De angel halen uit het probleem dat gegevensbescherming heet:
8 tips voor de beveiliging
van websites en e-commerce

Onlangs werden door een gegevenslek bij een van de drie grootste kredietinstellingen van de Verenigde Staten mogelijk 143 miljoen klanten gedupeerd. Toegegeven: dit was een gegevenslek van haast historische proporties. Maar helaas staat dit voorval zeker niet op zich. Groot of klein, B2B of B2C: alle bedrijven kunnen onder vuur komen te liggen. En gevoelige klant- en gebruikersgegevens zijn daarbij de meest gewilde buit.

Persoonlijke gegevens van klanten zijn zeer waardevol. Het nut van een gestolen creditcardnummer ligt natuurlijk voor de hand. Wat echter minder bekend is, is dat geïnteresseerde kopers ook staan te popelen om relatief onschuldige informatie in handen te krijgen, zoals namen, telefoonnummers, e-mailadressen, (gedeeltelijke) BSN-nummers, enzovoort. Wanneer dat gebeurt, beginnen de problemen voor de argeloze klanten wiens gegevens werden gestolen vaak pas. Daarom moet een eersteklas websitebeveiliging bij elk bedrijf de hoogste prioriteit krijgen.

Als cybercriminelen de persoonlijke gegevens van klanten in handen krijgen, verkopen ze die vaak door aan spammers en oplichters. Die kunnen hun slachtoffers dan vaak nog vele jaren lang per e-mail en telefonisch blijven achtervolgen. Een ander veelvoorkomend scenario met verstrekkende financiële gevolgen is kredietfraude, waarbij de kredietscore van slachtoffers ernstig in het geding komt – vaak met een torenhoge schuld tot gevolg. Soms worden de slachtoffers zelfs aansprakelijk gesteld voor de misdaden die anderen in hun naam hebben gepleegd. Slachtoffers van gegevensdiefstal zijn op z'n minst uren, dagen, weken of nog langer kwijt aan het opsporen en oplossen van alle problemen die de diefstal tot gevolg heeft.

Organisaties waarvoor consumentenvertrouwen de basis van hun activiteiten vormt, kunnen het zich eenvoudigweg niet veroorloven om websitebeveiliging onvoldoende aandacht te geven.

Tegenwoordig kun je eigenlijk geen zaken meer doen als je geen informatie wilt delen. De meeste klanten begrijpen dit en zijn bereid om hun gevoelige gegevens toe te vertrouwen aan jouw bedrijf – zo lang jij in staat bent om die gegevens te beschermen. Als jij zorgt dat je websitebeveiliging op orde is, behoud je het vertrouwen van je klanten en voorkom je allerlei vervelende gevolgen.

Hieronder geven we je acht tips om een effectieve beveiligingsstrategie voor klantgegevens te ontwikkelen.

