TU Eindhoven stelt onderwijs en tentamens nog een week uit na cyberaanval

De Technische Universiteit Eindhoven heeft besloten om het hervatten van het onderwijs met een week uit te stellen. De onderwijsinstelling werd het afgelopen weekend het slachtoffer van een cyberaanval. Hierdoor was er geen onderwijs op maandag.

Alle tentamens die plaats zouden vinden in de week van 20 januari worden met een week opgeschoven, meldt de universiteit. "Het besluit geeft studenten en docenten duidelijkheid en voldoende tijd om zich voor te bereiden op tentamens en opdrachten op tijd af te ronden. Volgende week verloopt in principe zoals de huidige week, met deadlines en (inhaal)onderwijs."

De universiteit verwacht dat zijn systemen komende maandag weer beschikbaar zijn. In de tussentijd is het 'druk bezig met de uitvoering van het herstelplan om het netwerk en de systemen weer veilig en online te krijgen'. Dit gaat stapsgewijs gebeuren. Zo krijgen de systemen voor het onderwijs, waaronder Canvas, Teams, YuJa, Osiris en de examensystemen voorrang.

Zondag werd het netwerk van de TU Eindhoven offline gehaald naar aanleiding van een cyberaanval. Om wat voor soort aanval het ging en wie erachter zit, is nog niet duidelijk. Eerder zei de universiteit tegen BN De Stem dat het geen contact had met hackers en dat er geen losgeld werd gevraagd.

Reacties (50)

[tom.cx]

Het blijft toch erg stil, ik denk dat veel IT'ers ook graag zouden horen wat er aan de hand is. Hoop dat we dit wel te horen krijgen. Het blijft nu namelijk gissen.

[wildhagen]

Ze hebben een dagelijkse update hoor, elke dag rond 16:00 communiceren ze de actuele stand.

De technische details ga je iogischerwijs niet krijgen. Zeker niet zolang het onderzoek nog loopt, en de politie er ook nog bij betrokken is (die is door de TU/e immers eerder deze week al ingeschakeld).

Deels omdat dat daderinformatie is, mocht de politie de daders op kunnen sporen, en deels omdat je hiermee mogelijk gevoelige informatie vrijgeeft over je IT-omgeving wat weer verdere of nieuwe aanvallen uit kan lokken of kan vereenvoudigen.

[kodak]

Dienstverleners hebben hoofdzakelijk de taak te leveren en verantwoording af te leggen wanneer men dat niet doet. Die verantwoording had men bijvoorbeeld al af te leggen voor er een enorm probleem is met andermans persoonlijke gegevens. Besluiten communiceren is daarbij niet zomaar verantwoording. Daar horen bestaande grenzen in duidelijk te zijn, zoals of men tijdens de beslissing om veel of alle gegevens onbereikbaar te maken zich bewust was dat het niet binnen een dag, daarna 2 dagen en daarna een week niet te leveren. Daar zijn niet perse technische gegevens voor nodig, omdat het om voorbereiding en grenzen gaat die men zowel technisch als organisatorisch al gesteld had moeten hebben.

Daarbij staat het geheim houden niet zomaar boven die verantwoording. De politie heeft plichten tot geheimhouding, maar daar kan een dienstverlener zich niet achter verschuilen. De politiewet geeft geen verbod om kennis die je als getroffen dienstverlener hebt geheim te houden. En zeker niet alle kennis over bijvoorbeeld grenzen hoe redelijk men een systeem onderzocht of beschikbaar meent te hebben terwijl dat in de praktijk bijvoorbeeld onrealistisch blijkt, of verantwoording waarom men niet zonder die systemen blijkt te kunnen en geen alternatief blijkt te kunnen of willen inzetten.

In de communicatie lees ik ook niet terug dat men verantwoording over hun eigen beslissingen bij zichzelf legt. Terwijl je het een crimineel niet kan verwijten dat je geen duidelijke bewustzijn toont dat het onderwijs en studenten zo afhankelijk van beschikbaarheid zijn dat ze zich onvoldoende kunnen voorbereiden op tentames. Of dat docenten de gegevens niet zomaar even 2 dagen of langer kunnen missen. Of dat je wel kiest om veel systemen uit voorzorg stil te leggen maar geen realistisch inzicht toont dat een onderzoek of herstel wel langer dan een dag, 2 dagen of een week kan duren.

