Kaspersky is nog bij een onderdeel van de Rijksoverheid in gebruik

Alleen de Waarderingskamer van de Nederlandse Rijksoverheid gebruikt nog Kaspersky als beveiligingssoftware en dat zal nog tot eind 2020 zo blijven. Bij alle overige onderdelen is Kaspersky niet of niet meer in gebruik. In mei 2018 deed de overheid de software in de ban.

Direct uitfaseren van Kaspersky bij de Waarderingskamer is risicovol, schrijft staatssecretaris Knops van Binnenlandse Zaken, omdat vervangende antivirussoftware noodzakelijk is. Deze is nog niet geïmplementeerd, maar er loopt een project bij de Waarderingskamer dat eind 2020 afgerond moet worden.

De Waarderingskamer is een zelfstandig bestuursorgaan van het ministerie van Financiën. Het orgaan controleert en beoordeelt gemeenten op de uitvoering van de Wet Waardering onroerende zaken. De staatssecretaris meldt niet waarom het zo lang duurt voordat die organisatie voldoet aan het verbod op het gebruik van Kaspersky bij onderdelen van de Rijksoverheid. De overheid maakte dat verbod in mei 2018 bekend.

Het gaat om een voorzorgsmaatregel voor het waarborgen van de nationale veiligheid, aldus minister Grapperhaus destijds. Volgens het kabinet is Kaspersky Lab als Russisch bedrijf en met een hoofdkantoor in Rusland verplicht om Russische inlichtingendiensten te ondersteunen bij hun taken als daarom gevraagd wordt.

Wat vind je van dit artikel?

Geef je mening in het Geachte Redactie-forum.

Reacties (104)

Mijn persoonlijke subscription op Kaspersky verloopt binnen een aantal dagen. Ik heb het zelf altijd al goede software gevonden al vraag ik me wel af of het vandaag de dag nog nodig is? Is Windows Defender goed genoeg? Soms geeft Kaspersky nog echt waarschuwingen voor bepaalde websites, maar ik weet gewoon niet of Defender dit ook zal doen... Het is namelijk toch wel wat geld dat er aan gegeven moet worden...

Ik ben van mening dat het toevoegen van dergelijke software alleen maar extra aanvalsvlak kan geven. Die anti-virus heeft gwn volledige admin rechten. 1 exploit en malware heeft adminrechten. Daarom vraag ik mij ook nog wel eens af of het zinvol is. Overigens scant anti-virus alleen maar op wat er bekend is. Als ik nu mijn eigen stukje malware maak zullen de meeste anti-virus programma's die niet erkennen als malware.

Was het niet zo dat juist vanwege het wel herkennen van per ongeluk geüploade malware van een van de amerikaanse veiligheidsdiensten dat Kaspersky verbannen wordt?

Een van de medewerkers van een UsA dienst had een stuk malware mee naar huis genomen en op zijn eigen computer gezet. Dit is toen onder zijn privé licentie geupload en inderdaad op die manier gelekt.

https://usa.kaspersky.com...-equation-apt-source-code

Wat mij betreft een +2. Dat is niet wat ze vertelden natuurlijk, maar Kaspersky vond dingen die de VS in systemen stopte.

En ja, op heterdaad betrapt ga je om je heen slaan.

Onzin, zowat iedere viruspakket die beschikbaar is doet ook aan patroon of gedragsherkenning. Dus al is jouw virus programma niet bekend, als het vreemde of verdachte dingen doet zullen veel antivirus programma's ingrijpen en een sample uploaden voor verdere analyse en eventueel opname in de database.

Overigens heeft Microsoft in Windows 10 ook een vernieuwing (reeds?) doorgevoerd zodat virusscanners niet meer op het hoogste niveau toegang hebben.

Er is toch AV software die jouw stukje software test op behaviour, ik zag vroeger vaak dat wanneer onze remote tool geïnstalleerd werd dat ineens een vreemde pc zich daar op aanmelde, die vreemde pc was gewoon een testnode van onze AV supplier

je zou je toch eens beter moeten verdiepen in je anti-vir kennis want je praat nu gewoon poep.

je doet het nu voorkomen alsof we nog steeds elke dag een lijstje downloaden bij kasperski met: dit zijn de nieuwe virussen van vandaag:

abc.exe def.dll ghi.doc al dan niet vergezeld van bijv een md5 checksum om te zien of dat het echte virus is.

zo werkt het al lang niet meer. de meeste pakketten doen aan patroon en gedrags herkenning ze kijken naar je hdd en ram en als een volwaardig psycholoog kijken ze naar gedrag dat op virussen lijkt.

op de vraag of windows defender goed genoeg is als all-round hou alles tegen oplossing kan ik een stellig nee antwoorden. er zijn heel erg veel online sites te vinden die vergelijkings-onderzoeken doen en win defender scoort welliswaar vaak goed, maar zelden (of nooit?) als beste.

bovendien zo duur is antivir nu ook weer niet, koop een game minder of ga een keertje minder uit eten per jaar en je hebt het er al uit. een relatief lage prijs voor het voorkomen van: ID-fraude, ransomware, data verlies of gewoon het moeten formateren en herinstalleren van je hele systeem.

Wist je dat je altijd minstens 1 stuk software draait =)

De admin rechten zijn vaak ook in gebruik, ook om evt exploits dicht te kunnen porren, en is Kaspersky er wel om bekend ook echt exploits e.d. te vinden.

De relevantie van antivirussoftware is wel flink omlaag; Microsoft zelf vangt nu de grootste boosdoeners af (waarvan gebruikers ook het meeste last zouden ondervinden), adware (en de downloaders) is een stuk minder populair wegens advertentieconsortia en HTML5 (weet ik niet zeker, fingers crossed...) en trouwens, dat nieuwe HTML is zoveel bruikbaar dat er weinig software nog op de desktop draait.

Dus, de relevantie is een stuk beperkter dan voorheen.

Het argument dat veiligheidssoftware onveiligheidssoftware kan zijn is er wel, zeker gezien het dagelijks updaten e.d. - maar heeft een wel heel ander verdedigingsprofiel/aanvalsprofiel. (iz wel serieus issue, maar een op een JPG lijkend trojan pakken vs een staat valt je aan..)

Een goede antivirus scant ook het gedrag van applicaties en grijpt in voordat er echte schade aangericht kan worden. Als het enkel zou scannen wat men kent zal je nooit false positives hebben en die komen juist bij kleine minder bekende applicaties relatief vaak voor.

