Rapport: NSA heeft beveiliging op tal van gebieden niet op orde

Een intern onderzoek bij de NSA heeft uitgewezen dat de beveiliging nog steeds niet op orde is, ondanks dat er aanbevelingen zijn gedaan na het stelen van geheimen door Snowden. Zo heeft NSA de beveiliging van de computersystemen nog steeds niet goed geregeld.

Een rapport met bevindingen afkomstig uit audits en andere onderzoeken is door de organisatie online gezet. Het rapport bevat een opsomming van de tekortkomingen die tijdens de onderzoeken zijn geïdentificeerd. Zo is er in 2013 een aanbeveling gedaan om de processen op het gebied van het exporteren van gegevens te verbeteren, zodat er betere controle uitgeoefend kan worden en de kans op het lekken van gegevens wordt verminderd. Dit had vorig jaar al geïmplementeerd moeten zijn, maar uit het rapport blijkt dat dit nog niet het geval is.

Ook meldt het rapport dat de beveiliging van computersystemen nog steeds niet op orde is; er zou geen goed plan zijn voor systeembeveiliging, en tevens worden verwisselbare media niet goed gescand op virussen en andere malware. Verder heeft de NSA nog steeds de controle door een tweede persoon bij toegang tot datacenters en apparatuur niet geregeld. Laatstgenoemde was een van de aanbevelingen die zijn gedaan nadat Edward Snowden tal van gegevens meegenomen had bij de Amerikaanse inlichtingendienst en deze vervolgens wereldkundig gemaakt had.

Er is tot en met maart van dit jaar gekeken naar de processen bij NSA. Of een aantal van deze problemen inmiddels is aangepakt, is niet duidelijk. Ook is niet bekend wat voor plan de NSA heeft om de tekortkomingen te verbeteren. Het rapport maakt melding van meer dan 500 openstaande aanbevelingen die uit audits en onderzoeken naar voren zijn gekomen, waarvan de termijn inmiddels is verstreken.

Reacties (59)

Weinig verbazend. Ik ken geen enkele organisatie die z'n beveiliging echt op orde heeft, in de verste verte niet. De besten die ik ken vindt ik eigenlijk niet goed genoeg.

Ook dat is weinig verbazend want het is verschrikkelijk moeilijk, enorm kostbaar, en heel vervelend in het gebruik. Als je maar de minste flexibiliteit laat gaat het fout want de meeste mensen hebben niet genoeg IT-kennis om daar mee om te gaan. Zonder die IT-kennis zijn de maatregelen eigenlijk ook niet uit te leggen en zien mensen het alleen maar als pesterijen van een dom management die het werk in de weg staan. Dan gaan ze er om heen werken. Voor je het weet heb je weer post-its met gedeeelde wachtwoorden, dropbox accounts, onbeveiligde USB-keys en weet ik wat nog meer.
Al snel komt het punt dat iedere technische maatregel die je neemt (2FA) het probleem alleen maar groter maakt.

Een organisatie die zo om kennis en IT draait als de NSA is ook nog eens ontzettend moeilijk te beveiligen. Nu heb ik geen twijfel aan de professionaliteit en de gedrevenheid van de NSA, maar het zijn ook maar mensen.

We zullen een paar fundamentele stappen moeten nemen in hoe we software ontwikkelen en beveiligen, maar ik weet nog niet welke. Wie een werkbare oplossing vindt kan de volgende Bill Gates zijn.

Weinig verbazend. Ik ken geen enkele organisatie die z'n beveiliging echt op orde heeft, in de verste verte niet. De besten die ik ken vindt ik eigenlijk niet goed genoeg.

Je profiel bekijkend snap ik niet goed hoe je dit zeggen kan. Hoeveel organisaties heb je geheel doorgelicht? Als je inderdaad deskundig bent op dit terrein mag je best eens tegen vergoeding mijn organisaties doorlichten.

Het is ONGELOFELIJK moeilijk om mensen te vinden die dat kunnen. Vorig jaar hebben we 33 duizend euro (nog niet) betaald aan twee zeer respectabele bureaus om onze beveiliging door te lichten en te adviseren over de veranderde privacy wetgeving. Voor dat die aan de gang gingen heeft mijn eigen staf de problemen in kaart gebracht. Servers met verouderde software, files op verkeerde locaties. We hebben zelfs wat lokaas uitgezet. Absoluut niets is gevonden. Niets. Te treurig voor woorden.

