Inspectie start onderzoek naar Waternet na verzwijgen van negatieve pentest

De Inspectie voor de Leefomgeving en Transport begint een onderzoek naar de veiligheid van het Noord-Hollandse waterbedrijf Waternet. Dat verzweeg eerder dit jaar dat het op de hoogte was van beveiligingsrisico's, ook tegen de ILT zelf.

Waternet stelde de Inspectie voor de Leefomgeving en Transport niet op de hoogte van het beveiligingslek, schrijft minister van Infrastructuur en Waterstaat Cora van Nieuwenhuizen in een brief aan de Tweede Kamer. De ILT is verantwoordelijk voor de veiligheid van drinkwaterbedrijven als Waternet. De minister reageert op Kamervragen naar aanleiding van nieuws van Follow The Money in september. Toen bleek dat de digitale veiligheid van Waternet niet op orde was. Naar aanleiding daarvan ging de ILT op gesprek bij Waternet. Het waterbedrijf zei toen dat het zou gaan om oude problemen die inmiddels waren opgelost.

Eerder deze maand onthulde Follow The Money echter dat er in januari 2020 een penetratietest werd uitgevoerd waar slechte resultaten uit kwamen. Daar had Waternet de toezichthouder niet van op de hoogte gesteld. Ook het Nationaal Cyber Security Centrum was niet op de hoogte van de resultaten. De partij 50Plus stelde Kamervragen. Van Nieuwenhuizen reageert daarop dat de ILT een onderzoek begint naar Waternet.

Het onderzoek richt zich specifiek op naleving van de Wet beveiliging netwerk en informatiesystemen, of Wbni. Daarin staan de regels voor Rijksoverheidsinstellingen, maar ook 'aanbieders van vitale infrastructuur'. Daar valt Waternet onder. Ook kijkt de ILT naar 'de governance van Waternet'. Volgens Van Nieuwenhuizen is er geen reden om aan te nemen dat de levering van drinkwater in gevaar is. Ook wil de minister nog niet zeggen welke sancties er mogelijk volgen, bijvoorbeeld of de minister of de ILT zelf moeten ingrijpen bij het beheer van Waternet. Daarvoor wil ze eerst het onderzoek afwachten.

Volgens de minister is het niet verplicht dat bedrijven een vertrouwelijke pentest openbaar maken of zelf doorsturen naar de toezichthouder of het NCSC. Wel erkent de minister dat het beter was geweest als dat was gebeurd. "Het was echter, gegeven de actuele omstandigheden, passend geweest als de ILT tijdig was ingelicht door Waternet", schrijft Van Nieuwenhuizen in de brief.

Reacties (95)

Toch ben ik altijd wel blij met websites zoals Follow the Money, die gewoon zorgt dat alles weer op scherp staat en misstanden (zoals deze) aan de kaak stelt. Zou zoiets er niet zijn, wordt denk ik echt een hoop in de doofpot gestopt.

EDIT:
Alleen dan weer wel jammer dat hun artikelen achter een paywall zitten.

EDIT2:
Voor degenen die over mijn eerste edit struikelen; begrijp mij niet verkeerd, ik vind het niet erg om te betalen voor content, maar ik wil het niet buitensporig duur maken, voor een of twee artiklen die een keer voorbij komen. Ik vind 9 euro per maand (voor een abo op FtM, of duurder als ik voor langere termijnen zou gaan) dan wel behoorlijk veel geld. Ik ben kritisch als het aankomt op abonnementen, de totale kosten lopen dan gewoon snel op.

Zou FtM een optie hebben om per artikel te betalen en toch de content te kunnen lezen, dan zou ik dat zeker met alle plezier doen, maar die optie heb ik althans niet gevonden bij ze.

[Reactie gewijzigd door CH4OS op 11 november 2020 15:20]

Waar zit een misstand? Ze zijn niet verplicht dit te melden.

Ze hebben een penetratie test gedaan, daar komt uit dat er gaten inzitten. Vervolgens geeft de directeur aan dat deze zijn opgelost en dat het oude informatie betreft. Wat klopt als dat in januari 2020 is gedaan en ze er in september 2020 een artikel over schrijven.

Ik zou het een groter probleem vinden als ze security issues niet laten testen en niet oplossen. Dit klinkt als een storm in een glas water...

Uit de Kamerbrief: "Het was echter, gegeven de actuele omstandigheden, passend geweest als de ILT tijdig was ingelicht door Waternet, ook al was er op dat moment geen wettelijke verplichting of concreet verzoek vanuit de ILT om dat te doen."

Er bestaat inderdaad geen wettelijke eis om de resultaten van een pentest te melden bij de toezichthouder. Maar er zijn wel algemene medewerkings- en informatieplichten, en zo te lezen vindt de minister dat Waternet daar gebruik van had moeten maken. Dan kan de Inspectie zich bijvoorbeeld voorbereiden op problemen mochten die er komen voor het opgelost is.

Ik lees bij 'passend', "zoals het zou horen". Niet iets wat MOET, maar wel zo netjes zou zijn geweest. Als vervolgens alles 'wat niet zo netjes was' in de media terecht komt moet je toch wel heel erg op gaan passen met wat op dat moment wel en niet als algemeen geaccepteerd wordt gezien.

Maar dan lijkt het eerder een vermeende misstand. Dat een inspectie onderzoek doet is niet perse gerelateerd aan zekerheid over misstanden. Eerder aan de hand van onzekerheid daarover. Dat er in die brief staat dat het passend was geweest wil nog niet zeggen dat het is omdat het toen of nu een misstand betreft. Een taak van de inspectie is juist ook om uit te kunnen sluiten of er misstanden zijn.

