Het moet anders en het kan anders, overheid te traag

Gepubliceerd op 29 september 2021 om 15:00

Nederlandse bedrijven en belangenorganisaties werken aan een eigen alarmsysteem tegen hackers. Bedrijven die een veiligheidsrisico lopen, moeten via dat systeem sneller gewaarschuwd worden dan via het huidige waarschuwingssysteem van de overheid.

Onder meer beveiligingsbedrijf Fox-IT en Nederlandse internetproviders werken mee aan het systeem, dat voor het eind van het jaar operationeel moet zijn. "Het systeem waarmee we nu informatie delen is te ingewikkeld geworden, het is een lappendeken", zegt Frank Breedijk van vrijwilligerscollectief Dutch Institute for Vulnerability Disclosure. In dat collectief zijn ethische hackers verenigd die het internet veiliger proberen te maken.

"We hebben naar de overheid gekeken om het simpeler te maken", zegt Inge Bryan van Fox-It in het FD. "Maar we willen daar niet meer op wachten en hebben besloten zo'n systeem zelf op te zetten."

Systeem overheid

In het systeem van de overheid komen meldingen van dreigingen binnen bij het Nationaal Cyber Security Centrum (NCSC). Die deelde de meldingen tot deze maand enkel met bedrijven uit zogenoemde vitale sectoren en met het Rijk. Die bevoegdheid is deze maand uitgebreid. Bedrijven kunnen nu worden gebeld als ze gevaar lopen. Op termijn is het plan om meldingen automatisch te versturen.

Dat is onvoldoende, vinden de bedrijven die nu hun eigen systeem opzetten. Volgens de betrokken partijen duurt het te lang voordat informatie over kwetsbaarheden op de juiste plek komt. Soms komt de informatie ook helemaal niet bij bedrijven terecht die het moeten weten.

"Partijen die zich niet hebben aangesloten of niet binnen het bereik van het NCSC vallen, krijgen de informatie niet of te laat", zegt Breedijk van het vrijwilligerscollectief van ethische hackers. Hij denkt dat het juridisch geen probleem is dat het alarmsysteem meldingen over persoonlijke informatie met bedrijven deelt.

De organisaties beroepen zich op een 'gerechtvaardigd belang'. Volgens Breedijk is er haast geboden. "Het is twee voor twaalf. We moeten dit fixen met z'n allen." Het FD schrijft dat het NCSC welwillend tegenover het plan staat en in gesprek wil over de nadere invulling.

95% dreigingsinformatie gaat verloren

Het Nationaal Cyber Security Center (NCSC) dat overheden en vitale bedrijven waarschuwt voor dreigingen, deelt nog geen 5 procent van de ontvangen informatie. Dat zeggen bronnen tegen de Volkskrant. De grote boosdoener is de Wet beveiliging netwerk- en informatiesystemen (WBNI) die niet doordacht zou zijn.

Op basis van de 95 procent informatie die ‘weggegooid’ wordt, zouden vele organisaties beveiligingsmaatregelen kunnen treffen, voordat zij door cybercriminaliteit worden getroffen. Het gebeurt nu regelmatig dat bedrijven gehackt worden via een kwetsbaarheid die bij het NCSC bekend was. Het gaat dan bijvoorbeeld om lekken in de beveiliging van veelgebruikte systemen als Microsoft Exchange en Citrix. Voor het bedrijfsleven vormt de gang van zaken een reden om maar een ‘eigen’ NCSC op te zetten, zo werd dinsdag aangekondigd.

Frustratie over wet WBNI

Ook bij het NCSC is er frustratie over de in 2018 ingevoerde WBNI, die het delen van essentiële informatie aan banden legt. Soms zou men zelfs de wet overtreden om potentiële slachtoffers te kunnen waarschuwen. Dat gebeurde vorige week nog om te voorkomen dat bedrijven door ransomware getroffen zouden worden.

Er komt nu een wijziging in de wet, waardoor sommige informatie wel via het Digital Trust Center (DTC) met het niet-vitale bedrijfsleven gedeeld mag worden, maar de meeste beperkingen blijven bestaan.

De manier van werken van het tot het ministerie van Justitie en Veiligheid behorende NCSC leidt er ook toe dat zelfs de Rijksoverheid en vitale bedrijven vaak weken moeten wachten voordat zij dreigingsinformatie ontvangen, terwijl ook bij cyberdreigingen elke seconde telt. En er ontstaan problemen als de dreigingsinformatie persoonsgegevens, zoals IP-adressen of e-mailadressen, bevat.

