AIVD wil ruimere wet voor digitale tegenaanvallen

De Algemene Inlichtingen- en Veiligheidsdienst wil dat de dienst makkelijker terug kan slaan bij cyberaanvallen op Nederlandse instellingen. Bij een directe bedreiging waarbij ook schade ontstaat, wil de dienst servers onschadelijk kunnen maken.

AIVD-topman Erik Akerboom zegt tegen EenVandaag dat de inlichtingendienst hoopt op een nieuwe wet die zulke offensieve acties mogelijk maakt. "Naarmate aanvallen serieuzer worden en de schade groter wordt, moet je stevigere maatregelen kunnen nemen", stelt de nieuwe topman van de dienst. Hij noemt dat 'tegenacties', en geeft als voorbeeld om een server offline te halen van waaruit een aanval wordt uitgevoerd.

Momenteel mag de AIVD onder de Wet op de inlichtingen- en veiligheidsdiensten onder omstandigheden zulke tegenacties ondernemen, bijvoorbeeld als de server in Nederland staat. Akerboom zegt dat de dienst daar 'terughoudend mee is'. Dat komt omdat er vaak behoefte is om snel te reageren, maar omdat bijvoorbeeld de minister vooraf toestemming moet geven voor een operatie lukt dat niet altijd. Akerboom ziet daarom het liefst dat er een 'ruimere wet' komt. "Het is voor ons van belang dat de wet ruimte geeft om snel te kunnen opereren en meer te kunnen." Als servers in het buitenland staan, is het helemaal moeilijk om tegenacties uit te voeren.

Het is niet altijd nodig een systeem stuk te maken, zegt Akerboom: "Soms is het belangrijk om gewoon een boodschap af te geven." Hij wil dat 'per geval bekijken'. De topman wil ook vaker samenwerken met de Militaire Inlichtingen- en Veiligheidsdienst. De voornaamste dreiging komt volgens Akerboom van landen die aan spionage doen, bijvoorbeeld China voor economische spionage en Rusland voor politieke doeleinden. Ook waarschuwt Akerboom voor het feit dat zoveel Nederlandse belangrijke infrastructuur zoals de water- of elektriciteitsvoorziening digitaal zijn. "Dat maakt ons kwetsbaar", zegt hij. Dat is geen nieuwe constatering; diensten zoals de AIVD en de Nationaal Coördinator Terrorismebestrijding en Veiligheid roepen al jaren dat Nederland kans maakt op 'digitale ontwrichting'.

Akerboom zegt regelmatig met de politiek zijn wensen te bespreken. Hij doet geen directe oproep voor nieuwe bevoegdheden, maar de kans is aanwezig dat die er komen. De VVD pleitte in zijn verkiezingsprogramma al dat Defensie offensieve cybercapaciteiten zou moeten krijgen. Mogelijk kan ook de AIVD daar gebruik van maken.

Reacties (139)

[The Zep Man]

Het is niet altijd nodig een systeem stuk te maken, zegt Akerboom: "Soms is het belangrijk om gewoon een boodschap af te geven."

Graag de wetenschappelijke onderbouwing erachter. Belangrijk voor wie? Escaleer je zaken juist niet onnodig? Wat is de daadwerkelijke toegevoegde waarde?

De wens om aanvallen te stoppen begrijp ik, maar op deze manier kan misbruik gemaakt worden van de AIVD. Stel dat de AIVD een gecompromitteerde server van een andere overheid neerhaalt.

Er is een reden waarom er 'checks and balances' zijn. Als het correcte proces te lang duurt, dan is het tijd om het correcte proces efficiënter te maken en niet om eromheen te werken.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 22:32]

[Power2All]

Als een datacenter de meldingen negeren, en niks doen aan de regen aan data, denk dat dat meer het idee erachter is. Als het duidelijk is dat een datacenter willens wetens de melding van een aanval opzij legt, kan deze een tegen-reactie verwachten.
Vaak zitten er ook datacenters achter die specifiek voor DDoS doel-eindes gebruikt worden, en de eigenaren dit ook weten (kuch, Ecatel, kuch), en hier weinig tot niks aan doen, behalve het probleem verplaatsen.

[Reactie gewijzigd door Power2All op 23 juli 2024 22:32]

[The Zep Man]

Als een datacenter de meldingen negeren, en niks doen aan de regen aan data, denk dat dat meer het idee erachter is. Als het duidelijk is dat een datacenter willens wetens de melding van een aanval opzij legt, kan deze een tegen-reactie verwachten.
Vaak zitten er ook datacenters achter die specifiek voor DDoS doel-eindes gebruikt worden, en de eigenaren dit ook weten (kuch, Ecatel, kuch).

Als rechters kunnen verbieden dat zaken zoals The Pirate Bay geblokkeerd worden, dan kan men ook bepaalde datacenters en andere diensten toegang tot het Nederlandse deel van het internet ontzeggen.

Verder gaat de AIVD niet een heel datacentrum/DDoS dienst neerhalen, dus dit is een beetje een scheve vergelijking.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 22:32]

[sebastiaan1997]

Dit is makkelijk gezegd dan gedaan, door de opzet van het internet is het heel lastig om dit te implementeren.

[Mr_Dirk]

Dus kunnen ze dan niets doen. Beetje hetzelfde als een basisschool bombarderen omdat er 1 leeraar extremistisch is.

Een offensieve aanval moet altijd proportioneel en doelgericht zijn. Anders moet er gekeken worden naar andere middelen.

[MennoE]

Eh niet helemaal hetzelfde als een basisschool bombarderen. Niet vervelend bedoeld, maar ik zie zo vaak op Tweakers dat argumenten worden onderbouwd met kromme vergelijkingen.

[Chrotenise]

Oh, want alle mensen die gehost worden bij zo'n datacenter verdienen het offline gehaald te worden omdat één iemand via dat datacenter een DDoS aanval uitvoert?

Tuurlijk is er een verschil tussen een applicatie offline en iemand die dood is, maar in dit geval is het toch echt een gevalletje van de groep straffen voor gedrag van een individ en een prima vergelijking.

[Reactie gewijzigd door Chrotenise op 23 juli 2024 22:32]

[LaTiNo156]

Je straft niet zozeer de groep, maar de uitbater van de datacenter die niet ingrijpt?

Als hun hele datacenter eruit ligt zullen ze meer hun best doen om zich niet meer te laten misbruiken?

[ComputerGekkie]

En daarentegen ligt het er natuurlijk ook aan hoeveel van die meldingen naar dat datacenter gaan. Is er elke week wel iemand die een ddos aanval doet vanuit het datacenter en is het buitenproportioneel vaak bij dat datacenter vind ik het al veel “redelijker” om het hele datacenter uit te zetten.

[Chrotenise]

Nogmaals: als zo'n datacenter offline gaat, hebben alle klanten er last van en niet alleen de overtredende partij en het datacenter zelf.

Dit is NIET de oplossing.

Sterker nog: stel je voor dat die ook zo'n AIVD tegenhanger hebben die OOK mag terugslaan. Dan gaan vervolgens onze datacenters weer onderuit getrokken worden, want voor hun is onze actie weer een aanval.

[MennoE]

Je maakt ook de klassieke discussiefout dat, doordat ik aangeef dat jouw vergelijking niet goed is, je net doet alsof ik het onderwerp van de discussie zelf goedpraat. Ik zeg helemaal niet dat alle mensen klant bij het datacenter 'het verdienen' om offline gehaald te worden. Ik zeg alleen dat jouw vergelijking niet klopt.

[CivLord]

Nee, juist niet.
Je hoeft niet het hele datacenter offline te halen. Je kunt de server die de DDoS coördineert wipen.
Of nog beter, je kunt degene die denkt veilig thuis achter de knoppen te zitten een pop-up op zijn scherm geven dat je weet waar hij mee bezig is en dat dit zijn eerste en enige waarschuwing zal zijn.

[MennoE]

Nou om eerlijk te zijn vind ik het dus geen goede vergelijking. In beide situaties straf je de groep, dat klopt. Maar een vergelijking maak je om beter inzicht te geven in de ernst van de situatie waarmee je vergelijkt. En zoals je zelf zegt, is een basisschool bombarderen wel wat erger dan een datacenter offline halen. Conform jouw theorie zou je de ergste vergelijkingen kunnen maken, en het zou allemaal 'gelijk' zijn met het offline halen van een datacenter.

[The Zep Man]

Vaak is wat nuttig is niet makkelijk. Anders had iemand het al gedaan.

[Verwijderd]

Dat riepen ze ook bij TPB, en die is gewoon weg. De vele proxy's die zijn opgesprongen zijn slappe hap of vergeven van malware.

[Nature]

Via vpn is Piratebay bereikbaar ook met een gratis dienst zoals in Opera zit.

[HashIT]

TPB is niet 'weg'. Een aantal grote ISP's in Nederland blokkeren het, maar bij kleinere ISP's of via een VPN kan je er prima bij. Volgens mij doen de betreffende ISP's dat met DNS 'spoofing' en/of aangepaste routering binnen het eigen netwerk.

Er is geen centraal punt of organisatie in Nederland die een bepaalde bestemming (of bron) uit de lucht kan halen. Als dat het geval was geweest, hadden we geen rechtszaken met ISP's gehad.

Er zijn wel landen die zo'n centraal punt of orgaan hebben: China, Rusland, Turkije...

[CivLord]

TPB is inderdaad nog prima te benaderen, wanneer je de weg weet.
Het is echter weinig zinvol meer om dat te doen. Het is nog geen schaduw van wat het geweest is.

[HashIT]

Als jij in die landen een 'ongewenste' server (wat dat ook mag betekenen) host, mag je blij zijn als ze het laten bij het vernietigen van de betreffende server. Grote kans dat ze je ook komen opzoeken en meenemen voor 'heropvoeding', gevangenis of een andere straf...

