Gebruik BSN nummer in applicaties blokkeren dmv policy/tools

[HermanV]

Na ontvangst van wederom documenten van een dienstverlener met daarin zichtbaar mijn BSN nummer heb naast een klacht naar de functionaris gegevensbescherming gezocht of er al tools bestaan om in office omgeving (Microsoft/Libreoffice) of als bestandsscanner het gebruik van BSN nummers te signaleren en of te blokkeren.

Mijn inziens zou een BSN nummer uitsluitend in een beveiligde omgeving mogen worden opgeslagen.

Zijn hier ondertussen al tools voor, ik kan zelf alleen een software aanbieder gericht op advocaten en notarissen hier mee vinden.

[Jazzy]

De term die je zoekt is Data Loss Prevention (DLP). DLP is bijvoorbeeld geïntegreerd in Microsoft 365 en kan zowel in opgeslagen documenten kijken (SharePoint, Teams of OneDrive) maar ook in emails die verzonden worden. Zo kun je bijvoorbeeld afdwingen dat een document wat een bepaalde string bevat wel intern gebruikt kan worden maar niet per email verzonden.

[Jester-NL]

Een BSN is natuurlijk niet meer dan een random string van 9 cijfers (ten minste... een Nederlands BSN. Die string moet weliswaar aan een paar vereisten voldoen, maar ik geloof niet dat je makkelijk een macro maakt die iedere random string die iemand in een document of spreadsheet klapt vervangt door

spoiler:

XXXXXXXXXXX

.
En dan hebben we het nog niet eens over het niet makkelijk omzetten van macro's die bedoelt zijn voor MS Office naar Libre Office (of omgekeerd).

edit:
@Jazzy corrigeert me al voor ik op 'Zend' druk

Los daarvan: je bent natuurlijk zelf (mede-)verantwoordelijk bij het delen van je BSN. Als het in een document van een dienstverlener staat, heb jij het dus aan die dienstverlener verstrekt.

[ Voor 4% gewijzigd door Jester-NL op 24-04-2025 23:46 ]

[HermanV]

Jester-NL schreef op donderdag 24 april 2025 @ 23:45:
Los daarvan: je bent natuurlijk zelf (mede-)verantwoordelijk bij het delen van je BSN. Als het in een document van een dienstverlener staat, heb jij het dus aan die dienstverlener verstrekt.

Ben ik me uiteraard bewust van, sommige dienstverleners (artsen) hebben echter een wettelijke taak het BSN nummer te registreren voor wettelijk vereiste doeleinden, hiervoor verstrek je hem dan natuurlijk ook.

[Jazzy]

Jester-NL schreef op donderdag 24 april 2025 @ 23:45:
Los daarvan: je bent natuurlijk zelf (mede-)verantwoordelijk bij het delen van je BSN. Als het in een document van een dienstverlener staat, heb jij het dus aan die dienstverlener verstrekt.

De zorg is volgens mij hoe die dienstverlener er vervolgens mee om gaat. Als die doodleuk je BSN in een email opneemt waar geen enkele noodzaak voor is dan is het ook mogelijk dat die email per ongeluk aan de verkeerde persoon verzonden wordt. Iets wat elke dag gebeurt.

[kodak]

Waarschijnlijk is het makkelijker om te weten wie een gegeven als een bsn verwerkt en zelf te controleren hoe ze dat gebruiken. Ik lees je namelijk niet dat het probleem is dat een willekeurige dienstverlener het bsn vermeld.

[Dido]

Stel, je vindt zo'n tool.

Wat ga je ermee doen? De dienstverlener in kwestie verplichten die tool te gebruiken?

Alle instanties in Nedelrand die jouw BSN hebben verplichten di etool te gebruiken?

Ik wens je veel succes en sterkte

Ik werk zelf voor een organisatie die (onder meer) BSNs verwerkt, en daar is een megaproject geweest om de BSN van alle uitingen te verwijderen.

