Britse inlichtingendienst is duizenden gevoelige opslagapparaten kwijt

De Britse inlichtingendienst GCHQ is duizenden opslagapparaten kwijt waarop mogelijk gevoelig materiaal staat. Apparaten zoals USB-sticks, sd-kaartjes en externe ssd's zijn spoorloos, zegt een toezichthouder.

Dat staat in het jaarrapport van de Investigatory Powers Commissioner (IPCO), die toezicht houdt op Britse inlichtingendiensten. De toezichthouder zegt dat de vermissing van de apparaten al jaren speelt. "GCHQ kan nog steeds niet vertellen wat er is gebeurd met verwijderbare media waar wellicht gevoelige informatie op staat, jaren nadat dit voor het eerst is aangekaart."

Volgens de toezichthouder kan er op de apparaten data staan die onder de Investigatory Powers Act (IPA) valt. Dat is zeer gevoelige data. Zo kan er onderschepte communicatie, zoals telefoontjes, e-mails en berichten op staan. Ook kan op de opslagapparaten informatie staan die uit telefoons of laptops van mensen is gehaald. De IPCO vindt dat het onderzoek van GCHQ te traag gaat en maakt zich grote zorgen.

GCHQ zegt tegen Politico dat de inlichtingendienst zich herkent in de kritiek. "Zoals IPCO heeft gerapporteerd, was ons beheersysteem voor verwisselbare gegevensdragers voorheen niet robuust genoeg om de voor gebruik geregistreerde middelen effectief te kunnen volgen. IPCO wijst terecht op de tekortkomingen in de gegevens die het systeem voortbracht, en wij hebben naar aanleiding van alle aanbevelingen maatregelen getroffen", zegt de toezichthouder in een reactie.

Reacties (31)

[igrp]

Bij het bedrijf waar ik werk is het al jaren verboden om bedrijfsdata op externe media op te slaan. Ook zijn deze uitgeschakeld voor gebruik op gebruikerslaptops. Soms onhandig, maar wel precies om dit soort problemen te voorkomen.

[Croga]

En jij denkt dat dat deze problemen voorkomt?

Zodra je een gebruiker dingen ontzegt die hij denkt nodig te hebben bedenkt die gebruiker er wel een weg omheen. Of dat nou is door het naar zichzelf te mailen of mischien wel te uploaden naar een (nog onbetrouwbaardere) website.

Het afsluiten van dit soort functionaliteit is vrij normaal bij een GCHQ of een NAVO maar ieder bedrijf wat dit doet heeft zichzelf een veel groter data veiligheidsprobleem gegeven dan dat ze opgelost hebben.

[igrp]

Deels eens. Mailen of uploaden van de bestanden doe je bewust. Een USB-stick op straat laten vallen niet.

[Croga]

Ik zie niet wat dat hier mee te maken heeft. Mailen, uploaden en iets op een stick zetten doe je bewust. Mail laten onderscheppen, er achter komen dat de webpagina waar je geupload hebt niet betrouwbaar is of een USB stick op straat laten vallen die je niet bewust.

Zoals gezegd; je hebt een plaat voor het kleine gaatje geplakt en nu gaan je gebruikers een nieuw gat graven. Die gebruikers willen namelijk gewoon hun werk kunnen doen en zodra de beveiliging hen dat beperkt gaan ze daar omheen werken.

[walteij]

Er moet inderdaad een balans zijn tussen bruikbaarheid en veiligheid. Security die mensen verhindert hun werk te doen, wordt uiteindelijk omzeild.

Maar dat argument dreigt hier wel een universele joker te worden. Van mensen die met gevoelige informatie werken mag je ook gewoon enig securitybewustzijn verwachten.

Bovendien gaat het hier niet om één zoekgeraakte USB-stick, maar om duizenden gegevensdragers waarvan kennelijk niet meer te achterhalen is waar ze zijn gebleven. GCHQ geeft zelf toe dat het beheersysteem daarvoor onvoldoende robuust was.

Dan zit het probleem dus niet alleen bij "gebruikers die een nieuw gat graven". Dan zijn assetmanagement, governance én gebruikersbewustzijn niet op orde. Usability en security moeten in balans zijn, maar verantwoordelijkheid hoort daar ook gewoon bij.

Ik vind dat een enge conclusie voor een organisatie die met staats en spionage geheimen moet omgaan.