Het is volgens mij ook helemaal niet zo makkelijk om in dergelijk landen een server te plaatsen die niet naar een persoon traceerbaar is.

[janbaarda]

Je hebt mij totaal verkeerd begrepen. Met "ongewenste servers" wordt bedoeld: "volgens Akerboom ongewenste servers". Ter verduidelijking: servers van, mogelijk buitenlandse eigenaren, wil onze politie op afstand vernietigen. Dat kunnen dus servers in de EU, VS, VK, enz. zijn. Ik wist niet dat de EU of het VK ook aan "heropvoeding" deden. Be VS heeft o.a. Guantanamo Bay en valt daardoor wel onder "dergelijke landen".

Volgens jouw hebben China, Rusland, Turkije... een centraal punt waarvandaan server vernietigings-operaties plaatsvinden. Persoonlijk vind ik niet dat Nederland zich ook in dat rijtje moet nestelen.

[Reactie gewijzigd door janbaarda op 23 juli 2024 22:32]

[jurroen]

[...]
Als rechters kunnen verbieden dat zaken zoals The Pirate Bay geblokkeerd worden, dan kan men ook bepaalde datacenters en andere diensten toegang tot het Nederlandse deel van het internet ontzeggen.

Met de infrastructuur die er vandaag de dag ligt, heefr een aanvaller per definitie een voorsprong. Je kunt Nederlandse partijen verbieden te leveren aan een bepaald land, maar die grotere Nederlandse partijen hebben weer resellers waar een aanvaller naar toe kan uitwijken.

Het kan in mijn ogen geen kwaad om een maatschappelijke discussie te hebben of datacenters onbeperkte, onbegrenste bescherming genieten. Het voorbeeld wat @Power2All aanhaalt is daarin wel een interessante. Check bijvoorbeeld dit NRC artikel over Ecatel.

Als daar vervolgens verkeer vanaf komt die omze samenleving platlegt, willen we ons dan in een positie bevinden dat er niets op ondernomen kan worden?

[theBazz]

Er is genoeg ruimte om hier op te treden.

Het probleem is niet dat ze niet genoeg kunnen. Het probleem is dat ze niet snel genoeg toestemming krijgen (van een rechter of van de minister). Dan moet je niet de wet aanpakken zodat ze lekker kunnen doen waar ze zin in hebben zonder enige controle, dan moet je zorgen dat rechters en ministers sneller kunnen reageren.

Lekker makkelijk: Als het te lang duurt voordat ik een testbewijs heb voordat ik op vakantie ga, dan moet de wet dus aangepast worden zodat ik gewoon zonder testbewijs op vakantie mag?

[jurroen]

Voor de duidelijkheid: ik zeg niet dat we deze wet maar moeten doorvoeren. Noch wil ik dat impliceren.

Even een hypothetisch voorbeeld: stel een aanvaller pleegt een aantal op de kritieke Nederlandse infrastructuur. Als die aanval te stoppen zou zijn door een DDoS aanval af te vuren op de aanvallende machine, is dat iets wat we keihard willen verbieden? En als het antwoord daarop ja is, zijn we dan als maatschappij ook bereidwillig de consequenties daarvan te ondergaan?

Ik ben zelf een groot voorstander van privacy en respect voor onze rechten. Nee, ik vind niet dat de AIVD meer hackbevoegdheid moet krijgen met toetsing achteraf. Maar zijn er meer mogelijkheden om draaiboeken te hebben voor zulke scenario's en staan wij daar als maatschappij achter?

Ik heb daar persoonlijk geen antwoord op. Zoals al aangegeven: maatschappelijke discussie hierover

[janbaarda]

Een aanvaller heeft altijd een voorsprong, als in: wit begint en wint.

Wat willen we eigenlijk: focus op defensie of op aanval? Hebben we al nagedacht hoe de " vijand" gaat reageren? Bij een aanval vanuit Nederland kunnen ze de plek waarvandaan de aanval komt bombarderen.

Wat is het voordeel van dit soort escalatie. Zijn er geen andere wegen om een doel te bereiken?

[Reactie gewijzigd door janbaarda op 23 juli 2024 22:32]

[Gutser]

Jij hebt het over aanval. Het gaat echter over een tegenaanval. Omdaar een escalatie van 'ze kunnen gaan bombarderen' aan te koppelen lijkt mij ietwat extremistisch.

[janbaarda]

"Bombarderen" is een escalatie die wij niet willen. Toch zijn dit de termen waar onze vrienden binnen de NAVO in denken.
Dus bezint eer Gij begint.

[theBazz]

Precies dat!

Zo makkelijk om te zeggen dat als de controles die er met goede reden zijn naar hun mening te lang duren, dat er dan maar geen controle meer moet zijn.

Zou leuk zijn als elke ontwikkelaar die vind dat aanvraag van de bouwvergunning te lang duurt, voortaan maar direct mag gaan bouwen zonder vergunning.

[Pep7777]

Ergens is het net als op school vroeger, als je de pestkoppen niet afentoe een tik op de neus gaf (figuurlijk) dan werd het alleen maar erger. En tijd om een volwassene erbij te halen is er dan ook niet altijd.

Dus ik snap wat dat betreft de redenering wel, je moet soms snel kunnen reageren.
Belangrijk is dan wel dat er toetsing en verantwoording achteraf plaatsvind.

[bbob]

Je moet dit artikel heel anders lezen. Er is nu al een klein % waarde de avid zich niet aan de wet houd en zonder toestemming zaken doet. Jaar in jaar uit.
De toezichthouder kan er weinig aan doen.

Dus hoe kom je hier onder uit, de wet oprekken zodat je geen toestemming meer nodig hebt.
Het klinkt natuurlijk leuk maar in een democratie behoren ook diensten als de avid gecontroleerd te worden. Het is niet de bedoeling dat ze straks op eigen houtje zonder controle zaken gaan beslissen en uit gaan voeren.

[rickiii]

Ik ben het helemaal met je eens, maar er zijn ook situaties waar het bureaucratisch proces the langzaam is om praktisch resultaten te kunnen halen. Ik vind het best om er vanaf te wijken, maar dan dat er zwaardere straffen hangen aan misbruik. Bijvoorbeeld de eis dat binnen 1 uur na de start de minister geïnformeerd moet zijn en wanneer dat niet het geval blijkt of dat het onterecht was, de verantwoordelijken bij AIVD potentieel een strafblad krijgen.

[Reactie gewijzigd door rickiii op 23 juli 2024 22:32]

[bzzzt]

Potentieel betekent dus gewoon 'in de praktijk niet' en verantwoordelijkheid ontlopen lijkt daar wel een sport als je de rapporten mag geloven.
Een bureaucratisch proces gaat misschien langzamer, maar iets er snel doorheen rammen levert dan misschien wel 'resultaten' op maar ook niet altijd wat je wil (kuch toeslagenaffaire kuch).

Ik denk dat politieke 'checks and balances' over het potentieel ontketenen van een cyberoorlog met een vreemde mogendheid wel wenselijk zijn al zal dat de slagkracht beperken.

[rickiii]

Potentieel betekent dus gewoon 'in de praktijk niet

Ik snap je punt en ik bedoelde het ook niet dat er per situatie gekeken moet worden hoe ernstig het is. Maar dat de standaard straf potentieel een strafblad is. Strenger kan ook.... gevangenis straf. Het is in feit het ondermijnen van de rechtsgang, dus daar mogen strenge straffen op staan. Het is wel lastig om dat te bepalen, want een foutje zit ook in een klein hoekje. Als er wordt afgeweken van het proces is die verantwoordelijkheid dus hoog en gevolgen mogen dat dus ook zijn.

[bzzzt]

Heel leuk, streng straffen bij misbruik. Maar ondertussen wordt er alles aan gedaan om te voorkomen dat ooit iemand echt verantwoordelijk wordt gesteld. Er is ook helemaal geen politieke wil om werk te maken van overtredingen, zie bv.
https://www.bitsoffreedom...-dikke-vette-onvoldoende/

[bbob]

Als het proces te langzaam is zul je het proces moeten veranderen als daar noodzaak voor is.
Wat er nu gebeurt is alles omdraaien en dat kan nooit de bedoeling zijn.

[Flo]

Details en onderbouwing komen in zo’n klein nieuws stukje natuurlijk niet aan bod.

Defensie houd oefeningen dicht bij huis, op speciale plekken (koud noord Noorwegen), en op plekken vlakbij waar het wel eens echt mis zou kunnen gaan (Baltische Staten, of de Krim). Ik had altijd de indruk dat een oefening ook als afschrikking moet werken. Je laat immers zien - met vooraankondiging - wat je kan en eventueel bereidt bent te doen. Het lijkt me dat zo’n afschrikkende werking wel nut heeft. Of dat nu is om buitenlandse veiligheidsdiensten een klein inkijkje te geven (want as alles volledig ontransparant is kan een potentiële dreiging snel opgeblazen worden), of om gewoon te laten zien dat je er echt nog wel bent.

Zouden we in dit licht ook qua cyberdefensie niet af en toe moeten laten zien dat we er zijn en dat we wat kunnen? Bij voorkeur als oefening, maar als “de ander” het al in het echt doet misschien ook voorzichtig terug bijten?

Waar ik dan naar benieuwd ben is of de AIVD of MIVD op non-cyber gebieden ruimere bevoegdheden hebben of iigv sneller actie kunnen ondernemen. Pure speculatie, maar als er weer eens een Russische bommenwerper onaangekondigd en ongewenst door NAVO luchtruim vliegt denk ik dat ons kabinet en 2e kamer sneller en beter begrijpen wat er aan de hand is (bijvoorbeeld sarren, testen van snelheid tot er F16’s opstijgen, waar komen de F16’s vandaan, hoeveel zijn het er, wordt er ergens anders een setje manschappen geactiveerd wat later op satelliet beelden is te analyseren) dan dat als iemand de digitale beveiliging van een waterkering of TenneT aftast en uitprobeerd.