Het kromme aan dat antwoord wat je aanhaalt is dat het een poging tot tijdreizen is en inhoudelijk geen uitleg geeft wat het precies te betekenen heeft. Je kan namelijk niet de actuele omstandigheden (zoals het nieuws met meningen, de kamervragen of alle pentests) aannemen alsof die in het verleden zomaar relevant zijn als het niet in de wet staat dat die kennis er had moeten zijn. Dat het passend is zou dan nog het meeste slaan op de genoemde taak: kunnen beslissen of er misstanden zijn. Maar dat het niet kon maakt het nog niet een misstand.

Dat is echt wel een nadeel van 'nieuwe' media vs. 'oude' media. Onderzoeksjournalistiek is schreeuwend duur en heeft niet een heel duidelijk rendement, anders dan dat het duidelijk maakt dat je een serieus medium bent dat een waarde voor de serieuze lezer vertegenwoordigd.

Maar het gevolg is wel dat op dit moment we in een situatie zijn waar je volkomen gratis allerlei desinformatie kunt krijgen, via Facebook bijvoorbeeld, terwijl om de echte vuile was te achterhalen, je achter paywalls moet zien te komen*.

Alleen voor de zaken die echt de spuigaten uit lijken te lopen, zoals hier bij Waternet, sijpelt het dan door naar de 'gratis' media.**


*De makkelijkste manier is een abonnement, maar een Nederlandse krant is bijvoorbeeld al ruim duurder dan een Netflix-abonnement

**Overigens niks ten nadele van het 'gratis' Tweakers, maar zij zijn meer een vakblad dan algemene media. Hun 'dagelijkse' verslaggeving is gewoon goed, en wanneer ze wel wat meer dieptejournalistiek doen, doen ze dat kundig en verantwoord. Ze zijn echter beperkt in waar ze over (kunnen) berichten.

[Reactie gewijzigd door Keypunchie op 11 november 2020 13:22]

Wat mij betreft zou er een "bugbounty" programma moeten komen voor problemen bij overheids-instanties.

Met andere woorden; als je als onderzoeks-journalist een onbekende misstand bij een overheidsinstantie aantoont, zou je daar een beloning voor moeten krijgen.
FTM zou best een vergoeding van de overheid mogen krijgen voor dit puike stukje werk.

[Reactie gewijzigd door Zynth op 11 november 2020 13:38]

Dat is echt wel een nadeel van 'nieuwe' media vs. 'oude' media. Onderzoeksjournalistiek is schreeuwend duur en heeft niet een heel duidelijk rendement,

Dit is eerder een probleem, dat de politiek, de kamer leden niet voldoende budget geeft, om dit soort onderzoeken uit te laten voeren.

De 2de kamer dient de regering te controleren, maar moeilijk zelf onderzoek doen. Omdat er niet voldoende budget voor is.

Onderzoeksjournalistiek is schreeuwend duur en heeft niet een heel duidelijk rendement, anders dan dat het duidelijk maakt dat je een serieus medium bent dat een waarde voor de serieuze lezer vertegenwoordigd.

Mwa. Die bewering hoor ik nogal eens langskomen, maar toch lijkt bijvoorbeeld de Correspondent er wel in te slagen om langdurig behoorlijk brede onderzoeksjournalistiek te doen, de boel financieel gezond te houden, en dat alles zonder dat je tegen een paywall aanloopt bij een gedeeld artikel. Je betaalt feitelijk voor volledige toegang tot het archief en de nieuwsbrief, maar individuele artikelen zijn onbeperkt gratis deelbaar.

Wat mij betreft mogen andere media (zoals FTM) daar wel eens lering uit gaan trekken, want het maakt dit soort belangrijke journalistiek zoveel toegankelijker, en blijkbaar is het financieel gewoon prima mogelijk.

Ftm is met €9 niet heel duur. Mijn FD abo is veel prijziger.

Het valt op zich mee, maar irritante aan premium media deze dagen is dat als je bv vanwege persoonlijke omstandigheden een bewindvoerder hebt zonder dat je in de financiele problemen zit, je met geen mogelijkheid een abonnement te pakken krijgt op bv kranten. Als ze het opmerken dan kunnen ze opeens heel moeilijk gaan doen.

Kan ik me voorstellen. De (moderne) markt is niet zo goed in het rekening houden met maatwerk in abo's tot ergernis aan toe soms. Collega van me stond op een blacklist ala het bkr waar hij door identiteitsfraude op terecht was gekomen, daar moet je ook haar voor op je tanden hebben om doorheen te prikken. En dat heeft ook niet iedereen.

Tja, als je zo denkt over alle lidmaatschappen, dan wordt het uiteindelijk wel een grote berg natuurlijk, want die 9 euro per maand is toch niet zo heel duur?

Ik vind het in elk geval behoorlijk prijzig en weet niet of de 9 euro per maand of 90 euro per jaar gerechtvaardigd zijn voor het verbruik dat ik zou hebben. Voor die paar artikelen per jaar (zoals met dit nieuwsbericht) die voorbij komen, denk ik niet dat ik daar dergelijke bedragen voor over zou hebben.
Daarbij denk ik ook dat het maatschappelijk belang hier ook best zwaar in zou mogen wegen.

