Moet mijn werkgever geen tweefactorauthenticatie op het HRM-portaal zetten?

Een lezer vroeg me:

Bij veel bedrijven kan je op een portaal o.a. je loonstroken, jaaropgaven, n.a.w gegevens raadplegen. En vaak ook HRM vragen indienen. Hierbij wordt geen mogelijkheid geboden om 2FA gebruiken bij het inloggen. Er is ook geen keuze om dit ‘dicht’ te zetten. Is dat wel conform de AVG, 2factorauthenticatie is toch een vrij basaal middel? Kan ik mijn werkgever aansprakelijk stellen?

De AVG eist dat je bij alle applicaties die persoonsgegevens verwerken een adequaat niveau van beveiliging realiseert. Perfectie wordt niet verlangd, het moet gewoon oké zijn gezien het soort gegevens, het soort risico’s en de kosten en moeite.

Helaas is er geen makkelijke checklist waarmee je kunt kijken welke maatregelen je moet nemen. Dit moet je zelf analyseren en uitwerken. En als je grote risico’s ziet, dan moet je een DPIA uitvoeren.

Sommige maatregelen zijn zo basaal dat er nauwelijks discussie over kan zijn. Dat je een wachtwoord op een account zet, lijkt me voor zich spreken. SSL op je bestelpagina, ook geen twijfel. Bij 2FA kom je voor mijn gevoel nog net iets meer in een discussiegebied: het is weer even wat extra kosten en gedoe, je moet een 2FA kastje of app hebben, en omdat het hier om privéinformatie gaat (de loonstroken etc) moet dat dan de privételefoon zijn of de zakelijke?

Daarnaast zou het voor mij ook relevant zijn of het gaat om een intranet waar je alleen na centraal inloggen bij kunt, of een openbare dienst waar je gewoon apart inlogt. Als die centrale inlog al veilig is, of alleen vanuit kantoor kan, dan zie ik even de aanvullende veiligheid van 2FA op dit specifieke portaal niet.

Ik zou eens beginnen met de werkgever te vragen waarom 2FA niet ingevoerd is en of dat op de planning staat. Maar die vraag vereist altijd context; de belangenafweging bij beveiliging.

Arnoud

6 reacties

  1. Met wat ik van computerbeveiliging weet vind ik een gebruikersnaam/wachtwoord combinatie onvoldoende om geldswaardige informatie te beschermen tegen ongeautoriseerde inlogpogingen vanaf het Internet. (Zie de berg inloggegevens bij HaveIBeenPwned.) Het is naar mijn mening goed genoeg voor het beschermen van een account op een publiek forum. Medische en financiële gegevens (ik reken HRM daar ook bij) die op een Internetportal aangeboden worden horen met 2FA beschermd te worden. SMS-bevestiging bij financiële transacties is in de VS al meerdere malen onvoldoende bescherming gebleken.

  2. Speaking of which, is het oké dat zo’n omgeving om de haverklap van domain wisselt, drie of vier keer binnen de hele procedure? Ik noem geen namen, maar ik heb iemand daar eens mee zien tobben bij een bekend postbedrijf waarvan de naam met een P begint en met een L eindigt. Volgens mij is zoiets echt totaal not done gezien alle waarschuwing tegen phishing, wat dit weliswaar niet is, maar het verschil is nauwelijks te zien.

    1. En daarbij third-party cookies zet; een handjevol trackers aandoet en javascript uit niet gegarandeerd betrouwbare bron binnenhaalt? Web-development as usual.

      Nee, die zaken zijn ook niet koosjer/halal, maar ik zag dat als off-topic.

  3. Goed onderwerp. Ik zie dat veel bedrijven en accountantskantoren via het internet (dus geen intranet, waarin al met 2FA binnenkomt) een dergelijk systeem aanbieden, waarin je met een inlognaam en wachtwoord binnen komt. In zo’n portal zie je dan o.a. een BSN, salarisstroken en andere HR/salaris gerelateerde zaken. Als er verzuim wordt bijgehouden, is dit als een ‘bijzonder persoonsgegeven’. Er moet dan zeker een afweging worden gemaakt of er al dan niet sprake is van een ‘hoog risico’ verwerking, en dan is een pre-scan DPIA noodzakelijk om vast te stellen of er sprake is van een hoog risico verwerking. Als je dan kijkt naar art. 35 lid 3 en de lijst van de AP en de WP29 (EDPB), dan kom je tegen bij de AP: ‘financiële situatie’, ‘gezondheidsgegevens’ (afhankelijk of er hierover informatie is opgenomen). De WP29 geeft aan ‘gevoelige gegevens’. Op basis van deze criteria, moet je van goede huize komen geen DPIA uit te voeren. Als een van de maatregelen is naar mijn oordeel 2FA dan nodig.

  4. Als je deze gegevens normaliter in “de open ladenkast naast de postmappen” in je bedrijf opslaat, volstaat waarschijnlijk username/password. Maar er zullen weinig bedrijven zijn die deze gegevens niet op een afgesloten (personeels)administratie bewaren waarvan niet elk personeelslid een sleutel heeft. Als je papieren gegevens blijkbaar zo beschermd, dan móet je ook even stilstaan bij de digitale variant. En dan kunnen we discussiëren over Username/Password en over de sterkte daarvan. Maar als data op straat komt te liggen en de AP stelt vragen, met welke argumenten kun je dan onderbouwen dat Username/Password een passende maatregel is? Ik denk dat in deze tijd, waar 2FA inmiddels niet meer de hoofdprijs kost en redelijk gangbaar is, er weinig argumenten tegen 2FA of MFA over blijven. En de tijd zal die weegschaal steeds verder richting security (MFA) doen doorslaan.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.