[Reactie gewijzigd door kodak op 14 januari 2025 18:50]

[GabrielWB]

In de communicatie lees ik ook niet terug dat men verantwoording over hun eigen beslissingen bij zichzelf legt. Terwijl je het een crimineel niet kan verwijten dat je geen duidelijke bewustzijn toont dat het onderwijs en studenten zo afhankelijk van beschikbaarheid zijn dat ze zich onvoldoende kunnen voorbereiden op tentames.

Verantwoordelijkheid hebben ze zeker, maar om hierom te vragen terwijl ze er nog middenin zitten is nog veel te voorbarig. Het laatste wat je wilt is een "onderzoek" gebasseerd op geruchten, ongegronde feiten, of nog erger, meningen.

Na de hack van de Universiteit van Maastricht in 2019 zijn er ook rapporten met details naar buiten gekomen door onafhankelijke instanties als FoxIT en de Overheid, maar daar gaan weken/maanden onderzoek aan vooraf.

Geef het tijd.

https://www.rijksoverheid...teit-maastricht-21pj-docx
https://www.maastrichtuniversity.nl/nl/updates-cyberaanval

[Reactie gewijzigd door GabrielWB op 14 januari 2025 19:23]

[SunnieNL]

Daarnaast wil je niet altijd alles direct naar buiten sturen. Als ze zijn binnengekomen via een zero day, dan is het mogelijk verstandiger het tijdelijk niet te vermelden tot er een patch uit is om te voorkomen dat de zero day actiever misbruikt gaat worden dan ze nu al doen.

Ik verwacht ook wel dat de TUe als alles weer tot normaal is teruggekeerd meer informatie gaat delen. Daar wordt vanuit de wetgeving ook op gestuurd en dat zullen ze ook zeker wel doen richting SurfCert die het daarna weer verder verspreidt richting NCSC en ENISA.
Voor nu is het belangrijker dat ze zorgen dat alles weer gaat draaien en er gezorgd is dat alles weer veilig is.

[Hans1990]

Een aanval kan zich nog gedurende tijd ontwikkelen of terugkeren. Het kan zijn dat men de aanvallende partij buiten de deur heeft gewerkt, men zich aan het voorbereiden was op een herstart van systemen, maar daarna een tweede aanval kregen. Natuurlijk is dit pure speculatie, maar dat maakt de besluitvorming nog niet slecht. Daar hebben we de informatie niet voor.

Bovendien zou ik verantwoording en informeren niet door elkaar halen. Als je ooit in grotere organisaties hebt gewerkt zal je goed weten dat 'over de schutting gooien' een gezonde manier is om de werkstress je niet te laten ontstijgen. Je kan niet het belang van een gehele organisatie dragen, enkel die richting jouw baas of afdeling. Ik ben er van overtuigd dat IT de klok rond werkt om dit gefixt te krijgen, maar er zit ook een verschil tussen 1 nacht 'storingsdienst' of langere tijd nemen voor herstel. Juist zo'n besluit moet van hoger op genomen worden, omdat er consequenties zitten aan zaken als jaarcirkels enzovoort.

Tenslotte zou ik niet teveel detail verwachten bij persberichten van grote organisaties (dus ook universiteiten). In goede tijden zijn het PR machines pur sang. En in slechte tijden zullen ze hun best doen om de precies genoeg informatie te leveren zonder dat ze zaken onthullen die later kunnen terugbijten. Tekst&uitleg zou ik er dus niet verwachten, laat staan discussies of introspectie over wat de goede/slechte werkwijze vooruit zou zijn.

[Reactie gewijzigd door Hans1990 op 14 januari 2025 19:25]

[daredevil__2000]

Ze zitten nog middenin het onderzoeken en verhelpen van de aanval. Je kan niet verwachten dat ze dan al even een volledig rapport opleveren met hoe, wat, waarom. Zeker niet publiek.

Reken maar dat in de onderwijssector wel onderling gecommuniceerd wordt over gegevens van de aanvallen om zo samen sterk te staan tegen criminelen. Alleen wordt zulke informatie uiteraard niet publiek gedeeld.

[kodak]

Reken maar dat in de onderwijssector wel onderling gecommuniceerd wordt over gegevens van de aanvallen om zo samen sterk te staan tegen criminelen

Dat is de discussie niet. Het is natuurlijk prettig dat men bij anderen ook problemen wil voorkomen, maar hun verplichting gaat als eerste om hun eigen studenten en medewerkers beschermen de diensten beschikbaar te houden en inhoudelijk verantwoording afleggen. Niet dat gedeeltelijk doen.

