Heel wat organisaties gebruiken WhatsApp voor bhv. Vaak voor communicatie tussen bhv’ers onderling maar soms ook voor alarmering bij incidenten. Maar wist je dat een overgenomen account kan meelezen in bhv-groepen of berichten kan versturen namens een bhv’er? Recent waarschuwden de AIVD en MIVD overheidsmedewerkers voor het gebruik van chatapps zoals WhatsApp en Signal. Die waarschuwing is ook relevant voor andere organisaties. Het raakt iedereen met een veiligheidsrol of netwerkfunctie, zoals veiligheidsfunctionarissen, leden van een crisisorganisatie en ja, dus ook hoofden en coördinatoren bhv.
Als je WhatsApp voor bhv gebruikt, deel je mogelijk al snel informatie die een organisatie mogelijk kwetsbaar(der) kan maken. De vraag is of organisaties zich daar altijd voldoende van bewust zijn. Ik denk van niet.
Organisaties die WhatsApp voor bhv gebruiken doen dat omdat zij (nog?) geen bhv-alarmeringsapp hebben. Dat is enerzijds begrijpelijk want WhatsApp is gratis, snel te organiseren en iedereen kent de app. Vaak staat de app al op de privé- of werktelefoon van medewerkers. Je kunt eenvoudig een groep aanmaken en direct starten met communiceren. En WhatsApp is niet per se onveilig, maar het is ook niet ontwikkeld als alarmeringssysteem voor incidenten. Denk daarom bewust na over hoe je de app gebruikt binnen je bhv-organisatie.
In de praktijk delen mensen via deze apps vaak meer informatie dan zij zelf doorhebben.
Denk aan:
Tijdens een incident ligt de focus op snel handelen. Nu. Snel. Daardoor denken mensen minder na over wat zij delen.
Het cyberadvies van de AIVD en MIVD laat zien dat accounts van chatapps doelwit kunnen zijn van phishing en misleiding. Als iemand een account overneemt, kan die persoon meelezen of berichten versturen namens een gebruiker. Ben jij of de organisatie als geheel zich hier van bewust?
Tot ongeveer 2007 kochten we nog ringtones. Wie kent de Crazy Frog niet? Met de komst van de smartphone konden we daarna onze eigen muziek gebruiken. Tegelijk kregen we steeds meer meldingen op onze telefoon. Zo veel zelfs dat veel mensen hun telefoon nu vaak op stil zetten. En precies daar zit het probleem bij het gebruik van berichtenapp zoals Signal of WhatsApp voor het alarmeren van bhv’ers. De meldingen, of dat nu als pop-up en/of een geluidje is, kunnen uitstaan. Daardoor weet je niet zeker of een alarmering op tijd aankomt. Bij een incident wil je daar geen twijfel over hebben, toch? Daarnaast bieden bhv-app veel meer mogelijkheden zoals de registratie van de bhv’ers en het op- en afschalen van scenario’s etc.
De AIVD en MIVD waarschuwen dat WhatsApp-accounts steeds vaker worden overgenomen via phishing of misleiding. Dat gebeurt bijvoorbeeld via een bericht met een link of een verzoek om een verificatiecode te delen. Als iemand daarop ingaat, kan een ander meelezen in bhv-groepen of berichten versturen namens een bhv’er. Het risico is dat er dan informatie wordt gedeeld waar je als bhv’er niet altijd bij stilstaat.
Denk bijvoorbeeld aan een bericht zoals “Wat was ook alweer de code van de achteringang?” In een bhv-groep lijkt zo’n vraag logisch. Maar als een account is overgenomen, kan deze informatie ongemerkt bij onbevoegden terechtkomen.
In bhv-groepen staan vaak telefoonnummers, namen en incidentinformatie. Dat zijn persoonsgegevens.
Daarom is het belangrijk om bewust om te gaan met:
Door hier afspraken over te maken, voorkom je onnodige risico’s voor medewerkers en organisatie. Vraag hiervoor hulp van de privacy officer!
WhatsApp kan binnen de bhv-organisatie goed werken als ondersteunend communicatiemiddel in de dagdagelijkse gang van zaken.
Bijvoorbeeld voor:
Gebruik WhatsApp vooral voor niet-spoedeisende communicatie.
Deel via deze app geen:
Zo blijft WhatsApp een handig hulpmiddel zonder onnodige risico’s.
Gebruik je WhatsApp binnen je bhv-organisatie? Dan kun je vandaag al drie dingen regelen.
Leg eerst vast waarvoor WhatsApp wel en niet bedoeld is. Spreek bijvoorbeeld af dat je de app gebruikt voor korte statusupdates en praktische afstemming, maar niet voor alarmering of het delen van gevoelige informatie.
Kijk daarnaast of je berichten automatisch kunt laten verdwijnen. Zo voorkom je dat informatie langer wordt bewaard dan nodig is. Dit past vaak beter bij afspraken over privacy en gegevensgebruik. (Stem dit ook af met het bewaarbeleid van de organisatie! Weet je nog dat Mark Rutte in het nieuws kwam omdat hij smsje verwijderde omdat hij anders te weinig ruimte op zijn telefoon had?)
Maak tot slot duidelijke afspraken over wie toegang heeft tot de bhv-groepen. Wijs één of meer groepsbeheerders aan die regelmatig controleren of er geen oud-medewerkers of onbekende nummers in de groep staan. Laat hen ook controleren welke media zijn gedeeld.
Zo houd je zicht op de informatie die wordt uitgewisseld en verklein je de risico’s.
