'Politie voerde beveiligingsadvies voor M365 niet volledig uit voor grote hack'

De Nederlandse politie had verschillende aanbevolen beveiligingsmaatregelen niet volledig doorgevoerd toen de organisatie in 2024 werd gehackt. Follow The Money schrijft dat de politie deze had moeten treffen toen ze Microsoft 365 in gebruik nam, maar dat verzuimde. Het is onduidelijk of de hack daarmee voorkomen had kunnen worden, maar het had de aanval in ieder geval bemoeilijkt.

Follow The Money schrijft dit op basis van documenten die het via de Wet open overheid (Woo) opvroeg over de hack op de Nationale Politie in 2024. Toen kwamen de namen en contactgegevens van alle 63.000 Nederlandse politiewerkers op straat te liggen nadat een Russische hackersgroep toegang kreeg tot een Active Directory-omgeving. Follow The Money stelt nu op basis van die documenten en informatie van de politie dat de hack in ieder geval moeilijker had kunnen zijn als de politie de juiste beveiligingsmaatregelen had doorgevoerd.

Zo werd de politie in november 2022 in een interne risicoanalyse gewaarschuwd dat zij bepaalde beveiligingsmaatregelen zou moeten invoeren voordat ze Microsoft 365 als cloudomgeving in gebruik zou stellen. M365-omgevingen zijn interessante doelwitten voor staatshackers en brengen daarom meer risico met zich mee.

De politie erkent tegenover Follow The Money dat ze niet al die maatregelen heeft genomen. "Wij moeten vaststellen dat niet alle maatregelen ten tijde van het incident volledig waren geïmplementeerd", zegt de politie. "Deze specifieke aanval had naar verwachting moeilijker kunnen worden uitgevoerd en mogelijk eerder kunnen worden gedetecteerd."

Om welke maatregelen het gaat, is onduidelijk. Die informatie wordt om veiligheidsredenen niet genoemd in de Woo-documenten. Na de hack zijn alsnog wel maatregelen doorgevoerd, zoals het verwijderen van inactieve accounts en het afdwingen van nieuwe wachtwoorden, maar het is niet zeker dat die zaken verband met elkaar houden.

Reacties (150)

[Qwerty-273]

Groot struikelstuk bij Entra (en ook andere cloud omgevingen) is dat de rechten die je toe kent aan "applicaties" en dat kan ook een service principal zijn in dit geval (een service account voor de ouderen) soms echt niet begrepen worden. Of onderschat worden hoeveel je daar al mee vrijgeeft. En terwijl een gebruikersaccount voorzien wordt van mfa etc etc zie je dat vaak een stuk losser terug bij applicaties/service principals. Een simpele user.read.all permissie geeft alle gebruikers informatie al vrij. Terwijl die permissies wellicht totaal niet nodig zijn voor het proces dat draait. Zelfde voor de permissie set "directory.read.all" waar veel mensen denken dat het puur permissies zijn om "Active Directory" uit te mogen lezen....... En dan nog maar te zwijgen over applicaties waar ze een *.ReadWrite.all willen omdat ze liever een workflow in de achterliggende app de instellingen willen laten maken ipv handmatig een handleiding te volgen. Er wordt dan wel vergeten dat je met write.all ook default bij heel veel andere dingen wijzigingen kan aanbrengen. Governance en compliance wordt op deze punten echt sterk onderschat (zeker als je het aan de eindgebruiker zelf overlaat om hier keuzes te nemen - ie de standaard om "cloud" lekker vriendelijk en makkelijk te houden)

[theduke1989]

Ik snap dat ook niet. We moeten zelf DORA navolgen, daar is access rights ook een onderdeel van.

Bij ons,al heb je adm of wat dan ook in je naam, betekend niet dat je alles mag.
Servicedesk heeft andere rechten. Die mogen wel weer software installeren, maar een admin weer niet.

elke afdeling in IT, mag en kan alleen een bepaald ding, en als je meer admin rights nodig hebt zoals enterprise moet je dit aanvragen. Security controleert dit, en geeft je alleen 1-2uur recht.

Alleen de sys/infra engineers bouwen de software paketten etc, overige mogen daar niet komen.

Zo ook met de toegang voor folders, alleen securty mag het bevestigen of iemand toegang heeft ja of nee!

[sjans]

Ik merk dat op nieuwe tenants dit al een stuk moeilijker gemaakt is (gelukkig). Daar is standaard admin goedkeuring nodig.

Je kunt in Entra onder bedrijfsapps > Toestemming en machtigingen > instellingen voor beheerderstoestemming aanvragen voor toegang laten inschieten en ze als beheerder dan later goedkeuren. Dat doe je vervolgens in bedrijfsapps > Aanvragen voor toestemming van de beheerder.

Daar kun je als beheerder dan controleren wat de betreffende app aan toegang wil en het vervolgens alsnog blokkeren of natuurlijk goedkeuren.

[Blokker_1999]

En als je dan toch een SPN met vele rechten maakt, zorg dan dat die goed beveiligd is. Ga geen client secret gebruiken dat je per ongeluk in een repository kunt achterlaten en publiek kunt maken. Maak gebruik van certificaten waarbij de private key nooit het doelsysteem verlaat of kan verlaten.

Nu zie ik het hier ook regelmatig voorbijkomen. Gebruikers die op een SaaS app wensen aan te melden met hun bedrijfsaccount, dan maar die SSO proberen en dan heb je ineens een app die toegang wenst te krijgen tot de gebruiker zijn mailbox, kalender, sharepoint, ... . En dat allemaal omdat de gebruiker de notities van een vergadering met een klant wenst te raadplegen die op een extern platform staan opgeslagen.

En dan ben je blij dat je, zoals @sjans aangeeft, niet toestaat dat gebruikers zelf maar even toestemming kunnen geven voor hun eigen account.

Maar ook bij interne applicaties zien we dat. Developers die gewoon veel rechten wensen, of toegang tot informatie voor hun app waarbij je je moet afvragen waarom ze het nodig zouden hebben. Ja leuk dat jij de userphoto als profiel foto wenst weer te geven in je app, maar je beseft toch dat die foto beschermd is onder de AVG en dat je die data op een correcte manier moet afschermen. Neen? Wel, wil je de foto en het werk of mogen we op deny klikken?

[Isnowiz]

De organisatie waar ik werk heeft er voor gekozen om meerdere klanten in een Entra-tenant te stoppen.. Vervolgens wil klant A een app gebruiken die user.read.all rechten vraagt..
Entra moet echt wat meer fine-grained autorisaties gaan toestaan, want dit werkt zo niet.

[Ecological]

Als Microsoft certified trainer - is het ook wel heel makkelijk om je personeels gegevens in entra id te zetten. Maar voor de politie zou ik het niet aanraden. Een spn die entra user real all heeft kan alles uitlezen. Ik zou dat echt niet aanraden. En dat terwijl voor grote enterprises w365 prima is. Maar niet voor de politie, imo

[thePiett]

Het lijkt me sowieso niet echt wenselijk dat dit soort gegevens in de VS staan.

[asing]

Er staan overal datacenters en je kan bij het aanmaken van de tenant de lokatie van je data kiezen. Als dat west Europa is dan staat het hier.

De vraag is uiteraard of onze overheidsinstanties gebruik moeten maken van Amerikaanse dienstverleners als Microsoft en aws.

[drdelta]

De vraag is uiteraard of onze overheidsinstanties gebruik moeten maken van Amerikaanse dienstverleners als Microsoft en aws.

Waarom is dat überhaupt een vraag? Denk je echt dat de Amerikaanse politie al hun gegevens bij een buitenlandse dienstverlener zouden parkeren? Dus waarom zouden wij dat in hemels naam wel doen?!

[AceAceAce]

Gaat niet om buitenlandse, maar om beste dienstverlener. Dat was en is nog vaak het criterium

[drdelta]

Gaat niet om buitenlandse, maar om beste dienstverlener. Dat was en is nog vaak het criterium

Een buitenlandse dienstverlener kan per definitie niet de beste zijn, want je creëert afhankelijkheid, ontneemt lokale partijen de mogelijkheid dergelijke producten (inter)nationaal aan te bieden, en geld verlaat je eigen economie.

In het geval van Amerikaanse diensten kunnen zij ook nog eens stiekem al onze data inzien, of lukraak dienstverlening stoppen, ook wanneer de data in de EU opgeslagen wordt.

Daarnaast is er een grote politieke afhankelijkheid, zoals we bv. gezien hebben met de Microsoft dienstverlening die pats-boem gestopt werd toen het ICC haar werk deed.

[dasiro]

ik veronderstel dat ze die risico's wel afwegen, maar of de mensen die die afweging maken en waaraan ze rapporteren wel te vertrouwen zijn is een ander zaak.

[MSalters]

[...]
Een buitenlandse dienstverlener kan per definitie niet de beste zijn

Mercantilisme, anno 2026 heb je niet veel aanhangers buiten Trump en zijn kliekje. In elk geval wijst de EU het principieel af.

[drdelta]

En kijk in welke positie de EU zich momenteel bevindt..

Overigens is de EU met allerlei projecten wel degelijk bezig om deze afhankelijkheid te verminderen, met de verscheidene AI, Sovereign Cloud en dergelijke initiatieven.

[DrPoncho]

Goedkoopste*

[jpsch]

Op korte termijn of op lange termijn?