Je kan niet verwachten dat ze dan al even een volledig rapport opleveren

Dat verwacht ik ook niet. Maar een probleem met een van de zwaarste middelen proberen te voorkomen, net doen alsof dat maar een dag problemen geeft, dan 2x zo lang en dan 8x zo lang door eigen beslissingen hoort al inhoudelijk te verklaren te zijn zonder op details in te gaan waar de crimineel wat aan heeft. Al Is het maar verantwoording af leggen dat men zich vergist heeft in hoeveel tijd het kost controle te krijgen, onderzoek te doen of hoeveel mensen er nodig zijn. Maar hun communiceren lijkt nu geschreven alsof men alleen verantwoording wil afleggen dat ze zelf mede oorzaak van de problemen zijn als anderen dat verplichten. Maar ze hebben die plicht al. Ook tijdens het probleem en het mede veroorzaken van de problemen voor studenten en medewerkers. Niet slechts achteraf of als het ze zelf uit komt.

[daredevil__2000]

De eigen studenten en medewerkers beschermen is toch precies wat ze hebben gedaan. Kort nadat ze geconstateerd hebben dat ze geraakt zijn door een hack hebben ze alle diensten direct afgesloten van de buitenwereld. Dit niet alleen om verdere schade te voorkomen maar ook om gedegen onderzoek te kunnen doen. Dat is ook gewoon gecommuniceerd.

Ze hebben netjes op zondag publiek (en naar studenten/medewerkers) gecommuniceerd dat ze maandag om 16:00 met een status update zouden komen. Je wil nu eenmaal graag alle betrokkenen zo goed mogelijk geïnformeerd houden dus je maakt een schatting van wanneer je met een update denkt te kunnen komen. Dat vervolgens het onderzoek nog niet de gewenste informatie heeft opgeleverd of dat je nog niet zicht hebt op welke systemen nu precies geraakt zijn lijkt me niet meer dan logisch. Een campus netwerk en alle universiteitsdiensten is nu eenmaal zeer complex en niet een huis tuin en keuken netwerkje.

En sommige informatie wil je nu eenmaal ook nog niet communiceren terwijl het onderzoek nog loopt.

[kodak]

De eigen studenten en medewerkers beschermen is toch precies wat ze hebben gedaan

Beschermen gaat niet om criminelen stoppen maar om de diensten beschikbaar te houden. Alle diensten stoppen en dat steeds langere tijd zo houden is dus slechts een middel en zeker geen excuus om lange tijd alsnog niet aan de plichten te voldoen onderwijs te leveren en afhankelijken niet te belemmeren.

Als betrokkenen informeren voldoende was hadden we deze discussie niet. Het gaat ook om inhoudelijk verantwoording afleggen en realistisch zijn dat na zelf alle diensten uitzetten dese niet zomaar binnen een dag, 2 dagen of een week weer beschikbaar zijn. Dus nee, simpel stellen dat men met steeds veranderende verwachtingen genoeg verantwoording af legt die de afhankelijken nodig hebben is niet genoeg
En stellen dat de verantwoordelijken hun best zouden doen of het zo zwaar hebben met de problemen die ze deels zelf veroorzaken is niet snel een redelijker uitgangspunt dan de veroorzaakte onduidelijkheid, onbetrouwbaarheid en niet nakomen van afspraken tot leveren van onderwijs.

[Reactie gewijzigd door kodak op 15 januari 2025 12:40]

[J_van_Ekris]

Beschermen gaat niet om criminelen stoppen maar om de diensten beschikbaar te houden. Alle diensten stoppen en dat steeds langere tijd zo houden is dus slechts een middel en zeker geen excuus om lange tijd alsnog niet aan de plichten te voldoen onderwijs te leveren en afhankelijken niet te belemmeren.

Dat hangt maar helemaal af van de BIV-coderingen van al die systemen. Ik ken zat systemen waar Beschikbaarheid echt totaal ondergeschikt is aan Integriteit en/of Vertrouwelijkheid. Dus als een van die twee in gevaar komt, dan gaat de boel gewoon plat.

Ik kan me goed voorstellen dat de TU/e, als hofleverancier van ASML van afstudeerders, AIO's en postdoc's, de Beschikbaarheid ook zo positioneert. Dat is een beleidskeuze die de TU/e gemaakt lijkt te hebben en heel begrijpbaar zou zijn.

