Criminelen stelen vertrouwelijke info bij aanval op ict-leverancier van Defensie

Abiom, ict-leverancier van onder meer Defensie, de Nationale Politie en het ministerie van Justitie en Veiligheid, is door cybercriminelen gehackt. Hierbij is vertrouwelijke communicatie gestolen. Hackersgroep Lockbit eist losgeld en heeft in ieder geval al een deel van de data laten uitlekken.

Het bedrijf levert onder meer technologie voor het C2000-netwerk, schrijft de Volkskrant. Dit netwerk wordt als kritieke infrastructuur gezien en is het communicatienetwerk waar onder meer de politie, ambulance en brandweer gebruik van maken. Onder de gepubliceerde documenten vallen details van apparatuur die bij politie- en defensieonderdelen is geplaatst, maar ook facturen aan de politie van meer dan een miljoen euro, persoonsgegevens van leidinggevenden, paspoortkopieën en meerdere overeenkomsten met buitenlandse overheden en bedrijven. Abiom levert in Nederland aan onder meer veiligheidsregio's, ziekenhuizen, de Belastingdienst en de marine.

In totaal hebben de aanvallers 39.000 interne documenten gestolen, een deel hiervan hebben ze op een openbare site geplaatst. De krant meldt dat Lockbit achter de aanval zit; deze groep viel eerder ict-leverancier Accenture aan met een ransomwareaanval. Het lijkt ook bij Abiom om een ransomwareaanval te gaan. Lockbit heeft in ieder geval losgeld geëist, volgens de krant lijkt het er door het uitlekken van de data op dat Abiom hier nog niet op in is gegaan. Dit bedrijf was volgens de Volkskrant niet bereikbaar voor een reactie.

Reacties (126)

[Luchtbakker]

Ik gok door een ransomware aanval dat 2 november heeft plaatsgevonden. Heb sinds 2 november de mail al in mijn mailbox.

Aan de relaties van Abiom

Onderwerp: Informatie rondom ransomware aanval

2 november 2021

Beste relatie,

Abiom is dit weekend getroffen door een ransomware aanval en wij informeren u graag over de stand van zaken. Wij vinden het van belang om stakeholders direct en transparant te informeren over dit incident, u ontvangt deze mail vanuit de centrale holding welke geen onderdeel uitmaakt van de getroffen ICT omgeving van Abiom.

Nadat de eerste problemen met de ontvangst en het verzenden van e-mail werden vastgesteld is direct actie ondernomen. Conform ons beveiligingsprotocol zijn direct alle verbindingen met internet verbroken. Dit impliceert dat thans geen mail kan worden ontvangen en kan worden verzonden. Wij verzoeken u tot nader order het volgende mailadres te gebruiken: [e-mail], vanuit deze mailbox zullen wij de mail verder op een veilige manier verdelen. Voor onze 24/7 service zijn reeds noodmaatregelen opgestart waardoor de service gegarandeerd blijft. Vanzelfsprekend zijn de voor u bekende contactpersonen ook telefonisch bereikbaar. Wij doen er alles aan om de impact van deze aanval tot een minimum te beperken.

Abiom laat zich in deze kwestie bijstaan door een team van specialisten van FOX-IT en team cybercrime van de Politie. Inmiddels is forensisch onderzoek opgestart om vast te stellen wat de impact van de aanval is. Uit onderzoek is gebleken dat vooralsnog een klein deel van onze bestanden getroffen is. Het snelle handelen heeft erger voorkomen. Nader onderzoek zal uitwijzen welke gegevens exact gecompromitteerd zijn, indien het gegevens betreffen over uw organisatie dan zullen wij u hierover informeren. De onderzoeken gaan door, wij verwachten woensdag 3 november een compleet overzicht en een uitkomst van het onderzoek. Deze resultaten zijn bepalend voor het weer opstarten van onze ICT-omgeving.

Ook kijken wij welke mitigerende maatregelen genomen kunnen worden. Onze systemen zijn up to date,
helaas geldt ook voor ons dat het niet de vraag is 'of', maar 'wanneer' het gebeurt, onze onderzoek partners bevestigen dit.
Mocht uit het verdere onderzoek blijken dat er ook data getroffen in relatie tot uw organisatie dan zullen wij u in overleg met onze onderzoekpartners hierover direct informeren. Zodra alle onderzoeken zijn afgerond en wij inzage hebben in de opstartprocedure van onze ICT omgeving infomeren wij u over onze bereikbaarheid.

Met vriendelijke groet,

Namens het directieteam

Bas de Grood

Frank Wessels

[fietser1997]

Niet om het een of ander. Maar naam en toenaam in een post. Misschien beter om die eruit te halen.

Kwestie privacy. Ik denk dat je dat zelf ook zo fijn zou vinden

[Luchtbakker]

Niet om het een of ander. Maar naam en toenaam in een post. Misschien beter om die eruit te halen.

Kwestie privacy. Ik denk dat je dat zelf ook zo fijn zou vinden

Het is een openbare mail, al kan ik zo even 1.2.3 de link niet meer vinden.
Ik zou niet weten waarom ik dan de namen weg moet filteren :-)

[DjCoke]

Omdat als men het uit hun openbare e-mail haalt, het dan moeilijker te vinden is, zoals je nu al moeite hebt om de openbare e-mail te vinden. Overigens lijkt het naar een specifieke club te zijn verzonden.
Het heeft verder ook geen toegevoegde (nieuws)waarde om die namen erin te laten, maar you do you, maar ik ben het driewerf eens met fietser...

[Vliegenier04]

Ik vraag me af wat mensen drijft om - naast het geld - alsnog deze documenten (die de kritieke structuur van ons land bevatten) te publiceren.

Lijkt me niet in het voordeel van de criminelen. Begrijp me niet verkeerd, deze mensen horen achter slot en grendel maar hiermee bedreig je niet alleen je medeburger maar ook jezelf.

[Reactie gewijzigd door Vliegenier04 op 23 juli 2024 03:13]

[Zodiac]

Maar het gaat ze weldegelijk om het geld in dit geval. Ze hebben een deel van de documenten gelekt om te bewijzen aan de rest van de wereld dat ze inderdaad zijn binnengedrongen, zodat het slachtoffer niet kan doen alsof de neus bloed en een back-up terugzet.

(Als ze al back-ups hebben, want de vorige ICT-club die slachtoffer was had er geen...)

[xxxneoxxx]

In geval van randsomeware is backups helaas relatief. Je kan best backups hebben, maar als die ook gerandsomewared zijn dan wordt het toch opeens een heel andere discussie helaas.

Ik vermoed ook dat de meeste bedrijven wel gewoon overstag gaan bij een zware infectie om eerlijk te zijn. Dan komt snel een kosten/baten analyse voorbij en als die positief uitvalt richting gewoon betalen, dan zal dat ook gewoon gebeuren.

[Sundog]

Ik vermoed ook dat de meeste bedrijven wel gewoon overstag gaan bij een zware infectie om eerlijk te zijn.
Dan komt snel een kosten/baten analyse voorbij en als die positief uitvalt richting gewoon betalen, dan zal dat ook gewoon gebeuren.

Maar hoe maak je die analyse vraag ik me dan af.
Lijkt mij dat er veel meer factoren zijn dan een eenvoudige afweging tussen 'kosten zelf systemen en bestanden toegankelijk maken' vs 'hoogte losgeld en ontsleutelen'. Wat weeg je mee?

Wat krijgt men als je betaald? Alleen een code om bestanden te ontsleutelen? Is daarmee het probleem opgelost en zijn bestanden en systemen weer 'veilig'? Vertrouwt men erop dat de malware dan ook weg is? Hoe bewijs je aan organisaties waarmee je ICT connecties hebt dat je organisatie weer malware vrij is?

(Ik ben geen security expert dus het is een oprechte vraag.)

[xxxneoxxx]

Ik denk dat die lastig te beantwoorden is, zeker die laatste vragen. Die eerste zijn denk ik vrij eenvoudig te beantwoorden als je de vraag simpel maakt. Ik vermoed dat een beetje bedrijf wel weet wat het per uur kost om niet te kunnen produceren. Zet dat tegenover je RTO..