[bzzzt]

Ja, dat doen ze. In de VS wordt er ook volop geprivatiseerd bij overheidsinstanties waaronder de politie.

[drdelta]

Zeker, maar welke Amerikaanse politie is afhankelijk van buitenlandse dienstverlening?

[jpsch]

Digitale forensische tools en surveillance technologie is vaak Israëlisch.

[mjl]

Geen enkele omdat er geen fatsoenlijke alternatieven zijn… en nee open source en Linux zijn gewoon niet haalbaar.

[GameNympho]

Wel haalbaar, maar niet betaalbaar ;)

[mjl]

Te duur dus niet haalbaar.

[readefries]

Ik snap niet wat je hier bedoelt met `fatsoenlijke alternatieven` en `haalbaar`.

Er zijn legio alternatieven, alleen een random gast om de hoek kan niet even iets in elkaar klikken en het in productie gooien. Dat kan bij MS wel. In mijn ogen is dat nogal onwenselijk.

Fatsoenlijke infra optuigen kan (en is heel haalbaar) in Europa.

[mjl]

Niet voor een competitive prijs, dus bij een aanbesteding kom Je niet veel verder dan de grote (Amerikaanse of Chinese) aanbieders.

[n4m3l355]

Misschien een betere vraag is, hebben we daadwerkelijk alternatieven in de EU?

Ik zit niet in deze wereld, maar het lijkt er sterk op dat enerzijds grote Amerikaanse aanbieders pakketten aanbieden die mooi op elkaar inhaken, zelfs cross platform heden ten dagen terwijl de EU weer op z'n eigen gangetje voort sukkelt.

Dus al zouden we specifiek voor MS kiezen (ook hier zijn de alternatieven beperkt maar dat is een andere discussie) zijn we in staat om MS fatsoenlijk lokaal uit te rollen.

Zelf heb ik me meermaals afgevraagd als iemand die nergens wat van afweet, wat belet een lokale partij om dit "goed" te doen, om te voldoen aan de needs om zoiets uit te rollen en tegelijkertijd volledig lokaal is en volledig aan de lokale regelgeving voldoet. Als een partij zoiets doet, zou die toch bij iedere inschrijving nagenoeg automatisch winnen mits we daadwerkelijk eisen dat data bij een niet Amerikaanse partij wordt geparkeerd ivm veiligheid?

[drdelta]

Misschien een betere vraag is, hebben we daadwerkelijk alternatieven in de EU?

Ik zit niet in deze wereld, maar het lijkt er sterk op dat enerzijds grote Amerikaanse aanbieders pakketten aanbieden die mooi op elkaar inhaken, zelfs cross platform heden ten dagen terwijl de EU weer op z'n eigen gangetje voort sukkelt.

Dus al zouden we specifiek voor MS kiezen (ook hier zijn de alternatieven beperkt maar dat is een andere discussie) zijn we in staat om MS fatsoenlijk lokaal uit te rollen.

Zelf heb ik me meermaals afgevraagd als iemand die nergens wat van afweet, wat belet een lokale partij om dit "goed" te doen, om te voldoen aan de needs om zoiets uit te rollen en tegelijkertijd volledig lokaal is en volledig aan de lokale regelgeving voldoet. Als een partij zoiets doet, zou die toch bij iedere inschrijving nagenoeg automatisch winnen mits we daadwerkelijk eisen dat data bij een niet Amerikaanse partij wordt geparkeerd ivm veiligheid?

Er zijn altijd alternatieven, en het kiezen voor een dienst van buiten de EU is per definitie een slechte keuze.

Op de korte termijn ondermijn je lokale partijen om geld te verdienen, en stuur je je geld je eigen economie uit. Op de lange termijn verlies je alle lokale partijen, en ben je volledig afhankelijk van buitenlandse partijen.

Je maakt je politiek volledig afhankelijk van buitenlandse partijen, die ook nog eens allerlei absurde wetgeving introduceren zoals het legitimeren van een militaire invasie van een bondgenoot, of het stiekem stelen van geheime informatie die in je eigen land opgeslagen zijn.

Voor Nederlandse en EU aanbestedingen zou soevereiniteit de eerste eis moeten zijn, net zoals je dat in de VS, China, Rusland, etc. ook ziet. Het huidige stelsel is veel te zwak, en veel te sterk in het nadeel van de EU.

[jvr]

Er zijn (op dit moment) in mijn ogen niet echte alternatieven.

De alternatieven zijn op het niveau , auto doet het niet dus we gaan met de fiets op vakantie. (het kan, maar niet optimaal.)

Maar ik vind ook dat we dit EU breed goed moeten oppakken en ons onafhankelijk maken, net als zoveel andere terreinen.

EU heeft op dit moment de status als een betrouwbare partner, laten we dat dan ook inzetten...maar dan moet we wel nu doorpakken en van de taart van Amerika afsnoepen zolang daar een onstabiele situatie heerst.

[readefries]

De alternatieven zijn op het niveau , auto doet het niet dus we gaan met de fiets op vakantie. (het kan, maar niet optimaal.)

Deze vergelijking gaat aan alle kanten manken vanuit mijn perspectief. Technisch gezien kunnen we alle in Europa aanbieden, alleen (nog) niet op een manier dat een iemand die twee keer een computer heeft gezien iets (helemaal onveilig en technisch niet schaalbaar) online kan gooien.

Ik kan in je analogie even geen (in mijn ogen) juiste analogie maken. :)

[jvr]

Je zegt precies wat ik bedoel. We hebben oplossingen, maar voor de eind gebruiker niet.

Te bewerkelijk, te veel hoepels.

[readefries]

Nee, dat denk ik niet.

Ook op Azure/AWS/GCP gebruiken we gewoon terraform of vergelijkbaar om infra gecontrolleerd te kunnen maken. Dat kost net zo veel moeite om het in Europa te doen op b.v. een k8s cluster bij Hetzner of Scaleway of welke partij dan ook.

Je wil je applicaties en infra niet door je eindgebruiker laten maken. Geef mij maar hoepels als je daardoor betrouwbare reproduceerbare infra krijgt. Als je ziet hoeveel extra het kost om iets dat iemand in elkaar geklikt heeft veilig te kunnen uitrollen. Leuk als speeltuin, niet voor je echte services in mijn ogen (:

[JT]

wat belet een lokale partij om dit "goed" te doen, om te voldoen aan de needs om zoiets uit te rollen en tegelijkertijd volledig lokaal is en volledig aan de lokale regelgeving voldoet. Als een partij zoiets doet, zou die toch bij iedere inschrijving nagenoeg automatisch winnen mits we daadwerkelijk eisen dat data bij een niet Amerikaanse partij wordt geparkeerd ivm veiligheid?

Wat het belet is wat jij in de eerste zin van je post als vraag stelt. Niet bedoeld als troll overigens. Maar als je op zoek gaat naar pakketten die exact hetzelfde of meer kunnen dan zou je mogelijk tot de conclusie kunnen komen dat er geen alternatief is nee. Dan zal een Europees bedrijf dus ook nooit genoeg verdienen om op hetzelfde niveau te komen want we laten het massaal links liggen vanuit de publieke sector waardoor de omzet mist om grotere stappen te zetten.

Beter zou het, imho, zijn om de vraag te stellen, wat hebben we nodig om als organisatie onze taken uit te kunnen voeren en bestaat een product dat voldoet aan een MVP (Minimum Viable Product) dat je kunt beschrijven op basis van dit antwoord? En dan is de volgende vraag, welke van deze partijen kan het beste tegemoet komen aan wensen die nog niet vervuld worden door work-arounds of simpelweg gepland ontwikkelwerk op basis van prioriteiten? Wat je tijdelijk zult moeten accepteren is wel dat je misschien iets minder kunt of productiviteit door work-arounds wat lager zal zijn. Dat trekt vanzelf bij wanneer het product verder wordt ontwikkeld.

Als het antwoord is dat er geen partij is die een product kan leveren dat voldoet aan de eisen van het MVP (maar dat vind ik moeilijk te geloven) dan is wat mij betreft de vraag hoe we er als EU voor gaan zorgen dat deze er wél komt. Zelf iets ontwikkelen of een of meerdere partijen subsidiëren wat mij betreft.

Als we alleen willen kijken naar de vraag welke partij exact hetzelfde of meer levert en als we niet tijdelijk wat willen inschikken dan zullen we nooit veranderen in wat we doen. En is het een kwestie van tijd voor we weer een keer op ons bek gaan. Dan zijn het misschien niet 2 e-mailadressen bij de ICC die verdwijnen, maar misschien wel de MS omgeving van de hele politie, een ministerie of wat anders. Dan heb je extreem veel meer pijn. Dat staat echt niet in verhouding tot de wrijving die je voelt bij het optuigen van Europese alternatieven.

[Reactie gewijzigd door JT op 23 januari 2026 12:09]

[CAPSLOCK2000]

Misschien een betere vraag is, hebben we daadwerkelijk alternatieven in de EU?

Dan moeten we eerste de vraag stellen "Wat hebben we nodig?"

Dus al zouden we specifiek voor MS kiezen (ook hier zijn de alternatieven beperkt maar dat is een andere discussie) zijn we in staat om MS fatsoenlijk lokaal uit te rollen.

Dat station zijn we al gepasseerd. Alles staat tegenwoordig in de cloud en niemand kan dat nog zelf uitrollen zonder medewerking van MS.

