Computersystemen Nederlands Kadaster zijn onveilig

De ict-infrastructuur van het Kadaster is niet op orde, waardoor risico bestaat op toegang door onbevoegden en onbereikbaarheid, blijkt uit interne veiligheidsrapporten van het vastgoedregister. Ook bestaat de mogelijkheid op toevoegen van onjuiste informatie.

Dat de systemen onveilig waren, blijkt al jaren bekend te zijn geweest. In 2012 waarschuwde Deloitte het management van het Kadaster hier al voor, gevolgd door KPMG in de jaren erna. Ook in het meest recente rapport van november vorig jaar, worden de problemen groot genoemd, schrijft het FD, dat de interne veiligheidsrapporten publiceert.

"Het risico bestaat dat Kadasterdiensten onveilig zijn voor klanten of informatie toegankelijk is of muteerbaar is voor personen die hier geen toegang toe mogen hebben", staat onder andere in het rapport van vorig jaar. Er worden tien veiligheidsthema's besproken met 'substantiële' en 'hoge risico's' op gebied van ict. Onder andere de dienst MijnKadaster.nl zou door jarenlang gebrek aan onderhoud niet meer voldoen.

Ook zwierven er zeker tot in 2015 onbeveiligde usb-sticks rond in de organisatie, was de infrastructuur lang niet bestand tegen ddos-aanvallen, werd er gebruikgemaakt van verouderde besturingssystemen zoals Windows Server 2003 en was de ict niet voorbereid op mobiel werken. De woordvoerder bevestigt dat de rapporten authentiek zijn en meldt dat het verbeteren van de beveiliging een 'zeer hoge prioriteit' heeft.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (97)

Nou zal ik het niet ontkennen noch goedpraten, maar uniek is het niet. Ook in het bedrijfsleven is het vaak bar en boos gesteld met de (veiligheid van) ICT.

Dat gezegd hebbende hebben overheidsdiensten het ook niet gemakkelijk. De politiek drukt aan de ene kant de een na andere lastig uitvoerbare regel er doorheen en de klant/burger wil aan de andere kant makkelijke ICT voorzieningen. Vervolgens is er al jaren een tendens dat er vooral minder ambtenaren moeten zijn en staan budgetten continue onder druk. Diezelfde politiek beslist vervolgens ook nog dat er aanbesteedt moet worden, waarbij je nagenoeg verplicht bent de goedkoopste te nemen. En ook dat levert niet altijd de gewenste kwaliteit op.

C.q.: los van dat overheidsdiensten ook behoorlijk kunnen prutsen zitten ze ook wel in een erg lastige omgeving.

De politiek drukt aan de ene kant de een na andere lastig uitvoerbare regel er doorheen en de klant/burger wil aan de andere kant makkelijke ICT voorzieningen.

Klopt, de belastingdienst kan de stortvloed aan wijzigingen nauwelijks aan. Vaak wordt er nog net voor het kerst-reces een wijziging aangenomen die dan wel per 1 januari in moet gaan. Noch de belastingdienst, noch de bedrijven die een dienst of programma aanbieden dat hiermee te maken heeft (bv makers van verloningsoftware) hebben dan voldoende tijd om hun dienst aan te passen.

Ook bij regelingen als WW, ziektewet, en RWW is dit zo. De datum waarop je werkloos geworden bent bepaalt welke rechten je hebt waardoor er geen algemene richtlijnen te geven zijn en de situatie voor iedere persoon anders is. Hierdoor kunnen instanties als het UWV niet op voorhand bepalen waar iemand recht op heeft en wat zijn verplichtingen zijn (behalve dan het beschikbaar zijn voor de arbeidsmarkt en verplicht solliciteren). Dit kunnen ze pas na een weken durende procedure.

Die makkelijke ICT-voorzieningen, dat is een ander verhaal. Het is niet de taak van de overheid om het makkelijker te maken, maar het moet werkzaam en correct zijn. De slogan van de Belastingdienst 'Leuker kunnen we het niet maken, wel makkelijker' is dan ook een vreemde. Veelal leek het ook vooral dat ze het makkelijker aan het maken waren voor zichzelf. Wel is het in Nederland is een eitje vergeleken met België of Luxemburg of Duitsland. Van de andere kant is de standaardisatie van de gegevens op een loonstrook in andere landen soms beter.

Vervolgens is er al jaren een tendens dat er vooral minder ambtenaren moeten zijn en staan budgetten continue onder druk.

Klopt, maar veel van de ambtenaren zijn constant wetgeving aan het voorbereiden die het kabinet daarna naar de kamer brengt als wetsvoorstel. Uiteraard dient wetgeving bij de tijd te zijn en loopt deze vaak achter op bepaalde ontwikkelingen in de samenleving, met name bijvoorbeeld op ontwikkelingen die in relatie staan met internet en ict. Toch krijg ik van de waslijst aan continu doorgaande wijzigingen sterk de indruk dat veel vernieuwde wetgeving niet het gevolg is van noodzaak door een veranderende samenleving maar eerder het gevolg is van het aan het werk (moeten) houden van grote aantallen ambtenaren.

Een ambtenaar die niet voldoende wetsvoorstellen producteert lijkt immers overbodig te zijn en dus wordt in de volgende bezuinigingsronde zijn post opgeheven. (Ontslaan kan echter met een ambtenaar niet zo makkelijk als in het bedrijfsleven.)

Wetgeving die echter dringend aanpassing nodig heeft, zoals de auteurswet uit 1912 blijft echter onveranderd (op een cosmetische, nl het aanpassen van de Citeertitel in 2008 na).

Daarbij zijn er als gevolg van het invoeren van het Nieuw Burgerlijk Wetboek (per 1 januari 1992, Boek 4 op 1 januari 2003) extra ambtenaren ingehuurd (juristen dus) en die zullen dus in principe tot 40 jaar daarna in dienst blijven en dus nieuwe wetgeving voorbereiden.

Dit terwijl de burger nu juist stabiliteit wilt en zekerheid. Het systeem aan wetten is dermate ingewikkeld geworden dat zelfs specialisten (zoals rechters en advocaten) slechts een deel ervan volledig kunnen begrijpen.

Diezelfde politiek beslist vervolgens ook nog dat er aanbesteedt moet worden, waarbij je nagenoeg verplicht bent de goedkoopste te nemen. En ook dat levert niet altijd de gewenste kwaliteit op.

