Incident bij Openbaar Ministerie was storing en geen hack

Het incident waardoor het Nederlands Openbaar Ministerie vrijdag zijn ict-systemen offline moest halen, was geen securityprobleem. Het ging om 'een hardnekkige verstoring', zegt het OM tegen Tweakers. De systemen worden zaterdagmiddag weer hersteld.

Een woordvoerder van het Openbaar Ministerie vertelt aan Tweakers dat de storing inmiddels grotendeels is verholpen. "Het OM heeft sinds gistermiddag onderzoek uitgevoerd in haar digitale omgevingen", zegt het OM. Daaruit is de conclusie gekomen dat er 'een hardnekkige verstoring diep in het systeem zat', waarvan het OM zegt dat 'de oorzaak op vrijdag niet te duiden was'. "Dit was de reden om het OM uit voorzorg tijdelijk volledig af te sluiten van het internet. Zo kon het OM op een veilige manier digitaal onderzoek uitvoeren."

Vrijdagavond bleek dat het OM al zijn ict-systemen offline had gehaald na 'een incident'. Aanvankelijk was niet duidelijk wat er was gebeurd. Een woordvoerder wist vrijdag niet of het ging om een beveiligingsincident, zoals een hack of ransomware. Dat zou nog worden onderzocht.

Nu bevestigt de woordvoerder dat het niet ging om een hack. "Uit het onderzoek blijkt dat er geen sprake is van een cyber- of securityincident. De oorzaak van het incident betrof een verstoring in het systeem." Inmiddels is het OM begonnen met het heropstarten van de systemen. Daarbij worden ook 'verbindingen met de buitenwereld hersteld'. Het opstarten duurt in ieder geval tot zaterdagmiddag.

Reacties (58)

[Tonkie1967]

Hoewel ik meestal erg kritisch ben als we praten over ICT en "overheid" vind ik de acties/reacties van de ITers bij het OM rond dit incident goed veel van de "vaste wal stuurlieden" (incl mijzelf) beseffen zelden de complexiteit van de IT omgeving bij overheden waarbij dan ook regelgeving van toepassing is op een manier die bij (commerciële) bedrijven/organisaties niet of minder een rol speelt.
Werk zelf bij een redelijk groot internationaal bedrijf in de "it wereld" (wereldwijd zo'n 100-125K werknemers) en hebben dagelijks te maken met it problemen welke meestal mede veroorzaakt wordt door talloze afhankelijkheden van oude legacy systemen die we wel zouden willen uitzetten/migreren maar niet kunnen uitschakelen door diverse wet en regelgeving van (meestal US) overheden. (Vooral als je zaken wil doen met de federale overheid aldaar: zou fijn zijn als ze de veiligheids eisen die ze opleggen aan leveranciers ook van toepassing zou zijn op hun eigen "leadership"- maar dat is een andere discussie).
Maar terug op dit incident: goed en snel geschakeld en liever te voorzichtig en de boel -achteraf gezien- te snel te isoleren dan omgekeerd. Dus deze keer: goed gedaan OM

[Blokker_1999]

Zelf vind ik het zeer problematisch wanneer mensen altijd maar zeggen dat het altijd misgaat met ICT bij de overheid. Als iemand die jarenlang in de openbare sector gewerkt heeft en vandaag in de private sector werkt zie ik eigenlijk maar 1 groot verschil tussen de twee.

In de private sector kan je lekker zwijgen over je mislukkingen en je problemen. In de openbare sector moet alles gerapporteerd worden en wordt het meeste publiek gemaakt. En terwijl de private sector vooral de grote successen in de schijnwerper zet, krijgt bij de openbare sector net hoofdzakelijk de mislukkingen de aandacht van de pers.

[The Zep Man]

Als iemand die jarenlang in de openbare sector gewerkt heeft en vandaag in de private sector werkt zie ik eigenlijk maar 1 groot verschil tussen de twee.