Zelf heb ik me meermaals afgevraagd als iemand die nergens wat van afweet, wat belet een lokale partij om dit "goed" te doen, om te voldoen aan de needs om zoiets uit te rollen en tegelijkertijd volledig lokaal is en volledig aan de lokale regelgeving voldoet.

Geld, tijd, schaal, sales, oneerlijke concurrentie zoals vendor lock-in.
Over ieder punt zijn boeken volgeschreven, ik moet het hier kort hebben.

Eerst geld & tijd. MS heeft decennia lang gewerkt en honderden miljarden geinvesteerd om te worden wat het nu is. Er is eigenlijk niemand in de wereld die zoveel kan investeren.
Ten tweede heeft MS inmiddels een enorm schaalvoordeel, de kosten worden verdeelt over een groot deel van de wereldbevolking. Zo'n beetje alle software wordt geschreven om compatible te zijn met MS en vaak alleen met MS.
Ten derde heeft MS zich op allerlei manieren in onze infrastructuur, voorschriften en procedures verankert. Alles grijpt op elkaar in waardoor het haast niet mogelijk is om het stukje bij beetje te vervangen. Wetten en regelgeving worden geschreven met alleen MS in gedachte zonder dat de opstellers het ook maar weten.

Wat je ook niet moet onderschatten is het enorme leger middelmatige adviseurs, consultants en verkopers dat maar één kunstje kent nooit iets anders zal adviseren dan MS tenzij de klant daar zeer expliciet om vraagt. Ze verdienen prima aan de huidige situatie en hebben geen enkele reden om ooit iets anders te adviseren.

Als kleine partij kom je daar eigenlijk niet tussen. Als je een alternatief weet te bieden op bepaalde punten dan zal MS het eigen aanbod snel aanpassen om jouw te ondermijne, bv door de prijzen te verlagen. En als er een keer iemand een echt goed idee heeft dan kopen ze het het bedrijf gewoon op.
De meeste IT-bedrijven proberen om weg te blijven uit het vaarwater van MS en proberen dus niet eens te concurreren.

Worst-case is het een "alles of niets" situatie waarin je de hele IT van je organisatie moet vervangen, en je zal eerst 100 miljard euro en 20 jaar tijd moeten investeren om de software te ontwikkelen. Niet alleen bij jezelf maar ook bij al je partners en klanten.

Ik schilder hier met een brede kwast. Niet overal is het zo erg en als je écht wil zijn er altijd andere oplossingen te bedenken. Maar de meeste organisaties willen helemaal niet veranderen, niet hard genoeg om er offers voor te brengen, zeker niet als dat hun concurrentiepositie in gevaar brengt.
Om daar uit te breken is er een grotere kracht nodig die de hele markt tegelijk een duw kan geven en alleen de Europese overheid is daar sterk genoeg voor, losse landen zie ik daar niet toen in staat, daarvoor is MS te machtig.
(En tegenwoordig komen er ook nog de kinderachtige dreigementen en spelletjes van Trump bij)

Een andere partij die het systeem zouden kunnen breken is defensie, dat miljarden kan besteden, niet met de markt hoeft te concurreren, goed is met regels en de waarde van souvereigniteit snapt, maar dat zal toch ook vanuit de politiek moeten komen.

De laatste optie die ik zie zijn "foute" bedrijven zoals de steenkool, olie & tabaksindustrie. Daarmee bedoel ik bedrijven die weinig toekomst lijken te hebben maar op dit moment nog bakken geld verdienen. Al die bedrijven moeten rekening houden met de mogelijkheid dat hun producten uit de gratie vallen of zelfs verboden worden. Zo'n bedrijf (bv Shell) zou tientallen miljarden en jaren tijd kunnen investeren om concurrerende software te schrijven en de markt te veroveren door die gratis aan te bieden.
Ik vrees wel dat we dan de ene monopolist vervangen door een andere en de meeste problemen blijven bestaan, maar dat is een andere discussie.

[Senaxx]

Kan je een redelijk alternatief noemen dat ook gebruiksvriendelijk is? En dan bedoel ik bijvoorbeeld voor Azure en PowerBI combinatie. Azure voor Hyperscale databases met ETL tooling, PowerBI met Onelake en goede data governance, realtime data mogelijkheden, python en voor de gebruikers gemakkelijk genoeg voor de "doe-het-zelf" analyses.

[drdelta]

Mijn ervaring met PowerBI is zeer beperkt, dus je gaat waarschijnlijk weinig aan mijn suggesties hebben.

In de zakelijke omgeving waar ik PowerBI gebruikt heb zien worden werd het als een alternatief op Excel gebruikt om data filtering / dashboards simpeler, en toegankelijker, te maken voor sales medewerkers. In alle eerlijkheid, het zelfde zou je prima in Excel (of alternatief) kunnen doen.

Als ik zoek naar een alternatief dan kom ik vooral uit bij Apache (Hadoop, NiFi, Airflow, Cassandra, Kafka, etc) voor alles omtrent data lake management. Of dat ook een waardig alternatief is voor wat je nu gebruikt? Ik kan het je helaas niet vertellen.

Mocht er daadwerkelijk geen fatsoenlijk alternatief zijn, dan zou ik verwachten dat Microsoft vrij snel een fortuin zou willen iedere maand/query.

[Elorad]

Is er dan een fatsoenlijk Europees alternatief? Ik zou het echt niet weten, als ik cloud providers moet opnoemen, ken ik er maar 3, google, microsoft en amazon.

[Baardmeester]

Grootste is waarschijnlijk StackIT, zuster van de LIDL. De EU commissie wilt overstappen naar OVHcloud. In Nederland hebben wij Cyso Cloud wat eerst Fuga Cloud was.

https://european-alternatives.eu/category/cloud-computing-platforms

[Scriptkid]

cloud alternatief ja,

Functioneel zelfde opties en mogelijk heden om compliant te zijn voor een office omgeving , bij lange na niet.


Een VM hosten is echt iets anders dan een office SAAS dienst.

[Baardmeester]

Ik haakte aan op dat hij geen Europese CSP's kent. Een Cloud Service Provider is trouwens ook heel wat anders dan wat VMtjes hosten. Daarom dat de meeste Europese alternatieven ook niet tegen de CSP's uit de VS op kunnen boksen. En dit geldt ook voor de Europese alternatieven voor 365 of zelfs Google suite.

[CAPSLOCK2000]

Functioneel zelfde opties en mogelijk heden om compliant te zijn voor een office omgeving , bij lange na niet.

Je hebt een goed punt want er zijn inderdaad talloze regels die eigenlijk alleen uitvoerbaar zijn in een MS omgeving. Er is niemand anders in de wereld die aan al die regels voldoet.

Maar hoe belangrijk zijn die regels en technieken nu echt? Ik zie in theorie de voordelen wel, maar in praktijk valt het fors tegen omdat het allemaal afhankelijk is en blijft van gewone mensen. Die klassificeren hun data niet, die werken niet met dubbele-sleutels, die gebruiken hun prive-telefoon toch zakelijk, etc, etc... Het is heel mooi dat je proces dan iso27001-compliant is maar dat betekent nog niet dat er geen briefjes met wachtwooden om de monitors zitten.

Voor de duidelijkheid, ik zeg niet dat je niet aan de voorschriften hoeft te voldoen, maar dat er onevenredig veel nadruk wordt gelegd op complexe en abstracte certificering. Het is een vorm van "regulatory capture" waarbij de regels zo worden opgesteld dat alleen de grootste gevestigde partijen er mee om kunnen gaan. Voor ieder ander is het een enorme molensteen die je wel mee moet slepen terwijl het weinig oplevert.
Ik heb al heel wat kleine partijen hun tanden stuk zien bijten op certificeringen omdat ze enorm moeten investeren in zaken die concreet niks opleveren. Als je product maar €10k kost kun je eigenlijk geen €5k uitgeven aan een audit.

De regels en prioriteiten zijn opgesteld door de grote IT-bedrijven en zijn vooral in het voordeel van die bedrijven. Als we de band met die bedrijven willen breken zullen we ook iets moeten doen aan de regulatory capture.

[digibaro]

Als ik moet kiezen tussen schermen op zwart of (heel) beperkte functionaliteit zou ik het wel weten voor kritische omgevingen. Ik kan het maar niet begrijpen dat de ernst niet wordt gezien. Heel flauw gezegd, waarom geen plan B met Linux laptop, Libre/Open Office, on-prem en en mobiel bellen. De transitie gaat niet gebeuren als we 1 op 1 vervanging eisen.

[Mathijs Kok]

Als ik moet kiezen tussen schermen op zwart of (heel) beperkte functionaliteit zou ik het wel weten voor kritische omgevingen. Ik kan het maar niet begrijpen dat de ernst niet wordt gezien. Heel flauw gezegd, waarom geen plan B met Linux laptop, Libre/Open Office, on-prem en en mobiel bellen. De transitie gaat niet gebeuren als we 1 op 1 vervanging eisen.

Omdat de zaak werkelijk ingewikkelder is dan jij doet vermoeden. De grote drie hebben een combinatie van services en schaalbaarheid die je met inhouse geknutsel niet kan nadoen.

[Senaxx]

Omdat te idealistisch gedacht is. Het klinkt allemaal heel leuk, maar voor grotere bedrijven is er meer nodig dan Office en een databaseje. Als je het allemaal moet gaan beheren / patchen / onderhouden voor grotere bedrijven >7000 medewerkers is gewoonweg niet te doen.