Vaak wordt de aanbesteding zodanig geformuleerd dat slechts enkele leveranciers hieraan kunnen voldoen. Het komt zelfs voor dat deze zo wordt opgesteld dat alleen die ene gewenste leverancier eraan kan voldoen. Kortom, heel die aanbesteding is vaak een wassen neus. Dan nog is de kwaliteit vaak ondermaats en de prijs bovenmatig, juist omdat men alleen die leverancier(s) in aanmerking wilt laten komen.

Dat het echter ook vaak fout kan gaan als men wel serieus probeert aan te besteden komt omdat men intern onvoldoende zicht heeft op wat men wilt en te weinig verstand heeft van zaken (m.n in ict) om duidelijke kwaliteitseisen in de aanbesteding op te nemen. Het eerste van die twee is dan weer vaak het gevolg van de steeds veranderende wetgeving.

Zaken zoals de GDPR maken het er voor het bedrijfsleven ook zeker niet eenvoudiger op.

Vanuit een security/privacy standpunt te begrijpen .. vanuit een end user standpunt gaat het voor een boel extra rompslomp zorgen.

Ach, als je voldoet aan de Wbp, dan is de AVG (GDPR) niet echt spannend. En de Wbp, die bestaat al 15 jaar. Als de AVG een uitdaging gaat worden voor je organisatie, dan heb je dus 15 jaar liggen slapen. Geen medelijden mee. Hard aanpakken dat soort organisaties.

Dat zijn wel heel erg veel afkortingen in 1 reactie .

GDPR: General Data Protection Regulation
Wbp: Wet bescherming persoonsgegevens
AVG: Algemene verordening gegevensbescherming

Ik heb ook al zo'n pesthekel aan afkortingen, maar gelukkig hebben we Google DuckDuckGo

Vanuit een Belgisch standpunt ligt dat natuurlijk iets anders ;-)

Diezelfde politiek beslist vervolgens ook nog dat er aanbesteedt moet worden, waarbij je nagenoeg verplicht bent de goedkoopste te nemen.

Als in een tender alle eisen worden gesteld voor een veilig systeem dan moet dat geen bezwaar zijn. Het gaat dus fout bij de aanbesteding en niet bij de leveranciers van systemen.

Zoals alles, werkt het natuurlijk twee kanten op. Zowel bij de aanbesteding als de leveranciers.

Neemt niet weg natuurlijk dat er duidelijk dingen fout gaan bij overheidsinstellingen. Natuurlijk gebeurt dit overal, maar belangrijker is dat ze er hier ook erg langzaam op reageren (ik lees hier weer dat het al sinds 2012 wordt aangekaart). Het heeft volgens mij dus niet zozeer met het gebrek aan kennis te maken, maar eerder met gebrek aan daadkracht om dit soort problemen aan te willen pakken.

[Reactie gewijzigd door imdoctorbob op 13 februari 2017 10:19]

Niet mee eens. Uitgangspunt: een opdrachtgever vraagt om een product met een duidelijke omschrijving en een leverancier levert vervolgens het product naar de letter van deze omschrijving. Je kunt niet verlangen dat een leverancier op eigen houtje gaat bedenken dat het product beter kan dan hoe de opdrachtgever het vraagt. Die verantwoordelijk ligt te allen tijde bij de opdrachtgever.

Als een instelling of een bedrijf de eigen computersystemen door en door kent (geen onterechte eis) en hier een uitbreiding op nodig heeft dan mag je verwachten dat zij die uitbreiding goed weten te definiëren en als zodanig communiceren naar de leverancier. De kwaliteit van de leverancier meet je af aan de mate waarin het product voldoet aan de gestelde eisen. Als het eisenpakket zelf tekortschiet dan kun je daar de leverancier nooit op aankijken.

Edit: zin vet gedrukt waar schijnbaar overheen gelezen wordt. En in eerste alinea duidelijk gemaakt dat het een uitgangspunt betreft en geen stellingname.

[Reactie gewijzigd door 55563 op 13 februari 2017 14:59]

Het is maar net hoever je die definitie tot in het absurde wilt doortrekken.
De situatie waar veel klanten van ICT bedrijven in zitten is vergelijkbaar met iemand die in een restaurant is vergiftigd omdat hij niet had gespecificeerd dat er geen arsenicum in het eten mocht zitten, dat er geen muizen over hebben mogen pissen en dat de biefstuk niet een week naast de koelkast had mogen liggen.
De kwaliteit van een leverancier meet je nog steeds af aan hoe tevreden zijn afnemers zijn.

Dan is sprake van kwaad opzet en als dat inderdaad zo is dan mogen die leveranciers daar natuurlijk op aangesproken worden, of zelfs voor aangeklaagd worden. Hoe dan ook is ook de kern van jouw verhaal dat er niet is geleverd waar om gevraagd werd.

De kwaliteit van een leverancier meet je nog steeds af aan hoe tevreden zijn afnemers zijn.

(On)tevredenheid is een indicatie dat er iets aan de hand is, géén meetlat op zich. Mensen klagen over buikpijn in jouw voorbeeld maar pas als er vergif, een bacterie o.i.d. in het voedsel wordt aangetroffen kun je zeggen dat de kwaliteit van dat voedsel ondermaats is. Maar waar bij eten het niet aanwezig zijn van vergif een logische, ongeschreven eis is van de restaurantbezoeker (wat iedere rechter zou beamen), heb je bij complexe IT-producten niet de luxe om allerlei van dit soort ongeschreven eisen te hanteren. Dus nogmaals, als je als opdrachtgever een product bestelt dan zul je dat product tot in de kleinste details moeten beschrijven zodat de leverancier zoveel mogelijk in de gelegenheid wordt gesteld om het juiste product te leveren. Daar is niks absurds aan. Dat heet gewoon maatwerk en dan moet je niets aan het toeval overlaten. Dat er niet altijd zo wordt gehandeld en er mogelijk structureel teveel aannames worden gedaan bij complexe orders maakt die praktijk nog niet acceptabel. Maar een fijn omlijnde beschrijving van een IT-product vereist wel een diep inzicht in de materie en dat is uiteindelijk waar het meestal aan schort.

Dit wordt erg off-topic, maar jij meent te zeggen dat een leverancier/aannemer altijd perfect is, en dat is simpelweg niet waar. Er werken daar ook gewoon mensen, net zo goed als de opdrachtgever nu eenmaal gewoon mensen zijn. Daarnaast zijn er ontzettend veel dingen die bij veel projecten nu eenmaal fout kunnen gaan . De situatie die jij beschrijft, komt daarnaast nogal gepolariseerd over (je kunt jou argumentatie ook omdraaien en de schuld ten alle tijden bij de leverancier leggen namelijk) en maakt het moeilijk om zo te discussiëren.