[Reactie gewijzigd door Flo op 23 juli 2024 22:32]

[Polydeukes]

Een deel van de oorzaak van de negatieve publieke opinie ligt in het feit dat onze veiligheidsdiensten niet kunnen en niet willen berichten over hun successen.

Dus stel (puur hypotethisch) dat ze dagelijks honderden aanvallen voorkomen en afweren, en dat bij 0,1% van deze aanvallen de diensten onterecht gebruik hebben gemaakt van hun macht en mogelijkheden. Dan is dat op het grote geheel wellicht een acceptabel percentage. Maar de enige zaken die in het nieuws komen, zijn de zaken waarbij het mis ging. Hierdoor krijg je -mogelijk- een vertekend beeld dat de diensten maar te pas en te onpas misbruik maken van hun mogelijkheden. Terwijl ze dat in 99,9% van de gevallen keurig binnen de kaders en regels toepassen.

Nogmaals, de percentages zijn pure speculatie, maar het feit dat ze hun successen niet in de openbaarheid brengen, helpt de publieke opinie nou niet bepaald.

[Ilmar]

Niet allen gebrek aan publieke successen, maar ook een verschuiving van operatiegebied heeft daar aan bijgedragen.

Klassiek had je (zoals de naam AIVD al is) inlichtingen- en veiligheids-diensten, die zich op respectievelijk spionage en contra-spionage richtten. Maar dus specifiek op (actoren van) andere staten en enkele 'staatsgevaarlijke' activistengroepen. De ruime bevoegdheden en rechtvaardiging van hun geheime werk kwam toen ook voort uit de gedachte dat het de 'gewone burger' niet aan gaat en wanneer dat wel zo is (arrestaties etc.) het overgedragen wordt aan de gewone politie / strafrechtketen.

Met name sinds de 'War on Terror' is daar het 'zoeken naar terroristen' bij gekomen. Maar die verschuilen zich veel dieper in de, steeds opener, samenleving. Dus de 'gewone burger' is ook steeds meer in het vizier van de veiligheidsdiensten gekomen. Daar komt bij dat informatie/conclusies van AIVD en consorten ook steeds vaker door andere, gewone civiele, instanties gebruikt wordt. En daarmee wordt er dus ook om een grotere mate van rekenschap en controle gevraagd door die burger.

[albatross]

"Escaleer je zaken juist niet onnodig? Wat is de daadwerkelijke toegevoegde waarde?"

^^ Dit. Obama heeft een eental jaren terug eens gezegd dat ie er niet voor voelde om direct terug te slaan na een grote Russische cyberaanval die net plaatsgevonden had. Zijn motivatie was "Bij zo'n escalatie hebben wij meer te verliezen dan zij." Cybercriminaliteit moet zeker bestreden worden. Direct terugslaan is echter niet altijd de beste oplossing.

En dan is er nog de AIVD. Leuk hoor, die mannetjes, maar wanneer je destructieve handelingen gaat verrichten jegens andere overheden, dan zou de wet eerder verscherpt moeten worden, en een politiek verantwoordelijk iemand (de minister, dus) juist altijd betrokken moeten worden.

[PizZa_CalZone]

Ik wou ook hetzelfde punt maken.

Fight fire with fire

Straks zitten we allemaal elkaar servers op afstand onschadelijk te maken, het moet niet de gewoonte gaan worden anders wordt het een groot slagveld op internet.

Dan worden vervolgens de AIVD servers onschadelijk gemaakt met een vergeldingsslag...
Dat wordt een leuke vicieuze cirkel.

[Reactie gewijzigd door PizZa_CalZone op 23 juli 2024 22:32]

[janbaarda]

Helemaal mee eens. Laten we ons richten op perfecteren van defensie technieken. Laat de vijand merken wat we op dat gebied waard zijn.
En zeg niet dat digitale defensie moeilijk of onmogelijk is. Dat is te makkelijk en plaatst ons in de hoek van digibete bullies. In Nederland zijn we knap genoeg om een digitale "Hollandse Waterlinie" op te zetten om elke binaire vijand af te slaan, eventueel 80 jaar!

[mphilipp]

Graag de wetenschappelijke onderbouwing erachter.

Echt? Meen je dat nou?

Het lijkt mij duidelijk dat zoiets werkt. Een wetenschappelijke onderbouwing ga je niet krijgen. Maar het verleden heeft aangetoond dat zoiets werkt. Het is enerzijds een vorm van oorlogsvoering en soms ook diplomatie. Soms zie je dat zo'n aanval komt nadat er op diplomatiek vlak iets is voorgevallen. Een diplomaat uitgewezen, een uitspraak/veroordeling/sancties in VN. EU of ander orgaan, noem maar op. Men gebruikt dan een cyberaanval als vergelding. Dan kan op grote of kleine schaal 'terugslaan' een manier zijn om een boodschap achter te laten dat dergelijke grappen niet onbestraft blijven, dan wel dat jij óók tot dat soort dingen in staat bent.
Na Stuxnet de aanval van de VS/Israel op de kerncentral in Iran, kwam er een tegenaanval van Iran. Zij hebben toen meen ik iets aangevallen van waterleiding of stroomnet, wat het precies was weet ik niet meer. Dat was ook niet heel grootschalig, maar genoeg om te laten zien 'wij kunnen dat ook'. Soms is dat genoeg.

Dit soort acties gaat nooit via een normaal proces. Je kunt niet altijd overal gaan vragen of het ok is om dit of dat te doen. Er is een tijd van polderen en er is een tijd van handelen. Soms gaat het gewoon te snel of is het te complex om naar een commissie te stappen die er eigenlijk ook niets van weet.
Als je alles aan bureaucraten overlaat, krijg je zoiets als de besluitvaardigheid en slagvaardigheid van de VN...totaal nutteloos dus. Zodra die zich met een militaire actie gaan bemoeien is het ófwel te laat, óf het wordt op een halfbakken manier gedaan. Dat krijg je als je teveel mensen/landen moet pleasen om iets voor elkaar te krijgen.

[bzzzt]

Hoewel ik je betoog wel kan volgen is het volgens mij nog nooit gebeurd dat zo'n cyberaanval met bijna 100% zekerheid aan een specifieke mogendheid toe te schrijven was. Er zijn altijd wel kleine 'actors' bezig dingen aan te vallen, om dan een actie als specifieke reactie op een andere aanval te kunnen duiden vereist volgens mij een extreem goede veiligheidsdienst, of is gewoon een poging tot politiek gewin zoals het verwerven van meer bevoegdheden.
Verbeter me als ik het mis heb, maar sinds de 'weapons of mass destruction' leugens zijn mensen misschien wat cynisch geworden als militair optreden wordt gemotiveerd met niet bewijsbare onderbouwing. Als het zo simpel is dat we met volledige zekerheid kunnen zeggen dat een specifiek land ons digitaal aanvalt hoeft ook niet door geheime diensten in achterkamertjes besloten te worden dat we terug gaan slaan, maar moet onze democratisch gekozen regering daarbij betrokken zijn.

Om het dan nog maar niet te hebben over het drama wat we gaan krijgen op het moment dat we het een keer verkeerd hebben en de verkeerde netwerken aanvallen, bv. een buitenlands ziekenhuis platleggen. Geen idee of er al oorlogsrecht is over het digitale equivalent van burgerdoden...

[mphilipp]

Hoewel ik je betoog wel kan volgen is het volgens mij nog nooit gebeurd dat zo'n cyberaanval met bijna 100% zekerheid aan een specifieke mogendheid toe te schrijven was

In dit soort gevallen zijn wij (het volk) altijd de laatste en het slechtst geïnformeerd. Het is per definitie zo dat dergelijke zaken nooit helemaal in de openbaarheid komen. En als men een keer het idee geeft volledig open te zijn, moet je de wenkbrauwen fronsen en je afvragen of we niet zand in de ogen wordt gestrooid.

Inderdaad, in principe is het onmogelijk om te zeggen waar een aanval precies vandaan komt. Maar blijkbaar, en dat is ook de crux van dit verhaal, wéten ze gewoon dat het een het gevolg is van het ander. Ze hebben het soms over 'fingerprints' van een bepaalde toolkit die vaak door bijvoorbeel Russen wordt gebruikt, maar ik denk dan altijd 'ja, de Mossad kan die ook gebruiken', dus je weet het inderdaad nooit. Behalve dan dat het soms duidelijk is dat een bepaalde aanval in het straatje van de Russen valt en niet in het belang is van Israel of de Mossad. Ik noem maar even een dwarsstraat.

Een verkeerde aanval kan altijd gebeuren, daar hebben we geen cybertoestanden voor nodig. Kijk naar de illegale aanval op Irak, en veel eerder (jaren '50) het ingrijpen van de VS in Iran, waardoor effectief de VS verantwoordelijk is voor de situatie in Iran momenteel. Komt allemaal door hun inmenging. Ik kom daar heel vaak op terug, want het geeft aan hoe gevaarlijk dergelijke acties zijn. Het is geen geheim dat heel veel acties van de VS, bedoeld om een regime ten val te brengen dat hen niet gunstig gezind was (maar nooit de bedoeling had hen fysiek aan te vallen), enorm terugsloeg op een slechte manier. Die grappenmakerij in Irak heeft effectief ISS helpen ontstaan, bemoeienissen in Iran hebben Khomeini aan de macht geholpen, en zo verder. Moeten we het nog over Midden Amerika hebben? Noriega anybody? De lijst is lang. Uiteraard hebben de Russen en nu de Chinezen ook lijstjes die misschien niet zo lang zijn, maar wel naar voor de arme bewoners van die landen.
Het beste laten we elk land zijn eigen problemen maar oplossen, maar helaas....zo werkt het niet. Politieke en vooral economische belangen zorgen ervoor dat men zich steeds blijft bemoeien met andere landen. En daar komt zelden iets goeds uit. Zo heeft ook Europa een bedenkelijke rol gespeeld in het conflict tussen Rusland en de Ukraïne, en zijn dus mede verantwoordelijk voor alle ongein die daar gebeurt.