[Reactie gewijzigd door CH4OS op 11 november 2020 13:42]

9 euro per maand is schreeuwend duur.
Het is 1/3e van de telefoonrekening van iemand die alles onbeperkt met 4G wilt.

Sluit jij dan even voor elke site die interessant vind om te lezen dan meteen een abonnement af, als dat tientje toch maar een derde is van jouw telefoonabonnement?

Kom op, we weten allemaal dat het zo niet werkt, omdat je op zo'n manier uiteindelijk ook een berg abonnementen hebt met de daarbij behorende kosten. Elke keer 9 euro in de maand voor een abonnement aftikken loopt sneller in de papieren dan je denkt.

Zoals ik al zei: 9 euro per maand is schreeuwend duur voor een online abbonnement!

[Reactie gewijzigd door vliegendekat op 11 november 2020 15:21]

Dat is het in mijn optiek wel als je sporadisch / een keer 1 of 2 artikelen leest. natuurlijk kun je dan per maand opzeggen, maar om dan elke keer een abonnement af te sluiten (en dan dus 9 euro per artikel betaalt) terwijl je het verder niet gebruikt, vind ik ook weer zoiets, inderdaad.

Maar als het voor jou niets of weinig is, mag je ook best maandelijks mijn bankrekening ermee spekken hoor.

[Reactie gewijzigd door CH4OS op 11 november 2020 15:24]

Heeft u door dat u hetzelfde zegt en dat ik het dus geen "peanuts" vind?

Ik vind het daadwerkelijk schreeuwend duur voor een website.

Ah, ik dacht dat je sarcastisch was.

Nope.

Ter vergelijking: De playboy kost, in zijn duurste vorm, 95,88 per jaar en dat is dus 7,99 per maand.

Ze zijn gek geworden bij FTM.

Ben je abonnee geweest bij FTM?

Ik ben lid geworden sinds het hele verhaal van Henry Keizer en de Facultatieve en het is mij die 9 euro meer dan waard. In tegenstelling tot veel andere ‘nieuwsmedia’ brengen zij toch met enige regelmaat zaken aan het licht waar anderen gewoon het doorzettingsvermogen niet voor hebben (Keizer, dumpen van ‘bagger’, Shell).

Zelfs met het verhaal van Keizer zitten ze nog als een stel schapen in een persconferentie ruimte te gapen van verveling.

Ik heb het voorrecht gehad om een login van iemand anders toegespeeld te krijgen en een maandje mee te lezen.

Het is leuk voor journalisten, maar niet voor mij.

Ik denk dat je die 9 euro deels ook filantropisch moet verantwoorden aan jezelf, omdat je dan meebetaalt aan het in stand houden van iets wat je belangrijk vind. Op die manier is het vergelijkbaar met een lidmaatschap van een goed doel.

Ik vind het ook zeker niet erg om te betalen voor content, maar een abonnement afsluiten op iets wat ik alleen zal gebruiken wanneer ik het ook interessant vind, is mij het geld niet waard. Ik zou dan graag ook een optie hebben om per artikel te betalen, dan wil ik daar best geld voor betalen.

Dat zouden ze inderdaad naast elkaar aan kunnen bieden.

Tja, het wel (maatschappelijk) belangrijk vinden, maar er niet voor willen betalen? Dat is een beetje hypocriet niet?

De financiering van partijen die cruciaal zijn voor een democratische samenleving op de schouders leggen van burgers die al 30-50% belasting en allerlei andere belangrijke zaken betalen aan de overheid en instanties als Waternet. Beetje boel fucked up, niet?

En dan nog het gore lef hebben om diezelfde burger dan de schuld geven en +1tjes te vangen.

Altijd verwachten dat de overheid en een ander het moeten oplossen voor je. Ik betaal belasting dus jullie moeten alles voor me regelen. Beetje f.cked up niet? Ik ben zelf ook zo'n burger die belasting betaalt en ondanks dat verwacht ik niet veel van de overheid, zeker niet dat ze een capabele partij zullen financieren die ze nog enigszins kan controleren nee. Maar laat het vooral over aan diezelfde overheid, sterkte met de slachtofferrol.

Altijd verwachten dat de overheid en een ander het moeten oplossen voor je. Ik betaal belasting dus jullie moeten alles voor me regelen.

Ik en honderdduizenden anderen betalen Waternet een paar 100 euro per jaar, dus ja, dan verwacht ik dat ze zichzelf laten auditeren en transparant zijn. Dan ligt de verantwoordelijk toch niet bij mij om ook nog allerlei instanties en journalisten te financieren om dit op te volgen?

Als dat zo zou werken zou ik inderdaad zo mijn abo op kunnen zeggen bij FTM. Maar ik heb daar, helaas, geen vertrouwen in. En dat is ook de reden dat ik nog betaal voor een stukje journalistiek. Ik verwacht ook niet dat iedereen dat doet, maar ben wel van mening dat we dat soms teveel verwachten.

Om niet al te veel in herhaling te vallen; CH4OS in 'nieuws: Inspectie start onderzoek naar Waternet na verzwijgen van n...

Ja want waarom zou je, goed onderbouwd, aangeven waarom je financieel moeite hebt met het ondersteunen van een eventueel maatschappelijk belang.

Iemand moet best aan kunnen geven dat een dienst relatief duur is voor iemands gebruiksprofiel. Mogelijk is dat een indicatie om een goedkoper abbo aan te bieden met beperkingen.

Maar de discussie met stomme opmerkingen dood proberen te drukken is voor niemand goed.