Misschien om mijn uitspraak wat kracht bij te zetten: Ik kan vanuit eigen ervaring alleen al genoeg voorbeelden geven waarbij een leverancier niet aflevert volgens de afspraak/eisen, vaak met een hoop rompslomp als gevolg . Vanuit eigen ervaring heb ik het ook fout zien gaan bij de communicatie van ons naar de leverancier. Daarnaast ben ik ook onderdeel geweest van een leverancier, waarbij het aan onze kant fout is gegaan, waarbij de schuld echt volledig aan onze kant lag .
Dan zijn er nog de lastige situaties. Ik heb (meerdere malen) meegemaakt dat de opdrachtgever aspecten (overduidelijk of niet) verkeerd of onhandig aangegeven had, of dat wij het beter kunnen afleveren voor dezelfde prijs (beter specificaties, minder werk etc.). Is het dan maar hun schuld als wij het dan TOCH afleveren zoals dat van ons wordt gevraagd, en ze daar een verkeerd product aan overhouden? Het lijkt me dus zeker niet zo zwart-wit als dat jij het doet klinken.

[Reactie gewijzigd door imdoctorbob op 13 februari 2017 12:39]

Dit wordt erg off-topic, maar jij meent te zeggen dat een leverancier/aannemer altijd perfect is, en dat is simpelweg niet waar.

Waar lees je dat? Ik schreef dat de kwaliteit van de leverancier wordt afgemeten aan de mate waarin het product voldoet aan de door de opdrachtgever gestelde eisen. Dat was een essentieel onderdeel van mijn verhaal. De aanleiding voor mijn verhaal was de kritiek op het systeem van openbare aanbesteding en dat het een slechte zaak zou zijn om altijd met de goedkoopste leverancier in zee te gaan. Ik wilde slechts duidelijk maken dat dat niet de kern van het probleem is. Zie daarvoor nogmaals mijn vorige post.

Je bent me nu aan het verwarren. Je claimt eerst het volgende:

Als in een tender alle eisen worden gesteld voor een veilig systeem dan moet dat geen bezwaar zijn. Het gaat dus fout bij de aanbesteding en niet bij de leveranciers van systemen.

Dit leek mij nogal kort door de bocht. Vandaar mijn eerste reactie.
Daarna geef je aan dat je niet eens bent met mijn reactie. Met de volgende reactie:

Niet mee eens. Een opdrachtgever vraagt om een product met een duidelijke omschrijving. Een leverancier levert het product vervolgens naar de letter van deze omschrijving. Je kunt niet verlangen dat een leverancier op eigen houtje gaat bedenken dat het product beter kan dan hoe de opdrachtgever het vraagt. Die verantwoordelijk ligt te allen tijde bij de opdrachtgever.

Dus op je vraag waar ik dat lees? In de eerste alinea. Je bent het blijkbaar niet eens met mijn nuance, dus het ligt nog steeds aan de opdrachtgever. Je lijkt hier in mijn ogen daarna nogmaals voornamelijk de zwaarte te leggen bij de opdrachtgever en eigenlijk niet bij de leverancier/aannemer. Daarna bekijk je het nog een keer vanuit ideale (zwart-wit) situaties.

Als een instelling of een bedrijf de eigen computersystemen door en door kent (geen onterechte eis) en hier een uitbreiding op nodig heeft dan mag je verwachten dat zij die uitbreiding goed weten te definiëren en als zodanig communiceren naar de leverancier. De kwaliteit van de leverancier meet je af aan de mate waarin het product voldoet aan de gestelde eisen. Als het eisenpakket zelf tekortschiet dan kun je daar de leverancier nooit op aankijken.

Nogmaals wijkt de schaal nogal uit naar de opdrachtgever die alle verantwoordelijkheid lijkt te moeten dragen. De leverancier hoeft alleen maar af te leveren. Ik zie hier nogmaals de nuance, bijvoorbeeld: Wie is nu in de fout in het eerste geval als de product niet voldoet aan de eisen? Wie bepaald eigenlijk of er voldaan is de aan eisen?

Kijk als je argument is dat er te weinig kennis is bij de overheid waardoor ze niet een goede aanbesteding kunnen doen voor de laagste bieder, dan kan ik me daar iets bij voorstellen. (Dat schreef je echter niet zo op in je eerste comment.) Maar dat kunnen ze ook gewoon oplossen door een goed advies bureau in te schakelen, of door goed overleg met de leveranciers. Hier speelt geld wel weer een rol natuurlijk.

[Reactie gewijzigd door imdoctorbob op 13 februari 2017 13:30]

Laten we hier nu geen onnodig lang verhaal van maken. Lees alles in de context van het artikel en de oorspronkelijke post waar ik op reageerde. Daarin is kritiek op het systeem van openbare aanbesteding met als argument dat de verplichting om voor de goedkoopste leverancier te moeten kiezen een slechte zaak zou zijn. En dat is m.i. dus onzin omdat je kwaliteit niet afmeet aan de prijs maar aan de mate waarin bestelde product of dienst daadwerkelijk is geleverd. Wie dat zou moeten bepalen is daarbij niet relevant voor het principe.

Weer thuis las ik e.e.a. op de laptop en ik denk dat een toevoeging van een woord de eerste alinea van mijn eerdere post wat duidelijker maakt.

Het is jammer dat het precies het Kadaster moet zijn die zijn beveiliging niet op orde heeft. Ik haal altijd het Kadaster als voorbeeld aan bij hoe de overheid het WEL moet doen met ICT.

Ik werk veel met het Kadaster en het is een zeer gebruiksvriendelijke website die gewoon 99,9% van de tijd werkt. De website is overzichtelijk, informatie is snel gevonden en het werkt gewoon.

Veel overheidswebsites kunnen hier een voorbeeld aan nemen hoe zij die zaken geregeld hebben.

Minder ambtenaren heeft hier helemaal niets mee te maken. Denk je nou echt dat die ambtenaren dit soort systemen ontwikkelen?

Het zijn weer de grote bedrijven zoals Cap Gemini en Sogeti die dit waarschijnlijk doen, omdat de overheid absurde omzet eisen stelt voor bedrijven die dit soort systemen mogen ontwikkelen. Daarom komen eerstgenoemde altijd weer in de shortlist voor. Vervolgens besteden die het weer uit aan India, lekker goedkoop. En dat het een rommeltje is dat zal ze een worst wezen. De woekerwinsten worden naar Frankrijk weggesluisd.