Dus als jij weet hoe het wel kan en blijkbaar ruime ervaring hebt in meerdere organisaties waar je hebt laten zien wat er fout is, ben ik de eerste die je wil inhuren. Zo snel mogelijke want als je dat waar kan maken kan je zo ongeveer vragen wat je wil. Het hoofd IT security (een man met 22 jaar ervaring en 5 man aan hulp) betaal ik nu 8500 euro per maand, Het totale budget voor die afdeling is 400k per jaar. En die durft niet de uitspraken te doen die jij doet.

Ik weet waar de problemen liggen en ik weet dat mijn mensen daar kei en keihard aan werken. Ik weet ook dat ze MIJ een keer per jaar testen om te zien of ze me kunnen hacken (sinds we allemaal YubiKeys hebben hebben ze me niet meer kunnen spoofen). Maar als iemand beweerd "Ik ken geen enkele organisatie die z'n beveiliging echt op orde heeft, in de verste verte niet. De besten die ik ken vindt ik eigenlijk niet goed genoeg." staan al mijn haren overeind. Of je bent een kei op beveiliging en zou ik je moeten kennen, of te roeptoetert.

Als CAPSLOCK2000 inderdaad een ervaren beveiligingsexpert is die meerdere firma's heeft doorgelicht dan moeten veel tweakers die servers beheren hem kennen. In het Nederlandse taalgebied is dit een heel kleine groep mensen. Twintig man, op zijn best.

Het is ONGELOFELIJK moeilijk om mensen te vinden die dat kunnen. Vorig jaar hebben we 33 duizend euro (nog niet) betaald aan twee zeer respectabele bureaus om onze beveiliging door te lichten en te adviseren over de veranderde privacy wetgeving. Voor dat die aan de gang gingen heeft mijn eigen staf de problemen in kaart gebracht. Servers met verouderde software, files op verkeerde locaties. We hebben zelfs wat lokaas uitgezet. Absoluut niets is gevonden. Niets. Te treurig voor woorden.

Dus als jij weet hoe het wel kan en blijkbaar ruime ervaring hebt in meerdere organisaties waar je hebt laten zien wat er fout is, ben ik de eerste die je wil inhuren.

Je begrijpt me volgens mij verkeerd. Ik ben niet zo arrogant dat ik zeg dat ik het zelf beter kan. Ik zeg dat niemand het goed doet. Je verhaal bevestigd mijn mening. Ook de respectabele experts maken zat fouten. Ik ook. Mijn netwerk thuis is zo lek als een mandje. Ik ken geen enkele expert die z'n hand in het vuur durft te steken voor de beveiliging van een grote organisatie. Altijd en overal worden er compromissen gesloten.

De meeste bedrijven hebben het niveau IT security waarop ze teamviewer gebruiken om op beheer servers aan te melden, vertrouwelijke informatie via dropbox en wetransfer delen, er elke week 3 phishing mails binnenkomen waarop wordt geklikt. Natuurlijk is het bij de NSA waarschijnlijk niet zo erg, en zijn er bedrijven die het zeer serieus nemen, maar bij velen moet het kwartje nog vallen, en dat gaat denk ik pas gebeuren als ze een keer gehackt worden en flinke schade hebben geleden.

[Reactie gewijzigd door Origin64 op 30 juli 2018 11:48]

Jouw bericht intrigeerde mij om toch met een andere mening / visie te komen, want het gaat niet om of je goed genoeg bent of niet. Jaren ervaring zegt niks in mijn ogen. Dat zegt alleen wat over hoe veel tijd hij of zij gehad heeft om te leren binnen de industrie van de fouten die hij of mensen om hem heen gemaakt hebben.

Als we echt kijken naar security dan komt het alleen maar neer op welke risico wil je wel lopen en welke niet. 100% veiligheid bestaat niet net als een utopia of multiculturele samenleving. Dit zijn allemaal denk beelden van de mens. Ik werk bij een IT reseller die firewall's levert, hierbij leveren we ook full managed oplossingen. Wij beheren de firewall klant belt als hij of zij iets open wil hebben staan. Ik adviseer altijd de in mijn ogen veiligste oplossing eerst. Maar geen enkele organisatie gaat daar in mee om verschillende redenen. De twee grootste daarbij zijn gebruiksgemak en geld. Bij geld is het vaak dat er geen budget voor een aanvullende oplossing / ander product is. Gebruiksgemak heeft vooral te maken met de gebruikers die niet slim genoeg zijn of systemen die dan te complex worden.