[bzzzt]

Juist door dit soort onzekerheden en de grote gevolgen denk ik dat het een onverstandig idee is de AIVD autonoom (dus zonder vooraf de politiek in te lichten) te laten beslissen om tot vergelding over te gaan.

[mphilipp]

Ja, prima. Op de politiek wachten. Dán krijg je pas goede beslissingen. Politici durven helemaal niets. Ze kijken eerst of het ze stemmen kan kosten. Kijk naar die missies in het buitenland. Als de dood dat er body bags terugkomen (pun intended). Alsof je oorlog kunt voeren of je als militair in een oorlogsgebied kunt bevinden zonder risico te lopen. Soldaat zijn is het enige beroep waarbij het 'part of the job' kan zijn om te sterven. No two ways about it. Maar de politici zijn daar bang voor, want dan moeten ze weer dingen gaan uitleggen en ze zijn erg bang voor de chocladeletters van de Telegraaf. Jammer dat er geen politicus is met ballen die gewoon kan zeggen waar het op staat en dat dit nu eenmaal het risico is.

Dus nee, ik denk niet dat als politici zich ermee gaan bemoeien het beter wordt.

[bzzzt]

Jij hebt liever wel body bags omdat een of andere ijzervreter die geen tegenspraak krijgt Nederland in een oorlog stort?

[mphilipp]

Nee, dat ook niet, maar de politiek laat de soldaten die wél weten wat er aan de hand is en wat er moet gebeuren heel vaak in de steek met hun laffe gedrag. Kijk naar Srebrenica en de VN missie in Congo. Ik zag daar vorige week een film over en dan weet je ook niet wat je ziet. Ook in Rwanda is het vreselijk mis gegaan en daar stonden de VNers ook bij en keken ernaar.

Oorlog is een nasty business, en we moeten niet denken dat een papieren regeltje of politieke procedure het ineens allemaal netjes, schoon en overzichtelijk maakt. En je moet geen militairen ergens heen sturen als je niet bereid bent doden te accepteren. Sowieso duren de politieke beslissingen veel te lang, zodat enig ingrijpen/vredesmacht, hoe je het ook wil noemen, véél en véél te laat komt om nog iets betekenisvols te doen. En als je ze dan ook nog niet goed bewapend (want dat staat zo bedreigend) en een half mandaat geeft (want dat was het enige compromis dat door de VN/EU/Kamer komt), kun je gewoon wachten op problemen.

[bzzzt]

In ieder geval heb je bij de politiek nog wat te kiezen. Heb niet de illusie dat in een dictatuur (of whatever je maakt als oorlog zonder inspraak van de politiek gevoerd kan worden) alles veel beter wordt. Mijn vermoeden is dat je daarmee het tegengestelde bereikt.

[mphilipp]

Nou ja...dat is nu juist het probleem. Ik wil ook geen dictatuur, hoewel het woord niet persé betekent dat er slechte dingen gedaan worden, maar dat is hoe het door de geschiedenis heen gegaan is. (zijn er eigenlijk goede voorbeelden van een 'benavolent dictator'?) Het probleem is gewoon dat de politiek teveel belangen laat meewegen. Dat klinkt raar, maar ik bedoel ermee te zeggen dat politici (zo lijkt het) meer bezig zijn met a)hoe dit overkomt op de kiezer b)wat de Telegraaf over ze schrijft c)schaadt dit hun kansen op (her)verkiezing en d)schaadt het de economie?
Dit in plaats van a)het belang van het eigen volk b)het belang van het volk dat je probeert te beschermen c)vrede
En dat is een beetje jammer. Er wordt achter de schermen handjeklap gespeeld met het lot van een volk. De VN heeft een grote mond, maar kan effectief helemaal niets. Een complex conflict als in Syrië kan niet effectief worden aangepakt omdat achter de schermen Amerika en Rusland tegen elkaar aan het vechten zijn. Internationaal gezien botsen er blijkbaar veel te veel belangen, dus laten we het volk maar kreperen. En helpen we de vluchtelingen? Nee, ook dat niet. We zeuren er alleen maar over, terwijl een land als Libanon, vele malen kleiner dan Nederland (en de andere Europese landen) 1 miljoen vluchtelingen heeft opgenomen.

Goed, onderhand wordt het een heel breed verhaal zo, en dat kan ook niet anders. Maar het grote probleem is dat wij als burger eigenlijk nauwelijks weten wat er precies speelt. Want wat wij vernemen is misschien maar de helft. Achter de schermen gebeurt er heel veel en zijn er belangen waar wij niet eens aan gedacht hebben. Het blijft een kwestie van kiezen uit foute opties. Alles wat je doet is eigenlijk fout, dus we moeten de minst foute kiezen. Ik weet alleen niet wie dat goed kan; politici kunnen het in ieder geval niet, dat is duidelijk. Want het moment dat er verantwoording moet worden afgelegd, hebben ze geheugenverlies, raken er foto's kwijt of gooien ze iemand anders onder de trein, zodat het voor hen zonder consequenties blijft.

[bzzzt]

In ieder geval zouden wij - de kiezers - nog andere politici kunnen kiezen. Dat lukt bij topambtenaren, legerleiding e.d. niet, dus blijf ik er bij dat dit bij de politiek thuishoort. Er zijn inderdaad minder zuivere politici, maar uiteindelijk is dat een probleem wat alleen oplosbaar is met betere kiezers...

Misschien is het ook een beetje veel hooi op je vork nemen om voor alle problemen op deze wereld een oplossing te willen of te verwachten dat Nederland die gaat leveren. De meeste mensen kunnen de wereld slechts een klein beetje veranderen (ten goede of niet).

[his.dudeness]

De wens om aanvallen te stoppen begrijp ik, maar op deze manier kan misbruik gemaakt worden van de AIVD. Stel dat de AIVD een gecompromitteerde server van een andere overheid neerhaalt.

Er is een reden waarom er 'checks and balances' zijn. Als het correcte proces te lang duurt, dan is het tijd om het correcte proces efficiënter te maken en niet om eromheen te werken.

Precies waar ik aan moest denken. Wanneer zelfs kerncentrales uraniumverrijkingscentrifuges gehackt worden die niet eens direct aangesloten zijn op een externe netwerk (zoals toen met Stuxnet), is niemand meer veilig.
Stel je voor dat een vervolg op Stuxnet, servers van de Iraanse overheid overneemt om vervolgens daarmee westerse landen aan te vallen, en wij dan meteen met een tegenaanval reageren....
Zo kan een derde partij dus altijd de AIVD op iemand (organisatie, land, etc) anders richten en afvuren, met rampzalige gevolgen.
De AIVD is dan een te makkelijke doelwit voor misbruik.

[Reactie gewijzigd door his.dudeness op 23 juli 2024 22:32]

[robvanwijk]

Wanneer zelfs kerncentrales gehackt worden die niet eens direct aangesloten zijn op een externe netwerk (zoals toen met Stuxnet)

Laten we ons wel even bij de feiten houden; Stuxnet heeft geen kerncentrales aangevallen. Het doel was om de verrijking van uranium te saboteren, maar er is een gigantisch verschil tussen het aanvallen van een kerncentrale en het aanvallen van een fabriek die grondstoffen maakt voor een kerncentrale (en/of voor kernbommen). Een cruciaal verschil is dat Stuxnet absoluut nooit een kernexplosie had kunnen veroorzaken, of zelfs maar het vrijkomen van straling.

Stel je voor dat een vervolg op Stuxnet, servers van de Iraanse overheid overneemt om vervolgens daarmee westerse landen aan te vallen, en wij dan meteen met een tegenaanval reageren....
Zo kan een derde partij dus altijd de AIVD op iemand (organisatie, land, etc) anders richten en afvuren, met rampzalige gevolgen.

Deze redenering werkt alleen als je er vanuit gaat dat bij de AIVD een stelletje incompetente prutsers werkt die geen flauw idee heeft waar ze mee bezig zijn. Het soort lui dat bij een aanval niet verder kijkt dan zijn neus lang is en meteen een fysiek-beschadigende aanval lanceert op het eerste IP-adres dat ie langs ziet komen, want dat is gegarandeerd van de dader..., toch? Ik ken ze niet (tja, dat krijg je met geheime diensten), dus strikt genomen kan ik niet beloven dat die aanname niet klopt. Van de andere kant, als het wel klopt, dan is er sowieso iets grondig mis...

[his.dudeness]

Laten we ons wel even bij de feiten houden; Stuxnet heeft geen kerncentrales aangevallen. Het doel was om de verrijking van uranium te saboteren

Ja sorry mijn fout; Ging inderdaad om uraniumverrijkingscentrifuges voor kerncentrales.

Deze redenering werkt alleen als je er vanuit gaat dat bij de AIVD een stelletje incompetente prutsers werkt die geen flauw idee heeft waar ze mee bezig zijn. Het soort lui dat bij een aanval niet verder kijkt dan zijn neus lang is en meteen een fysiek-beschadigende aanval lanceert op het eerste IP-adres dat ie langs ziet komen, want dat is gegarandeerd van de dader...

