Belgische regering wil strengere aanbestedingsregels om spionage tegen te gaan

De Belgische regering gaat strengere regels rondom aanbestedingen opstellen waardoor apparaten als scanners en camera's minder snel kunnen worden misbruikt voor spionage of hacks. Het gaat om apparaten die worden gebruikt in kritieke infrastructuur en door de overheid zelf.

De aanbestedingsregels worden strenger gemaakt door minister van Justitie Vincent van Quickenborne, schrijft de VRT. Het gaat om regels rondom de aanschaf van bijvoorbeeld beveiligingscamera's of scanners door de Belgische federale douane of bij overheidsdiensten. Die regels zijn opgesteld door de Staatsveiligheidsdienst, de Belgische tegenhanger van de Nederlandse AIVD.

Onder de nieuwe regels moet eerst een snelle scan worden uitgevoerd wanneer de overheid een aanbestedingsopdracht uitzet. Daarin moet worden gekeken of de opdracht, of onderdelen daarvan, een potentieel risico kunnen vormen voor de nationale veiligheid. Zo wordt er bijvoorbeeld gekeken of de opdracht valt onder de wet Defensie & Veiligheid, waarin staat wat er moet gebeuren bij leveringen aan militaire of andere gevoelige doelen, zoals die in kritieke infrastructuur. Als een opdracht daaronder valt, moet de overheid bedrijven uitsluiten die niet goed kunnen aantonen of verzamelde gegevens goed worden beschermd.

Dat betekent in de praktijk dat apparatuur uit China eerder wordt weggehouden bij aanbestedingen, al zegt de minister tegen De Tijd dat dat niet per definitie het geval is. Van Quickenborne waarschuwt dat 'elk Chinees bedrijf wel links met de Chinese overheid heeft' en dat de overheid daarom 'alert moet zijn'.

Reacties (52)

[CAPSLOCK2000]

Goed bezig daar want ik merk ik mijn eigen werk voortdurend dat mensen blind zijn voor security. Dat is geen onwil maar domweg niet het besef hebben dat security een rol speelt. Als er al aan gedacht wordt overziet men het probleem vaak niet goed.

Beveiligingscamera's zijn een mooi voorbeeld. Zo'n camera is gewoon een hele computer met een eigen CPU, OS en netwerkaansluiting. De meeste van die camera's draaien op antieke hardware met even antieke software. Als je eenmaal binnen bent kun je vanaf daar weer verder hacken.
De gemiddelde leverancier komt als je naar de veiligheid vraagt echter niet verder dan "de behuizing is van 5mm dik gehard staal" of "de software komt van een derde partij". Ik heb er een heel stel gecontroleerd en de meesten zijn om te janken zo slecht. Zelfs de beste zijn niet meer dan matig.

Maar zelfs als je de beste camera hebt dan zal je dat ding nog steeds veilig moeten controleren. Standaard staan ze wijd open, vaak is zelfs https niet ingeschakeld. Om zo'n apparaat veilig in te stellen (en bv van een geldig SSL-certificaat) te voorzien is een klus die je door IT moet laten doen. Niet door de monteur die het ding aan het plafond schroeft. Vervolgens moet je zo'n apparaat eigenlijk ook gaan beheren en regelmatig firmware updates installeren. Dat kun je al helemaal niet overlaten aan de monteur want die zie je nooit meer terug als de camera eenmaal hangt.

Discussies over veiligheid moet je met die monteurs ook niet voeren, dat is niet hun vak. Maar ook op een hoger niveau gaat het nog veel fout omdat men niet verder kijkt dan het apparaat zelf. "Op deze camera is alleen de parkeerplaats te zien, daar zit geen veiligheidsrisico aan hoor". Ondertussen hangt die camera wel in hetzelfde vlan als de server die de beelden opslaat en gebruikt ook hetzelfde wachtwoord als die server. De koper weet overigens niet eens dat het een server is, die heeft een "video storage unit" gekocht en beseft niet dat het eigenlijk gewoon een PC is die nog op Windows 7 draait of zo iets en nooit een patch heeft gehad.

En dan kun je je heel boos maken maar ondertussen is het hele budget al uitgegeven en dus zal je het maar moeten doen met die camera. Of slagboom. Of draaideur. Of oplader. Of koffieautomaat. Of printer. Of-noem-maar-iets-met-een-stekker.