Veilig zijn je systemen sowieso niet, en "veilig" als concept kunnen we denk ik laten varen. Heel de ICT hangt aan elkaar met een afweging tussen uptime en patchen. Zet je de achterdeur helemaal dicht dan vind iemand langs de voordeur wel ergens een manier om binnen te komen. Wil je alles 100% veilig hebben dan ben je volcontinue aan het patchen en dat is voor de meeste bedrijven echt geen optie. Het enige wat je een beetje kan doen is denk ik damage control in het geval dat er iets is wat om zich heen grijpt. Proberen de schade te beperken als het zo ver is.

[GeroldM]

En helaas is dat continu patchen nog geen garantie dat je niet door ransomware word "besmet". Want patches kunnen alleen worden gemaakt voor bestaande/bekende veiligheidslekken. Voor 0-day veiligheidslekken zijn er (nog) geen patches.

Toegegeven, het maakt het wel een heel stuk moeilijker om een volledig gepatched systeem met ransomware te "besmetten".

Zelf maak ik incrementele en volledige backups. En ben daar al 10+ jaar geleden mee gestart. En die back-ups worden dus ook off-line opgeslagen. Ook geen 100% garantie, maar ik ben er zeker van dat ik het overgrote deel van mijn data zonder problemen terug kan zetten. Er is een aparte machine die alleen word ingeschakeld en aan het netwerk gekoppeld, wanneer het tijd is om deze backups te testen.

Tot op heden heb ik daar geen problemen mee ondervonden. Het kost allemaal echter wel tijd (en hardware), en dus geld. Maar nooit zoveel als een ransom.

Daarnaast, als je 1 keer bent aangevallen, wat let dezelfde groep (of andere groepen) om opnieuw je systemen te "besmetten"? En opnieuw een ransom te moeten betalen?

Backups zijn wat dat betreft vergelijkbaar met bomen. De beste tijd om een boom te planten was 20 jaar geleden. De op-één-na beste tijd is nu.

[BeRambo]

Groeperingen die dergelijke aanvallen uitvoeren zullen vaak zelf de overweging al maken of een bedrijf het dat waard vindt. Dat maakt voor hen natuurlijk de kans ook veel groter dat ze het effectief zullen krijgen. Antwoorden op de laatste vragen zijn echter moeilijk te beantwoorden, een garantie dat alles echt veilig is heb je natuurlijk nooit. Er staan regelmatig backdoors open bij bedrijven waardoor criminelen binnen kunnen komen, zonder dat het bedrijf dit nog maar door heeft. Ik denk dat er bij betaling vooral wordt uit gegaan van goed vertrouwen, want je kan de groepering die je losgeld vroeg toch niets meer maken gezien ze onbekend zijn. Anders kon je ze ook in 1 keer voor de rechter slepen.

[Triblade_8472]

Je kan backup tapes niet besmetten.
Ze zijn airgapped in een kluis.

Data van een tape afhalen kan prima zonder enige ransomware omdat dit niet in een document zit. Je hoeft niet een complete vm terug te zetten, gewoon databases en documenten is voldoende. Wellicht offline templates om alles vanuit een DR te herstellen.

Bucket, s3, 'hardened repositories', cloud or whatever daarentegen... Die kunnen prima lockered worden en dan is wel alles klaar.

Dus tape is de enige manier om écht veilig te zijn. Nog steeds. (En disks maar die zijn minder betrouwbaar)

Backups met ransomware is een fabel van mensen die graag online/cloud backup willen verkopen. Cloud is gewoon veel vatbaarder en tapes niet. De host van cloud kan je ook besmetten, offline tapes écht niet.

[xxxneoxxx]

Ik vrees dat je buiten allicht wat MKB inmiddels hard moet zoeken naar tape backups. Een jaar of 10 geleden had ik je keihard gelijk gegeven, tegenwoordig is dat toch echt geen werkbare optie meer voor de meeste bedrijven vrees ik.

[Triblade_8472]

Werkbaar is een kwestie van geld. Het is de enige echte optie voor airgapped kwaliteit backup.

Dat men het niet wil betalen... Tja.

Daar zijn normeringen voor die men niet volgt

[xxxneoxxx]

Normeringen? Zoals? Als jij mij op een ISO norm kan wijzen die stelt dat je verplicht bent airgapped backups te hebben als bedrijf dan hou ik mij aanbevolen.
Dat sommige dingen allicht verstandig zijn is 1, maar dat maakt het nog geen norm, standaard of verplichting.

[Triblade_8472]

Normeringen stellen verplicht backups te hebben die goed genoeg zijn voor jouw bedrijf.

Bijvoorbeeld een eenmans zaak die deurbellen in elkaar schroeft heeft veel mindere backup behoefte dan een overheidorgaan of een bank.

Een bank zal naar mijn mening altijd airgapped tapes moeten hebben voor de (backend banking software en) de databases met rekeningen.

Ik moet er niet aan denken dat de ING gehacked wordt en zij met de billen bloot moeten omdat hun cloud backup óók gelocked is. En dan moeten ze natuurlijk weer betalen.

Met tapes is dat nooit meer nodig, dat werkt gegarandeerd.

[Robbedem]

IMHO zou er een belasting van 100% (of zelfs meer) moeten komen op losgeld dat betaald wordt.
Immers is de kosten baten analyse anders te snel in het voordeel van het bedrijf, maar in het nadeel van de maatschappij.
Immers wordt op deze manier criminaliteit gesponsord waardoor deze meer mensen/kennis/technologie kunnen vergaren en andere bedrijven schaden.

[xxxneoxxx]

Is wel een beetje.. Symptoombestrijding. Vrees ik. Ik snap je gedachtegang maar helaas loopt het in de praktijk vaak anders.

[Robbedem]

Het zou uiteraard nog beter zijn moesten bedrijven hun beveiliging zeer goed op orde hebben en moest politie/justitie bekwaam zijn en de middelen hebben om deze criminaliteit effectief te bestrijden.

Maar voor een stuk is het ook een rekensom die bedrijven maken:
kosten investeren beveiliging vs functie van kosten en kans bij cyberinbraak
Als de laatste kost omhoog gaat (door bijvoorbeeld een belasting), dan gaat in principe de beveiliging ook verbeteren.

[xxxneoxxx]

..of wordt er meer rekening gehouden met dat het eindbedrag hoger uitvalt. Want 'dat zijn maar eenmalige kosten', terwijl een investering in betere ICT spullen/personeel meestal niet eenmalig zijn. Onderschat de zuinigheid van veel Nederlandse bedrijven niet.

[Jerie]

In geval van randsomeware is backups helaas relatief. Je kan best backups hebben, maar als die ook gerandsomewared zijn dan wordt het toch opeens een heel andere discussie helaas.

Daar ben ik het niet mee eens.

Bij een goed backup beleid (3-2-1 regel) heb je altijd offsite data. Mogelijk is die deels out-of-date.

Je kunt overigens ook een backup systeem zo instellen dat backups niet overschreven kunnen worden, maar wel nieuwe data kan worden aangeleverd. Als je backup systeem dan veilig is, dan kan men er niet bij, en is zelfs je online backup veilig.

[Reactie gewijzigd door Jerie op 23 juli 2024 03:13]

[xxxneoxxx]

Een out of date backup is geen backup waar je wat aan hebt.

[Jerie]

Oud is relatief, net zoals waar je wat aan hebt.

[xxxneoxxx]

Is voor een thuisgebruiker inderdaad anders dan bij een groot bedrijf die op shared storage meerdere relationele databases heeft draaien, correct. Maar de ene is wel een target voor deze criminelen niet zo zeer. Als je een CIO van zo'n bedrijf gaat vragen wat de RPO is dan zal die als het even kan aangeven dat ie liever geen data verlies heeft. Als je vraagt hoeveel data verlies hij acceptabel vindt, blijft het al langer stil. Hoeveel data verlies acceptabel is bij de relationele databases, hoe lang scada systemen uit de lucht mogen zijn die kritische industriële automatisering aanstuurt.. Een SLA is leuk en handig als je een keer een systeem hebt wat het niet doet, maar die kan denk ik hard het raam uit als je halve infra opeens geransomewared is.

[Jerie]

Ik denk dat het verschil tussen geen offsite backup en eentje die een week oud is het verschil is tussen einde bedrijf en veel financiële schade (o.a. door verlies vertrouwen).

[tweaknico]

Ook al zou je verder kunnen gaan,....