Ach, die paywall is wel heel makkelijk te omzeilen als je iets van HTML en CSS kent

Ik begrijp wel niet goed waarom je een penetratietest laat uitvoeren en er dan achteraf niets mee doet

omdat je een risk assesment doet en die bestaat uit

Risk - wat is het risico
Chance - hoe vaak kan het voor komen
Cost - wat kost de reparatie in hardware, software, man uur etc.

Lage kans met hoge cost en hoge risk profiel kan men nogsteeds besluiten om het niet te doen omdat kosten neit opwegen tegen de kans dat het gebeurd,

Zelfde verhaal als waar jij kosten vs verzekering vs kans bepaald wat je wel en niet verzekerd

[Reactie gewijzigd door Scriptkid op 11 november 2020 13:29]

Ik zie een penetratietest als een verdieping van een risk assessment. Kwetsbaarheden worden geïdentificeerd, maar je exploiteert ze ook om dieper te geraken en mogelijke andere kwetsbaarheden te vinden. Een risk assessment blijft vaak meer aan de oppervlakte, waardoor beiden nodig zijn om een goed beeld van je security posture te geven.

Daarnaast zorgt het rapport van een penetratietest juist voor een onderzoek: wat is er nodig om de kwetsbaarheid te dichten (een rapport schrijft vaak alleen hoe)? Dat vereist dus aanvullend onderzoek, wat ook extra geld met zich meebrengt.

Ik zie vaak in de praktijk dat een penetratietest wordt uitgevoerd om aan een norm te voldoen. Verder niets. Dat zou hier ook het geval kunnen zijn, gezien zij ook moeten rapporteren aan enkele overheidsorganen en ik vaak genoeg merkte dat daar alleen maar compliance managers op zitten i.p.v. mensen met een security mindset.

pentest legt iets bloot, daarna moet je bekijken wat is de risk cost en change dat die vulerability word exploit en wat je moet doen om het te mitigaten.

Tot op zekere hoogte klopt dat. Ik zit aan beide kanten: ik voer penetratietests uit en ben als CISO in het verleden verantwoordelijk geweest voor het geven van opdrachten om de testen uit te voeren. Risk assessments zijn toch wel van een compleet andere aard.

dat komt omdat je nu vanuit je vak terminologie er naar gaat kijken en dan kom je op een andere bepaling van het woord uit.

Enkele mogelijheden:
-De pentest is meegenomen in de budgetten voor '20, maar (afdoende) budget om het geheel recht te trekken niet. Je kunt niet halverwege een jaar budget tevoorschijn toveren. Mogelijk staat de oplossing voor '21 wel al in de boeken.
-De pentest is door iemand aangevraagd die vervolgens niet genoeg slagkracht heeft binnen de organisatie om de noodzaak van het oplossen op de prioriteitenkalender te krijgen
-Er zijn prioriteiten die nóg hoger liggen bij de instantie (denk aan lood in leidingen vervangen bijvoorbeeld)
-De organisatie heeft bedacht dat de doofpot een prima manier is van security through obscurity

[Reactie gewijzigd door pagani op 11 november 2020 13:32]

Ik snap dat het zo vaak werkt in bedrijven en organisaties maar in principe is dat hele budgetteren op basis van boekjaren een onnodige en zinloze exercitie.

Of het nu op 31-12 of 1-1 gebeurt het kost het zelfde en maakt voor de financiele gezondheid van het bedrijf niets uit.

Deels mee eens, maar net als jij thuis waarschijnlijk doet is budgetteren best een praktisch idee. Het zou misschien logischer zijn om zaken niet op de dag in te budgetteren (dus bijvoorbeeld op basis van prioriteit enkel een volgordelijkheid aan te geven), maar dan zul je waarschijnlijk nog veel meer verschuivingen in planningen gaan zien, scope creep en budgetoverschrijdingen. Tijd bindt nu eenmaal in 90% van de gevallen je ook aan maximale kosten (immers, tijd is geld)

Ook spelen er bijvoorbeeld bij mijn bedrijf belangen waar ik geen invloed op heb maar die wel bindend zijn qua planningen en budgetten, en dat zo'n drie jaar vooruit. Denk aan grote contracten met klanten, te bouwen fabrieken, afspraken met leveranciers, wijzigingen in wet- en regelgeving etc. In ons geval zitten daar soms boetebedingen op van tientallen miljoenen euro's of, bij niet voldoen aan wettelijke eisen, sluiting van vestigingen. Daarnaast, ook al zou ik dan in dit voorbeeld een negatieve pentest krijgen op een van de systemen, dan is uberhaupt de vraag of er de resources (mensen met de juiste kennis) zijn in een korte periode (in het artikel slechts een half jaar) om het dan al op te gaan lossen.

[Reactie gewijzigd door pagani op 11 november 2020 14:51]

Ik snap je punt en budgetteren is handig maar het schiet zijn doel voorbij.
Zeker als je ziet hoeveel stress, werk, inflexibiliteit en verspilling het oplevert.
Ik werk voor een zorgstichting en elke oktober is het weer stress om gesloten budgetten op te leveren. De afdeling vastgoed daarentegen moet elk jaar miljoenen budgetteren voor calamiteiten onderhoud die niet gebruikt gaan worden. Deze reservering drukt echter wel (deels) op de zorgbudgetten.

In december daarentegen is het sinterklaas want het budget moet op. Het is immers niet zeker of er voor volgend jaar genoeg gebudgetteerd is om de aankoop te kunnen doen. Gevolg is dat goedwerkende apparatuur maar vervangen wordt omdat vervanging niet in het budget van volgend jaar zit. Op vastgoed daarentegen worden miljoenen overgehouden want er is geen calamiteit geweest.