1. Zorg dat je voldoet aan wettelijke normen.
   Waar geld wordt uitgegeven, staat veel op het spel. Daarom willen klanten zeker weten dat jij alles doet wat in je macht ligt om hen én hun gegevens te beschermen. Als je merk voldoet aan alle wettelijke en branchespecifieke normen voor e-commercebeveiliging, laat je niet alleen aan klanten zien dat je hun veiligheid belangrijk vindt, maar ook dat jouw organisatie voorstander is van verantwoord ondernemerschap.
2. Maak gebruik van de meest betrouwbare beveiligingsresources.
   Vanaf het moment dat een klant een creditcard aanbiedt of op een verzendknop klikt, wordt de beveiliging van diens gegevens jouw verantwoordelijkheid. Je kunt die gegevens alleen veilig houden door te investeren in de juiste resources voor e-commercebeveiliging. Met point-to-point-oplossingen worden creditcardgegevens versleuteld vanaf het moment dat een pas wordt aangeboden tot aan de verwerking van de betaling. Nu er steeds meer nadruk komt te liggen op de overgang van winkelbeveiliging naar online beveiliging, zijn antivirus en firewalls slechts het begin. Inbraakdetectiesystemen, bewaking van kwetsbaarheden, penetratietests en andere tools zijn stuk voor stuk cruciale maatregelen voor e-commercebeveiliging die voorkomen dat gevoelige gegevens in handen van mogelijk kwaadwillende gebruikers terechtkomen.
3. Gebruik alleen betaalsystemen die voldoen aan de PCI-normen.
   Alle apparaten waarmee creditcardtransacties in fysieke winkels worden verwerkt, moeten voldoen aan de PCI-normen. Deze PCI-normen omvatten diverse regels en best practices die in het leven zijn geroepen om te waarborgen dat bedrijven de kredietinformatie van hun klanten veilig verwerken. PCI-beveiliging is binnen elke branche een gangbare norm, ongeacht de grootte van het bedrijf. Organisaties die de PCI-normen naast zich neerleggen, lopen niet alleen risico op boetes en andere sancties, maar spelen ook met de gegevensbeveiliging van hun klanten. Zorg dat je voldoet aan de PCI-beveiligingsnormen om mogelijk catastrofale gevolgen te voorkomen.
4. Zorg voor effectieve training van medewerkers.
   Medewerkers kunnen de meest betrouwbare firewall tegen gegevensdiefstal vormen. Maar alleen als je ze daarin eerst goed traint. Niet alleen de IT-afdeling is immers verantwoordelijk voor gegevensbeveiliging, maar iedereen die voor je merk werkt. Zorg voor een goede coördinatie tussen verschillende afdelingen en bied regelmatig beveiligingstrainingen aan. Dan begrijpt iedereen in het bedrijf wat zijn of haar cruciale rol is bij de bescherming van klantgegevens.
5. Introduceer best practices voor beveiliging.
   Als je een beveiligingstraining voor medewerkers combineert met best practices voor beveiliging, beschikt je organisatie over een standaardregelset die iedereen kan volgen om te zorgen dat gegevens zo weinig mogelijk gevaar lopen. Door bijvoorbeeld het gebruik van eigen apparatuur en de toegang tot gegevens te beperken, kun je het aantal mogelijk zwakke punten in de beveiliging al aanzienlijk verminderen. En als kantoor-pc's worden vergrendeld wanneer ze niet in gebruik zijn, neem je daarmee bepaalde gevaren weg bij verlies of diefstal van die apparatuur. Implementeer overal in het bedrijf beleidsregels voor gegevensbescherming, zodat medewerkers bekend zijn met de effectiefste methoden om informatie veilig te houden.
6. Geef ook klanten goede voorlichting.
   Medewerkers en systemen zijn niet de enige potentiële doelwitten bij gegevensdiefstal. Ook klanten zelf kunnen waardevolle persoonlijke informatie prijsgeven in hun communicatie met je bedrijf. Informeer daarom ook je klanten en help hen te begrijpen wat de mogelijke risico's van onbeveiligde gegevens zijn. Gevoelige gegevens die worden gedeeld via onbeveiligde digitale kanalen (zoals de meeste e-mailservers), kunnen worden onderschept en misbruikt. Leer klanten aan om persoonlijke informatie alleen te delen via veilige, versleutelde systemen en om websites met een ondermaatse of zelfs geheel ontbrekende beveiliging te vermijden.
7. Schoon klantgegevens regelmatig op.
   Veel organisaties willen op haast krampachtige wijze zo veel mogelijk klantgegevens bewaren, en dan het liefst ook nog zo lang mogelijk. Zeker: bepaalde gegevens bieden analytisch voordelen. Maar informatie zoals creditcardnummers, CVV2-codes en BSN-nummers hebben geen enkele demografische betekenis. Door deze informatie langer te bewaren dan nodig is om een transactie af te ronden, stellen bedrijven klanten bloot aan een groot risico in geval van een gegevenslek. Zorg daarom dat zulke gegevens regelmatig worden opgeschoond in je systemen.
8. Blijf op de hoogte van updates.
   Alles draait om een goede websitebeveiliging. Het klinkt misschien als een open deur, maar door te zorgen dat zakelijke software altijd up-to-date is, neem je een van de meest effectieve (en vaak meest over het hoofd geziene) preventieve maatregelen om klantgegevens te beschermen. Updates waarborgen niet alleen dat beveiligingssoftware nieuwere en geraffineerdere aanvallen kan afslaan, maar bieden ook een oplossing voor bekende problemen in de systemen van alle afdelingen. Helaas blijkt uit onderzoek dat op meer dan 50% van alle zakelijke computers verouderde versies van de belangrijkste besturingssystemen draaien.