Ik heb geen medelijden met de overheid als ze niet de omzet eisen afzwakken of opdoeken. Waarom kan een klein Nederlands bedrijfje niet gewoon dit soort systemen ontwikkelen? Het is zeker mogelijk als je het in kleine stukjes opdeelt en goed beschrijft wat de functionaliteit is.

Tevens vind ik dat dit soort systemen gewoon open-source moeten zijn, net zoals vrijwel alle overheids software.

[Reactie gewijzigd door ArtGod op 13 februari 2017 10:46]

Heb je een bron ? Of is dit uit eigen ervaring ?

Zeg, moet hier geen opmerking komen over onveilig, want JSP? Dat is toch altijd jouw standaard reactie?

Of geldt dat alleen bij PHP applicaties die lek zijn?

In het recente verleden heb ik een poos bij het Kadaster aan de ICT kant gezeten. 80% van de data waar het Kadaster mee werkt is open data. Vervolgens huurt het Kadaster een bedrijf in om security te checken. Die vind met zo'n toolbox op een readonly viewer op readonly vrij verkrijgbare open data een weakness dat in theory een man in the middle attack uitgevoerd kan worden, waardoor iemand met een ander kan meekijken. Code rood! Code rood!

Ik vraag me echt af wat nu wezenlijke beveiligingslekken zijn en wat theoretisch een zwakheid is op een onschuldige omgeving. Volgens mij is het namelijk grotendeels opgeklopte lucht.

Politiek gezien is het voor sommige organisaties ook wel fijn als het Kadaster in een verkeerd daglicht gesteld wordt. Het Kadaster heeft namelijk nogal wat door de overheid opgelegde taken. Taken die ze vaak kregen omdat ze een van de weinige semi overheidsdiensten is met een redelijk goed lopende ICT afdeling. Veel organisaties willen wel zo'n overheidstaak overnemen. Dat betekent immers jaren lang een stabiel inkomen voor de organisatie.
Ik hoop dat het bestuur van het Kadaster wat dat betreft wat van zich af durft te bijten en niet zomaar alles voor zoete koek slikt wat externe organisaties over het Kadaster roepen. Dat verdienen ze daar bij ICT namelijk niet.

+4 Namelijk de eerste persoon die daadwerkelijk iets 'weet'. In plaats van open deuren in te trappen.

Ik vraag me echt af wat nu wezenlijke beveiligingslekken zijn en wat theoretisch een zwakheid is op een onschuldige omgeving. Volgens mij is het namelijk grotendeels opgeklopte lucht.

Het is een beetje 50/50.
Er waren serieuze problemen, maar het kadaster worstelde om ze op te lossen. Ondertussen is die worsteling een heel eind voorbij en lopen ze aardig 'bij'.
In IT overheid land lopen ze daarmee mijlen voor!

Ik hoop dat het bestuur van het Kadaster wat dat betreft wat van zich af durft te bijten en niet zomaar alles voor zoete koek slikt wat externe organisaties over het Kadaster roepen. Dat verdienen ze daar bij ICT namelijk niet.

Ik ben ook wel benieuwd wie hier 'goedkoop wilde scoren'.
Elke IT afdeling heeft aandachtspunten, maar de genoemde punten zijn allemaal 'historie'. Gaan 'zeuren' over USB-sticks die vroeger werden gebruikt... nou nou nou... ik denk dat 90% van de overheidsdata wel ergens op een stickje staat. Zullen we gewoon 3x hoera roepen omdat ze het NIET meer doen?
En Windows 2003 is oud, maar ook een server OS (dus te 'firewall'-en) en ondertussen ook netjes uitgefaseerd bij het Kadaster, zullen we dan BOE roepen naar de XP gebruikers bij de rest van de overheid?

Kleine toevoeging:
De outsourcing naar Cap Gemini gebeurde ergens eind 2014 begin 2015... exact het moment dat je een meting doet en dan vind je alle ellende dubbel.

[Reactie gewijzigd door TheGhostInc op 13 februari 2017 18:39]

Dat is nou precies het verschil tussen beschikbaarheid en/of vertrouwelijkheid, versus integriteit.
Het mag wel opendata zijn, alleen dan moet de data wel integer zijn. Zeker als daar rechten aan ontleend gaan worden.
Dus als je beveiliging niet op orde is en onterecht gegevens gewijzigd kunnen worden, wat is dan de integriteit van de data?

Daarom heb ik bewust 2 maal read only genoemd in mijn post. Er was geen weakness gevonden in de omgeving waar de data opgeslagen en bewerkt kan worden. Lukt ook niet, omdat die omgeving totaal los staat van het internet.

Over die USB sticks: ik heb in al mijn jaren een paar USB sticks gezien. Die waren altijd van werknemers en privé. Je kunt namelijk niets met USB sticks, omdat er alleen virtuele machines zijn, waarbij er geen enkele toegang was tot USB poorten. Helemaal niet relevant dus, maar het maakt het verhaal een stukje spannender.

omdat er alleen virtuele machines zijn, waarbij er geen enkele toegang was tot USB poorten. Helemaal niet relevant dus, maar het maakt het verhaal een stukje spannender.

Virtuele machines moeten ook op een host draaien. En die host moet ergens fysieke toetsaanslagen verwerken en doorsturen naar de VM. Keylogger daartussen gefrot krijgen en wachten totdat er een paar tekenreeksen herkenbaar als bijv. [e-mail] [TAB] password [ENTER] verschijnen.

Tenzij terminals fysiek geen enkele mogelijkheid hebben om USB drives in te steken blijft dat altijd een mogelijk scenario.

Dat moet inderdaad in het recente verleden geweest zijn. Want ook al klopt het dat het kadaster grotendeels met open data werkt, is het nog maar heel kort zo dat die data ook veelal openbaar en onbetaald beschikbaar wordt gesteld. Volgens mij ook onder lichte dwang vanuit diverse ministeries.

Ik denk dat de overheid gewoon te weinig eigen kennis heeft op dit gebied. Ze zouden eigenlijk zelf de boel moeten kunnen onderhouden en controleren, in plaats van dit door externen te laten doen.

Persoonlijk denk ik dat het goed zou zijn als we met de eu een europees staatsbedrijf voor ict opzetten. Dan kunnen we daar de diensten vragen voor de overheid zonder dat we de controle kwijtraken aan de private sector. Bovendien kunnen we dan de kennis in europa delen.

Deze aanpak betekent ook dat we niet zo afhankelijk zijn van bijvoorbeeld de verenigde staten als het gaat om software, aangezien we dan met open source of eigen software kunnen voldoen. Na de snowden onthullingen is dat helemaal belangrijk.