Laat ik het volgende voorbeeld noemen:
Klant X belt want hij heeft problemen met de reverse proxy van product A. Leverancier A t/m z loggen in op het Microsoft Dynamics CRM pakket van klant X om hun facturen te kunnen uploaden. Dynamics is het CRM pakket waar deze klant alle info over de hele organisatie heeft staan. De Leverancier van het CRM pakket welke we verder D zullen noemen zegt in een mailtje dat andere klanten altijd een poort openzetten naar het CRM pakket. Dus de opstelling bij klant X is dermate anders dat hij het kort door de bocht zelf moet uitzoeken.

Als bij een beetje security persoon dan nog niet alle belle af gaan kun je beter je laten omscholen in mijn ogen. Maar goed wij zijn de beroerdste niet dus wij gaan met klant X opzoek naar een oplossing zonder samenwerking van Leverancier D. Hun reverse proxy welke tot Layer 7 gaat en inspectie doet op basis van modSecurity heeft problemen met het upload formulier van Dynamics. De server stuurt een extra module mee waar de meeste browsers niks mee kunnen(except ofc. IE en Edge). Hierdoor kunnen effectief hun leverancier geen facturen meer uploaden.

Ze kunnen de leverancier niet afdwingen om IE of Edge te gebruiken. Hun huidige reverse proxy werkt niet. VPN? Te moeilijk voor de doelgroep. Andere reverse proxy? Geen budget voor beschikbaar. IP whitelisting? Inventarisatie niet mogelijk is... Reverse Proxy in IIS, doet niet aan inspectie. Zo zie je dat er heel veel oplossingen kunnen zijn om een probleem op te lossen en om verschillende redenen al afvallen. Daarbij hebben we het nu nog maar over een applicatie gehad.

Daarom zeg ik altijd tegen mijn klanten, je kunt altijd mijn advies krijgen maar jullie zijn de business en beslissen uit eindelijk wat er je wil dat ik in regel. Security is in mijn ogen een balance tussen Risico's, kosten en gebruiksgemak.

8500 per maand voor security expert met 5 personen ? 85.000 bedoel je?
20 werkdagen per maand aan 600€/dag voor een medior gelijk mij levert al rap 12k per maand op...
ergens zit er een foutje in je calculatie , of ergens ben je met de verkeerde mensen in boot gestapt.

nu verwacht ik wel dat je mijn profiel gaat uitsnorren om te zien als ik de 600 per dag wel waard ben , maar dat was men vraag niet ;-)

Dus als jij weet hoe het wel kan en blijkbaar ruime ervaring hebt in meerdere organisaties waar je hebt laten zien wat er fout is, ben ik de eerste die je wil inhuren. Zo snel mogelijke want als je dat waar kan maken kan je zo ongeveer vragen wat je wil. Het hoofd IT security (een man met 22 jaar ervaring en 5 man aan hulp) betaal ik nu 8500 euro per maand, Het totale budget voor die afdeling is 400k per jaar. En die durft niet de uitspraken te doen die jij doet.

Voor 400k per jaar kan ik die 6 man echt niet aan het werk houden.... 400k per jaar is veelste weinig als je echt expertise wilt

Wat ik tegenwoordig zie is ipv alles dichttimmeren we juist meer focussen op vrijheid icm de juiste monitoring. Een expert iets laten opdringen werkt niet echt. Een team meenemen en de tools/kennis geven lijkt steeds meer de juiste combinatie. Natuurlijk zijn bepaalde zaken centraal geregeld, daar ontkom je niet aan maar de teams moeten uiteindelijk het gevoel van verantwoordelijkheid krijgen en dat gevoel ga je nooit krijgen als 1 centraal team ergens in een kelder alles maar blijft voorkauwen

> Waarom gaan wij er steeds van uit dat mensen die bij de NSA werken professioneel bezig zijn?