Hangt ervan af hoe slim de derde partij heeft gehandeld. Je kunt makkelijk je aanval met een bepaalde gebeurtenis timen zodat het gerelateerd lijkt als deel van een andere actie van (in dit hypothetische voorbeeld) Iran, of als antwoord (counter) op een actie tegen Iran en daar ook het doelwit op baseren. Een (of meerdere) geheime dienst(en) van Iran's rivalen of vijanden zouden best een geloofwaardige cyber-aanval kunnen voorbereiden en uitvoeren.
En als Iran dan zegt dat zij er niet verantwoordelijk voor waren; Gaan het publiek, media en politiek het geloven? Gaan ze allemaal wachten met oordelen totdat de AIVD een uitgebreide onderzoek (wat flink wat tijd nodig kan hebben) heeft afgerond? Het is triest maar zoveel is er niet nodig voor het escaleren van politieke conflicten. Vaak lopen de publieke opinies, media en politici de feiten voor.

[Peetz0r]

Jamaar als iemand mij slaat dan wil ik terugslaan. Althans, dat is wat ik op de basisschool geleerd heb. Of nouja, vooral afgeleerd.

Echt, wat de AIVD nu voorstelt is te bizar voor woorden. Wat ze nu zeggen is basically toestemming vragen om een (cyber)oorlog te mogen starten met argumenten van basisschoolpleinniveau.

Als iemand van de AIVD meeleest: laten we hier heel erg snel mee stoppen alstjeblieft.

En natuurlijk lezen jullie mee, dat weten we

[WillySis]

Hier is niet echt een wetenschappelijke onderbouwing aan te geven. Elke "hack" is anders en het is erg afhankelijk van de hacker, de binding met een bedrijf of een regering, het doel en het doelwit.

Over het algemeen is duidelijk dat een hack-poging niet wettelijk is en dat tegenmaatregelen verwacht mogen worden. Zolang die alleen de hacker treffen is het gewoon een kwestie van actie en reactie en hoort het bij het spelletje. Bij snelle, ondoordachte tegenacties die onvoldoende zijn voorbereid is de kans groot dat de gevolgen van een tegenactie groter zijn dan alleen het blokkeren van de hacker. Zeker als er een politieke achtergrond achter de hack-poging zit is escalatie niet uit te sluiten. Bij bedrijfsspionage zit er weer een laag tussen, al is dat in het geval van China en Noord-Korea maar een heel dun laagje.
Een regeling die een onmiddellijke tegenactie onmogelijk maakt is zeker niet verkeerd, maar als het nodig is moet er wel snel toestemming gegeven kunnen worden. Of je de AIVD zelf moet laten bepalen of een snelle tegenactie noodzakelijk is, dat lijkt mij niet zo'n goed idee. Wanneer het echt op een beperkt aantal personen is gericht mag de AIVD overigens al tegenacties ondernemen om de hack-poging te voorkomen.

Samenwerking van de AIVD met de militaire inlichtingendienst is natuurlijk een goed idee. Op het gebied van het (vroegtijdig) opsporen van hack-pogingen staat de AIVD bekend als één van de beste ter wereld. De militaire evenknie is minder succesvol, maar hoort ook tot betere diensten.

[robvanwijk]

Graag de wetenschappelijke onderbouwing erachter.

Ik denk niet dat (de werking en acties van) geheime diensten zich heel erg lenen voor wetenschappelijk onderzoek, dus een wetenschappelijke onderbouwing vragen is niet bepaald realistisch.

Stel dat de AIVD een gecompromitteerde server van een andere overheid neerhaalt.

Dus het scenario is dat China / Rusland / random scriptkiddy een server van (laten we zeggen) de NSA hackt en vandaar uit andere doelwitten aan gaat vallen? Ik vermoed dat de NSA je erg dankbaar is als je een HCF-exploit op die machine afvuurt en het ding fysiek sloopt; liever één server kwijt dan dat de bad guys er nog langer misbruik van blijven maken.
En als de server die je sloopt van een niet-zo-bevriende natie is (Rusland hackt China, of andersom, en valt van daaruit nieuwe doelen aan), dan hebben ze twee keuzes: doen of hun neus bloedt en het inderdaad hun eigen aanval was (maar dan kunnen ze ook moeilijk protesteren over tegenmaatregelen) of toegeven hoe hard ze zelf hebben gefaald (en dan moeten ze die kapotte server maar op de koop toe nemen).
Mijn inziens is het probleem niet andere overheden, maar slecht-beveiligde servers van willekeurige andere partijen. Bad guy infecteert een machine op (noem eens wat) een AWS data centre en kan zich daarna binnen het data centre makkelijk verspreiden. Op de een of andere manier slaagt de AIVD erin om het hele data centre offline te schoppen: daarmee voorkomen ze miljarden aan schade die de aanval veroorzaakt zou hebben, maar veroorzaken ze tegelijkertijd zelf ook miljarden aan schade (bij partijen die zelf niets fout gedaan hebben). In zo'n scenario lijkt het me veel lastiger om te beslissen wat de correcte actie is.

Er is een reden waarom er 'checks and balances' zijn. Als het correcte proces te lang duurt, dan is het tijd om het correcte proces efficiënter te maken en niet om eromheen te werken.

Er is geen wezenlijk verschil tussen een proces aanpassen of een nieuw proces creëren: nieuwe wetgeving werkt weliswaar om de bestaande beperkingen heen, maar (binnen die nieuwe wet) is alles netjes binnen de geldende beperkingen!

[FluF]

Terugslaan is niet de taak van een inlichtingendienst. vind ik.

[M14]

Het is geen terug slaan.

Terug slaan is een raket terug sturen. Maar wat de AIVD wil is de raket die onze kant op komt uitschakelen.

Nu is het geen raket, maar een server/systeem wat gericht een aanval op een Nederlandse instelling uitvoert. Dit te stoppen is wel degelijk een taak van de inlichtingendienst.

[robvanwijk]

Het is geen terug slaan.

Terug slaan is een raket terug sturen. Maar wat de AIVD wil is de raket die onze kant op komt uitschakelen.

Nu is het geen raket, maar een server/systeem wat gericht een aanval op een Nederlandse instelling uitvoert. Dit te stoppen is wel degelijk een taak van de inlichtingendienst.

Helaas is het niet zo simpel. De aanvaller is niet zo lief om aanvallen uit te voeren vanaf zijn eigen infrastructuur; die hackt eerst een ander doelwit en voert vanaf daar de echte aanval uit. Als je het met de echte wereld wil vergelijken: de bad guys kapen ("hacken") een vliegtuig ("infrastructuur van een onschuldige partij") en voeren daarmee een aanval uit. Oftewel: de AIVD wil luchtafweergeschut boven op het WTC zetten om gekaapte vliegtuigen uit de lucht te schieten.
De vergelijking klopt niet helemaal, want de tegenaanvallen die de AIVD uit wil voeren zullen zelden (of nooit) menselijke slachtoffers maken, maar hoe groot de economische en technische schade (vernietigde data) van zo'n tegenaanval is kunnen we van tevoren nauwelijks voorspellen omdat dat van veel teveel factoren afhangt.

[M14]

In dat geval is het ook prima om een dergelijke server uit te schakelen. Immers weet de eigenaar / beheerder direct dat er wat aan de hand is en kan actie ondernemen.

[CAPSLOCK2000]

Terug slaan is een raket terug sturen. Maar wat de AIVD wil is de raket die onze kant op komt uitschakelen.

De AIVD wil wel een raket terugsturen. Akerboom heeft het letterlijk over het uitschakelen van servers.
Dat lijkt meer op het bombarderen van de lanceerbasis dan het uit de lucht schieten van een raket.

[M14]

Die server is juist de raket die onze kant op komt.

Terug slaan is een instelling/instantie van de aanvaller gaan aanvallen.

Hoezo zie je het verschil niet?

[GertMenkel]

Ik vind dat een inlichtingendienst prima geschikt is voor digitale oorlogsvoering, maar dan zou dat wel een losse inlichtingsdienst met een focus op buitenlandse, militaire operaties moeten zijn. Desnoods een los instituut, of een tak van de MIVD.

Ik snap de drang om zoiets te vragen wel, en met goede wettelijke begeleiding, stricte definities en de juiste mensen om het geheel te beheren zou ik volledig achter deze wetgeving staan. Echter heeft de AIVD al eerder aangetoond het niet zo nauw te nemen met de regelgeving en zitten we nog steeds van aan Grapperhaus, dus kan zo'n wet alleen maar falen.

[spacy]

Het lijkt mij idd ook meer een digitale manier van oorlog, en een tegenreactie daarom uitgevoerd hoort te worden onder het beleid van mivd. Maar wat mij betreft krijgen ze groen licht De besmette/gebruikte servers mogen zo snel mogelijk uitgeschakeld dan wel offline gehaald worden, het voorkomt zelfs voor de eigenaar ervan verdere vervolg schade. Geen enkel bedrijf lijkt mij blij te zijn dat z'n servers gebruikt worden voor een aanval op een land of ander bedrijf.

[GertMenkel]

Voor zover ik weet is een bedrijf dat gehackt wordt en daar niets van af weet niet aansprakelijk voor de aangerichte schade tenzij grove nalatigheid kan worden aangetoond. Ik ben niet bekend met gevallen waar dat wel zo is, namelijk. De bedrijven zijn net zo goed slachtoffer van de hackers als de aangevallen doelwitten.

Het ligt er een beetje aan hoe ze het uitschakelen precies behandelen. Als ze de eigenaar opsporen, de server van het internet flikkeren (denk: IP-configuratie kapotmaken zodat de C&C server er niks meer mee kan, etc.) en dan de eigenaar op de hoogte stellen, valt daar wat voor te zeggen. Als ze zonder aankondiging zomaar je serverrack naar hun eigen opslag rollen, kun je als bedrijf in een klap failliet zijn. De nuance ontbreekt nog wel eens bij onze inlichtingendiensten, dus ik ben vooral bang dat ze over de hele wereld kritieke servers gaan uitzetten. Ik zie de miljoenenrechtszaken tegen onze overheid al aankomen.