In de private sector kan je lekker zwijgen over je mislukkingen en je problemen. In de openbare sector moet alles gerapporteerd worden en wordt het meeste publiek gemaakt. En terwijl de private sector vooral de grote successen in de schijnwerper zet, krijgt bij de openbare sector net hoofdzakelijk de mislukkingen de aandacht van de pers.

Hoewel deze N=1 observatie ongetwijfeld berust op een stukje feitelijkheid, zegt het op zich niets over hoe (relatief en absoluut) vaak het misgaat bij de overheid ten opzichte van het bedrijfsleven.

Er zijn bij een overheid ook andere zaken die spelen. Extern gericht zijn er aanbestedingsregels die, hoewel nodig, vertragend en beklemmend zijn. Als wij naar de Nederlandse overheid kijken speelt ook nog mee dat salarissen niet marktconform zijn ten opzichte van de commerciële sector. In grote lijnen krijg je waar je voor betaalt.

[graey]

En dat het niks zegt, werkt beide kanten op. Het zegt dus verder niks, niet ten voordele en niet ten nadele van beide partijen in de vergelijking. En in de commerciële sector zijn er ook zeker partijen die voor een dubbeltje op de eerste rij willen zitten en daar niet de beste kwaliteit voor krijgen.

[FrankHe]

De overheid is gehouden aan hele hoge standaarden. Wegens allerlei wet en regelgeving loop je geregeld aan tegen legacy systemen die nu eenmaal niet vervangen kunnen worden. Gelukkig zijn er tegenwoordig goede mogelijkheden voor virtualisatie zodat deze zaken in leven kunnen worden gehouden.

In de private sector wordt soms flink aangerommeld, DGA's die de handige buurjongen de bedrijfs-IT laten regelen, want die jongen weet zoveel van computers! Die situatie zijn we allemaal wel eens tegengekomen, een infrastructuur waarvan je je afvraagt hoe is het in vredesnaam mogelijk dat het bedrijf nog bestaat?

Hetzelfde geldt overigens voor de massale migratie naar de cloud. Mensen schijnen te denken dat Microsoft het wel oplost als er een probleem is, daar betaal je toch voor? Maar ze vergeten de kleine lettertjes in het contract te lezen waar toch echt heel duidelijk staat dat je zelf de data backup moet regelen. Een versleutelde NAS op de zaak die dagelijks een kopie trekt van de cloud-omgeving zou al een goede stap zijn, maar zelfs dat vinden ze soms onnodig en te ingewikkeld. Hopen dat er bij Azure geen grote ongelukken gebeuren want dat zou zomaar het einde van je kleine handelsonderneming kunnen betekenen. Bij de wat grotere familiebedrijven kom je dit soort situaties ook wel eens tegen.

De overheid doet het lang niet zo gek gezien het kader waarbinnen ze moeten opereren.

[armageddon_2k1]

hoe (relatief en absoluut) vaak het misgaat bij de overheid ten opzichte van het bedrijfsleven.

Heb je objectieve cijfers die onderschrijven dat het relatief en absoluut vaak misgaat bij de overheid ten opzicht van het bedrijfsleven?

[adje123]

In de openbare sector moet alles gerapporteerd worden en wordt het meeste publiek gemaakt.

Is ook logisch. Openbare sector wordt betaald van gemeenschapsgeld.

[armageddon_2k1]

En bedrijven die gesubsidieerd worden dan? Belastingkortingen, overheidssubsidies en wat al niet meer?
Dat zijn vele tientallen, zo niet honderden miljarden, die betaald worden van gemeenschapsgeld.

Om maar te zwijgen van de vele semi-overheids-bedrijven welke een kritieke overheidsfunctie vervullen, maar vanwege een doorgeslagen privatisatie-drang buiten enig toezicht staan en er nooit is aangetoond hoeveel meer 'efficient' ze zijn.