Je MOET ALLE OS/SOFTWARE etc vervangen omdat je niet weet wat er waar geinfecteerd is... hetzet voor ransomware aanval V2.0 of achterdeurtjes voor toekomstige data lening.

Dus de sleutel terug krijgen is nog steeds een risico.....

[Vliegenier04]

En zelfs mét Back up's moeten ze een hele berg gaan vervangen, want ik ga er van uit dat er ook vertrouwelijke informatie zoals wachtwoorden e.d. is buitgemaakt.

.. persoonsgegevens van leidinggevenden, paspoortkopieën ...

Ook deze mensen moeten een nieuw paspoort aanvragen, als ze al niet worden bedreigd door criminelen (zoals bij de fruithandelaar)

[WPNL]

Wat heb je aan een backup als ze jouw gevoelige data gaan publiceren?

[wernervp]

De vraag is ook of losgeld betalen echt voorkomt dat je gevoelige data niet alsnog vrijgegeven wordt of zelfs verkocht.

Dus een backup terug kunnen zetten betekent in ieder geval dat je door kunt met je bedrijfsvoering en niet afhankelijk bent van het betalen van losgeld waarbij er geen enkele garantie is dat datgene waarvoor je losgeld betaald ook daadwerkelijk gebeurt.

[Keypunchie]

Lijkt me niet in het voordeel van de criminelen. Begrijp me niet verkeerd, deze mensen horen achter slot en grendel maar hiermee bedreig je niet alleen je medeburger maar ook jezelf.

Criminelen zijn heel vaak helemaal niet bezig met risico-afwegingen… anders zouden ze doorgaans hun misdaad niet begaan. (Ook een reden waarom het steeds strenger straffen door de NL rechter zich nauwelijks vertaalt in afgenomen criminaliteit).

Nog wel met “wordt ik gepakt?”. En tsja, die kans is laag.

[Frame164]

En zelfs als de pakkans veel groter is is dat voor veel criminelen geen reden om maar te stoppen. Hun hersens werken domweg anders dan bij "normale" mensen. Als die net zo zouden werken als bij ons zouden ze niet voor een paar duizend euro (of minder) iemand neerknallen. Dat zijn dingen die wij geeneens zouden doen met nul procent pakkans.

[Zer0]

Als die net zo zouden werken als bij ons zouden ze niet voor een paar duizend euro (of minder) iemand neerknallen.

Er zijn genoeg criminelen die die nooit zouden doen, of gedaan hebben. Criminelen zijn er in net zo veel verschillende vormen als "normale" mensen.

[Lagonas]

Hogere straffen zorgen nooit voor minder criminaliteit. Hogere straffen zorgt er enkel voor dat criminelen beter hun best doen onder de radar te blijven. Dat is al uit honderden studies gebleken.

[kakanox]

Natuurlijk wel. Als criminelen niet bezig waren met risico-afwegingen, dan had Ridouan Taghi nooit zo'n enorm imperium op kunnen bouwen. Het lukt ons nu net om 'm gevangen te houden, ondanks dat hij streng beveiligd zit. Of de veroordeling gaat lukken... het zal mij benieuwen.

Zo'n geoliede machine bouw je echt niet op enkel en alleen grof geweld. Daar zit serieus denkwerk achter, en niet alleen van de "onderwereld-CEO".

[Blokker_1999]

Waarom zou je geen risico afwegen als crimineel? De kans om gepakt te worden blijft ver onder de 100% dus er is een reële kans dat je er mee wegkomt.

En waarom strenger straffen geen zin heeft zijn al hele boeken over gevuld

[litebyte]

Waarom zou je geen risico afwegen als crimineel? De kans om gepakt te worden blijft ver onder de 100% dus er is een reële kans dat je er mee wegkomt.

Dan kan zo zijn in het eigen land. Maar mocht je een keer je zuur 'verdiende' geld willen opmaken aan allerhande luxe artikelen en/of reizen, dan lonkt vaak de westerse wereld. Dan zit kans op uitlevering er natuurlijk wel in...

En waarom strenger straffen geen zin heeft zijn al hele boeken over gevuld

Oh zeker wel, maar het heeft veel te maken met allerlei andere sociale en culturele factoren. In het westen klopt dat vaak inderdaad. Laat nu net veel van dit soort activiteitern niet vanuit westerse landen worden uitgevoerd.
In Azie en het midden-oosten zijn ze (en daar zijn al hele boeken over gevuld) een hele andere mening over toegedaan m.b.t. dat strenger straffen.

[tweaknico]

Als je voor alles de doodstraf voltrekt heb zeker geen last van recidive.

In Honk Kong was er (voor het China werd) een behoorlijk grote diefstal van luze auto's voor naar het vaste land. Daarvoor hadden ze snelle boten (je takelt een mercedes/bmw/... in het ruim, en gaat met 80-100 Km/u naar het chinese vaste land om een generaal, partijlid oid blij te maken.)
Als ze gepakt dreigden te worden vochten ze zich ongeveer dood omdat de weg naar een gevangenisstraf op vrijwel hetzelfde neer kwam.

Dus bij geweldadige repressie krijg je waarschijnlijk ook geweldadige arrestaties.

[Reactie gewijzigd door tweaknico op 23 juli 2024 03:13]

[litebyte]

Omdat ik HK redelijk goed ken (helaas niet dit verhaal) ken wel de HK smokkelverhalen naar China (voordat China HK overnam) en daar stonden zeer zware straffen op

M.b.t. wapenbezit laat staan wapengebruik (vuurwapen) is in HK uitermate zeldzaam...u raadt het al, vanwege ook de zeer zware straffen (voor China's overname en nu.)

Het heeft met zoveel factoren te maken dant streng/zeer streng straffen wel helpt, en ook niet.

[litebyte]

Het gaat om een ransomware aanval. Dus er zal wel (nog) niet (alles) betaald zijn.

[mrtl]

Deze data is schijnbaar dus minder waard dan het geëiste bedrag.

[litebyte]

Deze data, mogelijk. Misschien hebben ze nog meer, of al begrepen dat er dus niet betaald gaat worden.

[SunnieNL]

Dat weet je niet. Het kan ook een statement zijn van ons land dat wij niet onderhandelen met dit soort cybercriminelen en wel gaan kijken hoe we met dit probleem om gaan als het daadwerkelijk gepubliceerd wordt.

[MsG]

In dit soort gevallen zou het ook wel extreem naief zijn om te denken dat Defensie veilig zou zijn, met het afkopen van het uitlekken.Voor hetzelfde geld wordt achter de schermen die data alsnog een keer verkocht. Dat is voor Henk en Ingrid en hun gegijzelde vakantiefoto's veelal niet zo interessant, maar dit soort kritieke lands-infrastructuur zal wellicht nog wat op kunnen leveren bij bepaalde naties, of andere groeperingen.

[litebyte]

Inderdaad.
Ik kan me zo voorstellen dat bepaalde niet-westerse krachten geintereseerd zijn in wat voor soort defensiemateriaal. Terwijl westerse 'partners' best geintereseerd kunnen zijn ihkv concurrentie.

[rob12424]

De waarde van iets hangt af van hoeveel waarde de eigenaar er aan geeft.

Veel films laten mensen zien die gefolterd worden en niets los laten. Tegendeel is waar. In het echt als ze gepakt worden moeten ze even wachten en gewoon daarna zoveel mogelijk vertellen. Of info klopt of niet. Of info veel waard is of niet. Dat weet je gewoon niet! De tegenpartij weet dat dus ook niet.

[ikwilwp8]

De kans lijkt me zeer groot dat dit geen Nederlands staatsburgers zullen zijn.

[Iblies]

Grote kans dat deze leverancier Microsoft Windows gebruikt 🤔😄


In oa Z-Amerika wordt er een steeds grotere groep mensen actiever in dit soort aanvallen,
van w-afrika zijn ze al sinds oudsher actief met zogeheten 419-fraude/yahoo boys,
https://pointer.kro-ncrv....r-ruim-34-miljoen-euro-op
in azië wordt de groep ook steeds aanzienlijker waarbij jarenlang ook heel veel is uitbesteed. Oa India maar ook Filipijnen zijn favoriete locaties die verschillende bedrijven mondiaal van binnenuit kennen.


De illusie dat het mensen zijn die voor een staat werken kan achterwege worden gelaten,
deze mensen willen geld en leren langzaamaan de zwakkere plekken steeds beter kennen.