Het gaat ook om inhoudelijk verantwoording afleggen en realistisch zijn dat na zelf alle diensten uitzetten dese niet zomaar binnen een dag, 2 dagen of een week weer beschikbaar zijn.

Allereerst: de TU/e is een zelfstandige organisatie en formeel is men maar aan twee partijen verantwoording schuldig: de Minister en de Universiteitsraad. Dit werkt net als een gemeenteraad: als de gemeente ongepland een week niet kan werken is wordt dat ook via de gemeenteraad afgewikkeld. Beiden kunnen CvB-leden uit hun rol ontheffen, dus reken maar dat er verantwoording afgelegd gaat worden Maar dat hoeft zeker niet publiekelijk.

Als ik de stukken op het universiteitsblad lees, is men gewoon een over een week weer up and running. Dus ze zijn na een geplande week weer beschikbaar. En dit is in mijn beleving een bewuste week om te voorkomen dat je dagelijks een planning afgeeft die telkens een dag opschuift: mensen die tentamens moeten maken weten nu ruim van te voren waar ze aan toe zijn. Deze aanpa geeft in ieder geval snel duidelijkheid naar de studenten en docenten.

En stellen dat de verantwoordelijken hun best zouden doen of het zo zwaar hebben met de problemen die ze deels zelf veroorzaken is niet snel een redelijker uitgangspunt dan de veroorzaakte onduidelijkheid, onbetrouwbaarheid en niet nakomen van afspraken tot leveren van onderwijs.

Ik denk dat je hier echt veel te kort door de bocht gaat, op het gevaarlijke af. Je neemt aan dat het beleidsmatige fouten zijn terwijl je de technische oorzaak niet eens kent en de organisatorische context al helemaal niet. Een serieus security incident kan nog steeds ontstaan door een medewerker die op een onbewaakt ogenblik op de verkeerde mail klikt. Geen catastrofale beleidsfouten, etc. voor nodig.

Het spel is dat iemand met vakkennis (zoals FoxIT bij Maastricht) een analyse gaat doen wat er technisch mis is gegaan, vervolgens gaat men kijken of dit een beleidsmatige oorzaak heeft, en dat rapporteert men netjes aan de daarvoor bedoelde organen (in dit geval een UniversiteitsRaad denk ik) die daar mogelijk bestuurlijke consequenties aan verbind. Of niet.

[Reactie gewijzigd door J_van_Ekris op 15 januari 2025 14:02]

[kodak]

Binnenkort komen er door dit soort keuzes om dagen lang gegevens onbeschikbaar te houden in plaats van beschikbaar te houden nog stengere eisen. Het vooraf en tijdens incidenten niet kunnen, of niet willen, uitleggen welke grenzen men stelt aan het onbeschikbaar zijn van belangrijke gegevens (waar vele anderen van afhankelijk zijn) is daar een oorzaak in. En die eisen zijn eerder dat belangrijke organisaties niet zo zelfstandig zijn dat ze maar onduidelijk over de grenzen mogen zijn of deze maar kunnen blijven oprekken omdat het voor eigen analyse of andermans opsporing beter uit komt. Het gaat eerder zijn dat men vooraf en tijdens een incident prioriteit geeft aan beschikbaar houden. Dat men niet preventief maar naar de zwaarste middelen grijpt en daardoor de onbeschikbaar steeds langer duurt dan gewenst of oorspronkelijk werd gesuggereerd als grenzen.

https://www.tweedekamer.n...over-de-cyberaanval-op-de

[Reactie gewijzigd door kodak op 17 januari 2025 17:29]

[daredevil__2000]

Je beseft dat er al gecommuniceerd is dat de Universiteit toevallig deze week al geen lessen zou geven. Deze week was bedoeld om vragen te kunnen stellen / dingen in te kunnen leveren voor de tentamens volgende week. Ze hebben al gecommuniceerd de tentamens een week naar achteren te schuiven zodat de studenten er zo min mogelijk van ondervinden in de voorbereiding op de tentamens.

Universiteit en campus netwerken zijn nu eenmaal complex en dat kost nu eenmaal tijd om 100% zeker te gaan dat het systeem helemaal veilig en volledig operationeel weer is te gebruiken voordat ze het beschikbaars stellen aan het personeel en de studenten. Zeker ook in het kader van zeer gevoelige onderzoeksgegevens en de nodige persoonsgegevens wil je dat het zo zorgvuldig mogelijk gebeurt ipv puur zo snel mogelijk diensten voor de betrokkenen weer online te zetten.