Zeker niet als je ook nog een goede data governance wilt afdwingen met privacygevoelige informatie.

[:murb:]

Zeker niet als je ook nog een goede data governance wilt afdwingen met privacygevoelige informatie.

Je bedoelt dus dat het geen goed idee is om je informatie te stallen bij een organisatie zoals Microsoft, AWS of Google die als het moet informatie afdraagt aan de Amerikaanse overheid, ook al staat het staat het fysiek in Europa?

[digibaro]

Een zwart scherm is realistisch(er) momenteel. Trump heeft aangetoond dat hij dienstverlening ook als politiek wapen kan en zal inzetten.

Ik simplificeer het juist expres met kennis van Cloud. Met alle respect maar een groot aantal leidinggevenden en ICT-ers neemt dit nieuwe risico onvoldoende serieus en blijft maar denken vanuit het oogpunt van onmogelijkheden (lees functionaliteit, beheersbaarheid, enzovoort).

Hele simpele vraag wat doe je op het moment dat Amerika morgen de stekker uit de Cloud Instance(s) trekt. Na hoeveel dagen gaat een gemiddeld Enterprise bedrijf failliet in NL/EU? Ik hoop dat die bedrijven een fatsoenlijk disaster recovery plan hebben opgesteld met een mirror in EU cloud instance of cloud exit procedure naar private cloud desnoods met beperkte functionaliteit om te "overleven".

[Reactie gewijzigd door digibaro op 24 januari 2026 10:27]

[psychicist]

Hele simpele vraag wat doe je op het moment dat Amerika morgen de stekker uit de Cloud Instance(s) trekt. Na hoeveel dagen gaat een gemiddeld Enterprise bedrijf failliet in NL/EU? Ik hoop dat die bedrijven een fatsoenlijk disaster recovery plan hebben opgesteld met een mirror in EU cloud instance of cloud exit procedure naar private cloud desnoods met beperkte functionaliteit om te "overleven".

Je kunt handreikingen doen naar bedrijven toe, maar als ze alle adviezen in de wind slaan en door eigen falen failliet gaan, is dat blijkbaar "survival of the fittest". Dat er dan bedrijven omvallen, hoort er nu eenmaal bij.

[asing]

Ze zijn er wel, diverse Duitse overheidsinstanties zijn weer eens aan het migreren. Denk aan onlyoffice en nextcloud.

[Mathijs Kok]

En als geschiedenis een les is, lezen we over twee jaar weer over de grote problemen met die migratie. Triest maar voorspelbaar.

[asing]

Dat lag niet aan Linux maar aan gebrek aan een goed adoptie programma van München. Daarnaast was Microsoft not amused en kind aan huis om ze weer op Windows te krijgen.

https://itsfoss.com/munich-linux-failure/

[IvarClemens]

Inderdaad, ze hebben dus gewoon het hoofdkantoor naar Muenchen verplaatst als tegenprestatie. Ik denk dat ze er veel voor over hebben om te voorkomen dat een high profile bedrijf of instantie succesvol migreert.

[Renegade666]

Je komt dan in uit kleinere partijen met diverse tools, wat waarschijnlijk niet aan elkaar te knopen is. Want ik de vraag die jij stelt, heb ik ook nog nooit antwoord gekregen.

Voor alle onderdelen is wel een vervanger, maar niet als 1 geheel.

[familyman]

Dat het hier staat, haalt niks uit.

De eigenaar en de beheerder, dat is het verschil.

De beheerder blijft amerikaans. En amerikanen hebben helemaal geen moeite om op te treden alsof ze de eigenaar zijn.

Dingen als fatca wetgeving hadden onze ogen al moeten openen.

[Carnifexje]

Dat maakt wel uit.

Dat jij FATCA aanhaalt als voorbeeld vind ik frappant, gezien dit puur om belastbare inkomsten uit het buitenland gaat voor burgers van de VS. Het is eerder niet uitvoerbaar dan een gevaar voor de privacy van EU burgers.

Had dan het EU-US Data Privacy Framework genoemd. Waar door het PCLOB toezicht op wordt gehouden; nu nog maar door 1 persoon, door Trump. De zorgen zijn hierdoor ontstaan, waar voorheen gewoon hele duidelijke afspraken gemaakt zijn. Zijn die nu mogelijk in gevaar.

Afgezien van de discussie dat de NSA onder het mom van landsbelang bepaalde (meta)data kan opeisen van de cloud providers. Waar, als het goed is sterke encryptie op is toegepast (hier gaat het vaak mis). En zelfs de NSA moet dit met een proces aanvragen via rechters. Al zou je daar met het zwakke leiderschap van het huidige VS-regime ook weer aan kunnen twijfelen.

[Reactie gewijzigd door Carnifexje op 23 januari 2026 09:43]

[thePiett]

Met Trump aan het roer maakt dat dus niks uit. Regels gelden niet voor hem. Als hij die data wil, krijgt hij het. Leuk al die afspraken, maar niemand heeft er wat aan.

[RSH]

De zorgen zijn hierdoor ontstaan, waar voorheen gewoon hele duidelijke afspraken gemaakt zijn. Zijn die nu mogelijk in gevaar.

De zorgen bestonden al eerder, en zijn eerder aangekaart (Schrems I en II). Inhoudelijk was er ook voor Trump al best wel wat kritiek op de veiligheid van data, "zelfs" bij gebruik van opslag in "souvereine" datacenters binnen EU.

De VS zijn overigens echt niet de enige partij die juridisch af probeert te dwingen dat "Europese" data vrijgegeven wordt, zoek maar eens om RCMP (Canadese federale en nationale politie) vs. OVHcloud, waarbij vorig jaar november naar voren kwam dat in 2024 data opgeslagen op Franse, Britse en Australische servers van OVHcloud gevorderd werd via een procedure tegen de Canadese dochter van deze Franse hoster.

Kijken we nog een stapje verder naar souvereiniteit is er ook altijd nog de "The Hague Act" / "The Hague Invasion Act", de ASPA uit 2002 van onze grote vriend Obama, specifiek opgesteld om militaire ingrijpen te rechtvaardigen om "Amerikaans militair personeel en andere verkozen of benoemde vertegenwoordigers van de Verenigde Staten van Amerika te beschermen tegen rechtsvervolging door een internationaal strafhof waarvan de VS geen deel uitmaken" en geeft de president de macht om "met alle mogelijke middelen de vrijlating van Amerikaans personeel te bewerkstelligen dat gevangen wordt gehouden door of op verzoek van het Internationaal Strafhof (in Den Haag)".

Je moet de kat niet op het spek binden - gevoelige data zou enkel binnen de EU opgeslagen moeten worden in datacenters waarbij toegang door regeringen van buiten de EU niet 1:1 zonder Europese tussenkomst mogelijk en toegestaan is.

[familyman]

Het punt van fatca, is dat het bewees dat amerika onze wetten en regels niet uitmaakte.

Dat ze geen probleem hadden om ons eisen op te leggen.

Als onze banken niet aan fatca voldoen, worden ze uit het financiële systeem gestoten.

En waarom ik fatca noemde, is omdat dit een voorbeeld is van ver voor de privacy discussie.

Het gaat namelijk helemaal niet om privacy. Het gaat erom dat we kritieke infra leggen bij een totaal onbetrouwbare partij die doet / deed alsof het een partner was, maar ons ondertussen helemaal uitmelkt.

[Klauwhamer]

Dit is een misvatting van jewelste. Onder andere Cloud Act (US wetgeving) zorgt er voor dat Amerikaanse bedrijven horig zijn aan de Amerikaanse overheid en verordeningen. Het maakt hierbij volstrekt niet uit wáár de data staat, als het beheer hier van door Amerikaanse bedrijven wordt gedaan.

[Baardmeester]

De gegevens staan wel in datacentra in de EU, maar de data kan in theorie worden opgevraagd door de VS. En de regering van de VS kan Microsoft eisen toegang te stoppen zoals er bij het internationale gerechtshof is gebeurt. In het verleden zijn er maar enkele situaties geweest. De kans wordt alleen grote door de geopolitieke veranderingen. Overstappen kan ook niet van de een op de andere dag. De alternatieven zijn soms ondermaats en een dergelijk traject duurt gewoon een tijd.

[sympa]

En wat denk je van het afsluiten van de toegang tot onze gegevens? Of het alleen maar plegen van chantage door middel van dreigen daarmee?

[Baardmeester]

Het probleem is dat de Europese landen en de EU al jaren verzaken goed digitaal beleid te maken. Je ziet het recent met Zivver en Solvinity die worden verkocht. In de AI race heb je allemaal kleine projectjes en geldkraantjes terwijl je miljarden in Mistral zou moeten pompen om op te boksen tegen Amerika en China. Er moet echt van boven af een goed beleid zijn. Als de EU zinnig wilt zijn dan pompen ze geld in Suse voor een Europese enterprise distro, StackIT voor een Europese CSP, Mistral voor een Europese, Myra als CDN etc. en blokkeer je overnames zoals die van Zivver. Maar als je nu begint ben je pas over 20 jaar ergens. Je kunt niet verwachten dit binnen een jaar te hebben opgelost.