[B_FORCE]

Niet toevallig ook allemaal delen van de wereld waar zoiets überhaupt een stuk lucratiever is dan een gewone baan te nemen.

Dat is waarschijnlijk zelfs nog een flink understatement.

[Caelestis]

Volgens het geruchtenmolen is Lockbit een Chinese staatshacker groep omdat ze vanuit China opereren.

[janbaarda]

Ze laten zien dat ze de gestolen waar in bezit hebben. De meest gevoelige gegevens worden achter de hand gehouden.
Vergelijk het met het opsturen van een vinger i.g.v. kidnapping.

[smolders2007]

Misschien omdat:
1. Ze willen laten zien dat het kan en dus slecht beveiligd is
2. Niet iedereen pro overheid is, met name politie, justitie en ministerie van oorlog
3. Er toch wel iets mee te verdienen valt.

[Vliegenier04]

1. Ze willen laten zien dat het kan en dus slecht beveiligd is

Kijk, als het vanuit ethisch oogpunt is kan ik het nog begrijpen. Maar... Doe het dan 'goed' en geef het (desnoods) anoniem aan bij het bedrijf in kwestie.

2. Niet iedereen pro overheid is

Kan ik ook nog snappen, daar bestaat zoiets als de ombudsman voor. Los je problemen dan op de lieve weg #benice. Of is dat weer te naïef?

[Banath]

Motief ..... zou wel eens meer dan geld kunnen zijn.

[GijsTerBeek]

Wie zegt dat de hackers ook Nederlands zijn?

[Tostiii]

de waarheid over alles

[Uruk-Hai]

Criminaliteit is een vorm van grensoverschrijdend gedrag.

Criminelen kunnen zeer bewust grensoverschrijdend zijn, afhankelijk van hoeveel daar mee te winnen valt.

Ik heb verder het idee dat menig crimineel niet vies is van grensoverschrijdend gedrag dat in de buurt komt van een potje Russische roulette. Dat geeft een soort kick. Je ziet die fetish ook bij mensen mensen die levensgevaarlijke sporten beoefenen.

Live fast, die young... YOLO, dat soort mentaliteit... Zulke mensen heb je nu eenmaal. Iedereen is uniek. Daar valt volgens mij verder niet veel aan te begrijpen.

[Reactie gewijzigd door Uruk-Hai op 23 juli 2024 03:13]

[Anoniem: 1576590]

Waarom blijven organisaties paspoortscans digitaal opslaan?

Stop fotokopiën in een kluis bij PZ. Er wordt zelden naar gevraagd.

[Eusebius]

Ja, daar verbaasde ik me ook over. Gaat dit om scans door de politie (bij bv controle) of van politie? In beide gevallen geen idee wat een toeleverancier ermee moet.

[Anoniem: 1576590]

Elke werkgever is verplicht om van elke werknemer bij indiensttreding de identiteit grondig te controleren en een kopie van het identiteitsbewijs te maken (deze kopie hoeft nooit te worden vernieuwd).

Dit is nodig voor o.a. de belastingdienst (tegen zwartwerken) en arbeidsinspectie.

[Tgask]

Ik kan mij vergissen maar een kopie is niet "noodzakelijk", er worden wat gegevens gevraagd die toevallig allemaal op je ID staan en een kopie daarvan is "makkelijk".
Ik weet alleen niet exact wat de letter van de wet/regel zegt dus ik kan er naast zitten

[Anoniem: 1576590]

Je zit ernaast: een kopie (of scan) is vereist.

Dat is conform de wet op de loonbelasting art. 28, maar de tekst daarin leest niet zo lekker.

Een scan mag van de wetgever, maar (mijn advies) als je dat persé wilt, zet die dan op offline storage.

Online dataminimalisatie maakt je minder kwetsbaar voor criminelen uit landen met minimale pakkans.

Edit: URL was defect

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 03:13]

[Tgask]

Top dank je voor de correctie +1 (kan helaas niet op reacties).

Heb deze nog gevonden, leest wat makkelijker dan de wet.

[Jerie]

Er is nog wel meer gevoelige informatie die je niet electronisch online wilt hebben.

Organisaties van hoog naar laag (AIVD, MIVD, politie, maar ook gewone bedrijven van groot naar klein en belangrijk naar onbelangrijk) zullen hier mee aan de gang moeten. Moet alle informatie altijd ter beschikking zijn online? Of kun je ook even naar een beveiligde ruimte of kluis lopen, of iemand met autorisatie vragen dat te doen?

Zoals Bruce Schneier al zei: data is a toxic asset, so why not throw it out? (zie ook z'n boek Data and Goliath.

[Byron010]

Oprecht een vraag hoe je het dan zou doen als je als bedrijf ze wel regelmatig nodig hebt en collega's er makkelijk bij moeten kunnen. In een kluis stoppen is wellicht veilig maar totaal niet handig voor toegang en gebruik.

[Anoniem: 1576590]

Door Byron010:

Oprecht een vraag hoe je het dan zou doen als je als bedrijf ze wel regelmatig nodig hebt en collega's er makkelijk bij moeten kunnen. In een kluis stoppen is wellicht veilig maar totaal niet handig voor toegang en gebruik.

Waarom zou een technisch bedrijf als Abiom (met waarschijnlijk vooral vaste, gescreende, medewerkers) ze regelmatig nodig hebben?

(Bijv. bij aspergetelers kan ik me voorstellen dat er in het oogstseizoen vaker geïnspecteerd wordt, maar zelfs dan zie ik weinig bezwaar tegen fotokopiën).

En collega's moeten er al helemaal niet bij kunnen. Wat moet ik met jouw kopietje paspoort (anders dan misbruiken)?

Met een kopie van een identiteitsbewijs zou je geen identiteitsfraude moeten kunnen plegen, maar helaas is dat wel het geval (bijv. Vinted vereist een scan van het legitimatiebewijs; elke verkoper moet "bewijzen" dat hij/zij is wie hij/zij zegt te zijn en dus kunnen kopers van de bij Abiom gestolen scans zich nu voordoen als Abiom medewerkers).

[Byron010]

Het waarom een bedrijf als Abiom het nodig heeft kan ik niet beantwoorden, het gaat mij dan ook niet om dat bedrijf, en ook niet om interne paspoorten.

Laat ik een scenario schetsen zodat je begrijpt waar mijn vraag vandaan komt:
Een financieel bedrijf die zijn klanten moet kunnen verifieren, meerdere werknemers die de initiele verificatie kunnen doen en support werknemers die er toegang tot moeten hebben om bepaalde acties te kunnen doen voor de klanten (in combinatie met andere vormen van verificatie).

Hoe zou je dan aanraden om paspoort kopieen op te slaan?

[Anoniem: 1576590]

Door Byron010:

Laat ik een scenario schetsen zodat je begrijpt waar mijn vraag vandaan komt:
Een financieel bedrijf die zijn klanten moet kunnen verifieren, meerdere werknemers die de initiele verificatie kunnen doen en support werknemers die er toegang tot moeten hebben om bepaalde acties te kunnen doen voor de klanten (in combinatie met andere vormen van verificatie).

Hoe zou je dan aanraden om paspoort kopieen op te slaan?

Om te beginnen: een kopie van een identiteitsbewijs is net zoveel waard als een kopie van een bankbiljet: niets. De echtheidskenmerken ontbreken.

Helaas zijn er toch zeer veel partijen die een kopietje-paspoort vereisen ter authenticatie (bewijzen dat de verstrekker de rechtmatige eigenaar is). Zodra zij (of hackers) zo'n kopie in handen hebben, kunnen ook zij zich voordoen als de persoon beschreven op het identiteitsbewijs.

Daaarnaast zijn gegevens op een identiteitsbewijs ongeschikt voor online authenticatie als je weet dat er mensen zijn die misbruik maken van dit systeem. En dat gebeurt. Want die gegevens zijn niet geheim te houden (ook BSN niet).

Als je als (financieel) bedrijf jouw klanten met het risico van identiteitsfraude wilt opzadelen (en wellicht dat risico ruimhartig overneemt bij incidenten), hoor je op z'n minst dataminimalisatie toe te passen.