[Reactie gewijzigd door rjberg op 13 februari 2017 08:21]

Iets centraals? Dat werkt bij grote bedrijven ook al voor geen meter, laat staan op Europees niveau.

De ict wordt vervolgens duur betaald en land A doet geen zaken met de ict waar ook in de systemen van land B gekeken kan worden met alle datalekken tot gevolg.

Kennis delen in Europa gebeurt in de prive sector al nauwelijks en daarbij de overheden van de landen doen wel hetzelfde maar op geheel verschillende wijzes. Ik denk dat er weinig wil tot samenwerken is zolang landen zelf de regels mogen maken.
Maar dat de overheid ICT nu een speelbal van externen is dat klopt wel.

Eens: de overheid heeft te weinig kennis en het is schrijnend dat we tegelijkertijd dit soort nieuwsberichten lezen: nieuws: Nederlands kabinet: digitale wapenwedloop tussen landen dreigt

Maar of het dan goed is om er een 'Europees staatsbedrijf' voor te maken? Waarom zouden we dat voor heel Europa doen? Wat als Oekraïne bij de EU komt en Rusland op die manier informatie kan bemachtigen? Hoe meer landen, hoe meer kans op fouten.
Laten we dit lekker in Nederland zelf houden, en de data en technieken die publiekelijk gedeeld kan worden, gewoon open source beschikbaar stellen.

Ik ben ook van mening dat er te weinig kennis is bij eigen personeel van de overheid. Maar... Ook daar heeft de politiek een vinger in gehad. Uitbesteden is ingegeven door de politiek; het is een manier om het aantal ambtenaren omlaag te brengen.

Ik werk in de ICT bij de overheid. Ik kan je zeggen dat bij veel van mij collegae het kennisniveau echt uien is. Uiteraard zijn er ook nog ambtenaren die veel kennis hebben, hart voor de zaak hebben en ook op zaterdagavond/nacht nog aan het werk zijn om de boel draaiende te houden. Helaas zie ik ze langzaam afbranden en afstompen in het systeem waar soms heel bizarre keuzes worden gemaakt door managers die echt geen idee hebben wat ze aan het doen zijn. En uiteraard worden die niet vervangen (inkrimpen) of komt er een externe kracht op de plek te zitten. Over een tijdje heeft die kennis opgebouwd en zal die ook weer vertrekken.

Ik denk dat je een goed punt hebt, maar moet dit zeker niet op Europees niveau gebeuren. Een nationaal instituut welke technisch onderlegde mensen aantrekt, welke als functie heeft het testen van informatie systemen van de overheid. Daarnaast behoort het nieuw te ontwikkelen applicaties te kunnen maken en onderhouden en, waar nodig, vervangen.

Eerst zou dit instituut in kaart moeten brengen hoeveel verschillende informatiesystemen er momenteel zijn ( ik gok een hele, hele hoop, ) en in kaart brengen hoeveel overlap aan informatie hier in te vinden is en vervolgens kijken in hoeverre deze losse systemen aan elkaar gekoppeld of samengevoegd kunnen worden waardoor je meerdere aanvalsvectoren kunt uitsluiten.

Ook moet dit instituut hoofdverantwoordelijk worden voor IT projecten van de overheid, denk aan projecten voor de politie of in dit geval het Kadaster. Daarnaast bepaalt dit instituut de omgangsvormen voor alles online, bepalen zij het beleid voor laptops, hoe om te gaan met flex plekken, thuiswerkers en beveiliging en bieden adequate beveiliging voor al deze gevallen.

Dit behoeft helemaal geen speciaal iets te zijn, we hebben inmiddels 10 ministerposten, waarom niet eentje voor IT? Iemand die verantwoordelijk gehouden kan worden voor iets wat, in mijn ogen, toch echt wel een van de grootste ondersteunende sectoren van onze overheid is.

Ik denk dat IT een veel te klein onderdeel vormt van het onderwijs dat de meeste mensen genieten. Mensen werken dagelijks intensief met technologie maar tegelijkertijd snappen ze helemaal niet hoe het eigenlijk werkt. Nu hoef je niet alle ins en outs te weten maar basale kennis over computersystemen en veiligheid lijkt me wel handig, zeker in een tijd waar oorlogen het digitale pad op gaan.

Ik heb redelijk veel tijd doorgebracht in landen waar normaal basisonderwijs zoals we dat in Nederland kennen geen vanzelfsprekendheid is. Dan kom je er achter hoe ongelofelijk belangrijk het is om mensen allerlei basale kennis en vaardigheden mee te geven op jonge leeftijd om als burger te kunnen functioneren. In landen als Indonesië, Cambodja e.d. lopen volwassen mensen rond die amper tot 10 kunnen tellen, laat staan met geld om kunnen gaan of bijvoorbeeld kunnen inschatten hoeveel rijst ze nodig hebben om een maand te kunnen eten. Deze mensen zijn zonder dat ze het zelf doorhebben gigantisch gehandicapt in hun functioneren. Meerdere malen heb ik ook meegekregen hoe zij door anderen worden benadeeld omdat ze op geen enkele manier zijn uitgerust voor de moderne maatschappij.

Met IT in de westerse wereld zie ik grote overeenkomsten. Er is veel onwetendheid en dat brengt grote nadelen met zich mee. Niet alleen worden mensen online opgelicht. Op veel grotere schaal delen mensen zonder dat ze het echt beseffen hun halve privéleven met grote corporaties. Daarnaast zijn we op bijna alle mogelijke manier wel afhankelijk geworden van een computersysteem inclusief onze basisbehoeftes zoals eten en stromend water. Mensen wapenen tegen grote nadelige effecten en bedoelingen begint dus bij onderwijs.

Technologie zou onderwezen moeten worden op zowel de lagere als de middelbare school. Er moet geleerd worden wat computernetwerken en besturingssystemen zijn maar ook over virussen, firewalls, routers e.d. moet onderwezen worden met hacken als een van de gevaren. Middelbare scholieren kun je prima uitleggen wat datapakketjes zijn, protocollen en poortnummers. Al deze basiskennis heeft op de langere termijn bewustere volwassen gebruikers van technologie tot gevolg en dat heeft dan weer zijn weerslag op zowel de politiek als het bedrijfsleven.

Ooit moesten we allemaal verplicht leren vechten mocht er oorlog uitbreken. De loopgravenoorlogen worden echter vervangen door digitale strijd. Als een land zich daartegen wil wapenen en niet eraan ten prooi wil vallen (zoals die arme Indonesiër die elke dag benadeeld wordt omdat hij niet geleerd heeft om tot 10 te tellen) dan zal de bevolking opgeleid moeten worden. En goed ook.