De mogelijkheid om servers te pakken bestaat al. De AIVD wil hier van de toestemming van een derde partij af, omdat het te lang zou duren. De minister is het controlerend orgaan en dat controlerende orgaan zegt voor de AIVD te vaak nee of te laat ja, en zij willen gewoon snel snel snel alles doorduwen. Die beperking is er om een reden.

Ik weet ook niet wat nou de reden is dat de server van een Chinese spion per se nú moet worden afgesloten en dat het niet een dag kan wachten. De spion ziet hier al maanden, en zal hier nog dagen zitten tenzij de AIVD hun onderzoek verraadt. De "politieke" aanvallen van de Russen zijn helemaal vaag, daar is een directe response toch niet nodig? Als timing kritiek is, dient er aan de verdedigende kant te worden opgeschoten. Wat er ook aangevallen wordt, het kan als het goed is een uurtje van het internet af om noodpatches en firewalls te installeren. Als er daadwerkelijk kritieke infrastructuur is die aan het internet moét hangen om te functioneren, dan moet de wet daarvoor niet worden aangepast, maar dan moet er als de sodemieter iets aan die slechtontworpen infrastructuur gedaan worden!

[Verwijderd]

Je hebt de wet deels aan jouw kant. c-Taak kan geïnterpreteerd worden op een manier die aanvallen mogelijk maakt. In dit geval zijn die aanvallen in een reactie op (verdediging) en niet geïnitieerd door de AIVD.

Taken vastgelegd in artikel 8 van Wiv 2017
De zes taken die de AIVD staan opgesomd in artikel 8, tweede lid van de Wiv 2017:

• onderzoek doen naar organisaties en personen die een dreiging vormen (a-taak);
• veiligheidsonderzoeken uitvoeren (b-taak);
• veiligheidsmaatregelen bevorderen (c-taak);
• inlichtingen over het buitenland inwinnen (d-taak);
• dreigings- en risicoanalyses opstellen (e-taak);
• naslag doen naar bepaalde personen en organisaties (f-taak).

Veiligheidsmaatregelen bevorderen (c-taak)
De AIVD heeft tot taak te bevorderen dat de verantwoordelijke autoriteiten en instanties zorgen voor een adequate beveiliging. Formeel luidt die taak volgens artikel 8 lid 2c:

het bevorderen van maatregelen ter bescherming van de onder a genoemde belangen, waaronder begrepen maatregelen ter beveiliging van gegevens waarvan de geheimhouding door de nationale veiligheid wordt geboden en van die onderdelen van de overheidsdienst en van het bedrijfsleven die naar het oordeel van Onze ter zake verantwoordelijke Ministers van vitaal belang zijn voor de instandhouding van het maatschappelijk leven.

De veiligheidsbevorderende activiteiten van de AIVD richten zich op de taakvelden:

• bijzondere informatie;
• vitale sectoren;
• andere aandachtsgebieden die in relatie tot de nationale veiligheid zijn benoemd.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 22:32]

[MartijnHavinga]

Er staat ook een V in de AIVD...

[CAPSLOCK2000]

Er staat ook een V in de AIVD...

Dat is nu net het probleem. De I en V functies zitten elkaar in de weg en hebben andere voorwaarden en regels nodig. Beide functies binnen dezelfde regels proberen te vangen lijkt niet zo handig.

Dat is zoiets als de brandweer verantwoordelijk te maken voor een bilbliotheek. Het eerste wat ze doen is alle boeken weggooien want die zijn brandbaar. Als dat niet mag dan hangen ze sprinklers op. Als die afgaan worden alle boeken nat en heb je nog niks. Je kan die functies beter gescheiden houden zodat ze niet hoeven te kiezen tussen het ene of het andere (tegengestelde) belang.

Concreet heeft de AIVD er aan de ene kant belang bij om zelf een 'digitale wapens' te verzamelen en geheim te houden hoe die werken zodat ze die zelf in kunnen zetten. Aan de andere kant moeten ze Nederland beschermen tegen dit soort wapens. Daarvoor is het weer nodig om bekend te maken hoe ze werken. Die functies conflicteren enorm.

Aan een succesvolle verdediging valt weinig eer te halen, we zien niet wat er niet is gebeurd. Een succesvolle aanval kan daarintegen wel veel aandacht krijgen. Carriere-technisch is het dus handiger om voor de aanval te kiezen dan voor de verdediging.

Voor de duidelijkheid: ik zie hier geen boze opzet in, meer een onhandig opgezette situatie. Ik snap dat het voor een deel niet anders gaat dan dat dit soort diensten samenwerken en communiceren. Maar volgens mij zou het verstandig zijn om de functies meer te scheiden.

[sympa]

De I is nodig om te weten welke sloten kwetsbaar zijn. De V is nodig om ze te vervangen als het moet. En dan heb je ook nog een tak nodig die de nieuwe inbrekersgereedschappen van de markt vaagt voordat die een probleem worden.
En ja, cyberdreiging is een serieuze dreiging naar mijn mening.
(Overigens niet alleen qua afpersing of denial of service of spionage maar ook qua desinformatie en propaganda. Maar wat we er mee kunnen in onze rechtsstaat is ook weer lastiger dan een autocraat het heeft).

[CAPSLOCK2000]

De I is nodig om te weten welke sloten kwetsbaar zijn. De V is nodig om ze te vervangen als het moet. En dan heb je ook nog een tak nodig die de nieuwe inbrekersgereedschappen van de markt vaagt voordat die een probleem worden.

Maar dat is niet waar we het nu over hebben. De AIVD wil de deur intrappen bij inbrekers. We hebben het niet over fabrikanten van gereedschap maar over de inbrekers zelf. Nu is er op zich niks mis met inbrekers aanpakken maar dat laat je niet door de slotenmaker doen.

[Fluttershy]

Terugslaan is ook niet een onderdeel van veiligheid.

[jurroen]

Offensief kan zeker wel een onderdeel van veiligheid zijn. Stel iemand begint jou fysiek aan te vallen, laat jij je passief het ziekenhuis in slaan - of geef je ook een klap terug om jezelf te verdedigen? Juist, dat is ook veiligheid.

[Fluttershy]

Stel iemand begint jou fysiek aan te vallen, laat jij je passief het ziekenhuis in slaan - of geef je ook een klap terug om jezelf te verdedigen?

Die stropop zal niet zo snel iemand in het ziekenhuis krijgen hoor. Hooguit iemand met ernstige hooikoorts.

[gedonie]

Dus je stelt de TVD (terugslaan en vernietiging dienst) voor. Die dan weer aangestuurd wordt door de AIVD.

Helaas is terugslaan of ontmanteling de enige manier om veiligheid zeker te stellen. Alleen vaststellen geeft geen veiligheid.

[Reactie gewijzigd door gedonie op 23 juli 2024 22:32]

[Fluttershy]

Dus je stelt de TVD (terugslaan en vernietiging dienst) voor.

De krijgsmacht bestaat al een tijdje hoor.

[gedonie]

De krijgsmacht mag officieel niet ingrijpen zonder oorlogsverklaring.

[Arnoud Engelfriet]

Of als het gaat om "de inzet of het ter beschikking stellen van de krijgsmacht ter handhaving of bevordering van de internationale rechtsorde". Denk aan VN-missies, daarbij wordt niemand de oorlog verklaard maar mag er wel worden geschoten en gebombardeerd.
https://www.denederlandse...raaf_2_overige_bepalingen

Juridisch gezien is volkomen onduidelijk wat je staatsrechtelijk doet als de AIVD, MIVD of voor mijn part de IT-afdeling van de landmacht een server van de Russische Federatie in een baksteen verandert en daarmee de oliedoorvoer in dat land platlegt.

[PalingDrone]

Die V is niet van Vendetta

[Renshetmens]

Alleen op 5 november

[lighting_]

Verdedigen betekent ook dat je de juiste munitie nodig heb. Tandeloos heeft geen zin.
Uiteraard met de juiste checks and balances.

[Verwijderd]

Waarom dan niet gewoon verdedigen? Gewoon alle data stromen blokkeren van de aanvaller en dit voor langdurige tijd doen. Daarmee leg je gewoon alle last bij de veroorzaker neer. Ook al is het een 'proxy', het niet niet zo dat wij bij die IP's hoeven te komen en blijkbaar doen ze toch te weinig aan beveiliging...

Supersimpele oplossing maar nee, blijkbaar moeten we aanvallen?

[nst6ldr]

Waar moet ik beginnen? Misschien een voorbeeld: een C&C server uitschakelen is vele malen efficiënter en doeltreffender dan 2 miljoen IP adressen blokkeren.

Statische IP adressen zijn helemaal niet zo gebruikelijk, weet je. Zo heb je de ene dag toegang tot een website via je mobieltje, en ineens ben je geblokkeerd omdat je een adres krijgt toegewezen die ooit voor een aanval is gebruikt. Kan jij niks aan doen, kan de provider niks aan doen, en de aanvaller heeft er geen last van want zo'n adres is voor hem een wegwerpartikel. Daar ben je dan mooi klaar mee! Dit is al een super hinderlijk euvel bij VPS verhuur en spamfilters, dat gaat met jouw voorstel nog een factor 100 erger worden.

De uitvoerbaarheid laat ook te wensen over. Je geeft aan dat de eigenaren van die adressen het zelf maar op moeten lossen, even voortbordurend op mijn vorige alinea betekent het dus dat een aanzienlijk deel van de consumenten hier met regelmaat mee te maken krijgt ongeacht hun beveiliging. Dan zal de instantie achter die 'proxy' gigantisch veel beheercapaciteit moet hebben om meldingen van ongewenste blokkades te toetsen en op te heffen.