Wordt het januari dan gaan alle begrotingen weer de deur uit want er klopt niets meer van en de waarde is tot bijna 0 gedaald.

En dit circus ieder jaar weer.

Thuis doe ik het overigens zelden want ik ben in de positie om mij er niet druk om te maken. Uit interesse doe ik wel vaak een evaluatie per jaar om te zien waar het allemaal heen is gegaan. Dat is dan ook veel zinniger. Meer bedrijven zouden aan rolling forecasts in combi met cashflow predictions moeten doen ipv dat rigide budgetteren per boekjaar. Veel zinvoller.

Wat je noemt is niet volgens de huisregels. Maar je noemt wel een belangrijk punt op: wat is beveiliging.

Net zoals een krant er voor kan kiezen om te weten of hun paywall wel voldoende veilig is en daar verder niets mee te doen kan een bedrijf dat ook. Het verschil zit hem er in dat bepaalde bedrijven er ook wetgeving bij hebben om aan beveiliging te doen. Alleen geeft de wet dan weer niet aan wat dan voldoende beveiligen is. Dat iemand een pentest doet en een mening heeft wil nog niet zeggen dat daarbij alle andere belangen maar vergeten kunnen worden en de conclusies van de pentest past bij de omgeving. Een pentest doe je meestal om daarna een beslissing te kunnen nemen. Een beslissing nemen die anders is dan je zou verwachten is dus niet hetzelfde als niets met een pentest doen.

Die methode gaat denk ik niet meer lang werken. Op sommige website is de paywall inderdaad wat html & css, maar valt makkelijk te beveiligen door het artikel gewoon niet op te halen, en je eerst te laten inloggen.
Verbaasd mij eigenlijk dat dat nog steeds niet zo is.

Dat kan niet altijd als je wel wilt dat de content achter de paywall door Google gezien (en geindexeerd) wordt.

Alleen dan weer wel jammer dat hun artikelen achter een paywall zitten.

Die paywall zorgt ervoor dat men gedegen journalistiek kan blijven uitoefenen.
Deze omzeilen, zoals hieronder wordt gesuggereerd, vind ik ronduit asociaal en kan op termijn voor de ondergang van deze spaarzame, journalistieke pareltjes betekenen.

Toch ben ik altijd wel blij met websites zoals Follow the Money, die gewoon zorgt dat alles weer op scherp staat en misstanden (zoals deze) aan de kaak stelt. Zou zoiets er niet zijn, wordt denk ik echt een hoop in de doofpot gestopt.

EDIT:
Alleen dan weer wel jammer dat hun artikelen achter een paywall zitten.

Ja! En die mensen moeten dat allemaal voor niets doen?

Sorry, wel wat krom om te zeggen dat je blij bent met FtM (of zoals FtM) en dan stellen dat het zo jammer is dat je ervoor moet betalen. Gebruik je invloed als (kritische) burger of consument en steun dan dit soort partijen.

Noot: ja advertenties kan ook, maar los van de adblockers/privacy/secutity risks is een bewuste of onbewuste keuze om niet afhankelijk te moeten zijn van het aantal clicks (en clickbait...) ook goed voor de onafhankelijkheid en condities om ook wat langer onderzoek te doen ipv elke dag artikelen produceren.

[Reactie gewijzigd door Flo op 11 november 2020 14:05]

Jammer dat je dat dan weer gratis wilt lezen?

Bij berichten wanneer het (maatschappelijk) belang best groot kan zijn (zoals bijvoorbeeld een provincie), zou ik dat zeker niet gek vinden, inderdaad. Moet er niet aan denken dat bijvoorbeeld malware zich vrij gemakkelijk kon huisvesten in Waternet, met alle mogelijke gevolgen tot het drinkwater als gevolg, om even een extreem voorbeeld te noemen. Kan het nu niet echt lezen of dat zo is, omdat het achter een paywall zit.

[Reactie gewijzigd door CH4OS op 11 november 2020 13:24]

Dan betaal je er toch voor? Zoals @Anoniem: 162126 al zegt, raar dat je eerst aangeeft dat je blij met hun diensten bent, maar vervolgens direct zegt dat je er niks voor wilt betalen.

Ik vind dat wat zij doen (zorgen dat een ander scherp blijft) belangrijk is, omdat zaken anders in de doofpot verdwijnen. Maar dat betekend niet direct dat het commercieel dan ook uitgemolken moet worden. Zeker als je je bedenkt dat er (in dit geval) best een groot maatschappelijk belang erbij is. Als het belang minder groot zou zijn, zou ik een paywall niet erg vinden.

Waarom is dit commercieel uitmelken? Journalistiek is een baan. Net als arts of verpleegkundige, buschauffeur of IT-er bij Waternet. Allemaal maatschappelijk nuttige banen.

Moeten we dan stoppen met het betalen van journalisten, artsen, verpleegkundigen, buschauffeurs of IT-ers bij Waternet omdat ze maatschappelijk belangrijk werk verrichten? En hoe betalen al die mensen dan hun eten en huisvesting?

Mijn punt is, dat ik geen zin heb om een abonnement af te sluiten om 1 a 2 artikelen te kunnen lezen, iets met kosten en baten als consument zijnde. Zoals Arjan P in 'nieuws: Inspectie start onderzoek naar Waternet na verzwijgen van... al noemt, zou het denk ik zeker wel veel toegevoegde waarde hebben als ze de mogelijkheid zouden bieden om artikelen los aan te kunnen schaffen en klanten dus niet gelijk een abonnement hoeven af te sluiten.