Een Europees ICT bedrijf? Hou nou toch op man. Dan gaan andere landen weer met de koek er vandoor en wij mogen lekker dokken.

Ik wil dat alleen NL'se ICT bedrijven deze software mogen ontwikkelen. Geen Sogeti of Cap Gemini meer.

Maar daar zit weer geen enkel talent. Al het Nederlands talent gaat richting de USA. Ook hier hebben we last van brain drain. Ben je niet goed genoeg zit je dus nog in NL. Zo simpel is het. Nederland doet alsof we heel wat zijn in de informatica. Maar realiteit is juist andersom. We lopen zwaar achter op veel landen. We gebruiken vaak eeuwenoude technieken en houden niks up to date.. en ga zo maar door.

[Reactie gewijzigd door Texamicz op 13 februari 2017 18:41]

Goh, een overheidsinstantie heeft zijn IT niet op orde. Verder nieuws: water is nat

Spijtig dat je wordt gedownvote maar hoevaak moet dit soort nieuws te voren komen alvorens daadwerkelijk actie wordt ondernomen? Het is toch van den zotten dat letterlijk na 5 jaar nog steeds de systemen onvoldoende zijn geveiligd? En waarom is het dat nog steeds niemand die hiervoor verantwoordelijk is ontslagen is? Als bij een normaal bedrijf de IT infrastructuur 5 jaar onadequate is kun je toch wel verwachten dat er koppen gaan rollen.

Ik weet dat het beetje makkelijk is om zo te klagen maar toch dit is toch onacceptabel? Stel je voor je hebt een lapje grond en een grappenmaker wijzigd dit even en vervolgens "verkoopt" die dit? Dit soort gebreken lenen zich voor ongekende fraude.

Het is toch van den zotten dat letterlijk na 5 jaar nog steeds de systemen onvoldoende zijn geveiligd? En waarom is het dat nog steeds niemand die hiervoor verantwoordelijk is ontslagen is?

Hoe KOM je erbij dat dit allemaal niet is gebeurd?
En dan ontsla je de 'verantwoordelijke' en dan krijg je exact wat hier ook gebeurd: UITSTEL!

Een manager/verantwoordelijke is uiteindelijk ook 'zoveel waard' als zijn medewerkers. In het geval van prehistorische software heb je dus ook fossielen als medewerkers. Dan ontsla je de manager wat uiteindelijk alleen betekent dat die fossielen gewoon nog een jaartje extra blijven hangen. En ondertussen verandert er dus niks.

In het geval van het Kadaster lagen er honderden plannen in de kast om de problemen op te lossen... Maar als niemand het aandurft om het gewoon te gaan uitvoeren ben je heel ver van huis en blijft alles zoals het is. En zeker binnen 'klassiekere' organisaties is geen verandering eigenlijk ook niet zo heel vervelend.

En jouw voorbeeld. Hoe moeilijk is het voor een medewerker van het Kadaster om gewoon een 'extra' transactie in te voeren? Als je fraude wilt plegen zijn er meer 'wegen naar Rome' en dus zijn er ook altijd meer 'waarheden' dan alleen maar een veldje in een DB.

Je hebt gelijk, maar gelukkig gaan onroerend goed transacties nog via notarissen en die hebben hun eigen systeem dat hopelijk wel goed beveiligd is.

Blijft het risico dat de 'verkoper' een aanbetaling vraagt.
Dat ben je kwijt als later blijkt dat je met een oplichter te maken hebt.
Het is sowieso verstandig om grote bedragen voor OG via de notaris over te maken en niet rechtstreeks (contant) naar de 'verkoper'.

[Reactie gewijzigd door Apppie3 op 13 februari 2017 08:30]

Denk je nu echt dat het er in grote private bedrijven beter aan toe gaat?

Het verschil is wel dat private bedrijven vooral eigen data/gegevens beheren - en dan maakt het mij weinig uit hoe (on)veilig dat gebeurd.

Op het moment dat overheidsorganisaties die door mij betaald worden en mijn gegevens beheren hun werk niet op orde hebben, heb ik meer recht om te schreeuwen.

Dus je zal gelijk hebben, bij private bedrijven zal ook het nodige mis zijn, maar dit hier vind ik een stuk zorgwekkender.

Afgezien daarvan: hoe zou dit structureel opgelost moeten worden?
Ik zit er zelf niet echt diep in, maar heb het idee dat de overheid IT vaak uitbesteedt en daardoor wellicht zelf te weinig kennis van zaken heeft. Beheer van digitale data lijkt mij tegenwoordig een kerntaak van de overheid - zou men misschien moeten stoppen met uitbesteden en IT meer binnenshuis moeten halen?

Jij denkt oprecht dat de zaken die de overheid in eigen beheer heeft vlekkeloos geregeld zijn? Ik durf te stellen dat een uitbesteding de betere oplossing is.

Ik durft te stellen dat het beide geen klap uit maakt.

Het valt of staat bij 1) de beheerders zelf. Als deze lui zijn maakt het niet uit waar ze werken. Dit zie ik maar al te vaak. En 2) goed management.

Goed management en controlle hierop is eigenlijk het breekpunt in alle organisaties. Met name in overheid zie je dat dit vreselijk fout gaat omdat het een grote vriendendienst club is, met geen durf tot aanspreken van iemand en mogelijk zelfs ontslag als iemand niet kan preseteren naar functie.

In het bedrijfsleven moet er winst worden gemaakt. Als je ver onder je functie functioneerd, wordt je eruit geknalt. Klaar.
Bij de overheid durft niemand die beslissing te nemen. Helemaal erg in de kleinere gemeentes waar iedereen wel famillie heeft. Als fam. Smit, marietje aanspreekt of zelfs ontslaat, denk je dat fam. Smit nog op de thee durft te komen? (laat staan in de eventuele kerk)

Ik zeg, een goede (dus niet zelfverrijkende) manager die de club kan aansporen tot resultaat doet wonderen!

Vtspn is geen ander verhaal, ik bemiddelde daar vroeger interim personeel op ict gebied en de verhalen die ik wel eens hoorde waren om te janken, een aantal van die mensen schaamden zich werkelijk voor hun werk, ze werden binnengehaald omdat er veel werk zou zijn maar in de praktijk zaten ze voornamelijk uit hun neus te bikken omdat er projectmanagers rondliepen die het allemaal wel prima vonden en puntje bij paaltje kwam er niks gedaan

Zwakheden en veiligheid zijn niet zichtbaar. Om dit op te lossen moet je dit zichtbaar maken zodat er ook daadwerkelijk "werk" zichtbaar gaat worden.