Leuk dat je denkt aan een office-omgeving, maar 99% van alles wat verstuurd wordt komt niet uit een Office omgeving, hoor. Ook de overheid doet aan automatisering, en er zit echt niet iemand jouw BSN in te vullen in een sjabloontje in Word.

offtopic:
Overigens heb ik wel een mening over het verwijderen van het BSN van alle uitingen. Als ik een rekening krijg van een overheidsinstantie wil ik eigenlijk wel graag zeker weten dat ik degene ben die die rekening moet betalen. En wat is er verzonnen om burgers uniek te identificeren in communicatie met de overheid? Jawel, het BSN. Zonder dat BSN weet ik als burger dus niet zeker of die rekening wel voor mij bedoeld is.
Klinkt misschien heel flauw, maar een binnen de betreffende organisatie zelf gegenereerd nummer (wat we nu gebruiken) zegt mij als burger natuurlijk geen hol. U bent klant 534261527. Nee, ik ben een burger met BSN 154297439.
We schieten m.i. ten onrechte door in het niet gebruiken van het BSN waar het voor bedoeld is. Als het te makkelijk is om, met een "buitgemaakt" BSN fraude te plegen, dan moet dat aangepakt worden. Een BSN zou niet onveiliger mogen zijn dan een bankrekeningnummer. Als banken ervoor kunnen zorgen dat je met alleen een bankrekeningnummer geen geld van iemand kan jatten, dan zou een overheid dat ook moeten kunnen met een BSN.

[HermanV]

Dido schreef op zondag 27 april 2025 @ 13:22:
Stel, je vindt zo'n tool.
.....
Leuk dat je denkt aan een office-omgeving, maar 99% van alles wat verstuurd wordt komt niet uit een Office omgeving, hoor. Ook de overheid doet aan automatisering, en er zit echt niet iemand jouw BSN in te vullen in een sjabloontje in Word.

Bij de mkb ondernemer waar ik werk toch es een sweep doen op de bestanden, en bij voorkeur een blokkade/popup op het verwerken van bsn nummers. Wij hebben geen enkele verplichting mbt verwerking van bsn nummers, helaas sluipt er vanuit onze opdrachtgevers nog wel es wat doorheen.
DLP van de grote tech lijkt leuk, maar relatief kostbaar voor het MKB.

Ik verwacht dat als er verplichte audits zouden zijn de gemiddelde MKB ondernemer behoorlijk wat aanwijzingen krijgt.

[Jester-NL]

Ik zou me toch ernstig als mijn oren krabben als een of andere dropshipper mijn BSN meent nodig te hebben om een of ander flauw prul uit China naar me te laten verzenden.
Of wanneer een loodgieter meent dat 'ie niet mijn riool kan komen ontstoppen zonder BSN...
En het verstrekken van die informatie, dat doe jij - als klant...
Dat gezegd hebbende: zoals al aangegeven is het in eerste instantie zaak om je BSN niet zomaar (overal) te delen. Vervolgens, na het delen, is het zaak dat de andere partij er netjes mee omgaat. Daar kun jij verder hoog of laag over willen springen, maar wat gaat een tooltje helpen, als jij een mailtje krijgt van iemand die jou je BSN mailt?

Ik ga mee met @Dido... in principe is het delen van een BSN niet zo ernstig (of dat zou het niet moeten zijn).

[F_J_K]

Jazzy schreef op donderdag 24 april 2025 @ 23:44:
De term die je zoekt is Data Loss Prevention (DLP). DLP is bijvoorbeeld geïntegreerd in Microsoft 365 en kan zowel in opgeslagen documenten kijken (SharePoint, Teams of OneDrive) maar ook in emails die verzonden worden. Zo kun je bijvoorbeeld afdwingen dat een document wat een bepaalde string bevat wel intern gebruikt kan worden maar niet per email verzonden.

En in de overheid zijn anonimiseringstools veel gebruikt.

Een BSN is eenvoudig te herkennen. Ingewikkelder is het herkennen van ID's van random andere landen.