[Nilrem]

Je wil als organisatie bijhouden wie wat doet. Het gaat er niet om dat een draagbaar medium kwijt is, maar dat het veel te laat geconstateerd wordt. Zo is bestandsoverdracht via de mail ook achteraf traceerbaar, maar via een usb veel minder. Zet je de usb dicht, dan vinden gebruikers andere manieren die wel te traceren zijn.

[mijsk1974]

Dus?

Hij geeft toch netjes aan dat het bewustwordingsproces, feitelijk het gemak ongedaan wordt gemaakt.

Bij ons, bank, is de usb stick al jaren niet te gebruiken. Er kan om uitzondering worden gevraagd maar alleen voor specifiek doeleinde en dat wordt bewaakt. Email naar prive adres wordt ook bewaakt, printen, bewaakt. Documenten gelabeld. Dat laatste doet niet veel aan preventie anders dan "oh dat wist ik niet" argumenten killen. Dus goede stap die usb stick ontnemen. Niet alleen voor data verlies maar ook omwille van je beveiliging zelf.

Dus groot gat plakken goed. Zelfs als een klein gat open blijft. Want wie wil er nu niet een klein gaatje?

Zonder gekheid, tuurlijk blijven er opties open. Maar die opties moeten er zijn voor een legitieme reden voor een bevoegde gebruiker. Het gemak waarmee vroeger gigabytes aan conpany data het pand kon verlaten is gelukkig niet meer. Tuurlijk er zijn hacks en bad actors. Had je toen ook. Maar is wel verschil of iedereen in je bedrijf willie nillie kan inprikken of een enkeling. Valt het ook beter te bewaken.

[Pietopdeheuvel]

Oh zeker wel, maar anders dan jij denkt. Wil ik bedrijf A hacken, dan zet ik op een paar USB (waarom staat 1 TB) sticks malware die de computer waar je het insteekt back doors installeert bijvoorbeeld. Deze laat ik achter op de parkeerplaats van bedrijf A. Er is altijd wel een sukkel die denkt, heee das leuk, en deze in haar computer steekt.

[mijsk1974]

En vandaar dat de gebruiker in een goed bedrijf de usb niet meer kan aanspreken. En diegenen die dat wel kunnen vinden jouw usb stick wel heel leuk inderdaad om in een sandbox lekker mee te spelen.


Stuur gewoon email met malafide link.

Meer dan de helft klikt er nog steeds op.

[Pietopdeheuvel]

Correct, awareness is een groot probleem. Lekker overal op klikken en wanneer het mis gaat je voor dom houden en het is een probleem van Corporate IT

[bazs2000]

Bij ons ook. Onder zeer speciale voorwaarden kan het maar dan moet je wel een functie hebben waarbij het absoluut noodzakelijk is.

USB-poorten staan het niet eens toe om opslag mee te verbinden. Een muis en toetsenbord is geen probleem maar andere apparaten, dat lukt niet. Ik vindt het alleen irritant als ik op één van onze uitwijklocaties iets moet doen dat veel data genereert wat maar langzaam over het netwerk gaat.

Irritant al zou ik het niet anders willen. Het alternatief is dat ik dan met productiedata van locatie naar locatie moet en dat is echt een no-go! Dan maar wachten op de spreekwoordelijke drol door een vergiet, ik kan daardoor geen data kwijtraken of lekken.

[walteij]

En dan is de USB stick encrypted met bitlocker en zit er een pincode op, die je fysiek op de USB stick moet invoeren.

[tw_gotcha]

maar het alternatief is de cloud en ligt je sppionage gevoelge data (in het geval deze inlichtingendienst) bij een beheerder dat is nog minder wenselijk. Dus fysiek losse geheugendragers is wel wat voor te zeggen. Net zoeits als je password op een papiertje ipv inm de cloud. of je bitcoins in een losse wallet.

[kodak]

Een verbod is niet zomaar mogelijk. De term inlichtingendienst zegt het eigenlijk al Het heeft belang bij het verkrijgen van inlichtingen. En dan kan je waarschijnlijk niet zomaar stellen dat je geen externe media wil verwerken. Wel dat daar gecontroleerd mee om zal worden gegaan. En dat is hier het probleem. Zelfs als dat grotendeels volgens de regels is verwerkt, zoals bijvoorbeeld vernietigen, dan blijkt dat onvoldoende.