[Reactie gewijzigd door armageddon_2k1 op 30 maart 2025 14:05]

[adje123]

En mensen die toeslagen krijgen?
Nee, voor mij is het genoeg dat de overheid transparant is. Via onze overheid kunnen we ook bij die bedrijven transparantie eisen.

[Ed Vertijsment]

Je zal zeker een punt hebben maar ik wil toch wel graag nuanceren met dat er bij grotere de overheid een vrij grote zekerheid van budgetten is (er komt toch wel geld binnen) waar in mijn ervaring ertoe leidt dat er

- projecten worden uitgevoerd die geen functie hebben (software pakket voor het plannen van wandel afspraken)
- projecten dubbel worden uitgevoerd (meerdere leveranciers tegelijk inzetten, bijvoorbeeld met politieke beweegreden)
- projecten overdreven “perfectionistisch” moeten worden uitgevoerd wat leid tot netto mindere resultaten
- mensen in teams werken die in dat project niets toevoegen.

Die zal ongetwijfeld elders ook voorkomen maar mijn indruk is dat de overheid hier wel erg vertegenwoordigd is.

[FrankHe]

Ik weet niet bij welke overheidsinstantie je dat bent tegengekomen?

In alle lagen van de overheid, rijk, provincie, gemeente en semioverheid vind je financial controllers en leidinggevenden die snel korte metten maken met dingen die geld- en tijd verspillen. Misschien dat het 40 jaar geleden gemakkelijker was maar tegenwoordig kom je er echt niet gemakkelijk mee weg.

In grote organisaties ga je altijd incidenten vinden van projecten die compleet zinloos zijn, hoe groter de club hoe meer scherven je zult vinden. Dat is nu eenmaal inherent aan grote organen. Waar gehakt wordt vallen spaanders, dat is een gegeven, maar dat wil nog niet zeggen dat er structureel grote misstanden zijn die worden toegedekt.

[Ed Vertijsment]

Begint met een B, toegedekt overigens niet, het gaat met denk ik meer om een cultuur dingetje.

[FrankHe]

Het is en blijft natuurlijk mensenwerk.

Bepaalde onderdelen van de overheid krijgen ook het nodige te verduren door zwabberend politiek beleid. Er worden nieuwe regels verzonnen met vervolgens het vriendelijke verzoek om deze zo snel mogelijk te implementeren zonder ook maar enig benul hoeveel zo'n nieuwe maatregel overhoop haalt.

[Ed Vertijsment]

Dit waren niet zozeer politiek gemotiveerde projecten, als in Den Haag: eerder projecten t.b.v. intern beleid.

[FrankHe]

Dat zul je waarschijnlijk tot op zekere hoogte altijd blijven houden met grote organisaties, mensen die op hun eigen eilandje dingen doen.

[Ed Vertijsment]

Dat zal zo zijn, maar er is in mijn ervaring dan wel iets meer besef dat het geld wel binnen moeten komen en niet uit de algemene middelen komt.

[Niemand_Anders]

Ja, want bij private bedrijven nemen directies nooit besluiten zonder overleg met IT...

Verreweg de meeste systemen van de overheid werken gewoon prima. Maar er zijn ook een aantal systemen waar continue aan gesleuteld wordt waardoor het een puinhoop is geworden en het continue fout gaat.

[kodak]

Je laat een belangrijk punt weg. Het zeer zwaar afhankelijk maken van complexe systemen is een keuze. Bij die keuze hoort ook de verantwoordelijkheid er genoeg controle over te hebben om problemen zoals uitval te voorkomen en als zich problemen voor doen. Dus ook als zich complexe problemen voordoen en men niet meer genoeg weet wat de risico's zijn voor bijvoorbeeld de uitvoering van zeer belangeijke wettelijke taken, het beschermen van belangrijke gegevens enz. Daar gelden strenge eisen voor. De wet geeft niet zomaae ruimte dat bijvoorbeeld het hele Openbaar Ministerie voor de samenleving die wettelijke taken niet kan of niet wil uitvoeren omdat men geen controle over de eigen complexe ict systemen heeft. En aangezien er niet duidelijk is waarom men geen controle over een probleem had of waarom het kennelijk te complex was is het wel erg vroeg om nu al complimenten te geven. Er valt namelijk nog niet eens te stellen of men belangrijke zaken heeft nagelaten die dit hadden kunnen voorkomen en bijvoorbeeld juist niet complex waren om uit te voeren en op tijd te controleren.