Dido schreef op zondag 27 april 2025 @ 13:22:
Als ik een rekening krijg van een overheidsinstantie wil ik eigenlijk wel graag zeker weten dat ik degene ben die die rekening moet betalen.

Ik wil dan liever alleen een mail zonder link, 'hoi er staat een factuur klaar, log op overheid.nl in met DigiD'. Dan pas weet ik zeker dat ik degene ben die moet betalen aangezien je net zelf zegt dat een ander ook je BSN kan hebben en dus gebruiken op een spookfactuur

[F_J_K]

HermanV schreef op maandag 28 april 2025 @ 08:27:
[...]
Bij de mkb ondernemer waar ik werk toch es een sweep doen op de bestanden, en bij voorkeur een blokkade/popup op het verwerken van bsn nummers. Wij hebben geen enkele verplichting mbt verwerking van bsn nummers, helaas sluipt er vanuit onze opdrachtgevers nog wel es wat doorheen.
DLP van de grote tech lijkt leuk, maar relatief kostbaar voor het MKB.

MS365 business premium is niet goedkoop, maar ook niet duur voor een MKB. Misschien wel complex om goed in te richten en beheren.

Ik gebruik Zivver: zodra ik bijvoorbeeld een BSN intyp schakelt Outlook over naar versleuteld mailen. Ook niet goedkoop trouwens.

Ik verwacht dat als er verplichte audits zouden zijn de gemiddelde MKB ondernemer behoorlijk wat aanwijzingen krijgt.

Yup. En voor nu waarschijnlijker: boetes als het achteraf mis is gegaan.

[Schway]

Jester-NL schreef op donderdag 24 april 2025 @ 23:45:
Een BSN is natuurlijk niet meer dan een random string van 9 cijfers (ten minste... een Nederlands BSN. Die string moet weliswaar aan een paar vereisten voldoen, maar ik geloof niet dat je makkelijk een macro maakt die iedere random string die iemand in een document of spreadsheet klapt vervangt door

spoiler:

XXXXXXXXXXX

.
En dan hebben we het nog niet eens over het niet makkelijk omzetten van macro's die bedoelt zijn voor MS Office naar Libre Office (of omgekeerd).

edit:
@Jazzy corrigeert me al voor ik op 'Zend' druk

Los daarvan: je bent natuurlijk zelf (mede-)verantwoordelijk bij het delen van je BSN. Als het in een document van een dienstverlener staat, heb jij het dus aan die dienstverlener verstrekt.

Een BSN is niet random, Het voldoet aan de elfproef.

Je kan dus een macro maken die negen cijfers herkent, kijkt of het aan de elfproef voldoet en dan zijn ding doet. Wellicht een popup er voor mochten er klantnummers of zo ook een elfproef gebruiken.

[Qwerty-273]

HermanV schreef op maandag 28 april 2025 @ 08:27:
Bij de mkb ondernemer waar ik werk toch es een sweep doen op de bestanden, en bij voorkeur een blokkade/popup op het verwerken van bsn nummers. Wij hebben geen enkele verplichting mbt verwerking van bsn nummers, helaas sluipt er vanuit onze opdrachtgevers nog wel es wat doorheen.
DLP van de grote tech lijkt leuk, maar relatief kostbaar voor het MKB.

DLP is leuk, maar op het moment dat de eindgebruiker een eigen manier vindt om er omheen te werken ("Ach bah, weer mijn mail geblokkeerd, ik zet er nu zelf voortaan maar de letter x er tussen. Iedereen weet dat die daar niet thuishoort.") dan vallen de meeste filters/algoritmes door de mand. Anders zouden ze namelijk te veel gaan blokkeren als ze wel al deze verschillende notatie wijzes voor het omzeilen van de filters ook zouden blokkeren.

Het is uiteindelijk gewoon de verantwoordelijkheid van de werknemer dat die zorgvuldig omgaat met de gegevens (en de werkgever om de werknemer voldoende te trainen).