De mensen die er over gaan missen gewoon zoveel achtergrond dat ze het hele probleem niet zien. Dat neem ik ze niet kwalijk want het probleem zit niet bij hun maar bij de opdrachtgevers. Vandaar dat ik het heel goed vind dat er voor aanschaf een snelle scan komt om vast te stellen of er security aspecten zijn.

Ook een lastig punt is dat 95% van de markt er zo uit ziet. De meeste producten zijn security-technisch gezien heel zwak. Als je beter wil zit je al snel in het meeste luxe segment en dat is verschrikkelijk duur en daar is typisch geen rekening voor in het budget. En als je al het beste spul koopt heb je er nog steeds een beheerder nodig die nóg duurder is.

[Reactie gewijzigd door CAPSLOCK2000 op 24 juli 2024 01:48]

[jpsch]

Veel is ook gedrag. Ik gooi papieren die te herleiden zijn naar mensen of bedrijven altijd door de shredder als ze niet meer nodig zijn. Ben een van de weinigen.

[FONfanatic]

Er is de Archiefwet die zoiets bij overheden verbiedt. Ook Rutte had niet zijn eigen SMSjes mogen wissen, die hadden eerst beoordeeld moeten worden op de geldende bewaartermijnen.

[Vlizzjeffrey]

Blijkbaar staat er geen straf op het overtreden van die wet, getuige Mark Rutte.

[jpsch]

a. ik werk niet bij de overheid
b. het zijn meestal printjes uit/van bestanden, originele bestanden zijn niet weg
c. facturen e.d. zijn ingescand en systemen zijn accoord gevonden door de belastingdienst

[Jerie]

Als je eenmaal binnen bent kun je vanaf daar weer verder hacken.

Eh, nee, als het goed is gaat dat niet lukken want ze hangen in een aparte VLAN. Al kun je natuurlijk wel meelezen met smartphones vanaf beveiligingscamera's.

(Je hebt wel gelijk dat beveiligscamera's vaak (Chinese) IoT prut zijn. Dat zouden we niet moeten willen...)

[CAPSLOCK2000]

Eh, nee, als het goed is gaat dat niet lukken want ze hangen in een aparte VLAN. Al kun je natuurlijk wel meelezen met smartphones vanaf beveiligingscamera's.

Hopelijk hangen ze inderdaad in een ander vlan. Hopelijk is dat vlan ook op netwerkniveau potdicht gezet. Maar de kans is groot dat het half openstaat omdat de app anders niet werkt omdat de camera niet met de server in China kan communiceren. De gemiddelde IT'er begint het dan te jeuken maar de afdeling Huisvestiging denkt niet zo, die willen dat hun dure camera's gewoon werken.

Als het vlan niet helemaal potdicht zit dan heb je in ieder geval al een voordeel omdat je binnen de ip-range van de organisatie zit. In de beste organisaties heb je daar niks aan maar er zijn er genoeg die rechten geven aan iedereen binnen het bedrijfsnetwerk en die er niet aan denken (of niet weten) een uitzondering te maken voor de range met camera's.

Met wat pech hangt zo'n camera ook nog eens aan de buitenkant van je gebouw in een eenzame hoek van het parkeerterrein. Als je de netwerkkabel er uit trekt (of tapt) zit je al binnen het netwerk zonder het gebouw ook maar te betreden.

[Jerie]

Ik heb het zelf opgelost door een enkele port te forwarden in de firewall. Of eigenlijk twee. Eentje voor SSH verbinding maken om de machine te updaten, en eentje om de stream door te laten. Dat is dan niet in een professionele setting maar privé (en dit is mijn werk ook niet).

Als je de netwerkkabel er uit trekt

Dit zou op moeten vallen in het SOC. Plus, de verbinding zou E2E versleuteld moeten zijn wanneer de ethernetkabel(s) fysiek eenvoudig te bereiken zijn. Plus ik zou toch liever hebben wired LAN dan WLAN gebruiken want WLAN is makkelijker te bereiken, en domme medewerkers zijn eenvoudig te MITMen.

