Rijksauditdienst: overheid heeft geleerd van Diginotar-affaire

De overheid let sinds de Diginotar-affaire beter op de beveiliging van overheidssites en -diensten. Dat concludeert de Rijksauditdienst na een onderzoek naar de zaak. Voorafgaand aan de hack heeft de overheid wel steken laten vallen bij de audits.

De overheid reageerde snel en adequaat op de hack, zo concludeert de Rijksauditdienst volgens Nu.nl.  De Rijksauditdienst meent dat de overheid veel goed deed in de affaire. "Zo werden burgers en bedrijven gewaarschuwd, werd Microsoft met succes benaderd om een voorziene patch (update) voor Nederland met een week uit te stellen, en werd de operationele bedrijfsvoering van DigiNotar met betrekking tot de uitgifte van certificaten overgenomen. Ook werd direct nader onderzoek ingesteld naar alle ins and outs rondom dit falen van de informatiebeveiliging."

Vóór de affaire heeft de overheid wel steken laten vallen, volgens het overheidsorgaan. Zo werd te veel vertrouwd op de beperkte audits, waarbij geen afwijkingen werden gevonden, terwijl de auditors wel afwijkingen hadden moeten vinden. De overheid heeft echter lessen getrokken uit de affaire, zegt de Rijksauditdienst. "De wijze van denken en omgaan met risico’s van beveiliging van websites is veranderd. Samenwerking tussen overheidspartijen onderling en samenwerking tussen rijksoverheid en andere belanghebbende partijen (publiek, privaat, internationaal) hebben een belangrijke impuls gekregen."

De conclusie gaat in tegen de mening van de Nationaal Coördinator Terrorismebestrijding, die eerder het optreden van de overheid 'niet adequaat' noemde. "Het was lastig om alle certificaten te vinden. Daarom is het belangrijk om je eigen systemen te kennen en niet al je expertise te outsourcen."

Het inmiddels failliet verklaarde DigiNotar kwam in de problemen nadat een Iraanse hacker valse ssl-certificaten had gemaakt. Toen later bleek dat de certificaten van de Nederlandse overheid niet langer te vertrouwen waren, besloot de overheid het vertrouwen in DigiNotar op te zeggen en een andere certificaatautoriteit te kiezen.