[Adimeuz]

Nee, maarja, heel Europa mist daadkracht op zo goed als alle vlakken, inclusief dit

[TheVivaldi]

Heel Europa, inclusief dit? De Franse politie spreekt graag een hartig woordje met je…

[as400]

Gendarmerie mon cher : Wikipedia: GendBuntu
OpenOffice sinds 2005.

2004 - OpenOffice.org software replaces 20,000 copies of the Microsoft Office suite on Gendarmerie computers, with the transfer of all 90,000 office suites being completed in 2005.^[3]

[Scriptkid]

kun je meer vertellen over hoe open office dan data security tot stand brengt en met name beveiliging voor AI. en hoe Open office zijn records en version management doet?

[CAPSLOCK2000]

kun je meer vertellen over hoe open office dan data security tot stand brengt en met name beveiliging voor AI. en hoe Open office zijn records en version management doet?

Je stelt de verkeerde vragen. Iedereen weet dat er geen enkel ander office pakket is dat in de buurt komt van de features die in MS Office zijn geintegreerd. Als je er zo naar kijkt zit je voor eeuwig vast aan MS Office. De vraag is hoe belangrijk die features zijn. De meeste organisaties doen er niks mee.
Heb je de features echt nodig? Hoeveel organisaties doen er nu echt iets met 'beveiliging voor AI?"

Op dit moment zou het om vragen moeten gaan als: "Wat is het absolute minimum waar we mee kunnen werken? Kunnen we dat buiten de VS vinden? Zo niet, wat kost het dan om het te ontwikkelen?"

[Reactie gewijzigd door CAPSLOCK2000 op 23 januari 2026 13:58]

[Scriptkid]

De vraag is hoe belangrijk die features zijn.

Hoeveel organisaties doen er nu echt iets met 'beveiliging voor AI?"

Kijk even naar het nieuws, en de vragen die dan komen, er wordt wekelijks data gelekt en data lekken gemeld omdat veel bedrijven nog bezig zijn met hun data secuirty beleid en hard aan het zoeken zijn naar de oplossing en dan uitkomen dat m365 de enige vendor is die het kan voorkomen dat ze niet volgende week in de headlines komen.

Juist het feit dat de techniek het tot dusver niet kon is het bewijs dat het enorm mis gaat overal zie nieuws en dat je bedrijven die het wel gebruiken niet terug ziet komen in het nieuws.

[CAPSLOCK2000]

Kijk even naar het nieuws, en de vragen die dan komen, er wordt wekelijks data gelekt en data lekken gemeld omdat veel bedrijven nog bezig zijn met hun data secuirty beleid en hard aan het zoeken zijn naar de oplossing en dan uitkomen dat m365 de enige vendor is die het kan voorkomen dat ze niet volgende week in de headlines komen.

Vrijwel alle bedrijven gebruiken al M365, blijkbaar is dat toch niet genoeg om lekken te voorkommen. Dat de features er zijn betekent nog niet dat ze gebruikt worden. Misschien zou het beter zijn als ze dat wel doen, maar het is niet de huidige situatie. Als je op zoek bent naar een vervangen van M365 zou je dat dus niet moeten meetellen als je die features nu nog niet gebruikt.
Het is een variant op FOMO. De featurelijst van M365 is eindeloos en op papier worden alle problemen opgelost.

Zoals ik eerder al schreef is er geen enkel ander product dat al die features heeft. Als je doel is af te stappen van M365 moet je dus nadenken over welke features je écht nodig hebt. Of, in andere woorden, waar je prioriteiten liggen. Vind je het belangrijker om (bv) onafhankelijk te zijn van de VS of is het belangrijker om je te "beveiliging voor AI"*? Het antwoord daarop zal van situatie tot situatie verschillen.


* Ik weet niet wat je precies bedoelt met "beveiligen voor AI" maar ik neem aan dat je doelt op voorkomen dat mensen de bedrijfsdata naar een LLM sturen. Daarvoor moet je alles helemaal dichttimmeren op een manier die voor de meeste mensen onwerkbaar zal zijn. Als je dat al doorgevoerd krijgt dan zul je zien dat mensen er aan alle kanten om heen werken door bv even hun privé-telefoon te gebruiken.
Dit bedoel ik niet als anti-beveiliging of zo iets maar als illustratie van het gat tussen theorie en praktijk en hoe organisaties klem zitten tussen 'regulatory capture' en fomo.

[digibaro]

Zoals ik eerder al schreef is er geen enkel ander product dat al die features heeft. Als je doel is af te stappen van M365 moet je dus nadenken over welke features je écht nodig hebt

Goed verwoord. Dit speelt ook bij leverancier van netwerkapparatuur zoals bijvoorbeeld een Cisco. Een lijst met enorm veel features, maar welke minimale features heb je echt nodig om de dienstverlening te kunnen laten doordraaien in NL/EU wanneer Amerikaanse producten van hogerhand worden verboden, niet meer worden geleverd of niet meer bruikbaar zijn (remote shut).

[denkster]

@CAPSLOCK: je slaat de spijkers weer loepzuiver op de koppen.

Zoals zo vaak.

Bedankt!

[as400]

Ik heb een bias als 'graybeard' dus ik vermoed dat men nog alles op zijn eigen pc's en servers houdt, in plaats de verantwoordelijkheid en de data over de muur te gooien zoals men nu iedereen wil laten geloven.
Ditto voor AI waar net zoals je zoek en connectie history, de overheid iedereen VERPLICHT alles bij te houden om tegen 'nefarious activity' te kunnen optreden : terrorisme drugshandel witwassen kinderporno orgaanhandel etc.etc.etc.
Versiecontrole : misschien iets verstandiger dan in het document zelf waarbij je kunt analyseren
zoals dedicated versiecontrole software in de workflow, evt. snapshots? Bij versies in het document zelf kan je uitvlooien welke user welke passages in een tekst heeft bijgewerkt en welke invloeden zouden kunnen gespeeld hebben. FYI Microsoft heeft bekend dat ook de data gehoosd in de EU, kunnen opgevraagd worden door de USA. (gehost)

Ik zou ook eens als je dat interesseert het artikel lezen en mogelijk interessante links volgen of in de zoekmachine gooien :

An IT Support team helped to implement the changes. This included the "core team" at Gendarmerie headquarters at Issy-les-Moulineaux and the "running team" of four located at the Gendarmerie data center at Rosny-sous-Bois.^{[citation needed]}

[Ed Vertijsment]

beveiliging voor AI

in hoeverre is dit een ding? Veiligheid gaat vaak over toegang, niet toegankelijk is niet toegankelijk; onafhankelijk van of het over AI gaat of over een medewerker.

Hoe een AI met data omgaat verschilt natuurlijk nogal, maar de hosted oplossingen van der Amerikaanse techbedrijven kunnen in principe niet vertrouwd worden.

Europa ligt natuurlijk ver achter op deze oplossingen maar nog verder in mentaliteit om het op te lossen.

[Scriptkid]

medewerker pakt encrypted data uit intern netwerk op en past in deepseek omdat intern bedrijf geen AI tool beschikbaar steld,

Zie ook nieuws artikel van een van de nederlandse gemeentes, en het verschil is dat het bij hun bekend is heel veel bedrijven weten niet dat hun data al opstraat ligt omdat iemand het in een publieke AI heeft gepost ipv in een containerd AI zo als slef hosted of Copilot.

Purview voorkomt dit , zefls het overtypen van sensitive content of het gebruik van onbekende browsers werkt niet bij een correct geconfigureerde omgeving.

[Ed Vertijsment]

medewerker pakt encrypted data uit intern netwerk op en past in deepseek omdat intern bedrijf geen AI tool beschikbaar steld,

Dit gebeurt inderdaad en erg slordig, welke alternatieven kunnen er beter beschikbaar worden gesteld?

omdat iemand het in een publieke AI heeft gepost ipv in een containerd AI zo als slef hosted of Copilot.

Self hosted snap ik, maar CoPilot heeft in feite dezelfde problemen als een deepseek tenzij je dat zelf kan hosten, zijn daar mogelijkheden voor?

[Scriptkid]

Nee want deepseek is public,

Copilot enterprise is de zelfde container dus hij verlaat de user space niet, dat is juist het unieke aan copilot VS de rest van de wereld.

[Ed Vertijsment]

Mm, hoe werkt dit, is dit een lokaal model?

[IvarClemens]

In dat geval pakt die medewerker gewoon even zijn telefoon, opent de ChatGPT app en maakt een foto van het scherm.

[Scriptkid]

het willens en wetens bypassen van security counter measures krijg je in de maandelijkse training toch echt te horen dat er dan een nieuwe deur voor je open gaat , genaamd de voordeur.

Als jij dat doet is het echt geen oeps momentje meer en ben je gewoon corrupt bezig. Dan hebben we een heel ander verhaal en kun je bij diverse bedrijven gewoon aangeklaagt worden en veroordeeld.

[moimeme]

Die moesten wel een bedrijf (canonical) van buiten europa inschakelen .

[YopY]

Europa heeft genoeg daadkracht, maar Microsoft heeft enorm veel invloed in alle lagen van de IT - er is geen concurrerende partij die zoveel functionaliteit, zo geintegreerd, zo goed gecertificeerd, en (daar komt ie) zo goedkoop is, laat staan eentje die zich tot Europa beperkt.

[readefries]

zo geintegreerd, zo goed gecertificeerd

Nou dat vind ik nogal tegenvallen. Ze beloven veel, maar vaak werkt het net niet of met veel moeite. En wat heb je aan die certificering als de VS gewoon mag meekijken het niet aan mij mogen vertellen.