[J_van_Ekris]

Dienstverleners hebben hoofdzakelijk de taak te leveren en verantwoording af te leggen wanneer men dat niet doet.

Maar dat hoeft niet publiekelijk. Dat mag ook aan een College van Bestuur en een UniversiteitsRaad in een besloten setting.

[Reactie gewijzigd door J_van_Ekris op 14 januari 2025 19:10]

[kodak]

Dat volstaat niet zomaar. Het gaat immers kennelijk om wettelijke verantwoordelijkheid naar individuele personen over hun persoonlijke gegevens. Niet slechts een algemeen belang over wel of geen diensten aanbieden.

[J_van_Ekris]

Dat volstaat niet zomaar. Het gaat immers kennelijk om wettelijke verantwoordelijkheid naar individuele personen over hun persoonlijke gegevens.

Je neemt aan dat het om persoonlijke gegevens gaat, wat nergens in de berichten die ik gezien heb wordt ontkent noch bevestigd. En als dat al het geval zou zijn, dan volstaat het mededelen welke informatie mogelijk gelekt is aan de direct betrokkenen, wat per brief kan, maar ook via het universiteitsblad (na definitieve vaststelling). Als publiek ben je geen partij dus zul je het met persberichten moeten doen.

[kodak]

Je kan eerder stellen dat als bijna alle diensten onbruikbaar worden gehouden waar duizenden mensen gegevens mee verwerken het zeker ook om persoonlijke gegevens gaat.

Daarbij kun je er maar beter van uit gaan, want als men er geen rekening mee heeft gehouden en er blijkt straks ook nog diefstal, versleuteling of vernietiging van persoonlijke gegevens te zijn dan heeft men nog grotere problemen.

Ik ben het met je eens dat men betrokken personen niet perse via een publieke website hoeft te informeren over de verantwoording. Maar het punt is dat uit niets blijkt dat men sinds het begin voldoende onderbouwing aan de betrokkenen verstrekt. En ook niet dat men dat op tijd doet in verhouding tot wat men zelf als schade veroorzaakt.

Wetgevingen op gebied van andermans persoonlijke gegevens en afhankelijkheid van digitale diensten leggen afgelopen jaren niet zomaar steeds meer verantwoordelijkheid bij de dienstverleners naar de afhankelijken. Omdat die dienstverleners al te vaak te laat en te weinig verantwoordelijkheid nemen, om vooral zichzelf te bevoordelen in inspanning en kosten. Met grote gevolgen zoals lange tijd onbruikbare systemen en onzekerheid die men juist behoort te voorkomen. En dat gaat net zo goed op bij het nemen van maatregelen als er een probleem is.

En een groot gevolg merken we nu: een eigen beslissing om een van de zwaarste gevolgen te veroorzaken verkoopt men eerst alsof de gevolgen niet zo lang duren, dan dat het 2x zo lang duurt en daarna 8x zo lang. Als men het beste met de studenten en medewerkers op heeft dan toont men inzicht in de grenzen van wat men nog acceptabel lijkt. Maar kennelijk verschuift die grens steeds of ze hebben geen duidelijke grenzen aan wat afhankelijken realistisch mogen verwachten. Men neemt de meest zware beslissingen tot stoppen van hun hoofdtaken dan horen ze ook realistisch verwachtingen te geven over de meest zware gevolgen daarvan. Dat doet men niet. Het is compleet onduidelijk hoe de verwachtingen die ze wel krijgen realistisch of acceptabel zijn.

[J_van_Ekris]

Je kan eerder stellen dat als bijna alle diensten onbruikbaar worden gehouden waar duizenden mensen gegevens mee verwerken het zeker ook om persoonlijke gegevens gaat.

Dit is pure speculatie van jouw kant. Laten we het bij de feiten houden en er vanuit gaan dat mensen met kennis van zaken hier keuzes maken. Op Universiteiten, zeker op universiteiten zonder medische faculteit, is 99% van de data gewoon onderzoeksdata. Wel gevoelig voor spionage, maar geen persoonsgegeven. Omdat universiteiten ook zeer vertrouwelijke informatie van bedrijven verwerken geen onrealistisch doelwit. Dus dit soort spucalties is pure luchtfietserij.

Daarbij kun je er maar beter van uit gaan, want als men er geen rekening mee heeft gehouden en er blijkt straks ook nog diefstal, versleuteling of vernietiging van persoonlijke gegevens te zijn dan heeft men nog grotere problemen.