Verder is het natuurlijk beetje hypecriete actie van de overheid, "russia bad, amerika good" gedachte.

Ik vertrouw meer op Kaspersky dan op defender, Defender kan vaak besmette bestanden niet verwijderen waar kaspersky dat wel kan.

Als dat het geval is boot ik Linux op USB op en verwijder het gewoon op die manier, aangezien Linux dan geen last heeft van bestanden die in gebruik zijn of andere windows machtigingen.

Tegenwoordig minder leuk wegens te intelligente hardware.

Windows defender is al jaren vergelijkbaar met betaalde pakketten
https://www.av-comparativ...t-jul-aug-2020-factsheet/
Antivirus software is in veel gevallen schadelijker dan waar het voor beschermd
https://arstechnica.com/i...2017/01/antivirus-is-bad/

De uitgebreide antivirus pakketten bieden nog extra's zoals bescherming tegen phishing, bescherming tegen cryptolockers, firewall die ook uitgaande verbindingen beheert, software updater tools, password managers en meer. Dat biedt de ingebouwde defender niet.

Zolang je alle cloudopties aan laat, doet Defender tegenwoordig niet meer onder aan Kaspersky tenzij je een groot doel bent. Bedrijven en bedrijfscomputers zou ik beveiligen met een (gecentraliseerd) antivirussysteem, maar voor thuisgebruikers is Defender echt meer dan prima. Sterker nog, een paar dingen die antivirusbedrijven doen (Chrome en Firefox laten crashen met hun matige plugins, TLS-interceptie, scripts van webpagina's uitvoeren in de kernel om te kijken wat ze doen...) vind ik zelfs schadelijker dan een computer zonder antivirus gebruiken.

Als je mee kan komen met het technieuws van Tweakers is er dikke kans dat je slim genoeg bent om jezelf met gezond verstand te redden.

TLS-interceptie,

Hetgeen je hier noemt is bij vrijwel alle anti malware producten optioneel. En het alternatief; blind zijn voor alle troep die via TLS wordt verstuurd, is ook niet zaligmakend.

Chrome en Firefox laten crashen met hun matige plugins

Dit lijkt mij niet meer dan een ongefundeerde generalisatie.

Als je de recentie anti virus tests naslaat zal je zien dat Defender het weliswaar netjes doet maar toch niet meekomt met de bekend producten die de tests keer op keer winnen. Daarbij blinkt het pakket ook niet uit in instelmogelijkheden. Dat zijn allemaal redenen waarom veel mensen toch voor een ander product kiezen zoals bv Kaspersky of Bitdefender.

TLS-interceptie moet je vinden in de geavanceerde instellingen en handmatig uitzetten. 99% van de gebruikers gaat dat nooit doen natuurlijk, zelfs niet als ze technisch onderlegd zijn.

Over dat antivirus browsers laag crashen, die info heb ik van de developers van Chrome en Firefox:
https://robert.ocallahan....-software-except.html?m=1
https://mobile.twitter.co...status/826017330601811968
https://mobile.twitter.co...status/826489070310207489
https://mobile.twitter.co...status/802491391121260544
https://mobile.twitter.co...status/826017330601811968
Daar moet wel jij gezegd worden dat Defender het weer heel netjes doet.

Chrome heeft voor zover mogelijk alle opties tot codeinjectie gepatcht o.a. omdat antivirusproducten steeds in hun crash logs voorbij kwamen.

Dat Defender niet de allerbeste is weet ik, maar het hoeft niet de beste te zijn; het goed goed genoeg zijn om thuisgebruikers te beschermen. Als je klantdata wil beschermen koop je een dure antivirus met een hoop fancy features die de nadelen waard zijn, maar asl thuisgebruiker is het onnodig om te investeren in zulke diensten.

daar ga je al mis, personen die klantdata mee naar huis nemen,
mensen met wie ik communicatie heb gehad die hun pc laten hacken en dus ook mijn mails laten uitlekken.

stel ik koop morgen bij jou een bijna nieuwe macbook via V&A.
we hebben gesprekken via mail over wat het is en welke prijs.
uiteindelijk mail ik je mijn adres
ook stuur ik een screenshot van de betaalopdracht want dat is wel zo fijn via online verkopen.

morgen wordt er op jouw mooie onbeveiligde pc ingebroken.

weten de crimineren wel mooi,

mijn naam een adresgegevens, rekening nummer, en dat ik een 8 maanden oude macbook heb. maar zelfs als ik zo slim was in dat screenshot mijn rekeningnr weg te strepen dan nog hebben ze veel meer data dan me lief is!

Defender kun je via MECM (SCCM) beheren en laten rapporteren.

En niet te vergeten Intune en Microsoft ATP

Allereerst ben jij de grootste en slimste antivirus. Ik gebruik al sinds komst van Windows 10 geen anti-virus client meer, de ingebouwde variant van Google Chrome en Windows 10 is méér dan zat.

Jammer maar dit is simpelweg niet waar. Ja je kunt als mens een grote invloed uitoefenen maar aan de andere kant ben je lang niet in staat de controles uit te voeren die een Anti-Malware pakket voor je doet. Het is niet voor niets dat er vaak wordt gezegd dat de mens de zwakste schakel is.

Het hangt er natuurlijk vanaf wat je met je computer doet. Als je meerdere systemen hebt kan je prima eentje zonder virusscanner laten draaien zolang je daar geen gevoelige data op gebruikt en dan af en toe formatteren.

Is er bekend waarop overgestapt is?

Dat soort zaken worden meestal niet publiek gemaakt, omdat kwaadwillenden dat ook lezen en er evt misbruik van zouden kunnen maken door gebruik van bekende bugs.

Maar meestgebruikjte antiviruspakkertten tegenwoordig op zakelijk gebied zijn zo'n beetje Symantec Endpoint Protection, en McAfee, dus de kans is vrij groot dat het één van die 2 zal zijn. Ook Microsoft Endpoint Protection is aardig in opkomst overigens, dus die zou ook zomaar de opvolger kunnen zijn.

[Reactie gewijzigd door wildhagen op 18 september 2020 17:39]

Dit zijn dingen die gewoon "openbaar" zijn en op dit moment wordt NOD geadviseerd binnen de rijksoverheid.
De antiviruspakketen die je noemt worden inderdaad binnen commerciele domains vaak gebruikt maar zijn zeker niet de grootsten en zullen ook binnen de rijksoverheid aanwezig zijn maar zijn niet de officiele bouwblokken die geadviseerd worden.