Omdat ze betaald worden. Het verschil tussen professional en amateur is dat de ene geld krijg voor z'n werk, en de andere niet.

Ja, dat is ook waar ..

Toch wel geniaal eigenlijk; een organisatie dat de beveiliging van andere op de proef neemt, heeft zijn eigen beveiliging niet eens op orde...

Iets met de beste stuurlui

Zelfs de beste stuurlui kunnen niet met een zeilboot naar de top van de Mount Everest vliegen. Dat is het verkeerde gereedschap. Het juiste gereedschap om computer veilig te maken hebben we helaas nog niet ontdekt. We hebben alleen niks beters dan zeilboten en we bouwen hele grote ventilatoren om ze de berg op te blazen. Af en toe maken we een grote doorbraak in het bouwen van ventilatoren, maar eigenlijk is het allemaal niet zo handig wat we doen.

De computers (en netwerken) die we hebben zijn heel handig en flexibel, maar daardoor volkomen onveilig. Het beveiligingsmodel is fragiel, je kan het ook broos noemen.

Het juiste gereedschap om veilig op Mount Everest te geraken noemt kampen op verschillende niveau's die ieder onafhankelijk bevoorraad worden.

In vergelijking met computer-security is dat het segmenteren van je netwerk en toegangsniveau op een need to know basis.

Dat lijken ze bij bv. de NSA niet te snappen. Getuige dat Edward Snowden aan de haal kon gaan met een gigantische massa aan gegevens.

M.a.w. zijn de top bij de NSA onbekwaam. Zelfs voor de staat gevaarlijk onbekwaam.

Maar wij vieren hen niettemin. We zouden in plaats van deze mensen te vieren moeten eisen dat ze ontslagen worden. Misschien zelfs veroordeeld voor verraad. Want veel van hun onbekwaamheid is van dusdanig niveau dat het slechter dan idioot kan genoemd worden.

Hoeveel mensen hadden weer toegang tot de gegevens waar Edward Snowden aan kon? Tienduizenden he?

Dan ben je als leidinggevende idioot en gevaarlijk onbekwaam.

Dat snappen ze best bij de NSA, Snowden kon alleen bij data waarvoor mensen op zijn paygrade toegang hadden. Dat was gewoon al heel veel data. En er zat een hoop bij over binnen de NSA niet super geheime maar daarbuiten nauwelijks bekende projecten zoals PRISM.

En toen was er Vault7 waarbij een gigantische hoeveelheid aan tools gelekt werd. Dus dan zou je denken dat na Snowden ze daar hun lesje wel geleerd hebben? Maar bah nee gij! Terug een gigantisch lek!

En weer rolt er niemand van de leidinggevenden hun kop daarvoor. Weer een manhunt. Weer 'politieke' oplossingen. Niets hebben ze er van geleerd.

Wat daar moet gebeuren is dat er topmensen moeten oneervol ontslagen worden. Voor de president gaan staan en hun excuses voor hun groteske incompetentie uiten.

Wat gebeurt er? Nog meer incompetentie en nog harder vieren van de incompetentie. Hoera! We hebben incompetenten aan het stuur van de inlichtingendiensten. Hoera! What could possibly go wrong? Hoera!

Het éne na de andere lek gebeurt er. Wees ook gerust dat er nog veel meer zullen komen, ook. Ze weten het duidelijk niet in te dammen. Maar het enige wat we wel horen is dat ze denken dat de oplossing is om nog meer mensen toegang te geven tot nog meer gegevens.

Dat is een hoeveelheid incompetentie die zoveel energie aan fotonen uitstraalt dat wij allemaal verblind zijn er van.

Het is ook niet mogelijk, om in een redelijk open samenleving als de Amerikaanse, zoveel data te verzamelen en er niets van naar buiten te laten lekken. Het puilt bij de NSA uit hun datapakhuis. Ze zijn de Dagobert Duck van data. Het kan niet anders als dat de Zware Jongens dan regelmatig op bezoek komen en die slagen er af en toe in Dagoberts gelukskwartje te stelen.
Of dat er een held opstaat zoals Snowden die door zijn opvoeding tot trotse vrije amerikaan wordt geinspireerd om tegen het kwaadaardige systeem in verzet te komen.

