Rijksauditdienst: overheid heeft geleerd van Diginotar-affaire

De overheid let sinds de Diginotar-affaire beter op de beveiliging van overheidssites en -diensten. Dat concludeert de Rijksauditdienst na een onderzoek naar de zaak. Voorafgaand aan de hack heeft de overheid wel steken laten vallen bij de audits.

De overheid reageerde snel en adequaat op de hack, zo concludeert de Rijksauditdienst volgens Nu.nl. De Rijksauditdienst meent dat de overheid veel goed deed in de affaire. "Zo werden burgers en bedrijven gewaarschuwd, werd Microsoft met succes benaderd om een voorziene patch (update) voor Nederland met een week uit te stellen, en werd de operationele bedrijfsvoering van DigiNotar met betrekking tot de uitgifte van certificaten overgenomen. Ook werd direct nader onderzoek ingesteld naar alle ins and outs rondom dit falen van de informatiebeveiliging."

Vóór de affaire heeft de overheid wel steken laten vallen, volgens het overheidsorgaan. Zo werd te veel vertrouwd op de beperkte audits, waarbij geen afwijkingen werden gevonden, terwijl de auditors wel afwijkingen hadden moeten vinden. De overheid heeft echter lessen getrokken uit de affaire, zegt de Rijksauditdienst. "De wijze van denken en omgaan met risico’s van beveiliging van websites is veranderd. Samenwerking tussen overheidspartijen onderling en samenwerking tussen rijksoverheid en andere belanghebbende partijen (publiek, privaat, internationaal) hebben een belangrijke impuls gekregen."

De conclusie gaat in tegen de mening van de Nationaal Coördinator Terrorismebestrijding, die eerder het optreden van de overheid 'niet adequaat' noemde. "Het was lastig om alle certificaten te vinden. Daarom is het belangrijk om je eigen systemen te kennen en niet al je expertise te outsourcen."

Het inmiddels failliet verklaarde DigiNotar kwam in de problemen nadat een Iraanse hacker valse ssl-certificaten had gemaakt. Toen later bleek dat de certificaten van de Nederlandse overheid niet langer te vertrouwen waren, besloot de overheid het vertrouwen in DigiNotar op te zeggen en een andere certificaatautoriteit te kiezen.

Reacties (17)

[Verwijderd]

werd Microsoft met succes benaderd om een voorziene patch (update) voor Nederland met een week uit te stellen

De overheid heeft hier wel meteen haar krediet verbrand dat ze bij Microsoft en de andere browsermakers had. De overheid had de browsermakers verzekerd dat de beveiliging van PKIoverheid wel snor zat. Wat men er niet bij vertelde is dat de overheid zich baseerde op verklaringen van DigiNotar zelf.

In het vervolg kan de overheid niet meer rekenen op coulance van de browsermakers.

[djiwie]

Wat wel duidelijk is geworden door deze affaire is dat de overheid veel te veel op één leverancier (Diginotar) vertrouwde. Vrijwel de hele digitale dienstverlening van de overheid is hierdoor in gevaar geweest en er was geen goed backup plan (denk maar aan KPN die overbelast raakte). Bovendien werd in de eerste week waarin bekend werd dat Diginotar was gecompromitteerd nogal traag gereageerd door de overheid - in eerste instantie werd het probleem onderschat. Ik vind het dan nogal zelfingenomen van de rijksauditdienst om te concluderen dat er 'snel en adequaat' gehandeld is door de overheid.

[TERW_DAN]

werd Microsoft met succes benaderd om een voorziene patch (update) voor Nederland met een week uit te stellen

Toch raar dat dat als goed aangegeven wordt, terwijl je zou verwachten dat patches zo snel mogelijk gedaan moeten worden, om beveiligingslekken tegen te gaan. Natuurlijk had dit nadelige gevolgen kunnen hebben in dit geval, maar niet patchen laat het ook weer toe om gevaarlijke zaken toe te laten. Beetje raar imho.

[robvanwijk]

Moet je niet meewegen dat het een patch was voor een "theoretisch" probleem (er waren geen vervalste certificaten ondertekend met de sleutel van de Nederlandse overheid, die aanzienlijke (practische, echte) bijkomende schade zou veroorzaken (het grotendeels platleggen van veel sites van de Nederlandse overheid)?

[Verwijderd]

Ik denk dat het als goed aangegeven wordt omdat het ervoor zorgde dat de systeembeheerders niet in het weekend op kantoor hoefden te verschijnen om de certificaten te vervangen voordat er maandag weer mee gewerkt moest worden. Maar men verwardt daarbij de operationele kant van de zaak ("blijft alles nog werken?") met de veiligheid.