Aanval is daadwerkelijk de beste verdediging.

[Xander2]

Preventie is de beste verdediging, in combinatie met offensieve capaciteit een recept voor ellende.

[nst6ldr]

Preventie is de beste verdediging

Maar dan moet dat wel uitvoerbaar zijn, je zou iedere computer verbonden met het internet perfect moeten beveiligen zodat ze niet als stapsteen gebruikt kunnen worden. Dat waren er 2 jaar geleden al meer dan een miljard. Succes.

[McNutters]

tja checks & balances. Klinkt als term uit de VS wat mooi bekt en zo hupsakee gekopieerd wordt naar ons land, lekker hip net als sprintjes trekken tijdens je "slanke doch weerbare worsteling om de bal" (vrije vertaling van Lean Agile en Scrum). Hier heet dit 'gewoon' "controle" of "toezicht". Helaas faalt(in mijn optiek) deze gedachte in ons land steeds meer doordat ons parlement nauwelijks nog controleerd, bijvoorbeeld door echt goede kritiek te leveren, en daarnaast doet de politiek eerder aan symptoombestrijding dan aan gedegen probleemoplossing.
/sarcasme Zo'n haagse bubbel is tijdens corona misschien wel mooi, maar eigenlijk toch ook weer niet.

overigens ben ik het wel eens met je stelling v.w.b. beschikbare munitie.

[lighting_]

De ideale wereld bestaat niet.
We weten allemaal dat er een schandaal omdat een of ander pipo het hoog in zijn bol heeft.
Daarbij wil je ook de digitale schade zoveel mogelijk beperken. Een checks and balances is het minst wat je kan doen met dikke straffen.

[Verwijderd]

Een inlichtingendienst zoals de AIVD horen ambtenaren en politie te zijn. Niet militairen. Dus inderdaad, niet de taak van de (burger)inlichtingendienst. Wel eventueel de taak van de MIVD (de of een militaire inlichtingendienst dus).

Terugslaan vind ik dan weer wel een militaire beslissing. En is dus de minister van defensie hiervoor bevoegd. Volgens mij kan dit ook alleen maar zonder een stemming in de regering wanneer het land in acuut gevaar is (wanneer Nederland militair aangevallen wordt en er onmiddellijk opgetreden dient te worden). En zelfs dan nog zullen latere militaire acties opgevolgd horen te worden door de regering.

Volgens mij zijn er zelden digitale aanvallen die Nederland in acuut gevaar brengen. En nog minder vaak zal het zich voordoen dat het gevaar geweken kan worden door effectief terug te slaan.

[netfast]

Inderdaad. De club heet niet voor niets "Defensie" en geen "Offensie".

[Fluttershy]

De eigen naamgeving zegt niet zo veel.

De Duitse Democratische Republiek voldeed ook niet echt aan haar eigen naamgeving..

[threaker2]

In plaats van meer bevoegdheden vragen zou Akerboom er beter aan doen om eindelijk eens een begin te maken met het verwijderen van de grote hoeveelheid rotte appels in zijn organisatie.
Als het hem lukt om het aantal wetsovertredingen door AIVD-personeel de komende 10 jaar dramatisch te verminderen, dan kunnen we daarna misschien eens gaan nadenken over extra bevoegdheden.

nieuws: 'AIVD verzamelde via hacks grote hoeveelheden data onrechtmatig'
nieuws: Toestemming AIVD/MIVD-bulkhack die data van miljoenen betrof was onre...

[Freeaqingme]

Ik ben wel benieuwd hoe ze aspecten als 'due process' zien. Wat als men per ongeluk de verkeerde server 'kapot maakt', of een multi-tenant server waar ook gebruikers op staan die niets kwaads in de zin hebben.

Tuurlijk is het leuk als je als overheid alles zo maar mag, maar je moet dat dan wel afwegen tegen de rechten van anderen natuurlijk. Ook als de politie iemand aanhoudt voor moord mag je als politie die persoon ook niet zomaar in elkaar slaan om "een boodschap af te geven".

[sympa]

Wat als de politie een verdachte van een halsmisdrijf opsluit, maar deze chirurg blijkt te zijn en de volgende dag geen patiënt kan opereren? Of misschien is ie wel pizzabakker en hebben de mensen hun favoriete eten niet...

[Freeaqingme]

Daarom zit dat proces van insluiten ook vol waarborgen. Stel dat er iemand wordt aangehouden moet die binnen X uur worden voorgeleid worden aan de rechter-commissaris. Vervolgens is er een rechter die iedere keer het voorarrest voor X dagen kan verlengen.

Daarnaast heeft de ingeslotene allerlei rechten, zoals een recht om niet gemarteld te worden, een zwijgrecht, en recht op een advocaat. Dat izjn dan allemaal waarborgen binnen onze rechtstaat. Dingen die de AIVD hiermee makkelijk lijkt te willen ontwijken want moeilijk-lastig.

[sympa]

Een pizzabezorger mag ook niet verder rijden als ie staandegehouden is "omdat de pizza's anders koud worden". En dat is wel de vergelijking hier, het systeem dat door de AIVD wordt "uitgezet" is een ding, en geen persoon.

[bzzzt]

Misschien knal je wel een ziekenhuis netwerk uit de lucht of ontploft een gastank waardoor je cyberaanval daadwerkelijk mensenlevens kost.

[SupaHotFire]

Ik leef met je mee Mr. Akerboom. Helaas leven wij in Nederland, waar Bob en Eva om de hoek hun foto's van 10 jaar geleden privé voor iedereen houden belangrijker vinden, dan de veiligheid van onze diensten en instellingen. Maar wel klagen als DigiD of een andere overheidswebsite eruit ligt.

Hoop dat de wet er komt. Zo kan Nederland zich ook eens weren tegen de grotere landen.

[Reactie gewijzigd door SupaHotFire op 23 juli 2024 22:32]

[Chris_147]

Wat hebben familiefoto's te maken met de veiligheid van diensten en instellingen?
Zoals jij het zegt lijken die diametraal tegenover mekaar te staan.
Hoe bedreigt privacy cyber security?

In iedere cyber security cursus zegt men dat men eerst de verdediging op orde moet hebben voor men tegenaanvallen gaat doen.
"Aanval is de beste verdediging" klinkt leuk, maar is niet altijd de slimste aanpak, meestal zelfs niet. En zeker niet bij cyber security.

[bzzzt]

Kijk eens hoe fantastisch het in landen is waar veiligheidsdiensten iedereen naar goeddunken kunnen oppakken op basis van de minste verdenking en er geen enkele balans is tussen de rechten van deze diensten en het gewone volk. Alsof een mengelmoes van de stasi en mafia het land bestuurt.

We hebben het juist zo goed hier omdat deze balans wel bestaat. Dat moeten we niet afbreken, maar juist beschermen.

[sympa]

Af en toe een computertje uitzetten zou toch wel nuttig kunnen zijn hoor. Da's toch van een ander niveau dan iemand oppakken.
Laten we zeggen dat er een giftige stof lekt uit een tankauto. Mag de hulpdienst die dan niet dichtdraaien "want het is hun tankauto niet"? Moeten ze eerst uitzoeken of er misschien een lozingsvergunning is midden op de snelweg?
Probeer een computer alsjeblieft geen mensenrechten te geven. Het is een ding.

[bzzzt]

Als ik je tankwagen voorbeeld even doortrek gaat het er hier om of we een overheidsdienst autonoom willen laten beslissen zo'n lekkende tankwagen in een ander land op te blazen. Om een signaal te sturen.
Het gaat niet om de computer, het gaat om de potentiële impact van zo'n aanval en die kan heel groot zijn. Vandaar dat dit imo via de gekozen en verantwoordelijke regering moet en niet in een achterkamertje van een veiligheidsdienst besloten zou moeten worden.

[sympa]

Op een abusedesk van een ISP is (was?) het tocht: eerst afsluiten bij misbruik, vragen stellen we daarna wel.

[webfreakz.nl]

Ook waarschuwt Akerboom voor het feit dat zoveel Nederlandse belangrijke infrastructuur zoals de water- of elektriciteitsvoorziening digitaal zijn.

Sluit die diensten dan aan op een geïsoleerd netwerk dat niet zomaar vanaf internet benaderbaar is. ISPs als KPN e.d. kunnen op hun routers (ook voor DSL + PPP) verbindingen in een VRF (gescheiden routing-table) leveren. Dan kan je ze via een achterdeur bij het hoofdkantoor of datacenter afleveren. Ik zie dat echter als netwerk engineer bijna nergens terug in de praktijk... men denkt al snel: "internet, firewalletje eraan en we zijn klaar"..

[Reactie gewijzigd door webfreakz.nl op 23 juli 2024 22:32]

[Freeaqingme]

Het komt inderdaad meer dan eens voor dat een Scada systeem open en bloot aan het internet hangt, zonder firewall. Veel vaker zal deze inderdaad aan het internet hangen, maar dan beveiligd met een ipsec verbinding of firewall.

Er zijn ook wel systemen die volledig air gapped zijn. Dat is uiteraard nog veel beter, maar ook dat is geen garantie dat het niet gehacked kan worden. Zo kon men met Stuxnet de air gapped nucleaire centrifiuges saboteren door een payload op bijv. usb-sticks te (laten) zetten en te wachten tot die usb stick in het airgapped systeem gestopt werd.

Verder kan je menig Scada systeem natuurlijk wel volledig airgappen. Maar vervolgens wil men wel allerlei sensoren centraal kunnen monitoren en daarop rapporteren. Dan ga je uiteindelijk toch weer iets van een brug naar internet nodig hebben.

[wica]

Nog geen POP van de Haagse ring gezien, in sommige DC's? Dat is namelijk een geïsoleerd netwerk van de Rijksoverheid.