[CAPSLOCK2000]

Nou dat vind ik nogal tegenvallen. Ze beloven veel, maar vaak werkt het net niet of met veel moeite. En wat heb je aan die certificering als de VS gewoon mag meekijken het niet aan mij mogen vertellen.

Bij de meeste certificering gaat het er niet om wat de techneuten en gebruikers er er van vinden. Het gaat er om wat de directie en de aandeelhouders er van vinden. Die snappen toch niks van techniek dus daar wordt ook niet echt naar gekeken. De meeste certificering gaat eigenlijk om de vraag "Wie is er verantwoordelijk?".
Dat de VS meekijkt is voor de meeste bedrijven geen probleem. Het is misschien vervelend voor de klanten, maar niet hun probleem.

[Scriptkid]

VS gewoon mag meekijken het niet aan mij mogen vertellen

De VS KAN en MAG helemaal niet mee kijken.

In worse case scenario mogen ze een verzoek in dienen tot data overdracht . en dat is nog niet gebeurd en zal zoals in het verleden ook volledig aangevochten worden in courts voordat het plaats vind .

Daarboven op zijn USA veel te afhankelijk geworden van de inkomsten van die export van bigtech dat het uitproberen van die wet ze zo duur komt te staan dat het uitproberen een dermate risk is.

[:murb:]

Daarboven op zijn USA veel te afhankelijk geworden van de inkomsten van die export van bigtech dat het uitproberen van die wet ze zo duur komt te staan dat het uitproberen een dermate risk is.

Je draait het om, Nederlandse en EU organisaties zijn te afhankelijk geworden van Amerikaanse data diensten dat ze liever wegkijken.

[Scriptkid]

precies ik draai het om om het risico duidelijk te maken net zoals jullie het draaien om jullie punt duidelijk te maken,.

[psychicist]

Met stip op de eerste plaats heel Nederland. Daarna volgt de rest.

[theduke1989]

maar staan dus wel. Wij als CAA bedrijf hier in Luxembourg mogen dus nog steeds niet in de amerikaanse cloud. Ook als we kunnen moet alle data bijvoorbeeld phising mails knowbe4 (voorbeeld) emails mogen maximaal 30 dagen in de cloud staan. SecOps moet dit binnen 30 afhandelen en verwijderen. Zo niet hebben we grote problemen CAA.Dora!

Azure heeft een regel, wanneer Trump bijvoorbeeld een bevel geeft om data in te zien van EU burger.

dat hij ook dit echt mag en het kan gewoon ondanks de data in de EU servers staat!

[Reactie gewijzigd door theduke1989 op 23 januari 2026 09:57]

[Snow_King]

Was deze "hack" niet gewoon iemand die in/via Outlook een export heeft gemaakt van het adresboek? Daar lijkt het namelijk sterk op.

[Elorad]

Maar als dat gebeurd is via een inactief account dat volgens het protocol opgeruimd had moeten worden, was het toch nog steeds lastiger geworden dan het nu was?

[telenut]

Zonder meer details over wat het juist gaat zegt dit helemaal niks...
In geen enkel bedrijf zijn alle security aanbevelingen in orde. Dat is gewoon onmogelijk ook.

[Sandor_Clegane]

Daar zat ik ook aan te denken. Zoiets als een compleet onhaalbaar advies dat je niet doorvoert omdat het het werken met het systeem onmogelijk maakt.

Adviseren is gemakkelijk, implementeren een stuk lastiger.

[telenut]

Als ik de aanbevelingen open bij mij zie ik bijvoorbeeld:
Set 'Maximum password age' to '60 or fewer days, but not 0'
Set 'Account lockout duration' to 15 minutes or more
Set 'Account lockout threshold' to 1-10 invalid login attempts
Enable Automatic Updates
vulnerabilities in Openssl ( en die zitten dan in de Driverstore van Windows zelf)

[YopY]

Dat zijn lijkt mij gewoon instellingen die... 5 minuten kosten om door te voeren, best wel tragisch.

Dat gezegd hebbende, "maximum password age" wordt al jaren niet meer aanbevolen, en is volledig uit de (NIST) aanbevelingen gehaald - een password reset moet alleen nog als er bewijs is dat ze gecompromitteerd zijn. https://proton.me/blog/nist-password-guidelines

[mjtdevries]

Helaas zijn ze daarin compleet doorgeschoten. Want af en toe een wachtwoord wijzigen blijft natuurlijk wel een goed advies.
Wat NIST zegt: "Otherwise, forcing employees to reset their passwords every few months is considered bad practice, as the NIST has found that it actually makes password security weaker."
Daar zijn we het natuurlijk allemaal over eens. Maar nooit wijzigen totdat je in de haveIbeenpwned database staat is ronduit dom, want dan ben je dus per definitie te laat.
Een wachtwoord encryptie methode die 10 jaar geleden volledig veilig was, kan nu kwetsbaar zijn.
Dus bv elke 3 jaar je wachtwoord wijzigen, blijft gewoon een goed idee.

[Drunken_Bear]

Het feit dat we het in deze day and age nog altijd over wachtwoordjes hebben is toch ook van de zotte? er zijn tal van mogelijkheden om vandaag de dag al passwordless te werken. Stel dat in. wij doen dat ook voor onze klanten en gebruikers zijn nog nooit zo blij geweest.

[mjtdevries]

Hoe complexer je omgeving word, hoe lastiger het is om totaal passwordless te werken.
Ik kan voor de meeste werkzaamheden nu toe met PIN of gezichtsherkenning, maar er blijven een paar situaties waarbij ik toch nog een wachtwoord moet gebruiken. Erg irritant, want wij moeten helaas nog wel elke paar maanden het wachtwoord aanpassen, en een wachtwoord onthouden wat je bijna niet meer gebruikt is dan veel lastiger.

[sympa]

Men moet dan een goede authenticator gebruiken/ontwikkelen. Helaas is het altijd drama en bijna alleen maar mfa. Microsoft is daar een lichtpuntje overigens.

Alleen nu nog even universeel maken.

[readefries]

Ik denk wel dat er oplossingen zijn, maar zolang deze blijven komen uit een organisatie die alleen Microsoft verkondigd kom je niet veel verder.

Technisch gezien, zou je gebruik kunnen maken van fysieke sleutels, zoals yubikeys. Als je deze combineert met een PIN (deze is standaard 6-8 tekens). Hiermee kun je aanmelden op Mac, Windows en Linux. Onderwater is dit gewoon een smart-card zoals b.v. ABN deze ook gebruikte om aan te melden bij hun systemen.

[Bor]

Een Yubikey dwingt standaard geen 6 tot 8 posities toe voor de pin voor bv de FIDO-2 implementatie (en doet niet eens aan complexiteitseisen). De FIPS variant vereist minimaal 6 en tegenwoordig kan je een versie als abonnement afnemen waar je min 6 posities kan afdwingen. De pinvereisten bij Yubikey oplossingen zijn helaas al jaren ondermaats.

[CAPSLOCK2000]

Maar nooit wijzigen totdat je in de haveIbeenpwned database staat is ronduit dom, want dan ben je dus per definitie te laat.
Een wachtwoord encryptie methode die 10 jaar geleden volledig veilig was, kan nu kwetsbaar zijn.
Dus bv elke 3 jaar je wachtwoord wijzigen, blijft gewoon een goed idee.

Een paar punten.
Ten eerste gaan we (of iig NIST) tegenwoordig uit van MFA, een gelekt wachtwoord is dus geen directe bedreiging meer. Je bent dus nog niet te laat als je ziet dat een WW is gelekt.

Ten tweede is het veranderen van wachtwoord niet zonder risico's, het brengt juist flinke risico's met zich mee. Dat is het moment dat mensen fouten maken, dat ze wachtwoorden opgaan schrijven, dat ze extra vatbaar zijn voor fishing en dat kan weken duren (bv bij applicaties of apparaten die maar af en toe gebruikt worden).

Techneuten zoals systeembeheerders kunnen daar beter mee omgaan dan andere gebruikers. In een dergelijke rol is regelmatig wisselen nog steeds een goed idee. Andere gebruikers kun je beter zo min mogelijk van ww laten veranderen en zorgen dat hun veiligheid op een ander manier wordt gegarandeerd.


PS1. Een nieuwe vorm van encryptie in gebruik nemen kan ook zonder de wachtwoorden te vervangen. Op het moment dat iemand inlogt versleutel je het bestaande wachtwoord op de nieuwe manier.

PS2. De meeste mensen veranderen nooit de pincode van hun bankpas, ook al is dat slechts een viercijferige code. De veiligheid komt uit een combinatie van maatregelen, zoals dat je ook het pasje moet hebben (mfa). Ook onze huissleutels worden in het algemeen nooit vervangen.
Als het goed genoeg is voor je pinpas en je voordeur dan zou het ook goed genoeg moeten zijn voor je software.

[mjtdevries]

Mijn huissleutels heb ik vervangen omdat ze maar 2 sterren waren en de technology niet meer afdoende was voor de methodes die dieven in de omgeving gebruikten.

Pincodes worden inderdaad niet vervangen. Maar de pincodes van mensen worden ook niet aan de lopende band uit de databases van banken gestolen.
Maar zo ongeveer elke dag horen we weer een bedrijf waar persoonsgegevens inclusief encrypted wachtwoorden gestolen zijn.