[Reactie gewijzigd door CH4OS op 11 november 2020 14:42]

Dat kan natuurlijk. Ik zeg ook niet dat jij perse een abonnement op FtM moét afsluiten. Je moet dan alleen accepteren dat het die enkele keer dat een onthulling voor jou interessant is je even moet wachten tot hij door andere media wordt opgepikt. Zoals in dit geval door Tweakers.

Artikelen los kopen zou kunnen maar ik vermoed dat dat een lastig verdienmodel is. Je weet dan namelijk nooit van tevoren hoeveel je die maand binnen zult krijgen terwijl je uitgaven wel consistent zijn. Dat zou je kunnen ondervangen door losse artikelen weer relatief duur te maken (80% van de prijs van een maandabonnement?) maar je maakt je inkomstenmodel daarmee wel erg complex.

Artikelen los kopen zou kunnen maar ik vermoed dat dat een lastig verdienmodel is. Je weet dan namelijk nooit van tevoren hoeveel je die maand binnen zult krijgen terwijl je uitgaven wel consistent zijn. Dat zou je kunnen ondervangen door losse artikelen weer relatief duur te maken (80% van de prijs van een maandabonnement?) maar je maakt je inkomstenmodel daarmee wel erg complex.

Door artikelen zoals deze van Tweakers, ben ik wel nieuwsgierig en zou dan graag direct van de bron lezen. Om dan vervolgens direct een maandabonnement af te moeten sluiten, voor een paar artikelen per jaar, is dan voor mij, als geïnteresseerde consument, niet handig en zou dan graag een artikel los kopen. Ik zie niet waarom dat niet naast het huidige abonnementen model zou passen; het levert FtM in dit geval meer inkomsten op (naast de abonnees zijn er dus ook genoeg mensen die interesse hebben, maar misschien geen abonnement hebben of willen) dan wanneer de optie er helemaal niet is, zoals nu.

[Reactie gewijzigd door CH4OS op 11 november 2020 15:11]

Dus minder belangrijke dingen moeten uitgemolken worden en bakken met geld verdienen maar belangrijke dingen moeten gratis?

Een biologie onderzoeker zei het recentelijk nog "You give the footballer €1 million euros a month & a biological researcher €1,800 per month, and you are now looking for a Coronavirus treatment. Go to Cristiano Ronaldo or Messi & they will get you a cure,’”

Als je dit al commercieel uitmelken vindt... Ze zijn nogal transparant over waar het geld heen gaat: https://www.ftm.nl/inkomsten-en-uitgaven-2019

Ik heb een lidmaatschap op FTM, en lees heel wat meer dan die 2 artikelen. Het is één van de weinige media die ik echt goed werk vind leveren en zie die 90 euro per jaar dan ook als donatie aan een goed doel.

Dat niet iedereen is zoals ik, is niets mis mee. Ik wil alleen aangeven, dat voor het gebruik dat ik heb, een abo nemen niet interessant is en in dat opzicht vind ik een paywall (met een missende andere optie om losse artikelen te kopen) wel jammer, that's all. Ik wil verder niemand raar aankijken of veroordelen of zo.

Gebruik dan niet de term 'commercieel uitmelken', want daarmee zet je het zelf hier allemaal op scherp. Dat zijn gewoon bewoordingen die kant noch wal raken.

Tja, aan de andere kant geldt dan natuurlijk wel hetzelfde; waarom er dan wel zoveel aanstoot aan nemen?

Wat is er inderdaad 'commercieel uitmelken' aan? Voor niets gaat de zon op en krijgen we regen. Andere zaken kosten geld. Er zal gewoon geld binnen moeten komen om dat onderzoek te kunnen doen. Simpeler kan het niet

Oh ja... want als het maatschappelijk belang groot is, is gedegen onderzoek ineens gratis?
Wanneer FTM een publicatie doet met daadwerkelijk maatschappelijk belang, worden de conclusies echt wel overgenomen door andere media.

Als het in dat belang is, kan de provincie het artikel toch kopen en zonder paywall publiceren.

En hoe wordt onderzoeksjournalistiek dan betaalt? Moeten we dan als belastingbetalers onderzoeksjournalisten gaan betalen als ze zaken in het maatschappelijk belang onthullen? Misschien de nationale ombudsman een zak geld geven waarmee ze journalisten kunnen belonen voor onthullingen?

Je zit nou eenmaal met het probleem dat goede onderzoeksjournalistiek schreeuwend duur is. In tegenstelling tot van die flauwekul nieuwssites waar het personeel tien items per dag er uit moet persen mag je in de onderzoeksjournalistiek al blij zijn met één artikel per maand. En dat kost dus veel geld.

[Reactie gewijzigd door Maurits van Baerle op 11 november 2020 13:39]

Zie CH4OS in 'nieuws: Inspectie start onderzoek naar Waternet na verzwijgen van n.... Ik blijf mezelf liever niet herhalen.

Dus gewoon de journalisten er van kunnen betalen heet anno 2020 al "uitmelken"? Interessant... En als ze alleen de niet-interessante onderzoeksjournalistiek achter een paywall zou gooien heeft het natuurlijk compleet geen zin.

Zo zwart-wit breng ik het dan weer niet, maar als jij denkt dat dat het is, prima joh.