Kwaadwillenden gebruiken niet specifieke informatie over endpoint producten omdat deze normaal gesproken ook gepatched worden en maar een klein onderdeel zijn van de security keten.

Dat klopt, maar dat is maar een advies, niemand die het dwingt op te volgen. Van twee ministeries weet ik (via kennissen die er werken) dat bijcoorbeeld Symantec gebruikt wordt op in ieder geval de werkplekken, en bij een ander overheidinstituut (geen ministerie) draait men McAfee.

En ja, antivirus is een klein onderdeel van de hele security-keten, maar je wil zo min mogelijk onthullen. Waarom onnodige attack-vectors openstellen, ook aal zijn ze nog zo klein? En natuurlijk worden antiviruspakketten ook gepatched, maar ook hier heb je, net als in andere domeinen, nog zaken als zero-days, en niet elke organidatie is uptodate met zijn patches (of hebben niet eens een echt patch-beleid....).

Deze informatie is helaas vrij makkelijk te verkrijgen (via openbaarheid van bestuur documenten) Ook de kosten van de licenties zijn transparant in de budgetten. Dus deze informatie is helaas (net als zoveel andere) publiekelijk te verkrijgen en inderdaad een bron voor gerichte aanvallen.

De mensen die je noemt zijn dus ook een security leak en helaas is social engenering nog steeds de beste attack factor bij de overheid.
En het is helaas inderdaad zo dat LCM ver achterloopt bij de overheid, wat alles bij elkaar een zeer riskante situatie geeft.

Sophos (Brits) is een hele goeie https://www.sophos.com/en...s/endpoint-antivirus.aspx

In navolging van de NSA backdoors, PRISM e.d. raad ik aan alle producten van firma's met een vestiging in de USA te vermijden, evenals producten uit landen behorende bij de Five Eyes.

EU heeft ook vast van die verdragen als de Five Eyes heeft. dus een poolse of spaanse virusscanner zou je dan ook niet nemen?
Een uit het midden-oosten misschien?
Nee allesbehalve een van de Five?
Weet je wel waar je dan aan voorbij gaat?

In dit geval zou ik kijken waar ik als Nederlander meer/zelfde recht heb op een goed product en ook mijn bank dat niet als een onwaardige scanner ziet. en wat zou de bank zeggen van een virusscanner uit één van die landen die ‘tegen mij’ zijn als het erop aankomt.

In jouw geval is Kaspersky dan de beste keus, qua reputatie in de wereld maar is wel rus, maar die met de privacy licentie gericht op EU, wel in Zwitserland zit.

EU heeft ook vast van die verdragen als de Five Eyes heeft.

Dat er samengewerkt wordt is een feit, is tussen bondgenoten ook normaal. Samenwerking tussen de Five Eyes gaat echter een stuk verder. USA en UK staan er ook om bekend dat ze EU-regeringsleiders bespioneren, Belgacom afluisteren, vertrouwelijke gegevens van Airbus aan Boeing geven, enzovoorts.

Daarnaast heb ik aangegeven dat er een gradatie is, meest evil in dat rijtje is de USA/NSA, daarna UK, daarna Australië en Canada en tot slot Nieuw-Zeeland.

Meest te vertrouwen lijkt mij Zwitserland, IJsland en daarna Israël, maar die zijn ook niet heilig. Duitsland is onder Merkel heel hard op weg een SED-land te worden, al zal het voorlopig nog niet zo erg worden als in het Stasi-tijdperk.

Het is zelfs erger dan je denkt. Die 5 eyes zijn er 14 eyes geworden. Zie: https://en.wikipedia.org/wiki/Five_Eyes#Fourteen_Eyes

Eigenlijk is Zwitserland het beste en/of IJsland.

[Reactie gewijzigd door Remzi1993 op 20 september 2020 10:26]

Ik denk dat die landen dan net als Charlie Chaplin door Mi5/FBI in de gaten worden gehouden.

Uiteraard. De VS kennende houden ze alles in de gaten. Hun hele hebben en houden bestaat uit wantrouwen.

Trusted until proven untrusted,(alhoewel we dat nu niet helemaal meer vertrouwen) het is ook een lastige want wordt je liever door je eigen regering in de gaten gehouden of door de ander.

Het is idd sophos. Daar draait bijna de hele overheid op. Zij geven inzage in de sourcecode die wordt gebruikt.

Wat een flauwe kul allemaal dat Kaspersky gevaarlijk kan zijn. Moet je dan ook alle buitenlanders dan maar weg sturen ? Dat is net hetzelfde, die kunnen ook informatie verzamelen en doorsturen. Tiktok wordt door Trump verboden omdat Google in China verboden is, meer is het niet. Ze klagen er over dat Tiktok informatie verzamelt, maar over hun eigen Google zwijgen ze, die doen net hetzelfde.

Volgens het kabinet is Kaspersky Lab als Russisch bedrijf en met een hoofdkantoor in Rusland verplicht om Russische inlichtingendiensten te ondersteunen bij hun taken als daarom gevraagd wordt.

Dus stappen ze over naar een 100% Nederlandse anti-virus software of....?

I vond Kapersky eerlijk gezegd nooit wat. Ik vind Eset een goeie keus. En het is niet uit de VS. Slowakije, geloof ik.

ESET is troep, het heeft een HTTP MITM component dat de payload aanpast. Heeft me een halve dag gekost om er achter te komen dat de gzip payload door ESET uitgepakt werd. Heel fijn tijdens development.

Hahaha nee tuurlijk niet. Ze gaan naar een Amerikaans bedrijf om zo nog wat meer Amerika te pleasen.

Van voldoende partijen heb ik anders vernomen dat meerdere afdelingen overgestapt zijn op Bitdefender, Eset en F-Secure, alle drie ondernemingen die onder de Europese Unie vallen.

Amerika 100% controle geven is het domste wat je kan doen vanuit landsbelang bekeken.

Hoe kun je dat begrijpen? Waarom doet men dat dan steeds? Dat zijn geen foutjes meer, dat is beleid.

