voor cyberveiligheid is, juist in de hele keten van organisaties, leveranciers en hostingpartijen.

Samen met haar samenwerkingspartner kijkt KSF welke lessen uit dit incident kunnen worden getrokken. Die nemen we mee in onze eigen werkwijze en, vanuit onze rol als brancheorganisatie, in de kennisdeling met leden.