[FrankHe]

Complexe systemen zijn over het algemeen geen keuze maar slechts een gegeven. Je zult het er mee moeten doen. Oude systemen vervangen kost tijd en geld waardoor de enige optie vaak is om er iets anders tegenaan te bouwen of er een schil omheen te zetten.

Er worden compliment gemaakt over de snelle en adequate manier van handelen. Als je niet weet wat het probleem is dan doe je er wellicht verstandig aan om je complete infra los te koppelen en even goed te kijken wat er nu precies aan de hand is. Het alternatief is dat je dagen lang een half werkend systeem hebt waarna je mogelijk weken bezig bent om dingen te herstellen. Bijvoorbeeld een split brain situatie in je infrastructuur kan echt enorme problemen opleveren. Door de systemen één etmaal offline te halen mis je inderdaad één dag maar daardoor reduceer je de impact hopelijk tot die ene dag en bespaar je je organisatie wellicht weken of maanden aan problemen. Voor mijn gevoel hebben ze correct gehandeld.

Sommige grote problemen kunnen een kleine oorzaak hebben, zoals vorig jaar een probleem met een network time server. Minister: storing bij Nederlandse Defensie werd veroorzaakt door softwarefout Als het goed is gebeurt zoiets één keer waarna je de procedures aanpast zodat dit in de toekomst nooit meer kan voorkomen.

Bij een crisis gaat het erom dat je de juiste keuzes maakt, vandaar de complimenten voor de gekozen maatregelen, gegeven de kennis van dat moment.

[CivLord]

En vergeet niet dat de meeste overheidsorganisaties de afgelopen jaren redelijk tot op het bot kapotbezuiniged en/ of -gereorganiseerd zijn. Alleen daardoor is het al een klein wonder dat dit soort incidenten zich niet dagelijks voordoen.

[kodak]

Het door een onbedoelde verstoring je bedrijfssystemen niet beschikbaar hebben is ook een beveiligingsincident. Zeker als grote delen van de werkzaamheden hierdoor uren lang niet kunnen plaatsvinden.

Natuurlijk kunnen die gevolgen acceptabel worden bevonden om nog grotere gevolgen hopen te voorkomen, maar dat maakt het uren lang niet beschikbaar hebben van nodige ict voorzieningen en dus niet alle taken en plichten kunnen nakomen of uitstellen er in het totaal niet zomaar acceptabel door.

Natuurlijk kan er wel de conclussie getrokken worden dat het geen beveiligingsincident als gevolg van moedwillig crimineel handelen was. Maar dat zorgt er niet zomaar voor dat het dus maar geen beveiligingsincident is.

[Reactie gewijzigd door kodak op 29 maart 2025 15:35]

[Het.Draakje]

Ik zou dit incident toch echt rangschikken onder continuïteitsverstoring. Beveiliging was volgens OM (wat dit geval betreft) afdoende. Een beveiligingsprobleem los je op door bijv. 2FA te verplichten. Rechten te ontnemen, een computer los te koppelen van het internet, etc.

En die maatregelen lossen niets op / voegen niets toe als je systeem down gaat door bijv. een server die doorbrandt, een systeem niet meer reageert of (door een bug) opeens een verkeerde waarde afgeeft.

En ja, door dergelijke oorzaken kun je niet meer werken. En inderdaad, dat is niet acceptabel (of juist wel volgens het bedrijfscontinuïteit plan).