Dat kan door medewerkers uitsluitend toegang te geven tot gegevens die zij nodig hebben ter (zwakke) verificatie. Bijvoorbeeld, als het om baliemedewerkers gaat, een kopie van de pasfoto (niet het hele ID-bewijs) bij het rekeningnummer; telefonische supportmedewerkers hebben geen foto nodig.

Meestal is het veiliger om de klant te laten inloggen ter authenticatie, maar dat kan wellicht niet altijd.

[Byron010]

Dankje voor het uitgebreide antwoord!

[Anoniem: 1576590]

Graag gedaan!

Aanvulling: naast dat echtheidskenmerken ontbreken op een kopie, is een legitimatiebewijs bedoeld om een persoon in levenden lijve te authenticeren.

Pixels (foto/film) zijn daar geen betrouwbare vervanger voor (naast het probleem van die ontbrekende echtheidskenmerken van de kopie van het legitimatiebewijs, wat een 100% kopie van een kopie kan zijn).

[OMX2000]

“Eist losgeld” van defensie? Hmmm, als ze dat lukt zegt dat wat over onze defensie. Enige wat in mijn hoofd opkomt is “hunt them down”!

[Vliegenier04]

Ja, maar vanuit strategisch oogpunt kan je eerst betalen, dan ze opsporen en het geld terughalen (indien mogelijk).

De defensie is ook maar "een bedrijf". Net zoals de lokale supermarkt. En daar werken gewoon mensen, die vatbaar zijn voor invloeden van buitenaf.

Hmmm, als ze dat lukt zegt dat wat over onze defensie.

Imho, dat zegt niet veel over de defensie. Het is een externe partner die is geraakt, laten zij het dan ook oplossen?

[OMX2000]

Natuurlijk wel! Ook als is het een externe partner dan hoort Defensie toch te weten wie er met welke data aan de haal gaat, en daar dus strenge eisen aan te stellen. Tenzij wij de consequenties acceptabel vinden. 100% waterdicht is moeilijk dat geef ik ook meteen toe, maar dit lijkt me een gevalletje onzorgvuldig omgaan met data.

[J_van_Ekris]

Een leverancier van Defensie. Je moet maar afwachten of je dit soort aanvallers ooit gaat terugvinden, met een beetje pech zitten ze ergens in het voormalige oostblok en heeft de opsporing geen enkele prioriteit voor de lokale overheid.

Maar de vraag of de MIVD of AIVD offensief mogen optreden tegen dit soort clubs is wel ineens een actuele.

[nst6ldr]

Oeh zou het een vooropgezet plan zijn om één of andere wet erdoorheen te krijgen .. Heel Interessant

Rustig aan Lange Frans, het is allemaal niet zo spannend als het lijkt.

De bovenstaande partijen - waaronder Defensie - hebben heel veel leveranciers. Bedrijven die zaken doen met Defensie moeten voldoen aan de ABDO, als mocht blijken dat ze daarin tekort hebben geschoten dan loopt de rekening nog veel verder op.

Voor wat betreft optreden MIVD of DefCERT: ik verwacht daar weinig van. Het is een leverancier, het zou niet misstaan om uit te zoeken om welke informatie het gaat, maar 'optreden' gaat wel heel ver natuurlijk. Als Volkswagen - leverancier van de bekende gestreepte patrouillewagens - een hack krijgt te verduren gaat de politie ook geen DSI inzetten om ze op te sporen.

[PerAspera]

Voor mij is er nog wel een verschil tussen het leveren van autos of kritieke digitale infrastructuur.

Nu weet ik niet genoeg van de defensie/AIVD/MIVD en wanneer deze offensief ingezet worden in dit soort casussen. Maar als we als Nederland toestaan dat leveranciers van kritieke infra worden aangevallen is dat niet een heel sterke positionering.

[TheVivaldi]

Een leverancier van Defensie. Je moet maar afwachten of je dit soort aanvallers ooit gaat terugvinden, met een beetje pech zitten ze ergens in het voormalige oostblok en heeft de opsporing geen enkele prioriteit voor de lokale overheid.

Ze hebben de afgelopen paar jaar anders aardig wat criminelen opgepakt daar, óók op internationaal verzoek. Het probleem is eerder dat ze het geld direct zullen wegsluizen, waardoor er geen losgeldterugbetaling/schadevergoeding meer mogelijk is.

[The Reeferman]

Als het goede hackers zijn dan is een eventueel spoor wat is terug te vinden een dwaalspoor.

[HKLM_]

Waarom zijn deze belangrijke zaken niet encrypted?

[SunnieNL]

Misschien zijn de data dat wel, maar is het via een pc of server buitgemaakt die zich al in de beveiligde zone bevind waarvoor de data wordt decrypt op het moment dat je het opvraagt.

[Z80]

Ongeacht of deze wel/niet encrypted zijn maakt dat niet meer uit indien de hacker diep in de systemen zijn doorgedrongen.
Deze documenten moeten ergens ook weer decrypted worden om leesbaar te worden voor de medewerker. Dus de sleutel is ergens beschikbaar. En dus ook voor de hacker die inmiddels controle heeft over alle data en systemen.

[Zjemm]

Het maakt echt niet veel uit hoor, als je een gericht doelwit bent komen ze toch wel binnen.
De vraag is hoe goed je het proces er om heen hebt ingericht, als je er van uit kan gaan dat je al gehackt bent. dus wat ga je doen, want is je herstel plan etc.

en natuurlijk, wat sla je wel en niet op. van kopieën opslaan van paspoorten is natuurlijk gewoon super suf. net zoals het opslaan van CC data bijvoorbeeld. En meestal ook helemaal niet nodig

[Polydeukes]

Het is een beetje off-topic, maar ik wil toch even reageren.
Ik ben het helemaal met je eens, dat paspoortkopieën en dergelijke helemaal niet 'onbeveiligd' opgeslagen moeten kunnen worden, maar helaas is de praktijk nou eenmaal een stuk weerbarstiger.

Ik werk in een grote organisatie waar de gegevens van 35K+ mensen worden verwerkt. Uiteraard hebben we alle benodigde processen vastgelegd en ingericht, systemen ingericht, beveiliging ingeregeld, alle servers, systemen en end-user-devices up-to-date, MFA voor inlog, checks and balances worden uitgevoerd, externe audits, controles, scholing, awareness-programma's, noem maar op. We doen er alles aan om zo veilig mogelijk te werken.

En wat blijkt: in de mailbox van een van de managementassistenten stonden mailtjes met kopieën van paspoorten van nieuwe medewerkers, en in haar Zakelijke OneDrive stonden Excellijsten met namen en adressen van werknemers voor de kerstkaarten, Excellijsten met privénummers voor de calamiteiten-bellijst, etc. De persoon in kwestie was zich volkomen onbewust van de gevaren/risico's. Ze vond het vooral handig omdat ze er zo snel over kon beschikken. In 'de systemen' was het allemaal omslachtig en tijdrovend.

Mijn punt: zo lang er mensen in je organisatie werken, en vooral mensen die minder IT/security-minded zijn, dan loop je een risico. Er hoeft maar 1 zwakke schakel in de gehele keten te zitten, en je gaat nat.

[Zjemm]

Precies, dat zeg ik. Het gaat gewoon geheid mis. Dat moet gewoon het uitgangspunt zijn. Dus het is belangrijk hoe je het vandaar af in richt.

En het zou verboden moeten zijn om kopieën te maken van je ID. Een ID is alleen maar om je identiteit vast te stellen, niet om op te slaan. Daar zou dan iets anders voor bedacht moeten worden naar mijn idee.

[Polydeukes]

het zou verboden moeten zijn om kopieën te maken van je ID

Dat is helaas niet mogelijk. De werkgever moet namelijk een kopie kunnen maken.
En in coronatijd gaat dat natuurlijk allemaal digitaal en vooral via de mail (omdat nieuwe medewerkers nog geen account hebben en nergens kunnen inloggen, kip-ei-verhaal). Ik praat dat niet goed, maar dat is de pragmatische oplossing die dan lokaal bedacht wordt, en buiten de ingerichte processen om wordt uitgevoerd. Het is onmogelijk om daar goed zicht op te houden. Het enige wat je kan doen is mensen opvoeden en steeksproefgewijs controleren.