Zoals gezegd, pure speculatie jouwerzijds die op geen enkel feit is gebaseerd.

En ook niet dat men dat op tijd doet in verhouding tot wat men zelf als schade veroorzaakt.

Als je naar het Universiteitsblad kijkt (wat het officiele communicatiekanaal is vanuit de TU/e naar zowel haar medewerkers als studenten!) dan zie je dat daar netjes wordt uitgelegd wat de plannen zijn voor de dienstverlening, en dat men vanuit het CvB zelfs aangeeft dat als schuivende examens problemen met geplande vakanties opleveren hier oplossingen voor gevonden worden. Dus schadebeperking doet men wel degelijk aan.

En een groot gevolg merken we nu: een eigen beslissing om een van de zwaarste gevolgen te veroorzaken verkoopt men eerst alsof de gevolgen niet zo lang duren, dan dat het 2x zo lang duurt en daarna 8x zo lang. Als men het beste met de studenten en medewerkers op heeft dan toont men inzicht in de grenzen van wat men nog acceptabel lijkt. Maar kennelijk verschuift die grens steeds of ze hebben geen duidelijke grenzen aan wat afhankelijken realistisch mogen verwachten.

Welkom in de echte wereld van incident-analyse en functieherstel. Elke organisatie die in de eerste uren van een incident van deze omvang een oplostijd roept is incompetent of liegt gewoon.

Dit soort scenario's zijn zo inmens dat het herstel gewoon niet te oefenen is. Je hebt het over systemen die in jaren gebouwd zijn, en netwerken die altijd up geweest zijn. En dus kom je in situaties dat systeem X pas opgebracht kan worden als Systeem Y bewezen schoon opgebracht is, die weer een afhankelijkheid heeft van andere systemen. In theorie staat dat echt wel op papier, maar doen isecht een ander verhaal.

Men neemt de meest zware beslissingen tot stoppen van hun hoofdtaken dan horen ze ook realistisch verwachtingen te geven over de meest zware gevolgen daarvan. Dat doet men niet. Het is compleet onduidelijk hoe de verwachtingen die ze wel krijgen realistisch of acceptabel zijn.

Hoe bedoel je dat doen ze niet?De mededeling is toch extreem helder. Is geen woord Spaans bij. Mededeling is simpel: deze week is de TU/e dicht. Alles schuift een week op: dus volgende week is de inhaalweek, en de (nog steeds 3?) weken er op zijn tentamenweken. CvB geeft aan dat ze beseffen dat dit tot problemen met planningen kan leiden, en heeft al aangegeven dat ze dit oplossen. Dus welke schade heb je het dan over?

[Reactie gewijzigd door J_van_Ekris op 15 januari 2025 12:41]

[kodak]

De echte wereld gaat juist niet alleen meer om incidenten voorkomen en verhelpen op oude manieren. Er is zowel voor als tijdens incidenten al meer verantwoording over grenzen en keuzes nodig. Ik stel dat ik dat in deze communicatie en beslissingen niet terug zie. Zelfs niet op de manieren die hier als acceptabel genoemd worden. Dan lijkt het mij niet redelijk om maar net te doen alsof het maar voldoet. De verantwoordelijke het voordeel van de twijfel geven is niet bepaald succesvol gebleken in de afgelopen jaren.

[J_van_Ekris]

Er is zowel voor als tijdens incidenten al meer verantwoording over grenzen en keuzes nodig. Ik stel dat ik dat in deze communicatie en beslissingen niet terug zie.

Zoals al eerder gezegd: de TU/e is op geen enkele manier het publiek verantwoording schuldig.

De verantwoordingslijnen lopen naar de Minister/Onderwijsinspectie, de UniversiteitsRaad en wellicht naar de AP. En dat kan allang gebeurd zijn met vertrouwelijke rapportages. En twee van deze organen kunnen bestuurders ontslaan als zaken bestuurlijk niet kloppen. De UR van de TU/e heeft in het verleden ook laten zien dat ze dat middel absoluut niet schuwt. Dus stellen dat er geen verantwoording wordt afgelegd is gewoon niet correct.

De verantwoordelijke het voordeel van de twijfel geven is niet bepaald succesvol gebleken in de afgelopen jaren.

Nee. Maar er zijn mensen die tot expliciete taak hebben om bestuurders van de TU/e te controleren. Maar ik zou er vanuit gaan dat dit in vertrouwelijke sessies gebeurt, en niet openbaar.

[JeroenNietDoen]

Dat volstaat niet zomaar.