[Jazzy]

F_J_K schreef op maandag 28 april 2025 @ 09:34:
Een BSN is eenvoudig te herkennen. Ingewikkelder is het herkennen van ID's van random andere landen.

Niets wat je met een regex niet op kunt lossen.

[F_J_K]

Qwerty-273 schreef op maandag 28 april 2025 @ 12:50:
[...]

DLP is leuk, maar op het moment dat de eindgebruiker een eigen manier vindt om er omheen te werken

Eens dat het is te omzeilen. Maar dat geldt voor alles. Het helpt een boel tegen onbewust delen van te veel info.

Jazzy schreef op maandag 28 april 2025 @ 13:03:
[...]
Niets wat je met een regex niet op kunt lossen.

offtopic:
Regex is vast Turing-complete

[bregweb]

HermanV schreef op donderdag 24 april 2025 @ 23:21:
Na ontvangst van wederom documenten van een dienstverlener met daarin zichtbaar mijn BSN nummer heb naast een klacht naar de functionaris gegevensbescherming gezocht of er al tools bestaan om in office omgeving (Microsoft/Libreoffice) of als bestandsscanner het gebruik van BSN nummers te signaleren en of te blokkeren.

Mijn inziens zou een BSN nummer uitsluitend in een beveiligde omgeving mogen worden opgeslagen.

Zijn hier ondertussen al tools voor, ik kan zelf alleen een software aanbieder gericht op advocaten en notarissen hier mee vinden.

Ik ga er van uit dat het documenten via de E-mail zijn? Zoals al eerder genoemd is Zivver een tool die signaleert dat een mail een BSN (en andere vertrouwelijke info) bevat en het dan beveiligd verstuurd. Maar dat is software aan de verstuurde kant, ik snap nog niet zo goed wat jij met een Tool wil? Wat ga jij daar mee voorkomen?

[downtime]

Jazzy schreef op maandag 28 april 2025 @ 13:03:
[...]
Niets wat je met een regex niet op kunt lossen.

Hoe wou je dat doen? Dat moet voor de "BSN" van elk apart land ingeregeld worden want dat nummer zal er in elk land anders uitzien. Dat kan korter of langer zijn, wel of niet letters en cijfers bevatten, wel of niet leestekens (zoals het deelstreepje) bevatten, misschien dat het in bepaalde landen niet eens altijd dezelfde lengte heeft.

[Jazzy]

HermanV schreef op maandag 28 april 2025 @ 08:27:
DLP van de grote tech lijkt leuk, maar relatief kostbaar voor het MKB.

Wat is kostbaar en waar baseer je dat op? DLP voor Exchange Online, SharePoint Online en OneDrive bijvoorbeeld zit standaard al in Microsoft 365 Business Premium en E3 licenties.

[Jazzy]

downtime schreef op maandag 28 april 2025 @ 13:34:
[...]

Hoe wou je dat doen? Dat moet voor de "BSN" van elk apart land ingeregeld worden want dat nummer zal er in elk land anders uitzien. Dat kan korter of langer zijn, wel of niet letters en cijfers bevatten, wel of niet leestekens (zoals het deelstreepje) bevatten, misschien dat het in bepaalde landen niet eens altijd dezelfde lengte heeft.

Klopt, dat moet je voor elke type informatie apart inregelen. Alleen al een Nederlandse BSN kan 8 of 9 karakters hebben en moet deelbaar zijn door 11. Gelukkig is dit allemaal al een keer gedaan en kennen dit soort oplossingen de definities voor tientallen zo niet honderden verschillende informatiegevens.

BSN bijvoorbeeld: https://learn.microsoft.c...s-citizens-service-number of en Japans rijbewijsnummer: https://learn.microsoft.c...an-drivers-license-number.

Context wordt daarbij ook meegenomen. Als de reeks gedetecteerd wordt en daarbij ook nog eens een bepaalde term gevonden wordt dan kan met zekerheid van Medium of zelfs High vastgesteld worden dat het om een hit gaat.