[Zjemm]

Niet mogelijk op dit moment. We kunnen daar toch wel andere oplossingen voor bedenken. Want waarom zou een werkgever een kopie ID moeten hebben überhaupt. Dat komt door regel/wet-geving. Maar vooral ook omdat we dat nou eenmal zo doen. (gewenning/vastgeroest gedrag)

En dat opslaan is een groter probleem dan de meeste denken.
Een kopie van een ID word zo maar op meerdere plekken opgeslagen zonder dat men het echt door heeft. Daar valt niet tegen op te werken met bewustwording.

Bijvoorbeeld alleen al scan to mail oplossingen.
Werkgever/organisatie maakt kopie, en het liefste digitaal. Dus bijvoorbeeld met scan to mail.
Dan staat die kopie al op meerdere plekken. Namelijk in het geheugen/history van de scanner/printer.
In de send items van het de gebruikte mail account voor de koppeling. In de mailbox van de ontvanger & Op de mail server.. wellicht ook op de backup server.
Word de mail van deze gebruiker ook nog op een mobiel gelezen, staat de kopie ook op die mobiel.
oh, en is die mobiel ook nog gekoppeld aan een backup oplossing in de cloud? staat het daar ook nog een keer.

Dan slaat de gebruiker deze mail of bijlage nog een keer lokaal (bijvoorbeeld standaard in de downloads folder) op om vervolgens op een netwerk schrijf op te slaan. En met een beetje pech word de mail met bijlage ook nog een keer geforward naar iemand anders waar het hele riedeltje zich herhaalt.

[Reactie gewijzigd door Zjemm op 23 juli 2024 03:13]

[Polydeukes]

Natuurlijk zijn daar oplossingen voor te bedenken. Bijvoorbeeld door gebruik te maken van Digi-D of iDIN.

Het punt is alleen dat je hiermee niet voorkomt dat men olifantenpaadjes bewandelt. De mens blijft linksom of rechtsom de zwakste schakel. Het blijft daarom op sommige plekken in je organisatie altijd dweilen met de kraan open. De vraag is alleen hoe ver de kraan open staat, en of je met dweilen alles opt tijd opgeruimd krijgt, zodat niemand over de plas uitgleidt of er zelfs in verdrinkt.

[Anoniem: 1028301]

Wat is er mis om een kopie van id op papier te hebben, zoals voor de digitalisering?
Gewoon in een klapper in de kast.

[Zjemm]

digitaal of op papier, maakt toch niets uit.
Waarom zou dat moeten, daar is een ID niet voor. Een ID is een uniek iets om je ID mee te kunnen aantonen. Niet om te kopiëren

[Anoniem: 1028301]

De wetgever eist dat, of het ergens voor nodig is of niet.

[hackerhater]

Privacy gevoelige informatie buiten beveiligde systemen trekken en in onveilige plekken neerzetten.
Dat lijkt me toch voer voor ontslag op staande voet?

[Groningerkoek]

Ligt aan veel dingen of je hiervoor kunt ontslaan op staande voet, zoals bijvoorbeeld voorlichting/instructie aan werknemer, bedrijfscultuur, bedrijfsreglement. Ik haal bijvoorbeeld dit uit de post:

"mailtjes met kopieën van paspoorten van nieuwe medewerkers"
Wie verstuurde deze mailtjes? en waarom gaan er mails rond met dergelijke kopieën? Is werknemer duidelijk geïnstrueerd om dit te verwijderen?

"De persoon in kwestie was zich volkomen onbewust van de gevaren/risico's."
Dan liet voorlichting te wensen over. (Of werknemer begreep er zelf echt helemaal niets van)

"In 'de systemen' was het allemaal omslachtig en tijdrovend"
Als dit inderdaad te omslachtig en tijdrovend is dan werk je dit soort methoden helaas in de hand.

Ik denk niet dat je hiermee wegkomt met ontslag op staande voet, daarvoor moet je echt hele goede redenen hebben en dient de schuld volledig bij werknemer te liggen.

[hackerhater]

Dat ligt eraan wat er in het contract, personeelshandboek e.d. staat.
Als daar dingen over staan over dat dit absoluut niet mag, ja dan is dit voer voor ontslag op staande voet.

Of als ze hier al eerder voor gewaarschuwd is dat het niet mag.
Die mailtjes zijn helaas vaste kost nu met Covid-19
Maar gevoelig spul als dat in je mail laten staan......

[Reactie gewijzigd door hackerhater op 23 juli 2024 03:13]

[Groningerkoek]

Eerdere waarschuwingen voor ditzelfde maakt het ontslag gemakkelijk, maar alleen een vermelding in bijvoorbeeld het handboek niet, daar is echt meer voor nodig.

Dat het dom is om dit soort mailtjes te bewaren daar is geen twijfel over, maar dom zijn komt vaak voort uit gebrek aan kennis en ontslag op staande voet is vooral voor gedragingen die bewust gemaakt worden.

Natuurlijk ken ik de exacte situatie niet in dit geval, maar ontslag op staande voet is echt niet zo gemakkelijk.

[Polydeukes]

"mailtjes met kopieën van paspoorten van nieuwe medewerkers"
Wie verstuurde deze mailtjes? en waarom gaan er mails rond met dergelijke kopieën? Is werknemer duidelijk geïnstrueerd om dit te verwijderen?

Door corona werden nieuwe medewerkers verzocht een kopie per mail te versturen. Normaliter gebeurt dit op locatie (fysieke controle vóór het tekenen van het arbeidscontract) en wordt de kopie direct in het P-dossier opgeslagen

"De persoon in kwestie was zich volkomen onbewust van de gevaren/risico's."
Dan liet voorlichting te wensen over. (Of werknemer begreep er zelf echt helemaal niets van)

Geloof, me aan de voorlichting ligt het niet. Het is gelukkig een uitzondering, maar de persoon in kwestie was gewoon naïef en vond wat ze deed zelf niet risicovol.

"In 'de systemen' was het allemaal omslachtig en tijdrovend"
Als dit inderdaad te omslachtig en tijdrovend is dan werk je dit soort methoden helaas in de hand

"Omslachtig en tijdrovend" is een subjectieve beleving. Inloggen met MFA vinden sommigen ingewikkeld en tijdrovend, een export draaien uit een P-systeem vinden sommigen omslachtig, niet over p-gegevens kunnen beschikken ivm privacy vinden sommigen onhandig ("ik wil alleen maar een beterschapskaart sturen, waarom mag ik het adres niet?")

Dus ik begrijp je commentaart, echter: welkom in een wereld met echte mensen. Niet iedereen is zich bewust van de risico's van eigen gedrag, niet iedereen ziet de gevaren, niet iedereen kan nieuwe (IT-)vaardigheden snel oppikken en leren, niet iedereen wil (mee)veranderen. 80% van je tijd en energie gaat zitten in 20% van de collega's die meemoeten met de tijd.

[Groningerkoek]

Mijn reactie was ook vooral om aan te geven dat ontslag op staande voet nog niet zo simpel is, en ik had in een andere post al aangegeven dat ik jullie situatie niet kende.

En omslachtig is inderdaad subjectief, en dat beterschapskaartje tsja... Ik heb ooit bij een werkgever gezeten gezeten met rond de 400 man personeel waar ieder nieuw lid met volledige naam, adres, telefoon en foto in het personeelsblaadje terecht kwam

[Andy Wachelder]

Zolang dit soort organisaties hun data zo slecht beschermen hoeven we ons niet druk te maken over mogelijke spionage-chips... Als de voordeursleutel onder de bloempot ligt maakt het niet uit of de achterdeur wel of niet op de knip is.

[Eonfge]

The only thing that saves us from the bureaucracy is its inefficiency.

- Eugene McCarthy

Als ik zo trouwens door de lijst van gelekte documenten gaat, dan zouden sommige niet eens geheim moeten zijn. Als het C2000 systeem alleen maar veilig is omdat de tekeningen niet op straat liggen, dan is het een zwak systeem.

Het kapen van alle vertrouwelijke persoonsgegevens is trouwens het ergst, want dat is data die je niet meer kunt 'fixen'. Dit zelfde gebeurde in de VS in 2015 en daarmee zijn alle mogelijke overheidsmedewerkers een stuk beter afpersbaar geworden. Dit zelfde probleem is natuurlijk nu in Nederland het geval. Deze gegevens zullen vol van 'bijzondere persoonsgegevens' staan met nogal wat ongemakkelijke details; Gok schulden, bezoeken aan sekswerkers, homoseksuele uitingen, en meer van dat soort dingen zijn goud waard voor vijandige inlichtingendiensten.