Het antwoord is dat hier niet landsbelang wordt gediend in de zin van volksbelang, maar belang van machthebbers. Deze grootkapitalisten zijn niet aan een land gebonden. Ze zitten met hun investeringen en multinationals overal. Zij zijn de baas in de VS (en ook de EU). Zij gebruiken de VS als een tot de tanden bewapende bully om alle landen in de wereld hun systemen en regels op te dringen . Daarom pompen ze de VS op en maken ze alle landen onderdanig aan de VS. Met zijn gigantische inlichtingendiensten en enorme leger houden ze de wereld zo gevangen in een uitbuitsysteem.

Ik zeg niet dat het goed is om de US 100% controle te geven, het is zeker dom, maar niet het domste lijkt mij.

Het liefst heb ik een goede open source implementatie, als dat geen optie is dan iets uit NL, is dat geen optie dan uit op zijn minste de EU, is dat geen optie dan een EEA land, daarna Zwitserland, daarna US/UK/Canada/andere NAVO bondgenoten, daarna Turkije, daarna een hele rits andere landen, en pas ergens onder aan de lijst van voorkeuren (al spreek je hier meer van afkeuren) komt Rusland.

De lijst gaat dus redelijk een hierarchie af van hoe sterk we verbonden zijn aan landen. Turkije en Rusland staan iets lager dan je op basis van puur verwevenheid zou verwachten door recente bewezen onbetrouwbaarheid richting ons/andere bondgenoten, wat toch wel een aantal stappen verder gaat dan spionage en manipulatie in NL/EU door de US. Daarom zou ik zelf niet zeggen dat de US echt het domste is. Als u hier goede inzichten in heeft van waarom het wel het domste is, hoor ik het graag.

[Reactie gewijzigd door svenk91 op 18 september 2020 18:31]

Volledig eens. Ik was eens voor de EG en zeker voor de Euro, maar dit is één van de drie redenen dat ik dat niet meer ben. De andere twee hebben te maken met het ontbreken van democratie en met de tien tenen van leem en ijzer.

Hebben ze het ook uit het p2000 netwerk gehaald? Het was in 2018 nog in gebruik namelijk

Denk dat de software daar zo verouderd is dat elk nieuwe virussoftware het signaleert als virus.

Leuk al die antimalware software bij overheden, vaak een brits/amerikaans/russisch/etc bedrijf. Komt er nog een keer een goede antimalware van het land/de overheid zelf? Lijkt mij nog wat betrouwbaarder ivm spionspul.

Maar het vervangen van Kaspersky software kan ook gevaarlijk zijn...

Direct uitfaseren van Kaspersky bij de Waarderingskamer is risicovol omdat vervangende antivirussoftware noodzakelijk is. Deze is nog niet geïmplementeerd,

Kan iemand dit vertalen naar termen die voor een software developer of systeem beheerder begrijpelijk zijn.

Dat er op dit moment een project loopt om een ander antivirus-pakket te implementeren, wat dus eind dit jaar klaar zou moeten zijn.

Tot die tijd is het uitfaseren van Kaspersky te gevaarlijk, omdat men dan helemaal zonder antivirus pakket komt te zitten. Dat was in 2010 al niet verantwoord, en in 2020 al helemaal niet meer.

En daar moeten ze twee jaar over doen?

Ik heb liever iemand die de alternatieven goed evalueert en indien nodig onderweg bijstuurt dan iemand die snel snel met een alternatief komt dat achteraf onvoldoende blijkt te zijn of slecht werd geïmplementeerd.

In zekere zin wel, en in de meeste gevallen waar.

Maar we spreken hier over software met toegang tot alle data (en meer), waarvan 2 jaar geleden beslist is het in de ban te doen "omdat het onze geheimen aan de Russen geeft".

Ofwel is er niets aan het handje en is de ban onterecht, ofwel is het bijna zo erg/nog erger (je geeft zelf data af, ze moeten niet eens meer inbreken en targetten!) dan helemaal niets. Zowat elke andere oplossing zou beter moeten zijn dan vrijwillig de deur open zetten, daarna kan je rustig alternatieven bekijken, evalueren, bijsturen, en blijkbaar niks doen buiten zeggen dat het risicovol is.

Bij dit soort operaties wordt er gedaan aan risico management. Door de overheid is vastgesteld dat Kaspersky een mogelijk gevaar is. Dit is niet gebaseerd op concrete indicaties dat er in het verleden informatie aan de Russische overheid doorgespeeld is maar het feit dat het hoofdkantoor gevestigd is binnen de jurisdictie van een vijandige mogendheid die historisch bereidwillig is geweest dwang in te zetten tegen eigen bevolking en bedrijven om externe doelen te bereiken. Dat is zeker een gevaar.

Wat echter ook een gevaar is dat er een mogelijke software suite geïnstalleerd wordt die een algemeen openbaar lek blijkt te hebben en waardoor niet slechts één vijandige mogendheid toegang kan krijgen maar misschien meerdere, inclusief criminele private groepen. Dit is een groter gevaar.

In dit geval is dus de berekening gemaakt dat het bekende risico van Kaspersky niet spoedeisend genoeg is dat het tweede risico acceptabel is.

Goed en duidelijk verwoord waarbij je in dit geval enkel nog de aantekening kunt maken dat het risico van Kaspersky theoretisch mogelijk afgedwongen medewerking met de Russische overheid als gevaarlijker wordt ingeschat als de bewezen spionageactiviteiten van Amerikaanse bedrijven* voor de NSA waarvan ook bekend is dat bemachtigde gegevens zeker in de verkeerde handen (zullen) vallen.

Feitelijk is geen enkel bedrijf te vertrouwen als het een vestiging heeft in de USA. In het kader van de samenwerking van de 5-eyes (de meest vergaande samenwerking, 9-eyes enzo is minder intensief) moet je dat dus ook verlengen naar Canada, UK (nu nog in de EU,was dus een Trojaans paard), Australië en Nieuw-Zeeland.

* Afgedwongen door de Patriot Act, FISA en amendementen daarop. Deelnemende bedrijven o.a. Juniper, Cisco, Seagate

https://www.theguardian.c...into-technology-companies
https://www.zdnet.com/art...a-backdoor-investigation/
https://www.tomshardware....ounts-software,37480.html
https://www.cnet.com/news...rnet-companies-databases/
https://www.theverge.com/...ok-microsoft-others-prism
https://www.theverge.com/...a-encryption-according-to
https://www.salon.com/201...y_and_the_security_state/
https://bgr.com/2018/02/1...s-government-huawei-zte/#
https://www.salon.com/201...y_and_the_security_state/
https://www.theverge.com/...a-encryption-according-to

Van Kaspersky, Huawei en ZTE is geen actieve spionage bewezen (al was Kaspersky betrokken bij een lek) maar van een hele trits Amerikaanse bedrijven liggen de bewijzen er. Het door EU-overheden boycotten van Russische en Chinese producten en het accepteren van Amerikaanse betekent dat deze EU-overheden gigantische oogkleppen op hebben.