Iedere dag hun website F5en en dan kan je het zo lezen :-)

Want? Dan verdwijnt de paywall? Of heb je ineens betaald?

De artikelen van FTM zijn op de dag van uitgave gratis.

Betaal ze dan? Hoe moeten die clubs anders blijven bestaan?

Ik vind een maandabonnement a 9 euro of duurder, voor 1 artikel anders wat veel. Begrijp me niet verkeerd, ik wil best betalen voor content, maar niet een maandabonnement afsluiten om 1 of 2 artikelen te kunnen lezen. Arjan P in 'nieuws: Inspectie start onderzoek naar Waternet na verzwijgen van... geeft een mooie optie. Zou fijn zijn als FtM dat ook zou hebben, dan zou ik ze zeker sponsoren!

Ze zitten niet voor niks achter een paywall. Ze kunnen dit soort onderzoek alleen doen als hun medewerkers worden betaald. Voor niets gaat de zon op. Dus als je er blij mee bent, voeg dan de daad bij het woord en word lid van FTM.

Offtopic: Ik las 10x Follow the Monkey.

Alleen dan weer wel jammer dat hun artikelen achter een paywall zitten.

Dat op zich vind ik geen enkel probleem en ik vind 'achter een paywall' wat tendentieus geframed.

Wat wel heel fijn zou zijn is als je een enkel artikel los kon kopen. Doen andere sites ook heel succesvol. Sound On Sound bijvoorbeeld: Van elk artikel kun je de eerste alinea('s) lezen en daarna besluiten alleen dat artikel te kopen als pdf - of een abbonnement op de site nemen. Zoiets zou FtM veel op kunnen leveren, want voor eén artikel 9 euro neertellen vind ik wat veel.

Podcast op Spotify is redelijk per week gevuld, leuk bij het wandelen met de hond.

Het moet je toch wat waard zijn dat ze dit werk doen.

Artikelen zijn op de dag van publicatie gratis geloof ik

Even over deze waternet (watergate?) affaire: Helemaal onderaan dit bericht staat dat het doen van een penetratie test niet gemeld hoeft te worden. Daar kan ik het mee eens zijn.

Maar als op 1 of andere manier bekend is dat er gaten in de beveiliging zitten, dan moet het wel gemeld worden.

Daarmee zeg ik dat het nu negative resultaat van de penetratie test dus duidelijk wel gemeld moet worden: Het is immers bij het bekend worden van de resultaten van de penetratie test dat bekend wordt dat er gaten in de beveiliging zitten.

Of heb ik hier ergens een denk fout gemaakt??

Waternet is niet verplicht om kwetsbaarheden in de beveiliging te melden, de meldplicht is alleen als er zich een ernstig informatie beveiliging incident heeft voorgedaan. Het hebben van een pentest rapport is geen incident maar juist een pro-actief middel om je beveiliging te toetsen en te verbeteren.

Op grond van de Wbni hebben vitale aanbieders en aanbieders van essentiële diensten (AED’s) in geval van ernstige incidenten een meldplicht bij het NCSC.

Je hebt geen denk fout gemaakt, wel is het melden van dit soort zaken een ethisch vraagstuk voor het bedrijf waarin het nut van het melden zeker meespeeld.

Er is door waternet aangegeven toen de ILT op bezoek kwam dat het inmiddels opgeloste problemen waren, de pentest kan daarna in januari uitgevoerd zijn om te kijken hoe de stand van beveiliging toen was, deze wees dus uit dat het nog steeds niet op orde was. Als ze er dus al mee bezig zijn/waren met het oplossen van de problemen is het niet perse een noodzaak om een pentest ook nog eens te gaan melden, aangezien het geen gevaar vormt voor de levering van drinkwater.

Aan de andere kant kan het natuurlijk zijn dat het bepaalde dingen geheim wil houden, maar om dat soort conclusies te trekken is er te weinig informatie beschikbaar.

Wat je zegt is dat een bedrijf een plicht heeft. Maar een plicht is er niet zomaar, dat moet blijken uit de wet. En die wet verplicht niet dat alle (mogelijke) gaten in beveiliging gemeld moet worden. Het gaat ook om de omstandigheden. En dat is waar hier verschil van mening over lijkt zonder dat iemand heel duidelijk maakt dat er geen probleem is of dat er wel een probleem is dat groot genoeg is.

Ik weet niet of jij ooit wel eens een pentest hebt uitgevoerd of laten uitvoeren maar daar komen niet alleen resultaten uit dat er niets aan de hand is of juist alles heel erg mis. Daarbij worden die testen niet altijd uitgevoerd met voldoende kennis over de omgeving terwijl dat wel belangrijk is om rekening mee te houden. Als je dan al die uitkomsten die daar tussen in zitten ook nog eens bekend moet maken dan kost dat hoe dan ook extra tijd en geld. En dat is meestal geld van belastingbetalers die kennelijk liever heeft dat er vooral aandacht is voor de meest belangrijke problemen (de wet dat niet alles gemeld moet worden bestaat namelijk doordat we die met zijn allen democratisch gekozen hebben)

Wat jij verwacht is iets wat de wet niet vraagt. Niet alles hoeft gemeld te worden. Maar ondertussen moet het natuurlijk ook niet achtergehouden worden als een inspectie er weet van wil hebben. Want daarover staat waarschijnlijk wel iets in de wet.

Met een plicht heb je natuurlijk de wettelijke plicht, maar ook de morele plicht. Gezien dit bericht en de reacties en zo, zit daar een wereld van verschil in, met name in de verwachtingen die iedereen daar aan heeft.

