Volgens SecurityWeek kreeg een externe groep met de gestolen inloggegevens van één medewerker toegang tot een deel van de GitHub-repositories van Meta. Het bedrijf zegt dat ongeveer 1.500 mensen zijn getroffen, vooral Amerikaanse medewerkers. Zo’n 99 procent van de buitgemaakte data was bedrijfscode; de rest was persoonlijke data die een medewerker in strijd met het beleid in GitHub had gezet. Meta meldt dat er geen productkwetsbaarheid is misbruikt en dat interne systemen niet zijn binnengedrongen. Geheimen in de repositories zijn vervangen, getroffenen krijgen krediet- en darkwebmonitoring en Meta voegt scans en controles toe om te voorkomen dat gebruikersdata op GitHub belandt. Lees het volledige bericht bij SecurityWeek.
Wat betekent dit? Eén set inloggegevens volstond, en het beleid om geen persoonsgegevens in code te zetten bleek afhankelijk van individuele naleving. Dat maakt ontwikkelomgevingen een bestuurlijk risico: wie is eigenaar, welke controles dwingen het beleid af en welk restrisico accepteert het bestuur? Persoonsgegevens op een plek waar ze niet horen kunnen bovendien een meldplichtig datalek opleveren onder de AVG (art. 33 en 34). Onze dienst Inrichten risicomanagement & GRC helpt om zulke beleidsafspraken te toetsen aan de praktijk, met eigenaren, controles en een risicoappetijt die het bestuur kent.