[Tc99m]

Een continuïteitsverstoring raakt aan de beschikbaarheid van je gegevens en aan de continuïteit van je bedrijfsprocessen, en valt daarmee binnen de in de IT gangbare definitie van een beveiligingsincident. Dat staat dus verder los van de oorzaak van dit incident.

[Reactie gewijzigd door Tc99m op 29 maart 2025 17:20]

[blorf]

Nog niet zo lang de oorzaak onbekend is, lijkt me. Het uitsluiten hoort wel in het protocol maar een storing is geen beveiligingsprobleem. Het kan wel een gevolg zijn maar dan heb je het probleem zelf gemist.

[kodak]

Beveiliging van computersystemen en netwerken gaat niet slechts om maatregelen om criminelen buiten systemen te houden of beschermen tegen foutief gebruik. Het gaat juist ook om de systemen daadwerkelijk kunnen blijven gebruiken als men er van afhankelijk is om belangrijke taken uit te voeren en men verantwoordelijk is dat hoe dan ook te doen. De wet stelt daar strenge eisen aan, ook als een belangrijke organisaries onzeker is wat precies de oorzaak of risico's voor toegang en gebruik zijn. En die eisen zijn de afgelopen jaren ook strenger geworden omdat dit soort organisaties zichzelf en de samenleving zwaar afhankelijk maakt van it-systemen om het zeer belangrijke werk zorgvuldig uit te kunnen voeren.

[FrankHe]

Dit gaat over beschikbaarheid, zolang we niet weten wat de reden was voor de verminderde beschikbaarheid kun je nog niet spreken van een beveiligingsincident. Dat is alleen achteraf te beoordelen.

[kodak]

De rechtsstaat heeft geen pauze-knop. Het Openbaar Ministerie is daarin zo belangrijk dat momenteel prima te stellen dat dit een beveiligingsincident is zolang onduidelijk is waaruit blijkt dat het niet werken van alle systemen wel redelijk is.

Onwetendheid of complexiteit van systemen staan daarbij niet boven de rechtsstaat. Het beschikbaar zijn voor de rechtsstaat is het belangrijkste. En dat die beschikbaarheid voldeed of dat argumenten als onwetendheid en complexiteit momenteel een redelijke verantwoording geven blijkt juist niet.

[FrankHe]

Dat de systemen belangrijk zijn staat buiten kijf. Aan de andere kant moet je ook vaststellen dat wanneer het systeem één enkele keer een etmaal niet beschikbaar is dat er niet direct hele grote ongelukken gebeuren. In een incidenteel geval kan het gebeuren dat je iemand een dag eerder uit voorlopige hechtenis ontslaat of een dag langer in hechtenis houdt omdat je het zekere voor het onzekere wilt nemen. Dat is even vervelend maar er gaan als het goed is niet direct mensen dood. Het zou een ander verhaal zijn als het systeem met grote regelmaat niet beschikbaar is en er dus grote structurele problemen zijn.

Je zult ook realistisch moeten zijn hoeveel beschikbaarheid er nu daadwerkelijk nodig is? Gaan we alles drievoudig uitvoeren om een uitval van eens in pakweg vijf jaar te voorkomen? Of accepteren we dat dit kan gebeuren en we houden 100 miljoen in de zak die we aan nuttigere dingen kunnen besteden?

Het OM heeft een incident met hun systemen en we kunnen pas achteraf beoordelen of dit al dan niet een beveiligingsprobleem betrof of dat het bijvoorbeeld een menselijke fout betrof die problemen veroorzaakte maar waarbij de veiligheid van de informatie niet in het geding is geweest.

[jpsch]

Twee dagen eruit op een jaar is 99,5% up time. Kan nog prima binnen de afgesproken bandbreedte zitten.

[kodak]

0,5% van de tijd een systeem niet kunnen gebruiken gaat er bij belangrijke bedrijven en organisaties meestal ook om dat er in die tijd dan andere taken uit te voeren zijn. Bijvoorbeeld taken die uit te voeren zijn met eigen systemen die hoe dan ook beschikbaar moeten zijn en taken die op afspraak uit te voeren blijven als een ander deel in storing is.

