Vragen van het lid Wiersma (VVD) aan de Minister van Onderwijs, Cultuur en Wetenschap over het bericht «Gegevens van alumni, donateurs en relaties Universiteit Utrecht in handen van hackers» (ingezonden 14 augustus 2020).

Vraag 1

Bent u bekend met het data-veiligheidsincident bij leverancier Blackbaud, waar in ieder geval alumni, donateurs en relaties van Universiteit Utrecht en TU Delft door zijn getroffen?¹ ²

Vraag 2

Welke gegevens zijn er precies buitgemaakt bij de datalek die veroorzaakt is door de aanval op Blackbaud? Op welke manier hebben Universiteit Utrecht en TU Delft inmiddels de gedupeerden geïnformeerd over het datalek, waardoor gegevens van alumni, donateurs en relaties op straat zijn komen te liggen?

Vraag 3

Welke garantie hebben Universiteit Utrecht en TU Delft gekregen dat de buitgemaakte gegevens daadwerkelijk zijn vernietigd, nadat Blackbaud losgeld heeft betaald aan de internetcriminelen? Op welke manier kunnen de getroffen alumni, donateurs en relaties dit controleren?

Vraag 4

Waarop baseert de Universiteit Utrecht «de schatting van de waarschijnlijkheid van eventuele risico’s voor de privacy van betrokkenen momenteel in als laag»?³ Is het niet zo dat door de aanval privacygevoelige data al lang op straat liggen, dus dat lage schatting van de risico’s nergens op gebaseerd is?

Vraag 5

Klopt het dat op 17 juli 2020 de datadiefstal al bekend was en dat op 24 juli meer dan 20 Britse universiteiten al op de hoogte waren van het datalek? Waarom werden Nederlandse universiteiten pas op 11 augustus 2020 hierover geïnformeerd?

Vraag 6

Hoe kan het dat aanvallers toegang kregen tot een oude back-up uit 2017 die nog in de omgeving van Blackbaud stond? Op welke manier controleren hoger onderwijsinstellingen of bepaalde privacygevoelige gegevens daadwerkelijk nog in het bezit zijn van derde partijen?

Vraag 7

Wie is uiteindelijk eindverantwoordelijk voor het goed verwerken en beveiligen van privacygegevens van alumni, donateurs en relaties? Is dat de hoger onderwijsinstelling of een derde partij zoals een cloud softwarebedrijf? Indien de hoger onderwijsinstelling, hoe kan het dat Blackbaud nog beschikte over een oude back-up uit 2017?

Vraag 8

Op welke manier gaat u erop toezien dat hoger onderwijsinstellingen beter controleren op welke manier derde partijen omgaan met privacygevoelige informatie? En welke maatregelen gaat u specifiek treffen om een herhaling van dit incident te voorkomen?

Vraag 9

Kunt u specifiek toelichten in welke mate u de online veiligheid van privacygevoelige informatie onder de verantwoordelijkheid van het Ministerie van Onderwijs Cultuur en Wetenschap vindt vallen en of de verschillende cyberaanvallen van de afgelopen tijd naar uw mening vragen om bijstelling van deze verantwoordelijkheid?

---

1 Gegevens van alumni, donateurs en relaties Universiteit Utrecht in handen van hackers, RTV Utrecht, 11 augustus 2020 (https://www.rtvutrecht.nl/nieuws/2085024/)

2 Universiteit Utrecht, 11 augustus 2020, data veiligheidsincident bij leverancier blackbaud (https://www.uu.nl/nieuws/data-veiligheidsincident-bij-leverancier-blackbaud)  en TU Delft, 11 augustus 2020 (https://www.tudelft.nl/2020/alumni/cyberaanval-op-blackbaud/)

3 Privégegevens afgestudeerden TU Delft en Universiteit Utrecht gestolen, security.nl, 11 augustus 2020 (https://www.security.nl/posting/667321/Priv%C3%A9gegevens+afgestudeerden+TU+Delft+en+Universiteit+Utrecht+gestolen)