Actief waarschuwen verboden

Het NCSC mag ook niet actief waarschuwen, bijvoorbeeld door op internet op zoek te gaan naar systemen die een bekende kwetsbaarheid hebben. Zou dat wel mogen, dan kon men de betreffende organisaties waarschuwen dat de ‘achterdeur op een kier staat’.

Dat was bijvoorbeeld het geval bij gebruikers van het platform van Kaseya, waarmee computers op afstand beheerd kunnen worden. Onderzoekers hadden daarin een lek ontdekt en dat in april gemeld bij het NCSC. Drie maanden later werden via dat lek enkele Nederlandse bedrijven gehackt, terwijl dat dus makkelijk te voorkomen was geweest.

Volgens Frank Breedijk van het Dutch Institute for Vulnerability Disclosure is het delen van informatie veel te ingewikkeld gemaakt. Het zoeken naar kwetsbaarheden wordt nu als hacken beschouwd en mag daarom niet door de overheidsorganisatie worden uitgevoerd.

Bron: bnr.nl volkskrant.nl, fd.nl, beveiligingnieuws.nl, nos.nl

Actuele aanvallen overzicht per dag 》

Ernstige kwetsbaarheden 》

Tips of verdachte activiteiten gezien? Meld het hier.

Meer nieuws

Darkchat, Darkmind, Darkbubble

In deze lastige tijden staan 'social distancing', thuiswerken en proberen om te gaan met de geldende maatregelen helaas centraal. Echter hebben we tijdens onderzoek gemerkt dat complottheorieën steeds vaker vaste grond krijgen binnen verschillende sociale groepen binnen de samenleving als dusdanig.

Lees meer »

Aanhouding in onderzoek naar Remote Access Trojans (RAT’s)

De politie heeft in een onderzoek naar cybercrime een 28-jarige man in Lelystad aangehouden. De man wordt verdacht van het gebruiken van Remote Access Trojans (RAT’s), kwaadaardige software waarmee cybercriminelen computers van slachtoffers kunnen binnendringen en overnemen. Ook heeft de politie twee woningen en een bedrijfspand doorzocht, waarbij administratie, gegevensdragers en twee auto’s in beslag zijn genomen.

Lees meer »

WhatsApp gehackt, dat overkomt mij niet

Cybercriminelen slaagden er afgelopen jaar in om de WhatsApp-accounts van verschillende politici over te nemen. Het gaat om de accounts van leden van de Eerste en Tweede Kamer, Hoge Colleges van Staat en ambtenaren van meerdere ministeries. De oplichters probeerden op deze manier geld te verdienen, maar er hadden ook vertrouwelijke gegevens buitgemaakt kunnen worden.

Lees meer »

Moet er eerst een ramp gebeuren bij de Rijksoverheid?

Bij elf van de achttien onderzochte overheidsorganisaties is de informatiebeveiliging niet op orde. Over de gehele linie is de stand van informatiebeveiliging niet anders dan in 2019. Toch is er het afgelopen jaar vooruitgang geboekt en hebben organisatie waar de informatiebeveiliging niet op orde was daar werk van gemaakt. Dat heeft er echter niet toe geleid dat tekortkomingen en onvolkomenheden zijn opgelost.

Lees meer »

Datalekken UWV en SVB

Het Uitkeringsinstituut Werknemersverzekeringen (UWV) en de Sociale Verzekeringsbank (SVB) meldden ieder afgelopen jaar honderden datalekken bij de Autoriteit Persoonsgegevens. In de meeste gevallen ging het om post gerelateerde lekken. Beide instanties doen hun best om het aantal fouten terug te brengen.

Lees meer »

Android stalkerware in opmars

Het gebruik van mobiele stalkerware, software die stalkers stilletjes en zonder hun medeweten installeren op mobiele apparaten van slachtoffers, neemt volgens onderzoekers toe. In 2019 registreerde onderzoekers bijna vijf keer meer Android stalkerware-detecties dan in 2018, en in 2020 waren er 1,5 keer meer detecties dan in 2019. Naast de toename ontdekte het onderzoeksteam van ESET ook ernstige kwetsbaarheden in Android stalkerware-apps en hun monitoringservers. Deze kwetsbaarheden kunnen leiden tot ernstige gevolgen voor de gebruiker als ze worden uitgebuit. "Security: The Hidden Cost of Android Stalkerware" werd eergisteren op de RSA Conference gepresenteerd door onderzoeker Lukáš Štefanko.

Lees meer »