Omgekeerd blijkt ook niet zomaar dat als een bedrijf een verbod heeft en technische belemmeringen toe past het genoeg controle heeft over het werkelijke gebruik. Een smartphone is bijvoorbeeld ook een opslagapparaat. Ik betwijfel of een gewoon bedrijf in kan staan dat medewerkers geen smartphones of andere opslagapparaten gebruiken waar bedrijfsgegevens of gegevens van klanten mee vewerkt worden als ze een verbod instellen en verder niet duidelijk controleren of ingrijpen voor het te laat is. En dat is waarom dat onafhankelijke toezicht belangrijk is.

[Scriptkid]

Apparaten zoals USB-sticks, sd-kaartjes en externe ssd's zijn spoorloos, zegt een toezichthouder.

Denk dat er heel veel bedrijven zijn met sensitive data waar dit voor geld , daarin zal die inlichtingen dienst zeker niet de enige zijn.

[Jerie]

Dat hoort de shredder in te gaan, of minstens overschreven (Amerikaanse overheid beleid is 6x, ik ga voor de 30x ) te worden. Dat werkt enkel bij 100% mechanische harde schijven; niet bij bijv. flashgeheugen of een write once medium zoals een CDR.

Hoe vaak ik niet een tweedehands computer heb gekocht waar nog van alles op bleek te staan... ik vond het dan leuk om de beveiliging te doorbreken. Daarna wel alles eraf natuurlijk.

Volgens mij betreft dit ook een oude casus. Ze vernietigen standaard al hun gebruikte gegevensdragers. Het zou dus goed kunnen zijn dat dit spul ook vernietigd is, maar dat dat niet als zodanig is gedocumenteerd. Dan krijg je een storm in een glas water. Het is ook waarschijnlijk dat dit voor een groot gedeelte van de gegevensdragers geldt. Hoeveel gegevensdragers er in het wild zijn, dat is nooit nul, maar de vraag is dan in hoeverre ze beveiligd zijn, wie ze in bezit heeft, en hoe relevant de data nu nog is.

[NoTechSupport]

Je kan er niet vanuit gaan dat het een storm in een glas water is. Het kan zijn, maar het kan ook zijn dat iemand systematisch data verkoopt aan de Russen en de Chinezen.

Wat hier vooral faalt is het beleid en het toewijzen van verantwoordelijkheid. Als je gevoelige data hebt wil je daar eigenlijk zo weinig mogelijk kopiëen van op datadragers. En van die datadragers wil je weten wie ze heeft en waar ze zijn (deftig registratiesysteem dat up to date moet zijn en gecontroleerd wordt). En als iemand een datadrager (al dan niet echt) verliest moeten daar gevolgen aan hangen. Een eerste foutje kan altijd gebeuren en dan is een extra training volgen misschien voldoende, maar na een tweede en derde keer moet toch geevalueerd worden of jij kan functioneren binnen een geheime dienst als je geen geheimen kan houden.

Dit is zeker niet zomaar weg te wuiven.

[Jerie]

Verkocht, niet verkoopt. Het betreft volgens mij een oudere casus.

Daarnaast mogen dergelijke gegevensdragers niet eens het gebouw verlaten, en is er intern adequate logging aanwezig (van wie bij welke data komt). Het verduisteren van zaken die in de inventaris opvallen zou wel een domme methode zijn om data weg te sluizen; dat valt immers veel teveel op.

Om die reden vind ik de verklaring dat het door de shredder is gegaan zonder dat dit is gedocumenteerd logischer.

Dat laat onverlet dat er wel een deel van de vermiste hardware verduisterd kan zijn (al dan niet met opzet, al dan niet met gevoelige data, al dan niet met versleuteling).

Het risico dat er data verkocht wordt heb je altijd. Als je geen lead hebt (want geen adequate logging), kun je hier verder ook niets mee, en ze hebben het al druk zat. Niet alleen bij GCHQ. Dat is altijd al zo, maar door de verhoogde druk van de geopolitieke situatie des te meer.

Dat ze e.e.a. hebben aangepast staat ook in het laatste stukje van de tekst:

GCHQ zegt tegen Politico dat de inlichtingendienst zich herkent in de kritiek. "Zoals IPCO heeft gerapporteerd, was ons beheersysteem voor verwisselbare gegevensdragers voorheen niet robuust genoeg om de voor gebruik geregistreerde middelen effectief te kunnen volgen. IPCO wijst terecht op de tekortkomingen in de gegevens die het systeem voortbracht, en wij hebben naar aanleiding van alle aanbevelingen maatregelen getroffen", zegt de toezichthouder in een reactie.