[CAPSLOCK2000]

Ik heb het zelf opgelost
<knip>
Dit zou op moeten vallen in het SOC. Plus

Dat klopt allemaal, maar jij denkt als IT'er. Mijn punt is dat de afdeling die camera's ophangt waarschijnlijk niet zo denkt.

Voor de duidelijkheid, die camera's zijn maar een voorbeeld. Je kan hetzelfde zeggen over ieder stuk automatisering dat wordt uitgevoerd door mensen zonder IT-achtergrond.

Ik vind dat je die camera's (en andere apparaten) dus wel door IT moet laten verzorgen. Als ik dat zo uitleg zullen veel mensen dat met me eens zijn. Maar morgen kopen ze gewoon weer een digitale broodrooster met cloudintegratie en beseffen niet dat je daarmee dezelfde problemen hebben als met zo'n camera. Ze zien een broodrooster niet als computer.

Het is allemaal maar een voorbeeld he, ik zeg niet dat het overal zo is. Natuurlijk zijn er ook organisaties waar ze de boel wel op orde hebben.

[GoBieN-Be]

In mijn ervaring zijn firma's die alarmsystemen en camera bewaking plaatsen bij SME/KMO/MKB helemaal niet op de hoogte van enige netwerk security praktijken. VLAN's kennen ze niet en de firewall is gewoon een ambetant iets dat alles blokkeert.

En sommige camera's moet je nog steeds met Internet Explorer d.m.v. van een ActiveX bekijken. Andere browsers werken niet.

[Reactie gewijzigd door GoBieN-Be op 24 juli 2024 01:48]

[Jerie]

En ze komen hier mee weg... waarom? Hoe kan het zijn dat ze nog geen dikke rechtszaak aan de broek hebben hangen?

[GoBieN-Be]

Rechtzaak op grond van wat?
Dat zijn techniekers die op hun ladder staan en kabels trekken om de camera op te hangen.
Van IT hebben ze geen kaas gegeten.

[Jerie]

Omdat ze willens en wetens onveilige cameras hebben geplaatst. Ik doel niet op de uitvoerder maar op het bedrijf erachter.

[CivLord]

En dat bedrijf heeft keurig geleverd wat ze volgens de specificatie zouden leveren. Wat de klant besteld heeft.
Dat jij niet doorhebt dat uit de specificatie blijkt dat het niet de nieuwste technologie is, is niet hun probleem.

[Newbey]

Gaan ze ook Amerikaans spul boycotten?

[GertMenkel]

Is dat nodig? België zit in de Fourteen Eyes dus als de Amerikanen wat nodig hebben, zullen ze eerder wat informatie ruilen dan dat ze een hele operatie in België opzetten.

Voor EU-zaken zijn dit soort dingen van wat meer belang, al weet ik niet of de Belgische overheid het zo'n probleem vindt. Zelf mogen ze niet de EU-leiders bespioneren natuurlijk, maar als de Amerikanen toevallig relevante inlichten delen wordt dat weer een ander verhaal.

[kimjongdaillest]

Getuige de Belgacom, hedendaags Proximus, hack door GQHC?

[GertMenkel]

Heeft de Belgische overheid of Belgacom zelf daar ooit een punt van gemaakt? Europol heeft de zaak afgewezen, de Britten ontkennen natuurlijk alles, en de zaak is eigenlijk een beetje een stille dood aan het sterven als ik The Intercept mag geloven. Het is zo makkelijk gegaan dat er beschuldigingen vallen dat de Belgische overheid het heeft laten gebeuren, al zullen die dat nooit toegeven als dat wel zo is, natuurlijk.

Misschien dat Europol weer mee wil werken nu het VK uit de EU is, maar ik denk niet dat er ooit iets van zal komen. Ik geloof ook niet dat de Belgen tijdens de EU-exitonderhandelingen, waarin ieder land de deal had kunnen weigeren en landen op hun sterkst stonden tegen het VK, hard hebben gestreden voor reparaties na de Belgacomhack.

De rommel is opgeruimd, maar consequenties voor de hack zijn er niet of nauwelijks.