En dat is ook het punt over encryptie. Tuurlijk kun je wachtwoorden opnieuw versleutelen met een nieuwe vorm van encryptie zonder dat je het wachtwoord hoeft te vervangen. Maar het punt is dat wanneer een database met encrypted wachtwoorden word gestolen die encryptie methode een tijd later onveilig kan blijken te zijn.
Denk je dat je altijd op de hoogte word gesteld van alle datalekken? Of denk je dat de kans aanwezig is dat een bedrijf redeneert dat de passwords goed encrypted zijn en het daarom niet gemeld hoeft te worden? Als je data verliest die goed encrypted is dan is het volgens de autoriteit persoonsgegevens geen datalek.

[Bor]

Dat is het moment dat mensen fouten maken, dat ze wachtwoorden opgaan schrijven, dat ze extra vatbaar zijn voor fishing en dat kan weken duren (bv bij applicaties of apparaten die maar af en toe gebruikt worden).

Dat opschrijven doen ze helaas ook zonder pageword age policy. Waarom zou iemand na het wijzigen van een wachtwoord vatbaarder zijn voor phising?

PS2. De meeste mensen veranderen nooit de pincode van hun bankpas, ook al is dat slechts een viercijferige code. De veiligheid komt uit een combinatie van maatregelen, zoals dat je ook het pasje moet hebben (mfa).

Een bankpas blokkeert na 3 foutieve pogingen tot er manueel actie wordt ondernomen. Dat kan bij een wachtwoord ook maar dat is nog geen algemeen gedragen standaard. Daarbij hebben banken expert systemen die afwijkingen constateren en hierop reageren. Ook dat kan in bv een enterprise omgeving maar dat is ook niet breed geïmplementeerd; zeker niet bij kleinere bedrijven. Je dient per geval te kijken naar de beste eisen en oplossingen.

De NIST guidelines dien je vooral niet als algemene "wet" te hanteren maar te gebruiken om te kijken naar de risico's die je in een jouw specifieke omgeving loopt. Wat zijn de risico's, welke maatregelen zijn er al, wat wil je beschermen en tegen welke kosten? De NIST guidlines zijn ook nog eens een totale set waaruit cherry picken van bv alleen de aanbeveling rond password age niet perse tot een veilige oplossing leidt.

In the end blijft het een risico analyse die je per geval dient uit te voeren. Heeft iemand een goede password hygiëne dan kan het frequent aanpassen alsnog veiliger zijn dan niet.

[sympa]

Het kan best op basis van een gebeurtenis natuurlijk.

En doe dan ook een vooraankondiging. Op mijn werk was het tijd voor een nieuw wachtwoord. Elke 2 maanden...en het nieuwe wachtwoord moest veel langer zijn plotseling. Maar dat werd niet expliciet gemeld. Alleen dat mijn wachtwoord niet goed genoeg was.

Toen heb ik snel wat geprobeerd. Niet echt een sterk wachtwoord. Maar het werd geaccepteerd en nu is dat het.

[mjtdevries]

Dat is wel triest dat ze dat niet duidelijk aangeven.
Ik heb het ook andersom gehad, dat mijn wachtwoord te lang was, maar dat de foutmelding dat niet aangaf. (was ook nog eens bij een grote bank)

[beeldbuijs]

Wachtwoord wijzigen kost 5 minuten, maar zo'n agent heeft misschien wel 20 inlogs van allerlei applicaties, telefoonapps, mfa-toestanden. En ze moeten allemaal een ander wachtwoord hebben, uiteraard.

Daarnaast kun je je afvragen hoeveel het toevoegt je ww regelmatig te veranderen, als je sowieso al niet kunt inloggen, tenzij je binnen het pand bent én al mfa bent ingelogd op de computer.

[readefries]

Set 'Maximum password age' to '60 or fewer days, but not 0'

NIST geeft al heel lang aan dat het moeten wijzigen van wachtwoorden af te raden is doordat het slechte wachtwoorden opleverd. Entropie en in iets mindere mate complexiteit zijn belangrijker.

Ik snap dan ook niet, dat dit in deze tijd nog een aanbeveling kan zijn.

[telenut]

Dat is een aanbeveling van Microsoft zelf in Defender...

[readefries]

Haha, echt. Die zou je dan wel weer weg kunnen poetsen met een beleidsuitzondering welicht. Maar sta er wel van versteld.

Anderzijds, Microsoft (lijkt) zich vaak te focussen op CIO pleasen (door b.v. functionaliteitslijsten i.p.v. afgewerkte dingen). Wellicht dat dit daar ook een resultaat van is. Wat verwacht diegene die gaat kopen.

[drdelta]

Daar zat ik ook aan te denken. Zoiets als een compleet onhaalbaar advies dat je niet doorvoert omdat het het werken met het systeem onmogelijk maakt.

Adviseren is gemakkelijk, implementeren een stuk lastiger.

“Ja maar het is lastig” is inderdaad een heel sterk argument om uit te leggen waarom we niet meer ons best zouden moeten doen…?

[R_Zwart]

Zeggen dat iets lastig is wil toch niet zeggen dat mensen hun best niet doen? Als je alles zou doen wat de security audtiors zeggen dan ligt iedere organisatie operationeel op z'n gat. Je moet constant afwegingen maken van wat echt moet gebeuren en wat een minder risico heeft in een specifieke context.

[drdelta]

Zeggen dat iets lastig is wil toch niet zeggen dat mensen hun best niet doen?

...

Je moet constant afwegingen maken van wat echt moet gebeuren en wat een minder risico heeft in een specifieke context.

Als je een afweging maakt om iets niet te doen, waar doet men dan precies hun best voor?

Als je alles zou doen wat de security audtiors zeggen dan ligt iedere organisatie operationeel op z'n gat.

Mooie hyperbool. Jammer voor de 63.000 overheidsmedewerkers wiens persoonlijke informatie gestolen is.

[TheMak]

Iets lastiger maken, betekent voor mij dat het nog steeds mogelijk is en zal de havker niet tegenhouden, omdat die genotiveerf is.

[drdelta]

Dat iets in theorie mogelijk is, betekend niet dat het daarom zal gebeuren.

[drdelta]

Absoluut, net zoals speculeren over "compleet onhaalbaar advies" een ding is. Zeker wanneer er in het artikel staat dat het daadwerkelijk advies niet publiek is gemaakt, en er naderhand allerlei aanvullende veiligheidsmaatregelen doorgevoerd zijn.

[AceAceAce]

Ja ik mis de lessons learned, zo heeft niemand er wat aan.

[demianmonteverd]

'Helaas' weten we dat nu juist niet. Wellicht is het vooral laag hangend fruit dat is opgelost. Het verwijderen van inactieve accounts en het afdwingen van een ww-policy staat in het artikel genoemd. De aanbevelingen hebben we niet en we weten ook niet welke zijn gedaan.

Laten we hopen dat ze in elk geval stoppen met die persoonlijke gegevens een-op-een in entra id te zetten. Dat is wat Ecological ook al heeft geschreven en wellicht de grootste klap uit de (ons onbekende) aanbevelingen (we weten niet eens of deze aanbeveling erbij zat, maar het lijkt wel een goede!).

[YopY]

Dat is gewoon onmogelijk ook.

Ben ik het niet mee eens (immers, aanbevelingen zijn een checklist etc). Maar het kost veel tijd, geld en mankracht, en er zijn ook andere zaken die dat opeisen. En iemand in de boom maakt die beslissingen.

[Pietopdeheuvel]

Grappig wel, aan de ene kant zijn de hackers van de KLPD in staat om hele cryptografische communicatie netwerken te kraken die echt goed dicht getimmerd zaten, maar aan de andere kant heeft de IT van de politie hun shit niet goed voor elkaar.

[asing]

Ik doe dat soort adviezen en implementaties. Het is heel eenvoudig om aan te geven wat er verbeterd moet worden en welk effect dat heeft. Implementatie is ook zo gedaan.

Daartussen zit soms maanden overleg en stempeltjes want o wee als we de gebruikerservaring negatief beïnvloeden.

[Pietopdeheuvel]

Is de ambtelijke cultuur in Nederland (en elders). Niemand wil verantwoordelijk zijn voor een beslissing, want oh jee, Alles moet 100% Processmatig zijn, geen greintje gezond verstand en pragmatisme. Eindeloos vergaderen. Heb bij een overheid gewerkt, nooit meer, gillend weggelopen.

[YopY]

Ik heb er verder geen ervaring mee, maar wat wordt verstaan onder gezond verstand? is dat die van jou of van iedereen? "Gezond verstand" is niet objectief, en "pragmatisme" kun je ook als "de kantjes ervanaf lopen".

Het was pragmatisch van de politie om die aanbevelingen maar even te laten liggen, want als je je gezond verstand gebruikt ga je geen export maken van het adresboek (of wat er maar gebeurd is). Toch?