[CAPSLOCK2000]

Sluit die diensten dan aan op een geïsoleerd netwerk dat niet zomaar vanaf internet benaderbaar is. ISPs als KPN e.d. kunnen op hun routers (ook voor DSL + PPP) verbindingen in een VRF (gescheiden routing-table) leveren. Dan kan je ze via een achterdeur bij het hoofdkantoor of datacenter afleveren. Ik zie dat echter als netwerk engineer bijna nergens terug in de praktijk... men denkt al snel: "internet, firewalletje eraan en we zijn klaar"..

Er is een enorme financiele druk de andere kant op. Hoe groter internet wordt hoe lager de kosten om iets op internet aan te sluiten. De kosten van gescheiden netwerken stijgen alleen maar omdat we er steeds meer op willen aansluiten. Het is ook behoorlijk lastig om de boel echt goed gescheiden te houden. Zo wil je bijvoorbeeld wel je systemen kunnen patchen. Dat kan wel zonder directe internetaansluiting maar het brengt wel forse extra kosten met zich mee. Daarnaast zijn we steeds meer in "de cloud" aan het stoppen. Ik vind dat niet zo'n best idee maar het gebeurt en ik zie dat het naar de toekomst toe waarschijnlijk steeds meer zal gebeuren.

Komt nog bij dat de systemen van ISPs steeds vaker zelf op afstand en vanuit het buitenland worden bedient.

Neemt niet weg dat het gebruik van gescheiden netwerken een goed idee blijft maar ik denk dat we het meer moeten hebben van 'tunnels' en 'overlays' dan van 'gescheiden netwerken', al is daar misschien niet echt een duidelijke grens tussen te trekken.

[Verwijderd]

Ansicht een prima idee, maar dat zijn offensieve taken die bij een inlichtingendienst niet thuishoren. Wellicht bij het Cybercommando van Defensie onder brengen?

[ODF]

De AIVD stelt dit voor omdat ze geen direct onderdeel zijn van de strijdmachten. Als Defensie dit voorstelt is de Tweede Kamer te klein denk ik. De uiteindelijke wet geeft de Defensie cyberonderdelen de mogelijkheid om tegenaanvallen te mogen doen.

[Verwijderd]

Dat komt omdat er vaak behoefte is om snel te reageren, maar omdat bijvoorbeeld de minister vooraf toestemming moet geven voor een operatie lukt dat niet altijd.

Ik weet niet goed hoe het komt dat Akkerboom het principe van scheiding der machten niet goed begrepen heeft. Maar het is de rechterlijke macht die zulke toestemming hoort te geven.

Niet de wetgevende macht.

Een minister hoort niet over individuele zaken toestemmingen te liggen geven. Een minister hoort de wetten aan te passen en zich in te zetten een meerderheid in de regering te vinden om die wet te stemmen.

Wanneer een minister zich te veel met individuele zaken bezig houdt gaat dit voorbij aan de democratie. Het laat immers geen ruimte voor de door het volk verkozenen om er hun stem over uit te brengen. Bovendien verzand zoiets al snel in populisme. Het is m.a.w. een misbruik van zijn of haar bevoegdheid.

M.a.w. akkoord dat de wet aangepast kan worden door middel van een meerderheid te vinden nadat de minister een wetsvoorstel indient. Niet akkoord dat de huidige gang van zaken via de minister verloopt. Waarom verloopt dit niet via de (onderzoeks)rechters?

(Onderzoeks)rechters zijn hiervoor aangeduid, zijn onafhankelijk, zijn hiervoor opgeleid en horen dus niet opzijgeschoven te worden door de inlichtingendiensten en/of de bevoegde minister. Ze maken deel uit van de Trias Politica.

Het valt me al jaren op dat de Nederlandse inlichtingendiensten heel erg hard tegen het principe van de scheiding der machten ingaan. Alsof zij zich boven dat principe wanen. Dat is echter tegen de regels van de EU in. Iets waar Rutte zich pas nog over uitsprak t.o.v. Orban. Namelijk dat Hongarije geen plaats heeft in de EU als het voort doet zoals nu. Waarom Nederland dan wel wanneer haar eigen inlichtingendiensten zichzelf blijkbaar boven het principe van de scheiding der machten waant?

Misschien moeten de heren en dames van de Nederlandse inlichtingendiensten maar eens een cursusje over de verlichtingsprincipes en dus scheiding der machten krijgen. Of gewoon een beetje maatschappijleer volgen. Het is echt zo heel moeilijk niet om te begrijpen.

ps. Ik denk ook dat er veel kennis verloren gaat doordat niet de onderzoeksrechters maar wel de minister hiervoor gebruikt wordt: die ministers komen en gaan. Onderzoeksrechters kunnen bepaalde (digitale of niet)-criminaliteit linken aan andere criminele milieus en feiten. Dit is iets waar de inlichtingendiensten waardevol zouden moeten vinden.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 22:32]

[Maxjj4]

Correctie: de minister valt zowel onder de uitvoerende macht als de wetgevende macht. Daarnaast is het niet zo dat een minister een meerderheid moet proberen te behalen binnen de regering (de koning en ministers), maar binnen het parlement (de eerste en tweede kamer).

[Verwijderd]

De minister valt zowel onder de uitvoerende macht als de wetgevende macht

Akkoord dat dit deels zo is. Maar is het nog steeds correct wanneer de minister vrijwel alle taken van de uitvoerende macht op zich gaat nemen? Voor individuele gevallen ook? Dat lijkt mij een misbruik.

Bovendien hoort de minister dan, net zoals de uitvoerende macht nu dus ook, toestemming van de rechterlijke macht te verkrijgen. Anders is er weer een kruising van de scheiding der machten.

[Maxjj4]

Aangezien de regering zowel onder de uitvoerende als de wetgevende macht valt, en de minister dus ook, is er eigenlijk sprake van een spreiding der machten en niet van een strikte scheiding der machten. De situatie die je beschrijft is dus inherent aan het systeem dat we hebben in Nederland.

Wel is het zo dat, in bepaalde gevallen, de uitvoerende macht gecontroleerd moet worden door de rechterlijke macht. De vraag is of dit hier ook moet worden gedaan, bijvoorbeeld door voorafgaande toestemming van de rechter-commissaris.

[sympa]

Ik had niet het idee dat de rechter toestemming geeft voordat een leger ergens ingrijpt. Maar ik kan me vergist hebben hoor.

[Verwijderd]

AIVD is niet militair. Het gaat hier over de AIVD, niet de MIVD.

[TwiekertBOB]

Jullie hebben hier beiden een punt. Maar het is natuurlijk niet zo dat, als de AIVD een buitenlandse operatie wil uitvoeren tegen spionage, dat er dan geen toestemming nodig is, maar als de MIVD het zou doen, wel.

Met andere woorden: Los nog van het vraagstuk over bevoegdheden van diensten, maakt het niet uit wie iets doet, maar vooral wat de dienst doet bij de bepaling of er wel vooraf toestemming van minister of rechter nodig is.

Ik denk overigens zelf dat het hier wel een kwestie is van bevoegdheden, vandaar mijn eerste disclaimer.
No way dat de AIVD zoiets mag doen in het buitenland.

[albatross]

Dit betreft niet de Rechterlijke macht, maar juist de politiek. Rechters kunnen (maar goed ook) geen handelingen goedkeuren waarmee wellicht -- in het meest extreme geval -- een staat van oorlog kan ontstaan tussen grootmachten (EU vs Rusland). Helemal geen goede zaak dat de AIVD op zij'n eigen houtje wil gaan beslissen of een forse cyber tegenaanval tegen Rusland of China plaats moet vinden. Dat moeten we heel wijselijk aan de zittende minister overlaten (die spreekt names het de regering).

[Verwijderd]

Maar heel vaak worden digitale aanvallen verhaald door de politiek als zijnde een aanval door één of ander land, waar dan nadien van blijkt dat daar geen (enkel) bewijs voor te vinden is en dat het eigenlijk over cybercriminelen (eventueel uit een ander land of uitgevoerd via een ander land) gaat. M.a.w. propaganda.

Iets wat we niet echt nodig hebben om het probleem van digitale cybercriminaliteit effectief aan te pakken.

[CH4OS]

Door een server bij een verdenking onschadelijk te maken, gaat de AIVD dus voor eigen rechter spelen. en is achteraf toetsen of het juist is wat ze gedaan hebben lastiger te bewijzen. Ik snap wel dat er een controle vooraf en een controle achteraf is, iets wat je hiermee ondermijnt en daarbij eigenlijk gewoon by passed.

Ik wil ook graag 1 miljard euro op mijn bankrekening hebben, maar krijg ik vreemd genoeg ook niet.

[nokiaClassic]

De politie wacht toch ook niet op een rechter als iemand in elkaar geslagen word. Daarnaast gaat dit verzoek over de uitbreiding van de mogelijke tegenacties, bijvoorbeeld naar het buitenland.

Momenteel mag de AIVD onder de Wet op de inlichtingen- en veiligheidsdiensten onder omstandigheden zulke tegenacties ondernemen, bijvoorbeeld als de server in Nederland staat.

[Reactie gewijzigd door nokiaClassic op 23 juli 2024 22:32]

[Doane]

Ik wil ook graag 1 miljard euro op mijn bankrekening hebben, maar krijg ik vreemd genoeg ook niet.

(Ik ignore ff de knipoog...;)) Jij en de AIVD zijn natuurlijk geen vergelijkbare grootheden.

[CH4OS]

Punt is meer, dat ik ook wel eens dingen roep die ik graag wil, maar ook niet krijg, ondanks dat het an sich geen onredelijke vraag is, toch?

[Doane]

Punt is meer, dat ik ook wel eens dingen roep die ik graag wil, maar ook niet krijg, ondanks dat het an sich geen onredelijke vraag is, toch?

Fair enough