[Jerie]

Spionage op andere overheden is ten eerste vrij gangbaar (ja, ook op bevriende staten) en ten tweede zou een geheime dienst dat niet toe hoeven te geven. Gevaarlijker is succesvolle spionage door vijandelijke mogendheden, bijvoorbeeld landen waar de burgers eigenlijk in dienst staan van de overheid als een soort vazal, en diezelfde overheid de hackers de hand boven het hoofd houdt. Daarom is deze zaak aan een stille dood gestorven. Het is achter de schermen besproken, en dat is het dan ook want er zijn hogere prioriteiten.

[Blokker_1999]

Ja, want als je als reden noemt dat een overheid invloed kan hebben op de producten van een bedrijf dan kan je zo een resem Amerikaanse bedrijven ook uitsluiten.

[FONfanatic]

De VS mag ook niet spioneren, maar doet het toch, vooral bij de EU en bij strategische bedrijven die hun hoofdkantoor niet in de VS hebben.

[GertMenkel]

Ik geloof niet dat de VS een wet heeft tegen spioneren (behalve op hun eigen burgers dan). Ik geloof ook niet dat er veel internationale wetgeving is over spioneren. Al zou het wel zo zijn, zou ieder land strafbaar zijn, en geen enkel land zal zo dom zijn hun eigen agenten uit te leveren aan hun doelwitten. Als ik jouw bespioneer is dat strafbaar, als Amerika België bespioneert is dat een diplomatiek vraagstuk.

Bedrijfsspionage is weer iets anders (al krijgen sommige bedrijven daar wel hulp in van hun overheid) omdat dit soort bedrijven vaak ook hun producten naar het buitenland wil exporteren. Daar zullen bevriende landen ook een stuk moeilijker over doen, natuurlijk.

Ik weet niet hoeveel bedrijfsspionage de VS op België uitvoert maar ik denk niet dat het heel veel zal zijn; Belgische bedrijven zullen vermoedelijk maar wat graag de Amerikaanse markt op willen met hun producten, en een lokale, Amerikaanse tak infiltreren is net wat makkelijker dan een spionagecampagne vermoed ik. Dat het gebeurt is bijna zeker, maar ieder land bespioneert ieder ander land (en hun eigen land) op die manier.

[af_bert]

Amerika behoort tot onze bondgenoten en is net als België en Nederland een democratisch beschaafd land, ook al hebben we allemaal onze problemen.
Dat kun je van China, Rusland en dictatoriale consoorten niet zeggen.
Rusland en steeds meer China ook, bewijzen elke dag meer en meer dat ze niet meer tot beschaafde menselijkheid behoren en daarom is het meer dan nodig dan we de menselijke wereld beschermen van zulke monsters.
Dus hou op met Amerika en de westerse wereld te vergelijken met China, Rusland en dat soort.

[2green]

Gaan ze ook Amerikaans spul boycotten?

Deze vraag lees je vaker, alsof China en Amerika even vijandig zijn en we daarmee vanuit NL/BE een zelfde relatie hebben.

[mrbullet]

Nee, China is een vijand van onze manier van leven. China wordt bestuurd door dezelfde partij (CCP) die al honderden miljoenen van eigen mensen heeft afgemaakt. Ze zouden niet terugdeinzen om hetzelfde bij anderen te doen om aan de macht te blijven. Zelfde geldt ook voor de Russen overigens.

Amerika is juist onze bondgenoot, keer op keer bewezen.

[FONfanatic]

Amerika is juist onze bondgenoot, keer op keer bewezen.

De VS voert soms handelsoorlogen met de EU.

[mrbullet]

Dat heet concurrentie, doen we op alle lagen van de samenleving.

Maar we stoppen niet miljoenen in concentratiekampen of vermoorden 10-tal miljoenen omdat die een gevaar vormen voor de "partij" aan de macht.

[MoQh]

Wel, je "manier van leven" word wel onderhouden door alles dat daar gemaakt word. Begin het maar te mijden, dan leef je pas op 'jouw manier'..

[mrbullet]

Dat is omdat ze door hun leiders als slaven worden ingezet door jaren lange onderdrukking. En wij hebben het hen gegund in de hoop dat ze wellicht meer democratisch zouden worden. Echter zijn we te laat achter gekomen dat we een monster aan het voeden waren.

Geld en kennis uit het westen vloeit makkelijk daar waar wij het willen. Je ziet dat de omliggende landen gretig daarop inspringen ten koste van de Chinezen. China is afhankelijk van ons, enige die ze te bieden hadden waren goedkope arbeid, slaven in veel gevallen en hun bereidheid om eigen leefomgeving naar de klote te werken.