Dat volstaat prima.

Het gaat immers kennelijk om wettelijke verantwoordelijkheid naar individuele personen over hun persoonlijke gegevens.

Ja, wanneer er geconstateerd is dat die persoonlijke gegevens geraakt zijn. Zolang dat nog niet het geval is hoef je ook nog geen melding hiervan te maken en ook niet naar betreffende individuen te communiceren.

[aikebah]

Zeer terecht dat ze zich nu focussen op het zo snel als veilig mogelijk de dienstverlening te herstellen en zich pas daarna druk gaan maken over het beoordelen welke informatie wel en niet veilig gedeeld kan worden om de buitenwereld meer inzicht te geven in wat er nu misgegaan was zodat de aanval mogelijk was.

Die beoordeling kost namelijk mentale en tijdtechnische menskracht die beter besteedt kunnen worden aan bepalen of bepaalde systemen / netwerken voldoende vertrouwd kunnen worden om weer online te brengen.

[kodak]

Dat het beoordelen tijd en moeite kost is wettelijk juist waarom men verplicht is vooraf voldoende inspanning gedaan te hebben om grenzen te bepalen aan maatregelen bij dit soort problemen. Daarbij hoort ook rekening gehouden te worden dat men tijdens een probleem verantwoording heeft af te leggen. Niet slechts er na of slechts al het de personen die de problemen mede veroorzaken het zelf uit komt.

[Horla]

Van de stad Antwerpen hebben ze ook nooit gezegd hoe ze zijn binnen geraakt. Die hebben er een jaar over gedaan om terug volledig operationeel te zijn.

[Scriptkid]

Ze kunnen toch zeggen ransomware,
Data theft , exchange server compromise etc of wat er ook aan de hand is zonder details.

Dan kan de rest van de wereld ook even scherp door de eigen log files kijken of er iets te zien is

[Reactie gewijzigd door Scriptkid op 14 januari 2025 17:17]

[MoBi]

Dit delen van informatie wordt in de scirt/cert community al gedaan. Dat dit onder een tlp codering plaats vind betekent dat het nooit op site zoals tweakers.net openbaar wordt.

[Horla]

Nou, ik werk voor een openbaar bestuur en ik kan je verzekeren dat er zeer tight-lipped over Antwerpen wordt/werd gedaan. De eerste weken/maanden zat ik wekelijks in vergadering met collega's van tegen de honderd andere besturen. Nu twee jaar later weten we nog altijd niet hoe ze er binnen zijn geraakt. Voor hetzelfde geld lopen nog steeds tientallen gemeentes risico. Dat is security through obscurity en heeft voor mij niets met TLP codering te maken. Net als dat de stad op magische wijze van de site van de hackers verdween maar ze hadden niet betaald hoor

Mijn conclusie (en van veel van mijn collega's) is dat er daar een vuil potje is/was dat goed dicht moet worden gehouden.

[daredevil__2000]

De ene case is niet de andere. Het SCIRT/CERT netwerk binnen het onderwijs in NL deelt genoeg maar inderdaad onder een TLP codering om gevoelige informatie te beschermen. Ondertussen helpt de SCIRT/CERT wel andere onderwijsinstellingen zich te wapenen.

[JeroenNietDoen]

Correct.

[Reactie gewijzigd door JeroenNietDoen op 14 januari 2025 22:25]

[xxs]

Er is al een statement dat ze niet “gegijzeld” zijn. Daaruit trek ik de voorzichtige conclusie dat er geen sprake is van ransomware.

[kwakzalver]

Zeker geen slechte conclusie.
Zolang de Point of Entry niet helder is en/of dichtgetimmerd is, is voorzichtigheid zeker geen slechte zaak.

[empheron]

Er worden ook systemen genoemd die (voornamelijk) SaaS zijn. Daar kunnen eigenlijk alleen dingen in mis gaan indien de aanval ook betrekking heeft op de gebruikte SSO oplossing. Dat is voor mij de aanwijzing dat het gaat om diefstal/misbruik van accounts. Maar zelfs dan zouden onder normale omstandigheden niet al die systemen tegelijk gecompromitteerd kunnen raken. De administrators van bijv. het netwerk zouden geen administrative rights mogen hebben in bijv. Osiris. Als daar toch dingen falikant stuk gegaan zijn... dan zijn er echt grote zaken gehackt. Bijvoorbeeld accounts van mensen die admin rights hebben op Active Directories, EntraID etc. Dat is de enige route die ik mij zo direct kan bedenken die consequenties heeft voor al de genoemde systemen.