Oh dat ben ik volledig met je eens, als ik de leiding had over zo'n aanbesteding zou ik ook absoluut Amerikaanse bedrijven en daaraan verbonden antivirus bedrijven zonder meer uitsluiten. De VS mag dan wel (nog) geen vijandige mogendheid zijn, maar brengt wel noemenswaardige risico's voor de nationale veiligheid van Nederland mee. Hierom zou ik dan ook alleen bedrijven van Europese bodem zoals de eerder genoemde Eset, F-Secure en Bitdefender en anderen als acceptabel zien.

Maar de rest van de overheid is klaar. Neem gewoon over van het meest erop lijkende orgaan.

Nee, we gaan het voor deze hut helemaal opnieuw doen. Puurste vorm van verspilling

Monocultuur is geen goed idee bij beveiligingsmaatregelen. Dat maakt het geheel kwetsbaarder. Het is ook geen eenheidsworst, elke toepassing vraagt om specifieke functionaliteit.

Het is vergelijkbaar met risico's die monocultuur met zich meebrengen in de agrarische sector.

Het is voor aanvallers aanzienlijk makkelijker om een aanval succesvol te laten zijn bij veel doelen als die allemaal dezelfde beveiliging hebben. Je hoeft dan maar 1 gaatje te vinden. In het geval van malware is dat heel snel te doen voor een aanvaller en veel moeilijker als er variatie is in de detectiesoftware. Hoe meer variatie, hoe lager de risico's voor de groep.

Eens dat het wel zorgvuldig moet, maar de rijksoverheid heeft natuurlijk tig, zo niet honderden van dit soort afdelingen met gevoelige informatie. Je vraagt je wel eens af waarom daar niet wat meer in gestroomlijnd wordt.

Monocultuur put de grond altijd uit, dat is toch echt heel wat anders want dat gaat 100% van de tijd fout.

Dezelfde beveiligingssoftware gebruiken is ook onvermijdelijk, want er is gewoon niet zo bar veel keuze. Er zijn waarschijnlijk maar een paar producten die aan alle voorwaarden voldoen.

Ja, behalve in dit geval natuurlijk. Als de overheid Kaspersky een risico vindt ga je niet op je dooie gemak op zoek naar een alternatief terwijl er een karrevracht vergelijkbare instanties om je heen, waar je korte lijntjes mee hebt (of zou moeten hebben) allang een alternatief getest en geïmplementeerd heeft.
Tenzij we natuurlijk binnenkort een nieuwsbericht kunnen verwachten met de kop "Kaspersky alternatief bij overheid geflopt, alle systemen plat".

Je moet als overheidsorganisatie (helaas) een aanbesteding doen. Je mag niet zomaar de keuze van collega insteling volgen.

Alleen bij dit deel van de overheid. Die is groot en complex en nog zeer lerende qua ict-management.

De ticket voor het deïnstalleren van Kaspersky heeft een dependency op de ticket voor het bepalen en installeren van een vervangende antivirussoftware. Die laatste ticket staat op in 'progress' of 'internal review'.

-edit- ik zoek overigens nog werk al PO. Mocht iemand dit lezen die mijn kwaliteiten kan waarderen. (Liefst in de gezondheidszorg)

[Reactie gewijzigd door Ras op 18 september 2020 23:48]

De organisatie heeft JIRA waarschijnlijk nog niet geinstalleerd en werkt nog met papier ende kartonnen fardes.

Ik neem dit voorbeeld uit hoe het er in mijn eigen land bij justitie er aan toe gaat (kijk bv. naar hoe men het dossier De Bende Van Nijvel heeft gedaan - waarbij dit alles ook nog eens een aantal keer is moeten vertaald worden):

Er is ergens een grote stapel met fardes (duizenden stuks) en bladen (tienduizenden, honderdduizenden) waar ergens een post-it in geplakt is waar ondertussen waarschijnlijk de inkt al op uitgelopen is. Op die post-it staat: P40, B88, R33 derde pagina links dan rechts en onderaan ergens.

Wat P40 betekende, is de staatssecretaris sinds vier maanden aan het uitzoeken. Vermoedelijk zou die P voor Pagina staan. Maar dat is niet zeker. Daarna zijn onderzoeken naar de betekenis voor B en R aan de beurt. Dit zal de komende zes a zeven jaar gebeuren.

Het stuk "derde pagina links dan rechts en onderaan ergens" is te omslachtig beschreven en zal betekenen dat de ganse gehele pagina zal moeten gelezen worden. Zo'n volledige pagina heeft nood aan een parlemetaire commissie, een extra ministerpost, een volledig nieuw ambtelijk orgaan van 100 a 200 mensen dat hierover zal zuchten en beven tot ze op pensioen zijn.

Tegen dat de laatste paragraaf op dat blad gelezen is, zijn we letterlijk acht generaties in de mensheid verder. In België moet het nu helemaal vertaald worden naar het Frans en moet alles over gedaan worden.

held

En de ticket owner is een of andere manager die op vakantie is.

Of al twee jaar geleden de organisatie heeft verlaten...

Kaspersky is ondertussen verhuisd naar Zwitserland. Het is ook een zeer degelijk antiviruspakket van een bedrijf met CEO die echt zijn vak nog kent, en niet één of andere venture capital firma.

Volgens Kaspersky zelf is het hoofdkantoor nog steeds in Rusland.... https://www.kaspersky.com/about/contact

Mogelijk hebben ze wel een kantoor in Zwitserland.. maar hoofdkantoor zit in Rusland..