[Reactie gewijzigd door Origin64 op 30 juli 2018 12:08]

Ja welja. Waarom verzamelen ze zoveel data in de eerste plaats? Wat is het nut daar van? Plus wat er gelekt is, is niet de data. Maar wel de tools, presentaties, documentatie, software. Zelfs de source code. Zelfs hele git repositories inclusief versionering. Alles, echt, alles.

Dat kan toch niet?

Hoe kan het dat niet iedere individu die daar toegang toe heeft volledig gekend is en dat iedere individuele toegang tot die systemen, zelfs, de gebouwen, de fysieke toegang, alles, letterlijk, alles geregistreerd is?

Want dat is niet he. Snowden kon a.d.h.v. een eenvoudig script massa's fileshares kopieeren. Men kon de kopieer pogingen van zijn script niet traceren naar het werkstation (of de werkstations) van Snowden. Heel gelijkaardig verhaal als bij Vault7.

Men heeft er daar geen idee van. Nochtans is het bij de eenvoudigste interne security bij zelfs KMO's vaak wel mogelijk om zulke dingen te traceren. Bij de NSA niet. Blijkbaar.

De uitvlucht daarvoor: het is te groot, het is te dat. Wat? Daarom heerst er daar incompetentie? Wat??!!

Normaal komt er na die uitdrukking "Wat???" dan de kreet: ontsla die en die en die man. Nu. En. Begin het recruteren van wel bekwame mensen, nu.

De NSA heeft al veel competente mensen in dienst. Ze analyseren zoveel data, dat er niet genoeg competente mensen zijn, om security op te zetten, en naleving af te dwingen. Ook kost dat ze veel geld. Het verzamelen van de data is het doel, om controle te hebben over de maatschappij. Als er wat lekt is dat niet zo erg. Diegene die het gedeelte gelekte informatie heeft, kan er niet zoveel mee als de NSA kan met alle data.

Zelfs de beste stuurlui kunnen niet met een zeilboot naar de top van de Mount Everest vliegen.

Daar denkt Werner Herzog anders over.

Het juiste gereedschap om computer veilig te maken hebben we helaas nog niet ontdekt.

Zeker wel. Er zijn grote organisaties die vrijwel geheel veilig zijn gebleken terwijl ze toch zeer aanlokkelijk zijn om te hacken. Amazon, Google, Microsoft, Apple, allemaal firma's die vrijwel nooit grote fundamentele problemen hebben omdat ze beveiliging serieus nemen.

Ik heb geen enkel probleem om Gmail te gebruiken of een MS account te gebruiken om in Windows in te liggen. Jij hebt op zijn minst vertrouwen in Tweakers om je account veilig te houden. Je doet via dat medium zware uitspraken over je eigen kunde dus ik neem aan dat je dat serieus neemt.

En inderdaad met een zeilboot kan je niet naar de top van de Mount Everest. Geen idee wat je daarmee probeert duidelijk te maken. Dat het onmogelijk is om een zeilboot naar de top te krijgen? Tegenwoordig zijn er helikopters die een (kleine en lichte) zeilboot met naar die hoogte kunnen brengen. Grote ventilatoren lijken me vrij overbodig. En vrij dom als je een helikopter hebt. Zoals je zegt, niet erg handig. Maar dat maakt het niet minder mogelijk.

Tja zou je denken maar ja grote organisatie veel externe medewerkers, dan zullen er altijd een paar zwakke schakels zijn.

Nu wachten op het nieuwsbericht dat de russen de nsa zijn binnengedrongen.

Zo iemand heet een mol en dat die er is, dat zullen ze nooit toegeven.

Kortom: de NSA heeft meer geld nodig.

De NSA heeft minder politici die machtspelletjes spelen nodig, maar heeft wel meer echte techneuten die wel en echt weten waar ze mee bezig zijn nodig.

Ze hebben een kleinere missie en minder bevoegdheid nodig. Als je de hele wereld moet bespioneren, ja, dan maak je af en toe ergens een foutje.

Geldt datzelfde niet voor onze overheden en avg?

Een inbreker is nog geen goede beveiliger...

Toch wel geniaal eigenlijk; een organisatie dat de beveiliging van andere op de proef neemt, heeft zijn eigen beveiliging niet eens op orde...