De andere optie is dat er in de infrastructuur devices dermate gehackt zijn dat deze weer gebruikt zijn om accountinformatie te bemachtigen. Maar ja, we willen wel met zijn allen de grootste en goedkoopste smartboards in de klas, voor een dubbeltje op de eerste rang zitten qua wifi en netwerk apparatuur etc... Dan is het een kwestie van tijd voor je bij Chinese meuk aan komt waarin de achterdeurtjes opgestapeld zijn.

[Reactie gewijzigd door empheron op 14 januari 2025 17:49]

[Polydeukes]

Samenvatting van jouw betoog: allemaal speculatie dus. Stop met educated (pun intended) guesses, dat zorgt alleen maar voor misinformatie.

[jhhest]

Dan kan men net zo goed de commentsectie sluiten.

[Danny79]

Waarschijnlijk niet via de Ring want daar is geen doorkomen aan.

[jhhest]

Dat is in eindhoven om 1700/1800 niet anders..

[J_van_Ekris]

Dit is in ieder geval een duidelijke keuze voor de studenten (in plaats van elke dag een besluit nemen dat morgen niet gaat lukken). Hopen dat dit de tijd en ruimte geeft om de meest kritische zaken weer up en running te krijgen.

[PdeBie]

En geeft studenten mooi extra tijd om het studeren uit te stellen te studeren voor eventuele tentamens.

[EpPart]

Ik keek net even en voor heel de TU/e begint de tentamenweek volgende maandag pas. Vorige week zou alles al afgesloten moeten zijn en deze week is de uitloopweek voor eventuele vragen voor tentamens. In principe hoeft de TU die tentamens helemaal niet uit te stellen als alles straks gewoon weer werkt.

[J_van_Ekris]

Ware het niet dat er zaken on-line staan die je nodig hebt om de examens voor te bereiden: zie https://www.cursor.tue.nl...ich-nu-voor-op-tentamens/

[julG]

Today, a Wi-Fi network is again available on the TU/e-campus. It is expected to take weeks before all functionality is fully restored.

[TheErciyasLar]

Ik vraag mij nou af wat er gebeurt is en of andere Universiteiten/Hogescholen ook in gevaar zijn.

[Calypso]

Het is wat offtopic, maar ik vraag me af waarom hier verwezen wordt naar een artikel in de krant BN/De Stem, van oudsher een krant voor het westen van Brabant. Hetzelfde artikel (want zelfde moedermaatschappij: De Persgroep) staat immers op legio andere krantensites als AD, Tubantia maar ook het Eindhovens Dagblad - dat zou een veel logischere keuze zijn geweest om als bron aan te halen omdat het om een Eindhovense universiteit gaat.

Hoewel er nog maar beperkt lokale/regionale redacties zijn, lijkt het me sterk dat er een redacteur van de regio Breda dit artikel geschreven heeft, dus dat kan de reden niet zijn. Is het willekeur of zit hier een reden achter?

[Polydeukes]

Al stond 't in de New York Times, een gevalideerde en betrouwbare bron is een goede bron. Zoals je zelf al aangeeft delen veel kranten onder de paraplu van 't AD artikelen.

[Dela487]

Dat zal me de aanval wel geweest zijn als er een week nodig is, hopen op databehoud.
Dit jaar viert mijn allereerste USB stick overigens zijn 25e verjaardag (8 Mb en hij doet het nog steeds). Zelfs offline heb ik altijd de beschikking over mijn bestanden.

[Roel1966]

Eerste wat ik ergens wel twijfelachtig vind is dat dit dus juist bij de Technische Universiteit gebeurd waarvan je toch zou mogen verwachten dat die genoeg technische kennis in huis hebben. Daarnaast, waarom moet alles ook zo aan mekaar gekoppeld worden en waar zijn dan de backup systemen. Misschien raadzaam als ze ook op de TU weer eens boeken gaan gebruiken.

[xxs]

Vertel, weet jij iets wat wij niet weten?

[jhhest]

Ik zie dat je comment gemind wordt, echter gezien de "stille" oorlog is dit misschien nog geeneens zo'n gekke gedachte.

Doch denk ik dat Rusland een andere tactiek zou gebruiken. De pakketjes die in brand vlogen voor slachtoffers, en anders zou er sprake zijn van spionage. Zaken onbruik maken zoals nu het geval is heeft Rusland niet veel aan.