Je hebt gelijk.
Maar ze hebben de infrastructuur voor het opslaan van klanten data voor het grootste deel verplaatst naar Zwitserland.
https://www.kaspersky.com...astructure-to-switzerland

By the end of 2019, data from customers in Europe, North America, Japan, Singapore, Australia and South Korea will be stored and processed in Zurich

Zolang het hoofdkantoor in Rusland zit is dat vanuit nationaal veiligheid perspectief natuurlijk een wassen neus. Die gegevens in Zwitserland kunnen door het management van Kaspersky zeker wel benaderd worden en als de SVR met een dwangbevel en waarschijnlijk degelijke vuurkracht bij de CEO voor de deur staat. Dan kan hij z'n vak nog zo goed kennen maar dan werkt hij mee. Dat de Russische geheime diensten er niet bang voor zijn chantage en dwang tegen hun eigen bevolking te gebruiken laat de geschiedenis zien.

Je hebt nog nooit in een grootzakelijke ICT omgeving gewerkt begrijp ik uit je opmerking. Thuis iets ondoordacht installeren is jezelf voor de kop slaan, een avond en nacht doorhalen om zaken terug te halen, uithuilen en doorgaan. Dat kan in een omgeving als deze dus echt niet. Waarschijnlijk aanbesteden, beoordelen (fijn, dank u wel EU regels), testen, kleinschalig uitrollen, afwachten, etcetera. Dat duurt in een bedrijf van dit kaliber al vele maanden, nu met Corona zal dat niet korter worden. Het ICT personeel van de overheid is over het algemeen uiterst capabel, het gaat helaas elders mis. Als je begint met een vlot te bouwen en tijdens de bouw moet het achtereenvolgens een vliegdekschip, onderzeeboot, amfibievaartuig en marslander worden, tja, dat helpt niet.

Dat "elders" hoort dus bij de ICT tak. 2 jaar om een nieuwe antivirus te installeren is absurd. We hebben het hier niet over 1 persoon die het overal moet doen. Elke tak heeft zijn eigen sysadmin met zijn eigen firewall rules en exectpions en zijn eigen deployment software.

2 jaar om een firewall te ontwikkelen is begrijpelijk.
2 jaar om er een te installeren is een beetje

Ik hoor er nog steeds doorheen dat je geen flauw idee hebt hoe besluitvorming bij dit soort grote organen gaan. Dat is (helaas) inherent aan de grootte van bedrijven. Om zo'n ding te installeren in 2 jaar is inderdaad absurd. Maar de besluitvorming, meerdere lagen van managers langs moeten lopen, budget ronselen, vraag uitzetten in de markt (vanwege die EU regels), maakt dat je zo al minstens een jaar kwijt bent rondom besluitvorming. Dan nog testen, een uitrolplan, terugrolplan, gefaseerde uitrol en je bent zo weer vele maanden verder.

Dat een bobo ergens zegt dat je "er van af moet" wil niet zeggen dat die brave ziel ook met budget loopt te zwaaien, daar gaan dat soort lieden doorgaans niet over. Maar goed, de boodschap is dat het heel veel meer is dan alleen iets implementeren, als je daar aangekomen bent is er dus al een heel groot circus aan vooraf gegaan. De implementatie is dan eigenlijk het uitvoeren van hetgeen er in de rollout planning is beschreven.

>Ik hoor er nog steeds doorheen dat je geen flauw idee hebt hoe besluitvorming bij dit soort grote organen gaan. Dat is (helaas) inherent aan de grootte van bedrijven.

Dat is letterlijk mijn argument. Je kan niet claimen dat management geen deel is van de ICT sector. Het feit dat het zo achterlijk lang duurt om iets te doen als een verboden antivirus te vervangen voor iets waar meerdere bestaande alternatieven voor zijn.

Tevens heb ik genoeg ervaring met het bobo fiasco dat ervooraf gaat en ook met hoe non-effectief het overgrote deel van het voortraject is sinds er zeer vaak alsnog fouten opduiken na grote tenders die makkelijk van tevoren gevonden hadden kunnen worden. Dat is waarom ik niet bij een groot bedrijf werk en wel productief ben.

[Reactie gewijzigd door Osiummaster op 18 september 2020 18:53]

Het heeft niks te maken met het management. Dat zal vast incompetent zijn, want dat zijn de meeste managers, maar zelfs met goed werkende managers is dit niet zo makkelijk als het lijkt.

1. Inventariseren. Gebruiken wij die software, zo ja, op welke systemen allemaal etc.
2. Vervanging zoeken, waarschijnlijk via aanbesteding. Dat duurt lang omdat tussen elke fase van een aanbesteding tijd moet zitten.
3. Plan maken om vervanging te implementeren.
4. Kleinschalig testen om niet alle medewerkers meteen nonproductief te maken mocht de nieuwe antivirus ergens een bedrijfskritische applicatie stukmaken.
5. Incidenten uit de testen oplossen. Dat kost veel tijd want er gaat altijd wel iets kapot.
6. Grootschalig uitrollen.
7. Incidenten uit productie oplossen. Reken er maar op dat dit er veel zijn, de meeste antivirus grijpt diep in op hoe een systeem werkt. En natuurlijk incidenten die sowieso wel waren opgetreden maar waarvan de medewerkers overtuigd zijn dat het aan de nieuwe antivirus ligt.
8. Erachter komen dat je requirements toch niet volledig waren bij de aanbesteding en je dus een totaal verkeerd pakket hebt gekocht.
9. Erachter komen dat je niet alle systemen hebt meegenomen en dat er voor die systemen alsnog een plan moet worden gemaakt.
9. Enzovoort enzovoort enzovoort.

Echt. Grootzakelijke omgevingen zijn op geen enkele manier te vergelijken met een thuissituatie. Dit soort dingen kosten gruwelijk veel tijd, zelfs als iedereen wel competent is.

En toch is dit haalbaar in twee jaar, de zwaarste vorm van aanbesteden (Europees) kan met competente mensen in één jaar afgerond zijn. Andere overheidsorganen met dezelfde problematiek zijn inmiddels wel over, hier krijg je alleen geen succesverhaal van te zien in de media. De laatste... tja die wel, dat is sensatie.

Maar misschien was er een ander zwaar project dat belangrijker was? En waren er geen middelen om dit er naast te doen. Kan gewoon een bewuste keuze geweest zijn door misschien wel capabel management.

@PhilipsFan heeft het mooi uitgeschreven, de besluitvorming die ik noem is een aaneenschakeling van stapjes die gezet worden en die kosten domweg tijd. Kijk even naar de punten van @PhilipsFan en daar kan je er nog zo 20 punten bij verzinnen in een aantal bedrijfstakken, zeker als je besluitvorming in het buitenland zit. Ook collega's van mij zeggen dan: "Allemaal onzin, zonde van de tijd". En dat gaat dan 6 keer goed en de 7e keer gaat dat niet goed. Of collega's die denken dat je bij bij 6 kan beginnen. En dan draait er een productiesysteem de stront in.