Zoals ik het lees waren in het ergste geval nu alle systemen niet beschikbaar, dus ook die altijd nodig zijn en bruikbaar moeten zijn bij een storing. Terwijl niet duidelijk is hoe dat verantwoord kan worden.

[FrankHe]

Het is uiterst vervelend dat de systemen een dag niet werken, een dag verloren die je niet meer terugkrijgt. Aan de andere kant is dat het ook, één verloren dag. Verder gebeuren er geen hele erge dingen. Er liggen geen mensen aan de beademing die overlijden wanneer het systeem uitvalt. Je verliest een dag en die zul je in de komende week of twee moeten inhalen, dat is natuurlijk onwenselijk maar niet onoverkomelijk.

[Tc99m]

Als de norm is dat niemand mag overlijden, leg je de lat wel heel erg laag voor de beschikbaarheid van je systemen.

Dat gevolgen overkomelijk zijn, maakt ze nog niet acceptabel, zeker niet als het om de systemen van een organisatie zoals het OM gaat, dat een essentiële publieke taak uitvoert en in de avonden en weekenden gewoon doorwerkt. Onverwachte langdurige uitval kan lopende opsporingsonderzoeken frustreren, er voor zorgen dat aanhoudingen of zittingen moeten worden uitgesteld, etc. etc. De gevolgen daarvan kun je nog maanden of jaren later merken, niet alleen binnen het OM, maar ook in de maatschappij.

Dus ook al zijn de gevolgen hier wellicht nog te overzien, en lag er waarschijnlijk geen externe oorzaak aan ten grondslag, is het nog steeds een incident dat goed moet worden onderzocht om dit in de toekomst te voorkomen.

[FrankHe]

Elk incident dient inderdaad zorgvuldig onderzocht te worden. Als het goed is volgen daar nieuwe inzichten uit en resulteert dit in nieuwe procedures of werkinstructies. Afhankelijk van wat er precies is voorgevallen kan daaruit eventueel ook de conclusie volgen dat het simpelweg een geval van overmacht betreft waarbij de kans dat het zich nogmaals voordoet zo goed als uitgesloten is.

Één dag uitval is uitermate vervelend, zeker voor een belangrijke organisatie als het OM, maar die dingen kunnen nu eenmaal gebeuren. Hoe hard je ook je best doet je zult nooit in staat zijn om alle risico's voor de volle 100% af te dekken. En wanneer het technisch mogelijk is om een extra negen toe te voegen aan je 99,99 dan is het nog zeer de vraag of het economisch verantwoord is? Bedenk daarbij dat een systeem wat drievoudig is uitgevoerd dusdanig ingewikkeld wordt dat je je daarbij kunt afvragen of je daarmee niet potentieel meer problemen creëert dan je er mee oplost.

In voorkomende gevallen is het wellicht verstandiger om de boel voor korte tijd dicht te gooien en zaken te repareren waarna je weer een werkend systeem kunt presenteren. Hiermee voorkom je juist langdurige uitval. Soms is het beter om even door te pakken in plaats van dagen achtereen door te modderen.

Stel je voor dat mensen een week lang met een half werkend systeem moeten werken? Daar ondervind je als organisatie veel meer hinder van dan van één dag volledige uitval. Het is uiteraard kiezen tussen twee kwaden, meteen goed doorpakken is dan de verstandige keuze.

[adjep07]

Geen hack dus. Vraag mij af als dit wel het geval zou zijn geweest, of dit zo in de overheidscommunicatie zou worden benoemd, of dat het dan 'handiger is' het ook een hardnekkige verstoring diep in het systeem te noemen.