[Reactie gewijzigd door Eonfge op 23 juli 2024 03:13]

[moepie]

Of het is een goed geoutilleerde ransomware group gebacked door een state actor. Dit soort groepen zijn echt geen pubereenlingen op zolderkamers.

[S1W]

Want dit externe bedrijf (Abiom ICT) is volgens jou de overheid? Prachtig altijd die reacties van IT-ers uit het bedrijfsleven die 9 van de 10 keer zelf worden ingehuurd om beveiliging te organiseren en dus deze fiasco's veroorzaken...

[unclero]

Correctie: externe bedrijf (Abiom ICT) dat vooral produkten en oplossingen van andere externe leveranciers in staat te klikken / schroeven...

Ik kan u vertellen dat er heel wat IT-ers in Nederland nu een beetje onrustig in hun stoel zitten. En een aantal met een "told-ya-so" smug face, omdat ze wel geadviseerd hadden om X af te schermen en Y te implementeren, maar dat de sales manager zei dat de klant geen geld had voor Y, en X te omslachtig vond.

[moepie]

Eigenlijk wacht ik op het bericht over een aantal dronestrikes op hackersnesten.

Ransomware groepen blijken een slag gevaarlijker voor de veiligheid van ons land dan zeg pakweg een aantal random boeren in Afghanistan.

[Osiummaster]

Ja maar ransomware groepen hebben geen olie

[CAPSLOCK2000]

Want dit externe bedrijf (Abiom ICT) is volgens jou de overheid? Prachtig altijd die reacties van IT-ers uit het bedrijfsleven die 9 van de 10 keer zelf worden ingehuurd om beveiliging te organiseren en dus deze fiasco's veroorzaken...

Je hebt helemaal gelijk, maar Prodesk eigenlijk ook. De overheid heeft zelf maar weinig IT-kennis in huis. Net als in het bedrijfsleven wordt er zwaar ingezet op outsourcing. Daarbij huren ze dezelfde bedrijven in als iedereen en krijgen dezelfde resultaten. Het grootste verschil lijkt wel eens dat de fouten van de overheid allemaal in de krant komen.
Dat gebrek aan kennis speelt toch wel een rol ook al is dat niet unike voor de overheid. Want de markt is zo crappy omdat de meeste klanten daar effectief om vragen. Ze zeggen dat natuurlijk nooit nadrukkelijk maar als je 10 pagina's instructies krijgt over de kleuren van de huisstijl en dan 1 paragraaf over veiligheid dan wordt daar naar gewerkt.
En de meeste mensen komen niet veel verder dan "het moet natuurlijk ook veilig zijn". Dat is geen verwijt want mensen kunnen nu eenmaal niet in alles gespecialiseerd zijn. Het vervelende is dat er geen breedgedragen industriestandaard is voor beveiliging waar leken op kunnen vetrouwen. Er zijn natuurlijk wel standaarden, maar ik ben de ideale nog niet tegengekomen.
Ik zie vaak ISO27001 maar er wordt nogal overschat wat daar wel en niet in staat én hoeveel werk het is om het uit te voeren en bij te houden. Dat is een slechte combinatie want velen haken af nadat 1 onderdeel van de organisatie gecertificeerd is. Terwijl ze meer afdelingen zouden moeten doen en ook andere, diepgaandere, standaarden zouden moeten volgen.

Dat levert een duivels dilemma op. Leveranciers zouden veel moeten investeren in werk dat de meeste klanten nooit zien of waarderen en waar geen duidelijke standaard of eindpunt is. Concurrenten die dat niet doen zijn goedkoper en krijgen dus meer werk. En meestal gaat dat goed. En als het niet goed gaat dan heeft de klant meestal al betaalt en is de investering om een andere leverancier te zoeken te groot, zeker als dat net zo grote gok is of je nu wel veiligheid krijgt.
En eigenlijk is het nog lastiger omdat security geen momentopname is maar een langdurig proces waarin de interacties tussen applicaties minstens zo belangrijk zijn voor de veiligheid als de applicaties zelf. Als je alleen naar de onderdelen van het systeem kijkt en er van uit gaat dat die onderdelen veilig zijn dan heb je een enorme blinde vlek. Een goed overzicht hebben van het hele systeem en alle aannames en compromissen daarin is misschien wel het moeilijkste van IT-veiligheid en dat is het eerste wat je kwijt raakt als je gaat vertrouwen op externe kennis.

[unclero]

Leveranciers zouden veel moeten investeren in werk dat de meeste klanten nooit zien of waarderen en waar geen duidelijke standaard of eindpunt is. Concurrenten die dat niet doen zijn goedkoper en krijgen dus meer werk.

Ja, en nee. Nu doet u de aanname dat men bij politie en defensie aanbestedingen gunt op basis van een combinatie van prijs en bewezen competenties, en niet - ik noem maar iets geks - wie wie kent, en wie er aanwezig was op dat ene diner waar alle aanwezigen in rok hun rechter-oxfordjes op tafel zetten en daarbij hun rode sokken toonden.
Daar komt nog bij dat bij zowel politie als defensie projecten en definities nogal fluïde zijn omdat, bijvoorbeeld:

• ...een hogere officier langs komt en even op de strepen gaat staan om X of Y nu op te leveren of uit te rollen.
• ...product-ownership en issue-ownership door schuivende functionarissen nooit vast ligt, omdat in een project van 5 jaar misschien wel 10 verschillende product-owners de revue passeren om even later door te schuiven in functie of rang.

[Anoniem: 1576590]

CAPSLOCK2000 schreef o.a.:

Ik zie vaak ISO27001 maar er wordt nogal overschat wat daar wel en niet in staat én hoeveel werk het is om het uit te voeren en bij te houden.

Klopt. Als je ISO 27001 goed wil doen is de vertaling van de generieke eisen naar praktijkmaatregelen een gigantische klus (weet ik uit ervaring).

Nergens in ISO 2700x staat bijvoorbeeld: "in een Microsoft omgeving gebruik je LAPS of equivalent om lateral momement te helpen voorkomen". Een maatregel die theoretisch volgend jaar achterhaald zou kunnen zijn: je bent inderdaad nooit klaar.

Concurrenten die dat niet doen zijn goedkoper en krijgen dus meer werk.

Dat is zeker vaak een issue, maar bedrijven als Abiom bedienen een nichemarkt. Als er betrouwbare beveiligings-certificeringen zouden bestaan, zou je die als klant moeten eisen.

Een goed overzicht hebben van het hele systeem en alle aannames en compromissen daarin is misschien wel het moeilijkste van IT-veiligheid en dat is het eerste wat je kwijt raakt als je gaat vertrouwen op externe kennis.

Ja, maar zelfs als je een redelijk overzicht van je assets hebt, denk ik dat je ICT-beveiliging nooit redelijk en betaalbaar voor elkaar kunt krijgen bij de complexiteit van bergen legacy-meuk gemixt met allerlei cloudoplossingen, BYOD en thuiswerkers (zoals gebruikelijk in de gemiddelde hedendaagse MKB ICT-omgeving).

Het aanvalsoppervlak is dan gigantisch en dus kost zinvol beveiligen veel te veel geld (nog los van managers die denken dat "cloud" betekent dat de leverancier voor alle beheer en beveiliging zorgt).

We bewaren alles online (stel dat een collega het ooit nodig heeft, dus iedereen mag erbij) want opslag kost bijna niks. En opruimen kost meer tijd naarmate de berg groter wordt; vaak is er geen beginnen meer aan.

In zo'n context ISO 27001 goed implementeren is ondoenlijk. En mocht een auditor jouw ISMS goedkeuren, is het de vraag wat dat waard is.

We hebben m.i. behoefte aan minder complexe ICT-omgevingen. En aan beveiligings-certificeringen die dat meewegen maar ook in hoeverre data minimalisatie (incl. data lifecycle management) is geïmplementeerd.

P.S. ik ben zelf ook slecht in weggooien, dus ik begrijp het wel.

[CAPSLOCK2000]

Dat is zeker vaak een issue, maar bedrijven als Abiom bedienen een nichemarkt. Als er betrouwbare beveiligings-certificeringen zouden bestaan, zou je die als klant moeten eisen.