Dwz, ik begrijp de formaliteit... maar ik zou het ook niks vinden

[Reactie gewijzigd door YopY op 23 januari 2026 09:49]

[Pietopdeheuvel]

Ik ga geen details geven, maar ik bedoel zeker geen kantjes er van af lopen, ik bedoel dat je moet focussen op de oplossing, en niet eindeloos moet blijven hangen in vergaderen en overleg omdat je vooral een beslissing wilt nemen. Worse decision is indecision

[CAPSLOCK2000]

Ik ga geen details geven, maar ik bedoel zeker geen kantjes er van af lopen, ik bedoel dat je moet focussen op de oplossing, en niet eindeloos moet blijven hangen in vergaderen en overleg omdat je vooral een beslissing wilt nemen. Worse decision is indecision

Dat wordt deels ook wel veroorzaakt door de onmogelijke situatie waar we in zitten. Niemand wil accepteren dat je (bv) €100 miljoen moet uitgeven om met MS te breken want dat geld is er niet. Dus wordt er net zo lang doorvergaderd tot er een manier wordt gevonden om toch te doen wat eigenlijk niet mag. Alle betrokkenen weten dat er eigenlijk een rookgordijn wordt opgehangen maar niemand ziet een alternatief. Alle computers uitzetten kan niet, alle software vervangen ook niet, dus doen we wat wel kan, ook al mág het eigenlijk niet.

[Tc99m]

Geloof me, bij bedrijven is IT-beveiliging net zo goed een lage prio, en komen afschuiven van verantwoordelijkheden en nutteloze meetings ook voor.

Ja, beveiliging wordt ook in het bedrijfsleven belangrijk gevonden maar de tijd en de middelen loskrijgen is vervolgens een tweede. Het verschil is dat overheidsdiensten publieke verantwoording af moeten leggen en het in de krant of op Tweakers komt als het mis gaat (terecht overigens), en dat bedrijven het onder het tapijt kunnen vegen (tenzij een echt een grote groep klanten er last van heeft) door er ergens op pagina 17 van het jaarverslag een opmerking over te maken.

[Pietopdeheuvel]

Ik heb voor overheden en bedrijven gewerkt, overheid is erger IMHO

[Hobbit13]

Constateren wat er mis is, is over het algemeen veel makkelijker dan de fix. Implementatie hoeft echt niet triviaal te zijn. Bv constateren dat MS te veel macht heeft is obvious, maar zie maar eens een alternatief voor Active Directory of M365 uit te rollen. Technisch kan het, maar eer alles weer aan elkaar gekoppeld zit, ben je zo 2 jaar (of veel meer) verder. [nu beginnen dus!]

[kodak]

We lezen in het nieuws niet hoe goed het gegeven advies was. Maar veel beveiliging is onderdeel van wettelijke eisen, zoals de politiewet en persoonsgegevens moeten beschermen. Maar als blijkt dat advies maar gedeeltelijk doorgevoerd worden dan vraag ik me af of dat advies wel in verhouding staat tot bijvoorbeeld strenge opleiding om geweld te mogen gebruiken omdat er wettelijke beschermende eisen zijn.

Het nieuws gaat om beveiligingsadvies wat niet volledig zou zijn doorgevoerd. Ik lees niet dat daaruit blijkt dat advies geven dan eenvoudig is. Omdat goed advies meestal tot doel heeft om aantoonbaar te zorgen voor verbetering en in stand houden van wat acceptabel is. Als advies langdurig zorgt voor discussie zonder werkelijk volledig of wettelijk acceptabel opvolgen was waarschijnlijk het advies niet duidelijk genoeg, niet volledig genoeg of zelfs verkeerd.

[pho-real]

hahaha ik ken dit proces ook vanuit de beroepsmatige praktijk en ik moest erg lachen om die laatste zin. Heel herkenbaar.

[Reactie gewijzigd door pho-real op 23 januari 2026 11:25]

[laptopleon]

De gebruikerservaring van de ratjetoe aan applicaties die de politie gebruikt is sowieso van een frustrerend niveau. Ik mocht een keer een dagje meelopen. Een rechercheur moet informatie uit een groot aantal verschillende applicaties halen / aanleveren. Vaak hebben die weer een eigen, aparte inlog. De rechercheur gebruikte ook geen wachtwoordmanager. Regelmatig zit je te wachten omdat de server zwaar belast is of er een storing is. De scheiding tussen privé / buitenwereld en politie-IT is strikt en dat is begrijpelijk, maar daardoor is het ook vaak heel omslachtig om een video of zelfs maar een simpel berichtje of plaatje van iemand’s telefoon naar een proces verbaal te krijgen. Zeker voor de generatie 50+ die niet is opgegroeid met internet en overigens ook voor generaties daaronder, die vaak nog met twee vingers typen en nauwelijks weten dat er toetscombinaties bestaan.

[Lethalis]

Tsja, hoe vaak heb jij aan management aangegeven dat iets nog moest gebeuren, maar dat ze het naast zich neer hebben gelegd, omdat andere dingen prioriteit hebben?

Iets met beperkte middelen, gebrek aan personeel, budget, etc.

Even afgezien van het feit dat we anno 2026 misschien helemaal niet meer willen dat de Nederlandse politie software en diensten van een Amerikaans bedrijf gebruikt. Maar goed, die tech armageddon denken we maar even niet teveel over na. Misschien komt er wel een hele berg werk op ons af als IT-ers straks haha.

Het erge is dat ik niet eens medelijden heb. Al brandt de hele wereld af. We zijn collectief zo verschrikkelijk dom geweest.

[Reactie gewijzigd door Lethalis op 23 januari 2026 09:01]

[psychicist]

Of nog erger, misschien zitten er wel heel veel IT-ers straks zonder werk, als ze software gebruiken waar je wel de controle over hebt en waarbij wel de procedures gehandhaafd worden. Dat kunnen we als brave Amerikaanse bondgenoot natuurlijk helemaal niet hebben.

[DropjesLover]

Staatshackers als pen-testers loslaten op je eigen diensten, soort van een infite loop
En resources die je ook had kunnen spenderen om waardevolle buitenlandse gegevens buit te maken, "want wie wil nou wat van het kleine brave Nederland?" /s

[bzuidgeest]

Dat komt omdat ze de netwerken niet echt hacken. Het is meer net als de rest tegenwoordig doet. Social engineering. Ofwel een crimineel zo ver krijg je binnen te laten. Nog steeds een kunde, maar niet bepaald zoals het in de film gaat

[Kalief]

Hoewaarom zou een migratie naar Microsoft 365 een bestaande Active Directory-omgeving onveiliger hebben gemaakt?

[mjtdevries]

Dat vroeg ik mij ook af. Het enige dat ik kan bedenken dat een cloud omgeving altijd wat makkelijker te benaderen is door hackers dan een offline omgeving achter een firewall.

Als inactieve accounts alleen vanaf het politienetwerk (dus fysiek in een politiebureau) kunnen inloggen en niet vanaf internet, dan is het minder snel een probleem als je geen goed beleid hebt betreffende inactieve accounts.

[HollowGamer]

Er zijn bij de Politie mensen die 2-3k per jaar verdienen die enkel adviezen geven. Misschien hadden die kunnen adviseren dat echt goed IT personeel met oog voor security (desnoods training) toch echt wel vitaal zijn voor je organisatie.

Ik twijfel echt sterk om ooit nog aangifte te doen als mij of iemand anders (die ik mogelijk niet ken) mocht ik ook in die positie belanden. De overheid heeft nu al vaker aangetoond niet met deze gegevens om te kunnen gaan. Het is voor alle betrokkenen, dus ook personeel zelf, belachelijk dat ze niet leren van hun fouten, maar gelukkig zijn er wel genoeg (dure) adviesbureaus die helpen.

[mjtdevries]

Ik denk dat je vanochtend nog te weinig koffie op had, want 2 tot 3k per jaar is nogal weinig...
(Zelfs per maand is het weinig)

[beeldbuijs]

Ik denk dat je 2-3 ton per jaar bedoelt :)

[eindgebruiker]

Om welke maatregelen het gaat, is onduidelijk. Die informatie wordt om veiligheidsredenen niet genoemd in de Woo-documenten.

Dat is wel heel goedgelovig geformuleerd.

[418O2]

Ik kan me voorstellen dat ze het vanwege de veiligheid niet bekend maken. Het valt niet uit te sluiten dat andere organisaties, overheid of niet, dezelfde fouten maken of gemaakt hebben.

[R_Zwart]

Daarnaast is het vaak heel lastig om resultaten uit de ene organisatie te vergelijken met een andere organisatie. Als ik alle zaken die wij continu doen qua security zou implementeren bij de politie is het helemaal niet gezegd dat het beter wordt voor hun.

[eindgebruiker]

Dat zou een reden zijn om de informatie juist rond te bazuinen.

[Rinzwind]

Beetje dom en onnozel om AD te vullen met allerlei persoonsgegevens die niet nodig zijn voor het functioneren. Naam, login en e-mail adres voldoet. Sowieso is AD iets dat allang vervangen had moeten worden. De techniek waarop het stoelt is stokoud en wispelturig.

[Polderviking]

Waar vervang je dat dan mee als je ook uit de cloud wil blijven?

[Isnowiz]

OpenLDAP

[fuzzyIon]

Waarom moet de politie in de cloud zitten? Waarom maakt de politie geen eigen vpn mesh met eigen bare metal servers?

[CPV]

Waarom zou de politie het beter moeten doen dan de rest van de overheid: belastingdienst, Digid?

[Isnowiz]

Dat geldt voor onze gehele overheid. Hebben niets te zoeken in de cloud

[xorpd]

Enigszins ongelukkig geformuleerd, nu lijkt het alsof de politie achter de hack zat.
"[...] voorafgaand aan grote hack" is duidelijker.