Verplichte veiligheid hack testen doen. Dit zorgt ervoor dat system "zichtbaar" veilig zijn en zo zie je dat ook ICTers hun werk zichtbaar zien en meer trots zijn opdat hun software inderdaad veilig is.

Je GUI is zichtbaar, als dat er gelikt en goed uit ziet is dat makkelijk te zien door de vrouw achter de balie die ermee werkt en de klant die geen kennis heeft van software. Maar veiligheid.... ik zie als enige oplossing door dit zichtbaar en aantoonbaar te maken. Alleen kun je daardoor veiligheid goed de marketing indrukken!!

Je hebt twee teams. Onafhankelijke bedrijven. Een develop team en een hack team. Verplicht de overheid om zo'n hack team op elk stuk software te zetten in de test fase.

[Reactie gewijzigd door Texamicz op 13 februari 2017 18:51]

nee wat hij zegt is, dat als je niet uitbesteedt, je dus gebonden wordt om zelf meer it-kennis in huis te halen. als er betere iters in huis aanwezig zijn kun je ook een meer geinformeerd beleid voeren en uiteindelijk vaker alsnog specialistische kennis inhuren waar nodig, en zelf doen waar kan.

Onzin, hoe meet je die kennis? Hoe waarborg je dan de veiligheid?

heel simpel; wordt je leverancier aan de overheid hoef je nooit meer (echt) te werken
klinkt wat genunacneerd - maar in praktijk komt het er op neer dat;
- budgetten overschreden worden
- geen consequenties heeft bij slecht werk
- vendor/supplier lock-in; komt je niet meer vanaf

je krijgt een 0 van anderen, maar ik merk dagelijks wel dat je gelijk hebt...

Inderdaad, hier een leuke long-read daar over.

Gezellig samen falen

Inderdaad, hier een leuke long-read daar over.

Gezellig samen falen

Het ergste daarvan is dan nog dat de gemiddelde burger op software developers gaat lopen vloeken die hier helemaal niets aan kunnen doen. Want ICTers, dat zijn geldverspillers die overal een potje van maken. En dat terwijl het juist alle andere management-bende er omheen is die debet is aan die problemen en iedereen naait terwijl ze er met het geld vandoor gaan.

[Reactie gewijzigd door R4gnax op 13 februari 2017 20:12]

Te makkelijk dit. Kijk maar eens bij hoeveel private organisaties jij diensten afneemt en die dus ook jouw gegevens beheren. Dat zijn er nogal wat. NUTS, verzekeraars maar ook onlinediensten als Google, Microsoft, noem maar op.

Verder zou het mooi zijn als de overheid zelf goede ICTers zou aantrekken, maar dat is duur en de huidige schalen bij de overheid komen niet in de buurt van wat je kan verdienen bij een commercieel bedrijf.

Dus nu heb je er last van dat ze niet komen, en ga je als overheid meer betalen roept de burger keihard dat hun belastingcenten niet zo verspild moeten worden. Lastige spagaat dus.

Op het moment dat overheidsorganisaties die door mij betaald worden en mijn gegevens beheren hun werk niet op orde hebben, heb ik meer recht om te schreeuwen.

Nope, daar vergis jij je in.

Jij hebt in onze democratie recht om je bestuurders aan te spreken. Niet 'meer' recht, hetzelfde recht als je altijd al had. En zeker niet om te schreeuwen.

Wat jij (maar eigenlijk wij allemaal) moet(en) doen is een klacht brief sturen naar onze lokale bestuurders en deze verzoeken de klacht door te sturen naar de nationale overheid. Als we dat met 10 miljoen mensen doen, dan pas gaat er echt iets veranderen!

Dat wordt vast net zo'n succes als het laatste referendum.

Vanaf 1922 is Nederland pas 'echt' een democratie. (bron)

We zijn dus pas 95 jaar bezig. Hoewel we allemaal roepen dat democratie zo geweldig is, is er nooit een goed onafhankelijk onderzoek geweest of het echt zo is

Alle gekheid op een stokje, dit is hoe ons systeem werkt. Dit is de enige echte manier om een verandering af te dwingen. Of je het leuk vindt, of niet. En of het een success wordt... Tja, zo niet, dan is dat wat 'wij' willen.

bij ict-bedrijven in ieder geval wel. Althans meestal.

Juist, en wie denk je dat de IT daar regelt? Juist de ingehuurde private bedrijven zoals KPMG etc.. dus dat zij vingertje wijzen is nogal hypocriet.

Als de stropdassen van de typische accountancyfirma's een beveiligingsprobleem opmerken dan is dat ernstig. Dat is niet hun kern expertise, zij zijn niet een IT dienstverlener die zichzelf werk wil verschaffen (of juist die huidige IT dienstverlener zichzelf werk wil besparen).

Nou, dat is het inderdaad wel een beetje. De politiek heeft in de totale breedte de IT niet op orde. Daar hoef je (helaas) bijna geen individueel bericht meer aan te wijden. Het Kadaster, het digitaal stemmen, het Digid, je persoonlijke Mij Overheid en Mijn Belastingdienst pagina's, hun éigen veiligheid tegen gehackt worden... en ga maar door. Om je te schamen zo slecht is het daar geregeld. En dat moet een land leiden en veilig houden? Ik hou m'n hart vast in ieder geval.

We zouden een '' dienstplicht '' moeten hebben voor mensen zoals ons op tweakers om de overheid te helpen voor een x uren voor 2-3 maanden.

Helpt geen ziel, want mensen zoals 'wij' zijn net zo hard verantwoordelijk voor die troep die daar gebeurd. De IT binnen de overheid wordt heel vaak verzorgt door de grote IT bedrijven, en die zijn dus gewoon verantwoordelijk voor de troep, tja, troep maken en daarna op proberen te ruimen levert behoorlijk wat te factureren uurtjes op..

