Friday, April 20, 2012

VCD blundert met online verzuimregistratie

20-04-2012 11:07 | DoorJohannes van Bentum | Lees meer over het bedrijf: VCD | Er zijn 10 reacties op dit artikel | Permalink De online verzuimapplicatie voor personeel Humannet van leverancier VCD Automatisering is slecht beveiligd door een gevoeligheid voor zogeheten SQL-aanvallen. Hierdoor zijn circa driehonderdduizend personeelsdossiers met medische gegevens vrij eenvoudig toegankelijk te maken. Onder andere de gegevens van de spelers van FC Twente liggen hierdoor op straat, constateert het televisieprogramma Zembla. Het programma besteedt op 20 april 2012 aandacht aan het lek. VCD levert Humannet al zeven jaar. Het wordt onder andere gebruikt voor het bijhouden van verzuimgegevens van medewerkers van de gemeente Deventer, Praxis, Bijenkorf, V&D, Hornbach, Beter Bed en Action. Door het lek hadden redacteuren van Zembla toegang tot medische gegevens, maar ook telefoonnummers en adressen van medewerkers van bedrijven en organisaties die de toepassing gebruiken. In de Zembla-uitzing komt onder andere hoogleraar privacy en computerbeveiliging Bart Jacobs van de Radboud Universiteit Nijmegen aan het woord. Volgens hem gaat het om het grootste lek van persoonlijke en medische data in de Nederlandse geschiedenis: ‘Dit is een nachtmerrie-scenario. Dat dit zo op straat ligt, vind ik werkelijk schokkend. Je kunt mensen hiermee chanteren.' Ook directeur Sjouke Kuindersma komt in de uitzending aan het woord. Hij zegt dat Humannet niet lek is, maar dat Zembla gebruik heeft gemaakt van gestolen wachtwoorden. Dat wordt tegengesproken door hoogleraar Jacobs, die zelf het systeem binnen is gekomen. Politie Aanvankelijk wilde VCD volgens de makers van het programma niets van de kwetsbaarheid van het systeem weten. Toen een Zembla-redacteur van het programma de vondst in Groningen wilde toelichten, besloot het bedrijf zelfs de politie te bellen. Volgens eigen zeggen is VCD met Hummannet marktleider op het gebied van webbased verzuimapplicaties in Nederland. Via de applicatie worden preventie, verzuim, herstel en re-integratie van honderdduizenden werknemers accuraat gevolgd. De klant heeft op elk gewenst moment en vanaf elke locatie inzicht in , toezicht op en overzicht over hun verzuimproces. Een folder op de website van VCD meldt dat bij de ontwikkeling gebruik werd gemaakt van . Net en Ajax. Over de beveiliging van de webapplicatie meldt het stuk niets. Read more: http://www.computable.nl/artikel/nieuws/security/4492289/1276896/vcd-blundert-met-online-verzuimregistratie.html#ixzz1saMQOOJb

Monday, April 9, 2012

SA Security Management: The Re-evaluation of Authentication

The Re-evaluation of Authentication Published: April 05 2012, 09:21 PM by David Gormley Several articles and blogs about the recent Global Payments data breach have mentioned that the culprits were able to exploit some weak authentication methods to access the cardholder data. There is something those working in the security industry can do about that. In recent years companies have made an enormous amount of data available online for remote employees, partners and even customers. The same basic authentication methods like username and password or knowledge based authentication aren't enough to adequately protect the range of data that is currently available online, but it has been difficult for organizations to keep up as more applications and data are made available by different groups. I suspect that if organizations were to analyze all of the applications that they provide online access to and honestly evaluate the authentication methods in place, compared to the sensitivity of the data, there would be many areas of concern. In the past, additional authentication security typically required expensive and cumbersome solutions that were difficult to maintain and support. This scenario has changed in recent years. There are now solutions that provide a variety of advanced authentication methods which can be managed centrally and applied appropriately depending on the security requirements. For example: Some two-factor credentials can be implemented in a manner that is transparent to the end-user, their login experience can stay the same; Risk-based authentication tools can transparently analyze the context of a login or transaction, evaluate the relative risk and then adjust the level of authentication required. All of these options can be combined to create a policy-driven, layered security approach that is capable of protecting the wide range of data and access scenarios that a large organization must support in today's online world. The demands for online access at anytime, from anywhere and any device aren't going away. We need to adopt a flexible, layered security solution that is intelligent enough to understand the sensitivity of the underlying data, the risk of the current transaction and then apply the appropriate level of authentication security with the least possible disruption to the end user. That's how you securely enable business.