Ze geven dus hun fout toe.

[Reactie gewijzigd door Jerie op 30 oktober 2026 15:53]

[NoTechSupport]

Het gaat niet om één casus. Het gaat om duizend apparaten.

Als er adequate logging is kan je dit niet voorhebben. Het is net daarvoor dat ze op hun vingers getikt zijn.

Waar lees jij dat die media alleen intern gebruikt zijn? Ik lees dat nergens. Intern zijn er andere manieren om data te delen.

[Jerie]

Dat lees ik nergens; dat is hoe het werkt bij NSA, GCHQ, en andere diensten. Je mag gegevensdragers niet zomaar meenemen van of naar het gebouw. Dat kan dus doorgaans ook niet. Dat beleid was er pre Snowden al, en is daarna nog verder aangescherpt.

De logging waar ik het over heb, is wie bij welke data komt. Zoiets wordt intern gelogd, en als iemand grote hoeveelheden data zou kopiëren dan is dat direct verdacht. Maar bovenal wordt dat allemaal bijgehouden.

Hoe dan ook, ga je die gegevensdragers nooit meer allemaal vinden. En als een deel door de shredder is gegaan (zoals dat hoort, en ze ook doen) dan ga je die niet vinden ook. Het ligt dus voor de hand dat het mis is gegaan bij de documentatie van wat er door de shredder is gegaan.

[litebyte]

Het is geen bedrijf, het is een overheidsorg. die (moet staan) staat aan de basis van nationale veiligheid en daarnaast een voorbeeldfunctie moet hebben m.b.t. het opslaan/bewaren van gevoelige data.

Dat UK steeds meer 1 grote clusterfuck en een soort van negatief gidsland wordt is een pijnlijk gegeven.

[LootersV]

Met de extreem gestegen opslag prijzen zou het volgens mij best om diefstal kunnen gaan en niet perse spionage

[kodak]

Het gaat om een probleem wat al jaren speelt. Het probleem gaat dus niet zomaar om huidige prijzen van opslag.

[Pietopdeheuvel]

Zouden de medewerkers aan LVT lijden?

[anpat]

Hey die had ik ook gesubmit :)

Bij ons is er ook een USB block actief, die kan alleen bij aanvraag geactiveerd worden, maar dan alleen voor devices met een gekend ID en daar zitten geen USB opslag media bij, alleen bijvoorbeeld printers (bij ons gekend)

[Nas T]

Bij dit soort situaties denk ik alleen maar: we hebben alles te verbergen. Voor onszelf en voor elkaar. Hoe lastiger het wordt om gegevens te verzamelen, hoe minder lucratief het wordt om dat te doen. Dan hoeft er minder tijd en geld naar het verzamelen en kan er misschien iets gedaan worden waar we wel iets aan hebben.

Want ik zie wel dat ik de afgelopen 10/15 jaar tot op het bot afgeluisterd moet worden, maar ik zie niet waar ik nou profiteer. Ik zie wel dat de grote verzamelaars er miljarden mee verdienen.

[desalniettemin]

Quote: IPCO wijst terecht op de tekortkomingen in de gegevens die het systeem voortbracht, en wij hebben naar aanleiding van alle aanbevelingen maatregelen getroffen.

Oftewel als het kalf verdronken is dempt men de put.

[bussie66]

Ongetwijfeld versleuteld?

[CPV]

Nou, dat kost wel geld (zoals bij ons ooit het argument was).

[mjtdevries]

bitlocker-to-go kost geen extra geld.

[FrostyPeet]

Geregistreerde usb sticks lijken mij een administratieve nachtmerrie. Via inkoop of het magazijn een stickie regelen. Aanmelden bij IT en Fac Zaken (stick A hoort bij persoon B). Ging de stick kapot moest het bij IT veilig worden kapotgemaakt. Administratief worden uitgeschreven bij IT en Fac Zaken. Als dan een manager in je nek hijgt voor een powerpoint of excel sheet begrijp ik wel dat mensen hun eigen laptop en stickies gebruiken. Bedrijven met een usb stick registratie zullen vast wel dichtgetimmerde pc's hebben waarop je zo goed als niet je werk kan doen.