[MoQh]

Welk monster heb je dan op het oog? Want oorlogszuchtig zoals wij zijn ze niet...

[mrbullet]

Ze hebben vermoorden, folteren, vernederen en onderdrukken tot een kunst verheven.

In China ben je enkel nog veilig als je je als een useful idioot zonder eigen wil gedraagd. En slaafs doet wat je wordt opgedragen.

Aantal uitgemoord door de CCP? Bijna 100miljoen sinds 1949. Gemarteld? Vele 100miljoen mensen. Vijandigheden? Vraag het alle omliggende landen aan de zuid chinese zee.

Dreigementen richting ons? Alleen al het hernoemen van een kantoor in Taiwan was voor CCP voldoende aanleiding om Nederland van medicijnen te onthouden tijdens de Corona periode. Letland hebben ze al geblokkeerd op diverse vlakken.

[MoQh]

Ik zou eens op reis gaan naar China als ik jou was. Even weg uit je zolderkamertje en wat wereldkennis opdoen ipv te liggen zeiken..

[mrbullet]

Er zijn genoeg die uit het westen naar China gaan om vervolgens als een useful idiot ingezet te worden.
https://youtu.be/5ZhgYT6ipZU

[MoQh]

Alleen al van deze man info opzoeken zegt al genoeg dat het een China basher is en hoe jij in die dingen trapt en zo je mening creëert, opnieuw.

[jpsch]

Hopelijk denken ze hier ook aan als er weer om wetgeving gevraagd wordt met achterdeurtjes in encryptie.

[The Zep Man]

Het gaat om regels rondom de aanschaf van bijvoorbeeld beveiligingscamera's of scanners door de Belgische federale douane of bij overheidsdiensten. (...) Onder de nieuwe regels moet eerst een snelle scan worden uitgevoerd wanneer de overheid een aanbestedingsopdracht uitzet. Daarin moet worden gekeken of de opdracht, of onderdelen daarvan, een potentieel risico kunnen vormen voor de nationale veiligheid.

Hoe gaan ze de aanbesteding van veilige scanners met een snelle scan uitvoeren als ze nog geen veilige scanners hebben?

[Reactie gewijzigd door The Zep Man op 24 juli 2024 01:48]

[the_stickie]

Die 'snelle scan' betreft eerder een soort checklist om na te gaan of er verhoogde maatregelen nodig zijn bij die aanbesteding...

[FONfanatic]

Liever hier geen technisch jargon gebruiken voor een administratieve handeling, het is hier Tweakers ...

[the_stickie]

De communicatie van de overheid de minister van Justitie heeft het zelf over een quickscan, tweakers heeft dat dus "vertaald en overgenomen" - ik vind het ook een domme term

Bij het uitschrijven van overheidsopdrachten moet een ‘quickscan’ uitgevoerd worden aan de hand van verschillende parameters. Daaruit moet blijken of de overheidsopdracht een risico vormt voor de nationale veiligheid. Als dat het geval is, moeten maatregelen getroffen worden.

Bron

[Loureiro]

Als die communicatie werkelijk van de minister van Justitie Vincent Van Quickenborne (bijgenaamd de Quickie) afkomstig is dan vind ik de term quickscan zeer op z'n plaats en to the point.

[Comma]

Het is in ieder geval goed dat er aandacht voor is, hoe de Belgen het nu in de praktijk uit gaan werken blijkt over een tijdje

[FONfanatic]

Belgische wetten gelden over de grenzen niet, tenzij voor hun burgers.

[CivLord]

Ik denk niet dat de Russen de moeite hebben genomen om de beelden via China op te vragen.
Ten eerste gaat het sneller wanner ze zelf de camera's/ servers hacken (zoals je zelf zegt staan ze niet bepaald bekend om de veiligheid). Ten tweede willen ze niet nog meer bij China in het krijt staan. China heeft Putin al stevig bij zijn ballen omdat Rusland nu sterk afhankelijk is van China.

[dieguyvanit]

Ja Nederlanders maken belgenmoppen en belgen maken moppen over nederlanders net als de duitsers.

Als je daar al niet meer tegen kan....