[ Voor 10% gewijzigd door Jazzy op 28-04-2025 14:18 ]

[Lapa]

Jazzy schreef op maandag 28 april 2025 @ 14:12:
[...] Alleen al een Nederlandse BSN kan 8 of 9 karakters hebben en moet deelbaar zijn door 11. [...]

De 11-proef waar een bsn aan moet voldoen is wel iets ingewikkelder dan direct delen door 11. Nog steeds geen rocket science natuurlijk, maar ik denk niet dat je het met een regex voor elkaar krijgt.

[Jazzy]

Lapa schreef op maandag 28 april 2025 @ 15:50:
[...]


De 11-proef waar een bsn aan moet voldoen is wel iets ingewikkelder dan direct delen door 11. Nog steeds geen rocket science natuurlijk, maar ik denk niet dat je het met een regex voor elkaar krijgt.

Nee, je hebt gelijk. Met een regex was ik iets te kort door de bocht. Mijn punt was vooral dat het prima mogelijk is om allerlei andere strings te detecteren.

[HermanV]

Qwerty-273 schreef op maandag 28 april 2025 @ 12:50:
[...]

Het is uiteindelijk gewoon de verantwoordelijkheid van de werknemer dat die zorgvuldig omgaat met de gegevens (en de werkgever om de werknemer voldoende te trainen).

Ondertussen merk ik als werknemer dat je door de ondernemer wordt teruggefloten als je strikt aan diverse compliancy wilt houden. Hierdoor heb ik ook vrolijk bedankt om mijn naam onder de verwerkersovereenkomsten te zetten, directie tekent maar gewoon zelf.
Ik ben allang blij dat we onze opdrachtgevers (gegevens verantwoordelijken) al hebben geleerd ons niet meer data te sturen dan we echt nodig hebben.

[Blokker_1999]

Jazzy schreef op maandag 28 april 2025 @ 13:39:
[...]

Wat is kostbaar en waar baseer je dat op? DLP voor Exchange Online, SharePoint Online en OneDrive bijvoorbeeld zit standaard al in Microsoft 365 Business Premium en E3 licenties.

Maar het is natuurlijk wel iets complexer dan snel even een toggle omzetten. We zijn bij ons in de firma aan de oefening begonnen en voordat we dit loslaten op onze omgeving gaan er heel wat manuren inzitten.

Qwerty-273 schreef op maandag 28 april 2025 @ 12:50:
[...]

DLP is leuk, maar op het moment dat de eindgebruiker een eigen manier vindt om er omheen te werken ("Ach bah, weer mijn mail geblokkeerd, ik zet er nu zelf voortaan maar de letter x er tussen.

DLP dient in de eerste plaats om te voorkomen dat mensen per ongeluk gevoellige informatie gaan versturen. Als men dat met opzet doet moet men ook de gevolgen dragen als het daarna misloopt, want dan kan men niet meer de handen in onschuld wassen.

[Blokker_1999]

HermanV schreef op maandag 28 april 2025 @ 23:06:
[...]

Ondertussen merk ik als werknemer dat je door de ondernemer wordt teruggefloten als je strikt aan diverse compliancy wilt houden. Hierdoor heb ik ook vrolijk bedankt om mijn naam onder de verwerkersovereenkomsten te zetten, directie tekent maar gewoon zelf.
Ik ben allang blij dat we onze opdrachtgevers (gegevens verantwoordelijken) al hebben geleerd ons niet meer data te sturen dan we echt nodig hebben.

Als werknemer heb je daar heel weinig over te zeggen. Dit moet via de juiste mensen in de organisatie gaan. In principe moet er in je organisatie een Data Protection Officer zijn, die is verantwoordelijk over hoe de organisatie omgaat of om hoort te gaan met data. Dat is waar je moet aankloppen, maar dat is ook de persoon die uiteindelijk de verantwoordelijkheid hoort te dragen voor verwerkingsovereenkomsten.