[TheMak]

Een voorbeeld iit een relatief klein bedrijf, we hadden data op een afgeschermde plek staan. Dus elke dag moest ik die data opvragen. Om dat te automatiseren had een collega van de echte ict afdeling een tooltje gemaakt. Weinig mensen gebruikten die. Op een gegeven moment was project afgelopen. Nog later giing ik uit dienst. Nog later gingen ze monitoren vanuit de binnenkant. Kwamen ze erachter dat een niet bestaand iemand data opvroeg! Dus paniek hoe kan dat! Dit had natuurlijk voorkomen kunnen worden door extra processen in te richten voor de changemanagement, lifecyclemanagement, en goede processen alsniemand uit dienst gaat. Een proces voor einde projecten. De laatste twee kunnen ook geautomatuseerd worden. Dan was heet tooltje er nooit geknen.

[eazyq]

Overheid en ICT blijkt best vaak geen goede combinatie te zijn.

[kamerplant]

Bij bedrijven loopt het vaak ook niet heel erg optimaal hoor Alleen als het bij bedrijven te bond gaat, dan zal een bedrijf uiteindelijk failliet kunnen gaan; dat speelt bij een overheidsorganisatie niet natuurlijk

[Marctraider]

James bont? xD

[Tc99m]

Ook bij veel bedrijven is ICT soms een sluitpost, is er soms een zorgwekkend onoverzichtelijke moloch van los aan elkaar hangende (legacy) applicaties en weerhoudt een gebrek aan kennis of expertise managers en bestuurders er niet van om zich toch tot in detail met projecten te bemoeien waardoor er voorspelbare en foute keuzes worden gemaakt.

Het verschil met publieke instellingen (zoals het OM) is dat veel private partijen veel minder verantwoording hoeven af te leggen of door een kleinere groep worden gebruikt, waardoor er geen nieuwsberichtje op de Tweakers en NOS frontpage komt als ze een paar uur eruit liggen. Ik wil daarmee geklungel op IT gebied bij de overheid niet goedpraten, maar ze liggen wel onder een vergrootglas, en in de private sector gaat het echt niet zoveel beter.

[UTWarcow]

Met name als het bedrijfsleven is gebruikt v oor de aanleg en het onderhoud.

[Anoniem: 57411]

Mensen en ict botert ook niet vaak.

[HoppyF]

Dit was dan misschien een lastige verstoring maar het OM heeft de laatste jaren al veel meer ICT problemen gehad. Ze hebben hun ICT zaakjes niet zo op orde of dit nu aan derde ingehuurde partijen ligt of niet. De collega’s van de Rechtspraak doen het gelukkig veel beter.

[Mellow Jack]

Geen idee waar je het over heeft maar zaakjes niet op orde kan nooit door een derde partij komen

[TV_NERD]

Natuurlijk wel. Men koopt gewoon ICT-diensten in en als een derde partij een kritieke update verzuimt, e.o.a. storing heeft, of hun SSO faalt (ik noem maar wat) dan kan dat zeker gevolgen hebben voor hun klanten.

[Tc99m]

Dit zijn ook allemaal dingen die kunnen voorkomen als je alles in huis beheert of bij andere overheidspartijen afneemt.

[Mellow Jack]

Als het een incident is kan het gebeuren. Als ze hun zaakjes niet op orde hebben is dat een keuze genomen tijdens het uitbesteden van de dienstverlening. Normaal gesproken stel je vooraf eisen aan de leverancier en heb je een framework daaromheen om het te waarborgen en controleren.

Nu weet ik dat het niet overal gebeurd. Werk zelf ook al een tijd in de ict. Maar in de praktijk zie ik vaak mensen beslissingen nemen waarbij ze denken het hele verhaal te begrijpen. Laatst kwam nog een hoge pief bij me langs...

Ja, we dachten een SaaS dienst te hebben genomen maar blijkbaar komt daar een hele PaaS en IaaS omgeving bij. Die moet onze organisatie in beheer nemen, het is niet 1 vd clouds die we nu al gebruiken, het moet voldoen aan onze eisen en we hebben dit hele verhaal niet gebudgetteerd...help!