Heb je mogelijk een idee als een plant van Shell op de Maasvlakte een paar uur stilstaat, wat dat kost? Om over opstartproblemen maar niet te spreken? Dat is ook productief zijn, goed nadenken over risico's, die zo goed mogelijk mitigeren en kleine stapjes nemen. In de petrochemische industrie wordt geen enkel risico genomen, tot ver, ver achter de komma. En natuurlijk, klunzen heb je overal, ook hier, maar dat doet weinig af aan de doorlooptijd van een doordacht besluit, soms moet je wat terugbrengen naar zinnen van 3 woorden van 2 lettergrepen ...

De overheid heeft met regels te maken.. Een commercieel bedrijf bepaald zijn eigen beleid en kan best snel schakelen...

Bij een overheids orgaan of semi overheids orgaan... Hebben te maken met aanbestedingen.. eer dat je door dat hele aanbestedings traject heen bent en er is goedkeuring dat de gegunde doorgang krijgt. Ben je al zeker een jaar bezig..

Ook bij een bedrijf met 5000 man en paar honderd applicaties, servers enz..... ben je ook niet in een maand klaar met het uitfaseren van een virusscanner..

Zowel Grote bedrijven als kleine bedrijven hebben hun voor en nadelen.. Claimen dat iemand niet productief is als deze bij een groot bedrijf of overheid werkt is ook niet helemaal waar..

In 2018 is er een advies gekomen vanuit het cyber security center naar het kabinet. Dat mogelijk de Russische inlichtingen dienst kaspersky zou kunnen gebruiken en controleren om te hacken.

Dit was dacht ik rond mei - jun 2018. In jul kregen wij de vraag of op onze computers en servers kaspersky gebruikt werdt. Dat was al niet zo gezien het onderdeel waar ik werkte gebruik maakte van SCEP.

Het advies kwam dus niet van begin mei 2018. Maar halve wegen 2018.

Advies is dus 1,5 jaar oud aanbestedings traject duurt op zijn minst al minimaal 6 maanden en kan langer duren. Naast uitzoeken welke afdelingen er gebruik maken van kaspersky.

Daarnaast zou het kunnen zijn dat bij de Waaderingskamer best al systemen zijn omgezet. Ook kan het zijn dat zij pas later in het jaar officieel zijn geïnformeerd om kaspersky te gaan vervangen. En het kan ook zo zijn dat ze nog een aantal systemen hebben draaien die niet zomaar overgezet kunnen worden. Dat staat tevens nergens in het bericht of het over alle systemen gaan of nog een paar of een afdeling nog niet zo ver is.

Dit nieuws bericht komt waarschijnlijk van uit een overheids persbericht waarin staat dat de waarderingskamer nog systemen hebben draaien met kaspersky. Maar niet verteld over de voortgang. Of tweakers heeft dat er uit gehouden.

Vergeet ook niet de citrix crisis die er begin dit jaar was wat het een en ander kan hebben vertraagd.

[Reactie gewijzigd door To_Tall op 19 september 2020 01:40]

Jouw verhaal klopt als een bus hoor. Wat ik mij hier dan wel bij afvraag is waarom die andere ministeries/overheidsorganen het wel allemaal voor elkaar lijken te hebben maar deze niet. M.a.w. het zou interessant en leerzaam zijn om te weten wat de situatie klaarblijkelijk zo uniek en afwijkend maakt.
Kan natuurlijk ook dat ze gewoon achteraan in het rijtje stonden in de planning.

Je vergeet, er komt een beslissing. Dan gaat men onderzoeken welke systemen er geraakt gaan worden. Wat zou dan een goede nieuwe virusscanner zijn?? Welke eisen heeft dit departement aan de virus scanner? Koppelingen mogelijk naar b.v. Cyber security center? Die stukje monitoring gaan doen..

Dan komt er een aanbesteding.. die ook nog eens 6 maanden duurt, leveranciers moeten aantonen dat hun product zal werken op jouw systemen.. na die 6 maanden komt er nog een procedure welk pakket vanuit de aanbesteding zouden een kandidaat kunnen zijn? Welke voldoen aan alle of meeste eisen.. Misschien nog wat demo rondes..

Afijn dan is een keuze gemaakt na 3 maanden.. Dan ben je al bijna een jaar verder.. dan zal een Design moeten worden gemaakt, die afgetekend moet worden, Plan van aanpak voor testers alle applicaties moeten met de nieuwe scanner getest worden.. enz enz.. je bent echt zo 2 jaar bezig.. been there done that...

Bij een commercieel bedrijf.. Heb je een scanner, voldoet deze niet?? Ohhh contract loopt nog een jaar we gaan shoppen... Oh Eset voldoet.... nou laten we langzaam aan migreren... gaat er iets stuk bij de administratie.. en niet bij verkoop.. dan kan verkoop eerst en administratie doen we volgende maand wel dan kunnen we een nieuwe Policy voor de Administratie rustig testen en dan uitrollen..

Ik kan me niet voorstellen dat dit z’n complexe ict infrastructuur is.

Ik werkte vier jaar geleden wel bij een complexe infra van de overheid , waarbij er spreke was van trage verbinding. En daar hadden we het al jaren daarvoor uitgefaseerd.

Hier in Nederland lijkt het me toch niet zo moeilijk.

Wat meestal gebeurt is dat ze een aanbesteding moeten regelen, en te laat zijn, dan moeten ze opeens verlengen, en volgend jaar het zelfde verhaal.

Het probleem wat ik vaak tegenkom is dat er een hoop "oude troep" kan staan waarvan weinig mensen nog iets van weten. Of slecht gedocumenteerde spaghetti waar toch ineens systeem C aan A hangt via B met een wonderlijke interface ertussen. Vergeet ook niet dat de gemiddelde ICT manager na een jaar of 3 a 4 wat anders gaat doen en dat kennis van systemen niet goed gedocumenteerd blijkt te zijn. Ga dan maar eens een grote wijziging doen op een systeem wat je niet 100% kent, dan heb je alleen een 100% garantie op verrassingen. En dat te laat beginnen, dat herken ik ook, doorlooptijden worden nog steeds grenzeloos onderschat en het eigen kunnen vaak grenzeloos overschat. Niets menselijks is ons vreemd

Dan weet je niks over hoe complex dit wel niet is, je wilt het nieuwe anti virus systeem natuurlijk wel eerst testen, plus het feit dat je vaak je systemen hierop moet aanpassen. We praten niet over 1 computer maar over een groot systeem waarbij men ook kritische spul heeft draaien.