[Dido]

HermanV schreef op maandag 28 april 2025 @ 08:27:
Bij de mkb ondernemer waar ik werk toch es een sweep doen op de bestanden, en bij voorkeur een blokkade/popup op het verwerken van bsn nummers. Wij hebben geen enkele verplichting mbt verwerking van bsn nummers, helaas sluipt er vanuit onze opdrachtgevers nog wel es wat doorheen.
DLP van de grote tech lijkt leuk, maar relatief kostbaar voor het MKB.

Meestal is het dan eenvoudiger om te kijken naar je business processen, en eventueel een privacy-awaresness training (ja, ik weet het, leve de bs-bingo).

Uiteraard gecombineerd met interne audits.

Maar goed, dat gaat alleen maar werken als vanuit het leiderschap van het bedrijf een motivatie is om hier iets mee te doen. Alleen maar een tooltje inzetten (waar mensen inderdaad omheen gaan werken, dat doen mensen nou eenmaal) gaat jou misschien een goed gevoel geven, maar het probleem niet oplsosen.

Ik verwacht dat als er verplichte audits zouden zijn de gemiddelde MKB ondernemer behoorlijk wat aanwijzingen krijgt.

Als ik van gokken zou houden, zou ik daar inderdaad flink op in durven te zetten.

downtime schreef op maandag 28 april 2025 @ 13:34:
Hoe wou je dat doen? Dat moet voor de "BSN" van elk apart land ingeregeld worden want dat nummer zal er in elk land anders uitzien. Dat kan korter of langer zijn, wel of niet letters en cijfers bevatten, wel of niet leestekens (zoals het deelstreepje) bevatten, misschien dat het in bepaalde landen niet eens altijd dezelfde lengte heeft.

Sterker nog, in Nederland hebben we het BSN en het A-nummer. Dat laatste is eigenlijk verouderd, maar wordt door gemeentes nog steeds als leidende identificatie gebruikt.
In het buitenland is lang niet altijd een equivalent van ons BSN, maar kunnen wel weer andere identificerende gegevens bestaan waar de gemiddelde Nederlander niets van weet.

F_J_K schreef op maandag 28 april 2025 @ 09:34:
Ik wil dan liever alleen een mail zonder link, 'hoi er staat een factuur klaar, log op overheid.nl in met DigiD'. Dan pas weet ik zeker dat ik degene ben die moet betalen aangezien je net zelf zegt dat een ander ook je BSN kan hebben en dus gebruiken op een spookfactuur

Yup, daar zijn we bij ons ook naar aan het kijken. Maar onze "klanten" zijn mensen die vallen in de groep "kwetsbare burgers" en het zijn vaak mensen die niet tot de meest digitaal vaardigen behoren.
We hebben een paar honderd mensen op een call center zitten die vooral uitleggen aan mensen waarom ze moeten betalen.
Een papieren factuur (of informatiepakket) is een stuk toegankelijker voor die groep dan een mededeling dat ze ergens moeten inloggen waar ze nog nooit geweest zijn via een systeem dat ze niet of nauwelijks snappen.

Maar goed, of je het nu met mail of post doet, onze voornaamste uitdaging zit hem in het up-to-dat ehouden van adresgegevens, want een rekening di enaar een oud adres wordt gestuurd is, als ie wordt opengemaakt, een datalek van bijzondere persoonsgegevens (want medische informatie!)

Nu is men bij de (semi-)overheid gelukkig wel redelijk doordrongen van het belang van gegevensbescherming, maar ik kan me inderdaad, net als de TS, niet aan de indruk ontrekken dat binnen het bedrijfsleven, en met name het MKB, wat minder bewustzijn leeft op dat gebied.

Als ik online hondenvoer bestel, snap ik dat ze mijn emailadres en fysieke adres willen hebben om te communiceren over mijn bestelling, en om hem daardawerkelijk af te kunnen leveren. Maar waarom een telefoonnummer of geslacht nodig zijn ontgaat me.