[Ford Prefect]

Om precieser te zijn, de Microsoft update zou er voor zorgen dat alle Diginator certificaten ongeldig werden, met als gevolg dat nagenoeg geen enkele burger meer contact zou kunnen leggen met wat voor overheidsdienst dan ook. Dus bedrijven zouden niet meer kunnen overdragen aan de belastingdienst, burgers zouden niet meer bij gemeente loketten kunnen komen etc.

Door deze patch in Nederland een week uit te stellen konden niet alleen de burgers en bedrijven hun certificaten aanpassen maar nog veel belangrijker, ook (nagenoeg) alle overheidsdiensten.

[_Thanatos_]

Maar zijn er nou daadwerkelijk beveiligingen gecompromisseerd? Zijn er mensen die hier *echt* een of andere schade aan opgelopen hebben? Het enige dat ik heb gelezen is dat ze een veiligheidsgat hadden en dat er allerlei certificaten misbruikt *zouden kunnen* worden. Maar is dat daadwerkelijk gebeurd en heeft men daar daadwerkelijke schade in de vorm van euro's of eigendommen aan geleden?

[Reactie gewijzigd door _Thanatos_ op 28 juli 2024 05:50]

[MneoreJ]

Dat is nou net de grap: dat is onmogelijk te zeggen. Als er iemand met een ongeldig certificaat om de tuin gelokt is zal die persoon dat nooit weten, en de eigenaar van de echte site ook niet. Een "man in the middle" attack kan gewoon gegevens afgeluisterd hebben die niet bekend hadden mogen worden, maar alleen de dader weet daarvan.

Dat is ook precies de reden dat je niet gewoon achterover kunt leunen en wachten op de schademeldingen, want die hoeven helemaal niet te komen. Er is dan wel schade, maar die is niet rechtstreeks te herleiden naar de certificaten. Nog afgezien van het feit dat je alleen al vanwege het risico op schade niet stil kan blijven zitten.

[_Thanatos_]

Maarja, dat kun je ook zeggen bij certificaten die wel "in orde" zijn... Als je niet weet en niet kán weten of alles goed gaat, wat is dan het nut ervan om al die moeite erin te steken?

Ik koop morgen een nieuw voordeurslot. Kost €500, maar daarmee weet ik in ieder geval niet zeker of er minder ingebroken wordt! Toppie!

[Patrick_P]

De Rijksauditdienst zegt: "Zo werd te veel vertrouwd op de beperkte audits, waarbij geen afwijkingen werden gevonden, terwijl de auditors wel afwijkingen hadden moeten vinden".

Achteraf is alles makkelijk. Ik voorspel dat we dit jaar nog meerdere flaters van de overheid qua IT security mogen aanschouwen. Als ze die toekomstige flaters vandaag auditen komt daar ook niets uit. Mogelijk zegt dit dus eigenlijk iets over de auditors zelf, het zegt zeker iets over hun opdrachtgevers.

Link naar wat de Rijksauditdienst eigenlijk doet: http://www.rad.nl/167/Organisatie/

[Verwijderd]

Het is allemaal leuk en aardig om een niet altijd up-to-date website af te kraken. De Rijksauditdienst, maar zeker ook de auditdiensten van de andere Ministeries waaronder EL&I en Defensie doen er alles aan om dit soort incidenten te voorkomen. Indien de kennis niet binnen de eigen organisatie voorhanden is, wordt dit desnoods tijdelijk ingehuurd.

Het blijft een feit dat als je elke organisatie in Nederland volledig op het bestaan, de opzet en de werking van de interne beheersingsmaatregelen m.b.t. de informatiebeveiliging controleert, heb je enkele duizenden EDP-teams nodig. Ik neem aan dat de belastingbetaler dit niet op prijs zou stellen.

[Vaevictis_]

Bij Diginotar werd alleen 1x per door een externe accountant geaudit op papier of de procedures voldeden. Dat heeft weinig te maken met operationele security en al helemaal niets met integrale beveiling in de keten.

Ik hoop dat ze een model integrale ketenbeveiling hebben ontwikkeld.

Ook bij het ontwikkelen van oplossingen wordt nog te weinig aandacht aan beveiling gedacht. Mocht je hier meer over willen lezen zoek dan op TOGAF - SABSA integration.

[Verwijderd]

Prima toch, nu maar hopen dat ze dit blijven doen!

[Alex3]

De Rijksauditdienst beoordeelt de overheid: wij van WC-eend...

[computerjunky]

geloof er niks van maaar dat gaat nog wel duidelijk worden.
dit hoor je zo vaak maar toch blijven ze fouten maken...

[bbr]

Leren van je fouten is 1 ding.
Problemen "voor zijn" een heel ander verhaal.