Security Quotes
Digitale regie en weerbaarheid op het scherpst van de snede
Van de Belastingdienst tot de Europese cyberrespons: de afgelopen weken kwamen er opvallende uitspraken voorbij over wie grip heeft op onze data, hoe we samenwerken bij incidenten en hoeveel verantwoordelijkheid securityprofessionals kunnen dragen. In deze eerste editie van Security Quotes laten we de uitspraken spreken.
TEKST: Sander Hulsman BEELD: AI WONDERWORKS
Uitrol M365 wordt gepauzeerd
Het Adviescollege ICT-toetsing adviseerde de Belastingdienst de uitrol van Microsoft 365 in de publieke cloud terug te draaien. In zijn reactie aan de Tweede Kamer schrijft staatssecretaris van Financiën Eelco Eerenberg dat het programma voorlopig wordt stilgelegd. De Belastingdienst gaat eerst opnieuw onderzoeken of een werkomgeving op eigen servers haalbaar is.
“
Daarom wordt het programma voor M365 bij de Belastingdienst, Douane en Toeslagen voor nu gepauzeerd
Eerenberg schrijft dat de omstandigheden, zoals de beschikbare datacentercapaciteit en het marktaanbod, kunnen zijn veranderd. Hij wil het scenario met eigen servers daarom opnieuw laten uitwerken voordat er verdere stappen worden gezet. De staatssecretaris zegt ook dat de conclusies van het Adviescollege aansluiten bij de koers die al was ingezet. Daarmee ontstaat een relevant onderscheid: het advies is een kritisch oordeel over de huidige inrichting, terwijl de pauze en het heronderzoek de bestuurlijke reactie daarop vormen. Lees de brief van Eerenberg aan de Tweede Kamer.
Chinese bedrijven weren uit kritieke infrastructuur
Europarlementariër Bart Groothuis trok in Straatsburg aan de bel over een aangepaste Chinese mobilisatiewet. Hij stelt dat die wet Chinese bedrijven in een conflictsituatie onder directe zeggenschap van de Chinese militaire leiding brengt. Een mondelinge wijziging van de motie die hij indiende, werd vervolgens aangenomen.
“
Chinese bedrijven horen dus niet in onze kritieke infrastructuur!
De uitspraak is een politieke conclusie over de gevolgen van de wet en de risico’s van afhankelijkheid. De precieze reikwijdte van de wet vraagt om juridische duiding. Maar de vraag die Groothuis op tafel legt, is concreet: welke leveranciers willen we toelaten tot systemen waarvan Nederland afhankelijk is? Bekijk Groothuis’ bericht en het debatfragment.
Netwerken verliezen toegevoegde waarde
De Europese Rekenkamer onderzocht hoe de EU grote cyberincidenten opspoort en aanpakt. De auditors zien vooruitgang, maar noemen de samenwerking deels ineffectief. Vooral beperkte informatie-uitwisseling en vertraging bij de uitvoering belemmeren de gezamenlijke respons.
“
Wanneer een ernstig cyberincident plaatsvindt, is tijdige en bruikbare informatie van essentieel belang
Die waarschuwing komt van George-Marius Hyzler, het Rekenkamerlid dat verantwoordelijk was voor de controle. De auditors willen onder meer betere afspraken over informatie-uitwisseling tussen de Europese cybernetwerken. De vraag is niet alleen of die netwerken bestaan, maar ook of ze tijdens een crisis snel genoeg dezelfde informatie kunnen gebruiken. Lees het verslag van de Europese Rekenkamer.
Spionagerisico’s met moderne voertuigen
De AIVD waarschuwt dat moderne voertuigen veel gegevens verzamelen over inzittenden, hun voertuig en hun omgeving. Vooral voor mensen met gevoelige functies of informatie kunnen die gegevens interessant zijn voor statelijke actoren.
“
Verschillende partijen, waaronder statelijke actoren, kunnen toegang verkrijgen tot deze data
Met die oproep vat de AIVD de kern van de brochure samen. De dienst wijst onder meer op microfoons en camera’s die op afstand kunnen worden ingeschakeld, en op data die via infotainmentsystemen en gekoppelde telefoons kunnen uitlekken. Het advies: weeg het risico van een voertuig af tegen het reisdoel en de gevoeligheid van de informatie. Lees de AIVD-brochure.
Wie is verantwoordelijk voor het risico?
Een Nederlands onderzoek naar de positie van CISO’s stelt dat zij vaak wel verantwoordelijk worden gehouden voor security, maar niet altijd aan het stuur zitten. Pim Takkenberg van Northwave vat de bestuurlijke kant van dat probleem samen:
“
Wie is verantwoordelijk voor het risico? Wie kan besluiten nemen?
De vragen raken aan een terugkerend spanningsveld, want de CISO moet risico’s zichtbaar maken, maar besluiten over budget, prioriteiten en bedrijfsvoering liggen vaak elders. De uitspraak vraagt om meer dan extra beveiligingstechnologie. Ze vraagt ook om duidelijk mandaat en een eigenaar voor het risico. Bekijk het onderzoek en de context.
Net zo begrijpelijk als een energielabel
Leveranciersrisico’s zijn lastig te vergelijken. Een kantoorartikelenleverancier vraagt om een andere beoordeling dan een IT-partner met beheerrechten op kritieke systemen. Orange Cyberdefense pleit daarom voor een Europees toetsingsmodel dat de zwaarte van de beoordeling laat aansluiten op het risico.
“
Het moet net zo begrijpelijk worden als een energielabel
Dat zegt Matthijs van der Wel-ter Weel, Strategic Advisor bij Orange Cyberdefense. Zo’n model moet organisaties helpen bepalen welk bewijs in een specifieke situatie voldoende is, zonder iedere leverancier hetzelfde zware traject op te leggen. De uitspraak vat een praktische wens samen: maak digitale risico’s begrijpelijker voor inkopers, bestuurders en kleinere leveranciers. Lees het artikel over het voorgestelde toetsingsmodel.
Wachten is geen optie
Twaalf Nederlandse organisaties uit de overheid, wetenschap en het bedrijfsleven beginnen een gezamenlijke pilot rond AI en cybersecurity. Ze willen kwetsbaarheden in veelgebruikte software en digitale ketens sneller opsporen en aanpakken. Het initiatief moet uitgroeien tot de collectieve cybervoorziening Prometheus.
“
AI versnelt de dreiging, dus wie nu instapt kan de curve nog beïnvloeden
Dat is de boodschap van Frits Grotenhuis, directeur van Digital Holland. De pilot moet uitwijzen waar een gezamenlijke aanpak meerwaarde heeft en welke verdedigingsmiddelen in de praktijk werken. De uitspraak is ambitieus; de volgende vraag is hoe de deelnemers die samenwerking en de resultaten concreet gaan organiseren. Lees over het Nederlandse initiatief.