Zelf zo'n 10 jaar geleden bij een clubje gewerkt dat een de ICT aanbesteding van een ministerie won.
Dit was zo'n 4000 - 5000 systemen en ongeveer 100 servers.
Hierbij werden alle machines vervangen en de servers werden virtuele machines.
We hebben binnen 1 1/2 jaar de alle software voor de nieuwe werkstations getest op de nieuwe computers (> 500 applicaties) en daarbij zijn we meteen overgestapt op een andere virusscanner.
Dus het is wel mogelijk om sneller door te pakken als iedereen met elkaar meewerkt

Ligt helemaal aan die 500 applicaties als het 500x generieke software is dan is het een makkie. Als ze al hun generieke software ergens buiten de deur hebben geplaatst en je over 500 complexe custom applicaties praat kan het een heel ander verhaal zijn

Zomaar met cijfertjes gooien zegt niks

@Mellow Jack Mijn punt was, als je de hele infrastructuur in 1,5 jaar tijd volledig kan vervangen inclusief virusscanner, dan kan je zeker alleen de virusscanner in 1,5 jaar vervangen....

Fout, een Russisch bedrijf, maar het anti-virus programma is naar mijn gevoel nog steeds het beste wat er is.
Vanwege het achterna lopen van Amerika is het ineens een fout bedrijf.

Bij het bedrijf waar ik werkte, was er contact met de ICT afdelingen van de overheid. Er zitten super admins daar maar veel managers en hogerop zijn diegenen die zo eigenwijs zijn dat je er misselijk van wordt dat we enkel contracten en contacten hebben verbroken. Sommigen zijn nog van de PCPrive stempel en denken nog steeds dat ze het weten. Rapporten leggen ze naast zich neer, of sturen, naar hogerop, aangepaste versies met hun eigen pisstraaltje er over door.

Ook denk ik dat er zoveel fout en rommel zit daar dat als er een nieuwe virus scanner er gebruikt gaat worden dat alles als virus bestempelt gaat worden.

[Reactie gewijzigd door Lord Anubis op 18 september 2020 19:03]

De Nederlandse overheid vind de virus scanner niet slecht, we lopen ook de US niet achterna..

Probleem is ook al geschetst door Olaf.. De geheime dienst van Rusland kan Kaspersky verplichten mee te werken aan acties tegen de Nederlandse overheid.. Waarbij de virusscanner best wel een dingetje is als Kaspersky de opdracht krijgt om b.v. Te zorgen dat systemen van de overheid om zijn gat te krijgen moet Kaspersky of ze willen of niet dit doen..

En laten we eerlijk zijn.. Het westen en Rusland de spanningen lopen best wel op. Er zijn genoeg punten waarbij Rusland het ons moeilijk kan maken. MH17, gas leidingen, olie, kijk ook naar Syrië waar Rusland met Asad mee vecht terwijl de NAVO juist tegen Assad is, en de koerden helpt.

Anyway genoeg redenen om Rusland niet te vertrouwen..

Het beeld dat je schets deel ik niet, in 2019 weg gegaan bij een overheids onderdeel na 5 jaar.. sinds jun ook weer aan de slag bij een ander rijks onderdeel... Ja er zijn baasjes het is heel hierarchies bepaalde beslissingen moeten over meerdere lagen. Andere zijn snel genomen... Soms is het haast niet mogelijk om iemand te vinden die een beslissing kan en mag geven.. Dat wil niet zeggen dat rapportages naast ze neer gelegd worden, maar men niet de juiste beslissing bevoegde kan vinden.. Ook komt het voor dat je iemand nodig hebt waarna je bellen mail en weken later te horen krijgt dat die persoon paar maanden verlof heeft opgenomen en dan begint het feest weer van voren..

Afijn dergelijke problemen ben ik ook bij grote privaat bedrijven tegen gekomen. Op die maanden vakantie na dan

[Reactie gewijzigd door To_Tall op 18 september 2020 21:58]

Blijft toch ongelooflijk die IT bij de overheid, wij hebben een bedrijf met 10.000 clients recent overgezet van anti-virus software, doorlooptijd 3 weken..

Tuurlijk, en je hebt het vast heel goed gedaan. Maar je snapt wel dat de overheid anders is dan het bedrijf waar jij werkt, gericht op winst (en ja, er zit vast een leuk praatje omheen, maar het is gericht op winst).

De overheid moet alles verantwoorden aan de (vrij kritische en entitled) Nederlandse bevolking. Alles moet voor zo min mogelijk geld, maar moet wel perfect zijn. Het probleem is dat als IT nerd, ja dan is het onzinnig. Maar de gemiddelde mens staat weer op het malieveld als ze horen dat de overheid te veel heeft uitgegeven aan een antivirus. "Ik gebruik een gratis virusscanner" denkt men dan. En nee dat is niet de juiste insteek, maar dat is wel hoe mensen nu eenmaal zijn. Als ze het niet snappen dan zijn ze er tegen (COVID maakt dit pijnlijk duidelijk, het laat zien hoe mensen over lijken kunnen gaan om hun gelijk te krijgen).

Ieder bedrijf moet keuzes maken, maar de overheid moet nog veel beter kunnen verantwoorden waar het geld heen gaat aan mensen die niks over IT weten. Zeker omdat mensen moeite hebben het concept overheid te begrijpen en denken dat het een bedrijf is wat winst maakt. Dus ze willen vooral niks betalen, maar als het niet perfect is dan is het weer Rutte zijn schuld en komt Lange Frans met zijn doodsbedreigingen.

Conclusie is, als overheid is het nooit goed. Maar dat jij het als bedrijf sneller kan wil niet zeggen dat dat dan ook geschikt is voor de overheid. Want stel dat jullie het doen, dan moet er toch eerst worden gecheckt of jij niet contacten hebt met Rusland oid. Of toevallig iedere maand een bijbaantje hebt bij de CIA.
B2B is heel iets anders van de overheid.