Over het melden, als er op 1 of andere manier al een plicht zou zijn, dan is er ook nog de termijn en de manier van melden en van-wie naar-wie en zo.

De wetgeving in Nederland wordt helaas steeds letterlijker aangehaald en veel minder naar de geest van de wet en regelgeving. Dat zit ook in de aard van het beestje: Wij Nederlanders zijn er nogal van de regels redelijk precies af te stellen op hoe we het willen hebben.

De huidige samenleving is steeds meer bezig openheid van zaken te geven. Dat is ook de wens van het publiek. Als daar dan een keertje wat gemist wordt wat we graag hadden willen weten wordt nogal eens naar de regels gegrepen.

Om kort te gaan: Het hat waternet gesierd als ze ergens afgelopen voorjaar een bericht had uitgestuurd dat ze een negatief resultaat van een penetratie-test met succes hebben opgelost. Dan hadden ze goed nieuws gescoord.

De achtergrond en bedoeling van wetgeving krijgt altijd uitleg, die rekende ik bij mijn vorige antwoord mee. De geest bij de wet is juist niet dat er overal maar openheid over moet zijn of alles gemeld moet worden. Omdat het niet perse bijdraagt aan waarom er beveiliging nodig is. Dus als de morele plicht die jij verwacht zelfs niet in een heel recente wet staat dan heb je het kennelijk niet over iets wat in de buurt komt van wat de wetgever en democratie voor ogen had maar meer iets wat je zelf wil.

Een kenmerk van een morele plicht lijkt me eerder dat je niet alleen rekening probeert te houden met de belangen die je zelf voor ogen hebt (openheid of beveiliging bijvoorbeeld) maar ook met de belangen waarom er ict, beveiliging of boekhouding is : leveren van diensten waarvoor je bent opgericht en het niet verkwisten van (belasting)geld. Dat lees is niet terug. Goede sier maken is niet voor niets meestal geen belangrijkste doel. Het is waarschijnlijk al moeilijk genoeg om duidelijk te maken waarom je een keuze maakt als iedereen daar vervolgens een mening over heeft. Dus laat eerst maar eens blijken wat hier echt aan de hand was in plaats van vooraf al te beweren dat het een plicht is om alles wat volgens de een wel en de ander niet een beveiligingsprobleem is bekend te maken.

De samenvatting:

Geen port security 802.1x.
Geen ACL's op de client stacks want iedereen moet overal bij kunnen.
Geen Multifactor authentication op de servers
Software firewalls open
Netbios over tcp/ip open
SMBv1 actief, want oude meuk.
llmnr issue open, is te fixxen maar dan moeten er geen oude systemen meer draaien.
Updates? Welke updates.

Slordig voor een partij van dit formaat, echter is dit bij heel veel bedrijven zo, zodra je binnen bent is het bingo. Iedereen leunt op edge security en vergeet de boel binnen ook goed dicht te timmeren.

edit, typo

[Reactie gewijzigd door themadone op 11 november 2020 15:19]

Zo lek als een zeef dus. Het zal wel uitdraaien op kleine lettertjes uit de sla met de dienstverlener.

Klinkt trouwens net alsof ze udp, smtp, pop en imap onder controle hebben..

[Reactie gewijzigd door Bulkzooi op 11 november 2020 18:26]

Ik ben blij dat hier gelukkig geen enkele hacker meeleest.

Roelof Kruize, zoveelste oude man aan de top die digitale veiligheid niet zo belangrijk vind

Dat is helemaal niet te zeggen op basis van dit artikel, er zijn in het bedrijf zeker hogere prioriteiten dan dit. Er is ook niet bekent ik welke tak van het bedrijf de lek zit en wat voor impact die heeft. Elke lek is er 1 teveel, maar het systeem dat compleet lek vrij is moet nog uitgevonden worden. Dus je reactie is een beetje overhaast en overbodig

Waarop baseer je dat dan? Dat er mensen zijn met verschillende meningen over welke risico's acceptabel zijn wil nog niet zeggen dat ze digitale veiligheid niet zo belangrijk vinden. En het artikel is helaas niet heel duidelijk wat er werkelijk zo erg aan is dat hier keuzes zijn gemaakt waar niet iedereen het mee eens is. Dat valt moeilijk op te maken als je de systemen en risico's niet kent.

De inspectie zal niet zomaar een onderzoek starten terwijl ze denken dat het allemaal wel voldoende belangrijk is genomen, maar dat wil nog niet zeggen dat bijvoorbeeld de meningen in de krant dus het enige is wat telt of dat ze zelfs maar gelijk hebben.

[Reactie gewijzigd door kodak op 11 november 2020 15:55]

Je hoeft helemaal niet oud of man te zijn om de digitale veiligheid niet zo belangrijk te vinden.

Een lek bij een waterbedrijf

Toch mooi om te zien dat er nog wel een heel klein groepje echte pers mensen zijn die hun vak verstaan en de overheid en semi overheid controleren. Van de grote media bedrijven hoef je het niet te hebben die zijn te druk bezig met advertenties verkopen en te bang dat de overheid ze misschien wel stom zal vinden om hier hun eigenlijke taak nog te vervullen.

Misschien een leuk idee voor Follow the Money om eens in kaart te brengen hoe veel erg gelobbyd wordt en welke politieke partijen zich "het best laten informeren" tijdens dure etentjes, leuke uitjes en andere geheel normale en helemaal niets met corruptie te maken hebbende activiteiten.