Foto's van jeugdleden, een wachtwoordbriefje en een verdachte mail
Je loopt stage bij een sportvereniging met 240 jeugdleden. De vereniging heeft een Instagram-account en een website. De voorzitter wil na het toernooi van zaterdag foto's plaatsen waarop kinderen van 7 tot 12 jaar in actie te zien zijn, met hun namen erbij, omdat 'ouders dat leuk vinden'.
Uit de lijst met toestemmingen blijkt: van de 24 kinderen op de foto's hebben 17 ouders schriftelijk toestemming gegeven voor publicatie, 4 ouders hebben niets ingevuld en 3 hebben expliciet 'nee' gezegd. Eén ouder mailt boos dat haar dochter nergens op internet mag. Verder ligt er bij de balie een briefje met het wachtwoord van het Instagram-account, omdat de bardienst het vaak nodig heeft. En er is een mail binnengekomen van [email protected] met de vraag om via een link in te loggen, anders wordt het account verwijderd.
1. Welke foto's plaats je wel en welke niet, en hoe los je het probleem met de namen en de ontbrekende toestemmingen op?
Read the worked answer
Ik plaats alleen foto's waarop uitsluitend kinderen staan van wie de ouders schriftelijk 'ja' hebben gezegd, en ik controleer of die toestemming echt over publicatie op internet gaat en niet alleen over foto's in het clubblad. Namen zet ik er niet bij: met een naam en een sportclub is een kind makkelijk te vinden, en dat is precies wat sommige ouders niet willen.
De 4 kinderen zonder ingevuld formulier behandel ik als 'nee'. Zonder duidelijke toestemming plaats je niets; de ouder moet actief ja hebben gezegd. Voor de volgende keer stuur ik die ouders het formulier opnieuw. De 3 kinderen met een 'nee' komen niet in beeld, ook niet op de groepsfoto van het team. Staat een van hen er toch op, dan gebruik ik die foto niet of ik kies een andere foto. De boze ouder mail ik terug dat ik het begrijp, dat ik haar kind niet plaats en dat ik de eerder geplaatste foto's controleer en zo nodig verwijder. Toestemming mag je namelijk altijd intrekken.
2. Wat is er mis met het wachtwoord op het briefje bij de balie, en hoe zou het beter geregeld moeten zijn?
Read the worked answer
Een wachtwoord op een briefje betekent dat iedereen die achter de bar staat of even langsloopt kan inloggen, ook mensen die er niets mee te maken hebben en oud-leden die nog weten waar het ligt. Je kunt achteraf niet zien wie een foto heeft geplaatst of een bericht heeft gestuurd, en als er iets misgaat, is niemand verantwoordelijk. Bovendien kan iemand het wachtwoord doorgeven en dan is de vereniging het account kwijt.
Mijn advies: het wachtwoord meteen wijzigen, en een eigen account of rol geven aan twee of drie vaste beheerders in plaats van aan de hele bardienst. Waar het kan, zet ik tweestapsverificatie aan. Het wachtwoord bewaar ik niet op papier maar in een wachtwoordmanager, en het wordt nooit via de app of een briefje gedeeld. Voor de bardienst is inloggen meestal helemaal niet nodig: die hoeft alleen foto's te maken. Zo blijft het account veilig en weet je wie wat plaatst. Dat meld ik ook bij de voorzitter, want dit is een bestuursbeslissing.
3. Je krijgt de mail van [email protected]. Wat is dit, waaraan herken je het, en wat doe je? Noem minimaal drie kenmerken en drie stappen.
Read the worked answer
Dit is phishing. Kenmerken: het adres eindigt niet op het echte domein van Instagram maar op secure-login.info, wat een willekeurig domein is. De mail zet tijdsdruk en dreigt met verlies van het account, zodat je snel klikt zonder na te denken. En de mail vraagt je in te loggen via een link, terwijl een echt bedrijf je nooit via een link naar je wachtwoord vraagt. Soms staan er ook spelfouten of een vaag logo in.
Stappen: ik klik nergens op en vul niets in. Ik meld de mail bij de voorzitter, zodat het bestuur weet dat er op de vereniging wordt gericht en andere vrijwilligers gewaarschuwd worden. Ik controleer of het account nog normaal werkt, zonder via de link in te loggen, en als iemand toch geklikt heeft, wijzig ik meteen het wachtwoord en zet ik tweestapsverificatie aan. Tot slot verwijder ik de mail en meld ik hem als phishing. Een account waarvan het wachtwoord op een briefje lag, is extra kwetsbaar, dus die twee problemen pak ik samen aan.