Dat is een beetje het lastige punt, klanten weten niet waar ze om moeten vragen. Er is geen kant en klare checklist of algemene standaard waar iedereen op terug kan vallen voor een zeker basis niveau. Nou ja, standaarden genoeg in deze wereld maar als de doelgroep die niet kent heb je er niks aan. Maar om te weten wat je dan wel moet vragen kost een grote investering in IT-kennis terwijl de hele outsource beweging er juist is om die kennis niet te hoeven hebben.

Ja, maar zelfs als je een redelijk overzicht van je assets hebt, denk ik dat je ICT-beveiliging nooit redelijk en betaalbaar voor elkaar kunt krijgen bij de complexiteit van bergen legacy-meuk gemixt met allerlei cloudoplossingen, BYOD en thuiswerkers (zoals gebruikelijk in de gemiddelde hedendaagse MKB ICT-omgeving).

Dat klopt, je doet wat je kan. De vervelende valkuil van IT is dat niemand het kan betalen om het goed te doen (met een paar uitzonderingen voor techreuzen als Google). Ieder normaal bedrijf heeft een IT-omgeving die eigenlijk niet voldoet en eigenlijk niet veilig genoeg is (ik besef dat dit zeer relatief is).

Het aanvalsoppervlak is dan gigantisch en dus kost zinvol beveiligen veel te veel geld (nog los van managers die denken dat "cloud" betekent dat de leverancier voor alle beheer en beveiliging zorgt).

Goeie, dat is inderdaad ook deel van het probleem. Een van mijn stokpaardjes is dat men het verschil niet ziet tussen "cloud" en "uitbesteden" en dat ze geen idee hebben wat ze nu eigenlijk wel en niet krijgen. De aanname is meestal dat de nieuwe werkwijze goedkoper is, maar in mijn ervaring is dat vaak toch niet omdat er niet goed gebruik wordt gemaakt van de nieuwe mogelijkheden. Het typische voorbeeld is iemand die z'n 2 redundante servers met 128G RAM ieder naar de cloud verplaatst en dan ook twee instances wil met 128G RAM ieder hebben, in plaats van de software te herschrijven om slim gebruik te maken van de mogelijkheden van de cloud. Dat wordt een duur en vervelend traject.

We bewaren alles online (stel dat een collega het ooit nodig heeft, dus iedereen mag erbij) want opslag kost bijna niks. En opruimen kost meer tijd naarmate de berg groter wordt; vaak is er geen beginnen meer aan.

Een strategie is om al je data direct al een levensduur mee te geven en die na verloop van tijd automatisch te laten archiveren of verwijderen. Liefst natuurlijk met een 'grace period' zodat je data kan terughalen die te vroeg is verwijderd.

In zo'n context ISO 27001 goed implementeren is ondoenlijk. En mocht een auditor jouw ISMS goedkeuren, is het de vraag wat dat waard is.

Mooie, ik geloof dat ik hier nog wel een paar collega's mee op de kast kan jagen

We hebben m.i. behoefte aan minder complexe ICT-omgevingen. En aan beveiligings-certificeringen die dat meewegen maar ook in hoeverre data minimalisatie (incl. data lifecycle management) is geïmplementeerd.

Wijze woorden. Hoe minder je hebt hoe minder er stuk kan gaan en hoe makkelijker de omgeving te overzien is. Overal (ook buiten de IT) ontstaan de meeste problemen door communicatie en samenwerken, of het gebrek daar aan. Een van de redenen dat software zo lastig is, is dat er geen fysieke of ruimtelijke beperkingen zijn aan software. In je auto zal een probleem met je dakraam geen invloed hebben op remmen want die twee zitten niet bij elkaar in de buurt en hebben niks met elkaar te maken. In software zijn er niet dat soort natuurlijke scheidingen. Alle software zit in hetzelfde RAM en gebruikt dezelfde CPU en alle software kan in pricipe invloed hebben op alle andere software, de scheidingen zijn kunstmatige constructies.
Maar helaas werkt de markt niet zo, software wordt vooral verkocht op features en meer features is beter. Het KISS*-principe verliest het eigenlijk altijd van het BLINGBLING**-principe.

* Keep it Simpel
** Niks zo belangrijk als uiterlijk vertoon

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 03:13]

[Anoniem: 1576590]

We zijn het eens - vrees ik

[SunnieNL]

Beveiliging is nooit 100%. Daarnaast is dit een partij die zaken doet met de overheid en niet de overheid zelf. Ga er maar vanuit dat de overheid daar aardige strakke contracten mee heeft, gezien het ook gaat om defensie. Dat het bedrijf heeft daardoor nog wel een groter probleem dan deze documenten die mogelijk publiek kunnen komen.

[DrAMetElfeNd]

Een marktpartij vragen is blijkbaar ook geen garantie, als ik dit bericht zo lees...

[Myri]

Abiom, ict-leverancier van onder meer Defensie, ...

Wat lig je nou af te geven op de overheid? Dit is een ICT leverancier die projecten heeft in verschillende takken. Verder is het natuurlijk heel makkelijk om af te geven op de overheid, gegeven het enorme aantal projecten dat "de overheid" doet. Dat er daar een aantal mis-managed zijn twijfel ik niet aan, maar dat is bij bedrijven net hetzelfde... Alleen hoeven die er niet mee naar buiten te komen.

[Polydeukes]

Het verschil is wel dat de kritieke, hooggerubriceerde netwerken van Defensie niet rechtstreeks met internet verbonden zijn. De kans op een succesvolle aanval is daar een stuk kleiner (maar niet 0).
Blijkbaar heeft deze externe leverancier staatsgeheimen bewaard op 'gewone' pc's wat een zeer kwalijke zaak is. Dat er persoonsgegevens en contracten worden gelekt is natuurlijk ook niet goed, maar dat zijn geen staatsgeheimen. Technische informatie over onze kritieke infrastructuur is dat wel.

[mjtdevries]

Waar lees jij dat er staatsgeheimen bewaard werden op gewone pc's?

Dat er facturen buit gemaakt zijn is niet vreemd. Dat je op die facturen kunt zien welke modellen C2000 apparatuur er zijn geleverd is ook niet vreemd. Ja dan heb je "details van apparatuur die bij Politie en Defensie zijn geplaatst", maar dat zijn geen staats geheimen.

Is het mogelijk dat er ook echt gevoelige details zijn gelekt? Ja, dat is mogelijk, maar op basis van de huidige informatie kun je dat absoluut niet constateren.

[Nimja]

De cookie-wet was daar anders genoeg bewijs van

[henkdejong]

Werk al jaren als ICT'er bij de overheid maar ben nog nooit echt betrokken bij het maken van een wet..... :

[Reactie gewijzigd door henkdejong op 23 juli 2024 03:13]

[Bart ®]

Het gaat nu ook om een bedrijf.

[Anoniem: 25604]

Ik had geen zin om alle posts te lezen. Maar het valt me deze keer mee dat ik niet meteen van die posts heb gezien waarin wordt afgegeven op het slachtoffer en de hackers de hemel in worden geprezen met opmerkingen zoals: "Hadden ze maar dit moeten doen... hadden ze maar dat moeten hebben...", Hadden ze maar geen Windows moeten gebruiken, hadden ze maar geen mail naar buiten moeten toestaan..." bla bla... En als men het losgeld weigert te betalen... "Terecht dat de informatie op het darkweb is verkocht of is geopenbaard...".

[livePulse]

En dat voor een ICT-leverancier... die kan de tent wel sluiten.

[Myri]

Given enough time and money everything can be hacked...

Het is hoe je er als bedrijf mee omgaat. Als je kan aantonen dat je je zaken wel in orde had, maar mits a) of b) er toch een probleem is ontstaan, dan wil dat niet zeggen dat je per definitie afgeschreven bent.
Wees er open over naar de betrokken partijen, remedieer het probleem, analyseer wat er is gebeurd en onderneem verdere acties.

[livePulse]

Eens maar the damage is done. Dat krijg je nooit meer terug. Het is al een keer fout gegaan (ondanks dat je misschien a) en b) op orde had. Iets met "in het verleden behaalde resultaten bieden geen garantie voor de toekomst".

[Myri]

Tuurlijk niet, maar dat wil ook niet zeggen dat de tent onmiddellijk dicht moet/zal gaan...
Gelukkig maar. Fouten worden gemaakt, het is hoe je ermee omgaat.