Ach dat gebeurt wel vaker toch?
Kaspersky maakt software om je te beschermen maar is zelf ook al een paar keer het slachtoffer geworden van hackers & lekkers
Doet me dan ook twijfelen over hoe goed ze zijn...

nieuws: Kaspersky-site verspreidt nep-virusscanner na hack
nieuws: Hacker kraakt Kaspersky-website met sql-injectie
nieuws: 'Oud-medewerker Kaspersky verantwoordelijk voor lekken broncode'
nieuws: Beveiligingsbedrijf Kaspersky geïnfiltreerd met overheidsvirus - update

Virus scanners bouwen en gehackt worden zijn toch wel 2 hele andere dingen.

N.a.v. de link van JohnnyBNL in 'nieuws: Rapport: NSA heeft beveiliging op tal van gebieden niet... zegt Mr. Kaspersky zelf dit:

We’re a cybersecurity company, remember?!
https://www.kaspersky.com/blog/dutch-fake-news/22716/

En verder iets ongelooflijks: fake news en De Telegraaf tegelijk in twee artikelen... Kaspersky heeft TMG aangeklaagd en gelijk gekregen. Nog iets opvallends: Rian van Rijbroek is de bron van De Telegraaf en tevens in rechte betrokken.

[Reactie gewijzigd door PcDealer op 29 juli 2018 13:25]

[...]


Ach dat gebeurt wel vaker toch?
Kaspersky maakt software om je te beschermen maar is zelf ook al een paar keer het slachtoffer geworden van hackers & lekkers
Doet me dan ook twijfelen over hoe goed ze zijn...

Geloof niet alles dat je leest op de algemene media sites..
https://www.kaspersky.com...-fake-news/22716/?slow=1/
https://www.kaspersky.com...ake-news-aftermath/23077/

[Reactie gewijzigd door JohnnyBNL op 29 juli 2018 12:30]

En je moet wel alles geloven van de marketing afdeling van Kaspersky? Heb je die links die je geeft zelf gelezen? Trump kan daar nog van leren.

Ik snap best dat je vind dat Kaspersky niet eerlijk is behandeld maar de links die je geeft helpen niet echt. Op Security conferenties zijn ze een running gag. Er is niets mis met Kaspersky als je de kans dat Moscow meeleest minder risicovol vind als het risico dat een NATO staat er iets in kan zien. Ik weet dat sommige tweakers dat preferen. Als je het beseft is dat een keuze die we moeten respecteren.

“Do as I say, not as I do” ... 😑

Wat Snowden wereldkundig heeft gemaakt, mochten wij niet weten. Die feiten zijn veel ernstiger dan dat de NSA haar beveiliging niet op orde heeft.

Ik heb ver moeten scrollen vind ik, om deze comment te vinden. Helemaal mee een. De NSA zou wel wat transparanter mogen zijn in hoeveel (en welke) vieze dingen ze doen.

Wat Snowden wereldkundig heeft gemaakt, mochten wij niet weten. Die feiten zijn veel ernstiger dan dat de NSA haar beveiliging niet op orde heeft.

En wat heeft het ene met het andere te maken?

Dat staat er toch? Het is teleurstellend dat de NSA de beveiliging niet op orde heeft, maar het is heel ernstig dat het een verzamelaar van onze privégegevens is.

Inderdaad. Er wordt gelekt dat er dingen gebeuren die het daglicht niet kunnen verdragen, en de conclusie is dat ze het moeilijker willen maken om te lekken. Redelijk kwalijk van een overheidsinstantie!

Aan de ene kant wil je (als burger) niet dat "staatsgeheimen" kunnen lekken, aan de andere kant wil je (als burger) wel weten wat een overheid allemaal van kwaads doet. Althans sommige burgers, velen steken liever hun kop in het zand zodat ze er zich geen zorgen over hoeven te maken.
Regeringen zullen nooit eerlijk en braaf zijn dus laten we hopen dat er in de toekomst nog altijd klokkenluiders mogelijk zijn. Al kun je je wel afvragen of het nut heeft, wat hebben de Snowden leaks nu eigenlijk bereikt in positieve zin? De stoute dingen worden niet gestopt, het was ff populair om erover te melken maar ondertussen doet iedereen lekker voort zonder iets te veranderen.
Beetje hetzelfde met het Facebook gedoe, veel blabla maar FB blijft groeien, mensen blijven het gebruiken en die paar mensen die het niet meer gebruiken daar liggen ze niet wakker van.