[Reactie gewijzigd door Mellow Jack op 29 maart 2025 17:19]

[FrankHe]

Hoe dan ook, incidenten komen nu eenmaal voor, waar het om gaat is hoe je daar vervolgens op acteert. Elk systeem en elk proces is feilbaar, mensen zijn feilbaar en IT is mensenwerk. We doen er alles aan om operationele risico's zo klein mogelijk te maken, we volgen procedures, schrijven draaiboeken en houden audits. Het is echter een illusie te denken dat je alles voor de complete 100% kunt afdekken. Er kan altijd iets fout gaan, de meeste fouten hebben weinig impact en kunnen doorgaans vrij simpel verholpen worden. Heel incidenteel komt er iets op je pad dat de boel flink overhoop gooit en daar moet je dan snel en op de juiste manier op reageren. Dit geldt voor zowel interne als externe mensen.

Beslissingstrajecten zijn altijd interessante materie. Je ziet inderdaad wel vaker dat bedrijven denken SaaS af te nemen maar dat het in werkelijkheid net even iets anders in elkaar blijkt te steekt. Virtuele infra kan heel snel heel complex worden waarbij je vrijwel per definitie genoodzaakt bent een externe partij aan te trekken voor het inrichten en beheer van die infra.

[david-v]

De schuld neerleggen bij de ene of andere partij is inderdaad niet juist, of het nou intern of extern is.

Wel vraag ik me af of de ICT bij de overheid nog steeds grotendeels gedaan wordt door externe partijen. Toen ik als externe bij de Belastingdienst werkte was 80% van mijn team extern, waarbij de resterende 20% management en een paar (data) analisten waren. Het technisch personeel was inhuur.

Ik vind dat zelf een hele scheve verhouding. Externen inhuren voor specifieke technische kennis of tijdelijk voor extra handjes, dat begrijp ik wel. Maar sommige mensen worden jarenlang ingehuurd, dat is vaak meer dan 5 jaar. Dat vind ik echt niet kunnen.

[T-men]

Toen ik als externe bij de Belastingdienst werkte was 80% van mijn team extern

De grote vraag is: hoe komt dat? Waarom is er zo'n klein percentage vast personeel?
Betaalt de overheid te weinig en solliciteert er niemand op een vacature? Of is het de bedrijfscultuur? Zo ja, hoe is die elders dan anders? Of is het de politiek die een kleine overheid wil en zijn dit de trucjes om het aantal ambtenaren op papier laag te houden?

[HoppyF]

Zomaar een voorbeeld van eerdere problemen,
https://www.computable.nl...oblemen-kwellen-om-extra/

[matthigast]

Nou, nou.
Je huurt een partij in die expert is in iets om iets uit te voeren waar je zelf niets van kent. Dan verwacht je dat ze hun werk goed doen, toch?

[wildhagen]

Natuurlijk. Maar iedereen maakt wel eens een fout, ook als die voor een externe partij werken.

Fouten maken is nu eenmaal menselijk. De eerste mens die nooit een fout maakt moet nog geboren worden. Ik zou er mijn adem niet voor inhouden, daar wordt je best blauw van.

En het gaat hier om een verstoring, die hoeft niet eens door een fout te ontstaan. Er kan ook een defect in een apparaat zijn, bijvoorbeeld.

We moeten het in deze kwestie ook allemaal niet erger maken dan het is. Van fouten kan je ook weer leren en verbeteren.

[rko4u]

Een verstoring waar het hele netwerk voor plat gaat? Dat is op zijn minst hoogst opvallend. Vreemd dat ze niet konden isoleren.

[ThaRealKnuf]

En als het toch een hack was, dan zeggen we dat het een storing was.

[pimlie]

Het OM heeft een vacature open staan voor twee Enterprise Architecten: https://www.werkenvoorned...se-architect-OM-2025-0160

Toeval of heeft het bestuur simpelweg net te laat geluisterd naar de zorgen van de huidige IT-ers?