Daar heb je gelijk in.
Er wordt vaak gezegd dat het probleem te wijten is aan een gebrek aan ICT kennis bij de overheid, maar daarom worden die bedrijven juist ingeschakeld.
Alles moet zo gedetailleerd beschreven zijn in de specificaties en er wordt van de opdrachtgever zoveel kennis, toezicht en verantwoording verwacht, dat de grote ICT bedrijven er altijd mee weg kunnen komen wanneer ze broddelwerk af leveren. Ze kunnen er altijd op wijzen dat hun product aan de specificaties voldoet en dat het aan dat opdrachtgever ligt dat het product niet aan de verwachtingen voldoet.
Op eerste gezicht klink het logisch, je krijgt wat je specificeert. Maar de opdrachtnemer heeft ook de verantwoordelijkheid om een werkend product af te leveren.
Wanneer autoleveranciers volgens dezelfde manier auto's zouden leveren, dan zou je een auto krijgen die niet kan rijden, omdat er geen versnellingspook in zit, omdat die in de specificaties niet tot in detail beschreven is. Of met een riante kofferbak die niet open kan omdat het slot niet tot in detail beschreven is. Etc., etc.
Het is toch van de zotte dat wanneer je een product wilt kopen je zelf voldoende kennis moet hebben om het zo gedetailleerd te kunnen beschrijven dat je het bijna zelf zou kunnen maken. Stel je voor dat dat van iedereen verwacht zou worden voor elke aankoop.

En een goed ICT bedrijf weet de correcte specificaties uit zijn opdrachtgever te trekken, want de opdrachtgever huurt juist het bedrijf in omdat zij zelf geen kennis hebben. Maar voor hun is het puur extra uren kunnen schrijven achteraf omdat ze van te voren weten dat ze nog een hoop moeten fixen. Zouden ze fatsoenlijke mensen eerst bij de opdrachtgever de specificaties laten samenstellen zou het al een hoop schelen.
Zelf heb ik ook regelmatig te maken met de Belastingdienst en een hoop pensioenfondsen, en kan je zeggen dat zeker geen pretje is om daar mee te moeten werken (zegt overigens niets over de mensen zelf die daar werken natuurlijk, daar werken ook een hoop goeie mensen). Soms is het niet anders door regelgeving, maar vaker is het meer door de starheid/onkunde van de managers daar.

Mensen zoals wij werken daar volgens mij gewoon op de ICT afdeling.
Je hebt echter tussen een ICT'er en een verbertering van de ICT infra nog de factor "geld". En om dan iets gedaan te krijgen is het bij sommige instanties en bedrijven vechten tegen de bierkaai, vooral als er geen ROI op geplakt kan worden.

[Reactie gewijzigd door Koffiebarbaar op 13 februari 2017 10:57]

Ben zelf geen it'er maar denk dat het wel wat zou helpen

Ik wil wel als toekomstig civiel ingenieur alles meten en in CAD zetten.
Staat mooi op mijn CV.
(Eigenlijk valt dit onder bouwkunde )

[Reactie gewijzigd door MedionAkoya op 13 februari 2017 09:40]

Bij de overheid kijken ze alleen naar wat voor opleiding je heb gehad.
Niet of je verstand hebt van computers. Dus gaat niet werken.

https://mijn.kadaster.nl/security/login.jsp

Mixed content op loginpagina

Mixed content, krijg je daar in Firefox en Chrome tegenwoordig geen waarschuwing over? Ik zie niets raars.

Het gaat om het volgende:
Mixed Content: The page at 'https://mijn.kadaster.nl/security/login.jsp' was loaded over HTTPS, but requested an insecure favicon 'http://www.kadaster.nl/favicon.ico'. This content should also be served over HTTPS.

Dat is echt een enorm lek! Het favicon van Kadaster gaat niet over https
Even serieus. Bij alle problemen die het Kadaster blijkt heeft mag deze echt als allerlaatste worden opgelost.

Dat is echt een enorm lek! Het favicon van Kadaster gaat niet over https
Even serieus. Bij alle problemen die het Kadaster blijkt heeft mag deze echt als allerlaatste worden opgelost.

Eigenlijk is dit inderdaad een enorm gevaarlijk lek, ja.

Als de login-pagina namelijk by-design altijd een mixed content waarschuwing veroorzaakt, dan kijkt een gebruiker die gaat inloggen daar niet meer vreemd van op, ook niet wanneer er op een goede dag wel exploiteerbare mixed content op de login pagina terecht komt, die wel via een man-in-the-middle misbruikt kan worden om malafide code te injecteren. Of dat reeds wordt.

[Reactie gewijzigd door R4gnax op 13 februari 2017 20:25]

Ik beweer niet dat dit een echt probleem is. Ik geef gewoon aan wat die mixed content is op die loginpagina waar Johan9711 het over heeft

Welke methode heb je gebruikt om die diagnose te zien te krijgen?

Apart dat het favicon niet ook via https gaat. Ik kan me overigens niet voorstellen dat dat nu echt als een beveiligingsrisico zou moeten worden beschouwd.

Ik gebruik gewoon de console van chrome

Stond in FF een uitroepteken voor HTTPS.

Dat uitroepteken staat er bij https://tweakers.net ook

Klik er maar eens op, dan krijg je te zien dat Firefox het gewoon als secure connection beoordeelt.

Ik zie niets. Geen mixed content.

Het begint zo langzamerhand wel een zorgwekkend patroon te worden.

Het "begint" zeg je dan... ik denk meer "Het is een zorgwekkend patroon".

Ik zie vaak dat geld ook een rol speelt. als een systeem eenmaal is aangeschat wordt er weinig tot niet rekening gehouden met onderhoud van het systeem. De kosten lopen op en daardoor word alles uitgesteld totdat het systeem een punt nadert dat het systeem compleet onveilig is.

ICT beweegt relatief snel, de kosten zijn moeilijk te overzien daardoor en veel bedrijven deden voorheen 10-30 jaar met hun ICT systeem. Ik deed 10 jaar geleden nog treinkaartjes verkopen bij de NS en dat was gewoon nog in een DOS systeem.

DOS systeem

Niet elk pakket met een terminal interface is DOS.

Dat je wat achterloopt als het gaat om nieuwe ontwikkelingen (DDOS aanvallen, niet een site geschikt voor mobiel) is nog tot daar aan toe. Zelfs dat er data ingezien kan worden door derden zie ik niet direct als het grootste probleem (enigzins afhankelijk van de data. Meeste zal verkrijgbaar zijn, dus dan is het enige probleem dat iemand het inziet zonder te betalen),
Maar dat je al sinds 2012 onveilige systemen hebt, waarbij het risico op ongeoorloofde mutaties bestaat en er kennelijk nog geen noodzaak is gezien om de veiligheid op orde te brengen is te treurig voor woorden.

Het gebeurt nu zo vaak bij de overheid met data van de burger, dat er beter alleen een artikel verschijnt als een dienst het WEL op orde heeft.

Dat is inderdaad meer dan slordig. Maar ICT, geld worden precies op de verkeerde manier ingezet... als je dan ook nog weet wat er aan de achterkant uitgewisseld wordt (lees: Je hebt wél iets te verbergen) dan begin ik me toch meer en meer zorgen te maken.