Het is goed om te weten als een overheid iets goed doet, maar soms moet een overheid iets in het geheim doen.
Onze overheid is veel opener dan de bedrijven - maar het lijkt er op dat de gemiddelde 'overheidswantrouwer' geen moeite heeft met Faceboek en Google. Maar het enige dat je hoort over gegevensvewerking van die bedrijven is wat in de kleine lettertjes staat - of een melding dat er gehacked is en alle gegevens op straat liggen.

Het heeft er voor gezorgd dat de NSA door de rechter werd opgelegd dat ze moesten stoppen met alle data van alle Amerikanen in de dragnet vangen. https://www.eff.org/deepl...ying-survives-2015-review

"The version [of the USA FREEDOM ACT] ultimately adopted by Congress in June 2015 enabled new oversight, and placed some real restrictions on NSA surveillance powers. For instance, it requires the government to limit its collection of call records to those chosen based on a specific selection term.

Most significantly, the law increased transparency at the secret FISA court responsible for approving surveillance requests. It created a cadre of amici curiae (friends of the court) to brief the judges when considering novel legal questions, and directed the executive branch to declassify “significant” FISA court opinions. Instead of hearing from only one side in secret, the FISA court will now hear opposing views at least sometimes, and will have to declassify at least some of its opinions."

Ja, het is peanuts, maar als de NSA nog een paar keer over de schreef gaat en iemand uit de school klapt en ze worden teruggefloten dan zou het zowaar kunnen gebeuren dat die dienst een groter gevaar wordt voor het buitenland dan voor de VS zelf.

het zal niet het laatste bedrijf zijn dat niet elk punt van een audit implementeert

Dat heeft echt alles met prioriteiten te maken, blijkbaar heeft bij de nsa heeft spioneren van anderen een hogere waarde dan eigen netwerk en gegevens bescherming.

Wat ongetwijfeld ook een rol speelt is dat dit soort maatregelen ook bakken met geld kost. En zelfs de NSA heeft geen onbeperkt budget. Ik vermoed dan ook dat ze vooral hun eigen medewerkers nog zwaarder screenen dan voorheen. Zit ook wel wat in want bescherming tegen aanvallen van binnenuit krijg je nooit waterdicht. Van buitenaf trouwens ook niet maar die zijn vaak beter traceerbaar.

Ja en nee. Het is een "bedrijf" dat een aantal van de knapste koppen op IT gebied in dienst heeft. Om dan te beveiligen tegen data diefstal van binnen uit is een behoorlijke opgave. Tegen diefstal van data door een gewone data analyst gaat het wel, maar tegen ontwerpers van malware of zoals Snowden een lokale systeembeheerder is dat peactiach gezien onmogelijk. Naderhand traceren wat er gebeurt is gaat meestal wel (bij Snowden trouwens niet gelukt) maar zorgen dat er op tijd een alert komt als iemand data download is lastig.

Ik werk in de bankensector (ervaring BENELUX, DE, FR, IS) en je wilt niet weten hoe belabberd de beveiliging is. Als er dan een bank is met een "goede beveiliging" dan is dat vaak tijdrovend voor iedereen en komt het maar irriterend over.

Eigenlijk best komisch:

Data dief blijkt kwetsbaar voor data diefstal

Nou komisch.. het is als neergeschoten worden door je eigen lijfwacht. Daar kun je je niet tegen wapenen.

Daar waar een lijfwacht een morele taak heeft te vervullen en een dief een moreel verwerpelijke taak heeft vind ik persoonlijk dat je tegen-voorbeeld naar aanleiding van mijn voorbeeld weinig overeenkomsten biedt.. Tenzij je de praktijken van de NSA als een morele kwestie ziet als zijnde iets goeds voor de mensheid.. Zoja dan gaan we nooit eens worden

Wat is er moreel aan de taak van een lijfwacht die een dictator, warlord of drugscrimineel beschermt?

Kom op man je generaliseert naar je eigen gelijk..

Iedere dictator heeft een lijfwacht, maar niet iedere lijfwacht beschermt een dictator. Stop het binaire denken.

Waar gehackt wordt vallen spaanders.