Onversleutelde USB-stick met F-16 gegevens verkocht
Een onversleutelde USB-stick met vertrouwelijke informatie over een defensiecontract, is onlangs voor één euro op een rommelmarkt verkocht. Het gaat over de verkoop van achttien F-16's aan de Chileense luchtmacht. Ook persoonlijke gegevens van bij het project betrokken militairen en medewerkers van Stork, Fokker, TNO en andere grote bedrijven worden uitgebreid genoemd, net als hun Chileense tegenhangers.
Verder bevat de USB-stick uitgebreide details over het onderhoud aan de F-16’s, Nederlandse hulp bij training van Chileense technici, levering van NAVO geheime reserveonderdelen en de zwakke en sterke punten van de straaljagers. Van wie de USB-stick is, is nog niet duidelijk. De documenten stammen van ontmoetingen tussen het Nederlandse bedrijfsleven, een reeks militairen van de Koninklijke Luchtmacht en hoogwaardigheidsbekleders van de Fuerza Aerea de Chile.
De koper van de USB-stick speelde de datadrager door aan de Telegraaf. "We nemen dit zeer hoog op, willen diepgaand onderzoek naar hoe dit kon gebeuren”, zegt Sacha Louwhof van het ministerie tegenover de krant.
USB-sticks
In 2006 verloor Defensie een USB-stick. Daarop stonden details over uit te voeren verkenningsmissies in Afghanistan en over de beveiliging van Defensieminister Kamp. De kapitein die de stick toen verloor werd geschorst. In 2007 raakte Defensie tenminste 15 USB-sticks en andere informatiedragers kwijt, waarvan er vier geheime informatie bevatte.
Om bij te houden hoeveel USB-sticks er de afgelopen jaren verloren zijn, kwam het ministerie daarom met een database voor vermiste informatiedragers. Verder zijn er sinds 2008 voor defensiemedewerkers beveiligde USB-sticks verkrijgbaar.
Er moet nog veel gebeuren op het gebied van awareness bij het Ministerie. Zo zie je maar weer, je kunt een mooi beleid hebben, maar als het personeel er niet naar handelt is het een wassen neus.
Er moet nog veel gebeuren op het gebied van awareness bij het Ministerie. Zo zie je maar weer, je kunt een mooi beleid hebben, maar als het personeel er niet naar handelt is het een wassen neus.
Daarom stapt de vinder waarschijnlijk ook naar de Telegraaf: omdat hij vermoedt dat als hij het terugbrengt naar de eigenaar, die eigenaar verder doet of zijn neus bloedt. Of een receptioniste neemt het verbaasd aan, zegt "dank u wel" en het ding blijft daar een jaar in een bureaulade liggen.
Ik heb weinig op met de Telegraaf maar aangezien in de Telegraaf terecht komen gezien wordt als een van de risico's die je als overheidsinstantie kan lopen, en daarmee als een fikse prikkel om dingen te verbeteren, moet de Telegraaf voorlopig nog maar even blijven en moeten mensen dit soort dingen blijven doen. Als je een USB stick vindt met persoonlijke dingen lijtk het me een ander verhaal. Maar een ministerie moet er tegen kunnen.
Overigens had die vinder de informatie ook voor veel geld aan Iran kunnen verkopen maar dat heeft hij kennelijk niet willen doen ;-).
De overheid zit er voor ons, wij niet voor hun. Probleem? Stap de democratie in, tracht het probleem op te lossen.
Verder heb je gelijk dat ze verkeerde mensen inhuren. Managers kijken graag naar afschuifbeleid, niemand wil verantwoording dragen over middelen. Dit zie je in veel sectoren, zoals scholing, zorg/welzijn, energie mschap, etc. Het IT-beleid staat bij veel alfa's niet op de agenda.
Binnen een IT-bedrijf is het natuurlijk anders. Maar hoeveel serieuze IT-bedrijven zijn er, versus andere sectoren? Druppel op een gloeiende plaat.
@ Anoniem:
Ik zie de USB stick toch liever bij De Telegraaf, dan bij de Russische Ambasade (bij wijze van spreken). Ik kan maar 1 reden bedenken waarom men niet naar de rechtmatige eigenaar gaat, maar naar de media: Openheid.
Er is genoeg in de doofpot verdwenen de afgelopen decennia.
Er moet nog veel gebeuren op het gebied van awareness bij het Ministerie. Zo zie je maar weer, je kunt een mooi beleid hebben, maar als het personeel er niet naar handelt is het een wassen neus.
Als die stick zo belangrijk is zouden ze misschien meer dan 1 €urie moeten bieden om deze terug te krijgen!?
http://www.telegraaf.nl/binnenland/9904321/__Geheime_deal_op_straat__.html?sn=binnenland
Voorts worden dan natuurlijk maatregelen genomen, die dan ook weer een hoop geld kosten en wat is nu de truuk? Ze gaan niet helpen. Als mensen namelijk willens en wetens beveiligingsmaatregelen ontlopen, werkt niets en is zo'n: we brengen het naar de telegraaf, lekker om van te smullen, leuk maar bedenk wel, wij betalen er allemaal aan mee. Uiteindelijk had het gewoonweg inleveren van het stickje wel eens veel goedkoper voor ons geweest.
Ter nuancering van de: wat hebben ze het toch slecht voor elkaar bij de overheid,
Laten we een website beginnen: USB Leaks, waar iedereen anoniem de inhoud van verloren en gevonden USB sticks kan posten. Nu roepen de mensen die graag vitten op "alles overheid" weer schande omdat het zo slecht en onbetrouwbaar is. Lekker makkelijk omdat te roepen, er zijn geen statistieken om dit te onderbouwen of weerspreken. Zodra de telegraaf ook gaat lekken over USB sticks van bedrijven en personen, heb je een representatief beeld. Nu blijft de telegraaf hangen op het fenomeen ' stemmingmakerij'. Ook als je bedenkt hoeveel mensen er werken bij de overheid denk ik dat het reuze meevalt.
Dit USB-Stick gedoe is nu bijna maandelijks nieuws, dus de incidenten op zich doen er niet meer zo toe.
Het gaat er nu dus meer over dat De Overheid het gewoon niet voor elkaar krijgt met al hun dure partners om de beveiliging een beetje op orde te maken. Met andere woorden een hopeloze situatie met veel schapen en weinig wol!
En zo lang de overheid de verkeerde mensen blijft kiezen om het 'voor elkaar te maken', mensen die of een luie amtenaren baan willen, of zo veel mogelijk geld willen ontfutselen van die amtenaren, is er ook geen hoop dat het goed gaat komen.
*Good Old Catch-22*
Oh ja... waarom verkoopt de nederlansche overheid eigenlijk hun wapens!! en geheimen aan de grote boze wolf?
De F16-informatie was waarschijnlijk niet bekend geworden als de USB encrypted was geweest. Door deze technologie te gebruiken bescherm je op een simpele manier data tegen toegang door onbevoegden. Data encryptie is essentieel om menselijke fouten te bestrijden. Zoals dit artikel laat zien, is er nog steeds weinig kennis over data beveiligingsbeleid en het beschermen van vertrouwelijke informatie.
Ondernemingen en ook regeringen, zoals hierboven beschreven, moeten zich realiseren dat databeveliging niet alleen bereikt wordt door beveiligde USB’s te kopen. Afhankelijk van hoe streng ze hun gegevens willen beveiligen, kan het ook aan te raden zijn om een strategie te bepalen op het gebied van databeveiliging. Beheerbare USB-drives kunnen daar een grote hulp in zijn. Ze bieden de mogelijkheid veilig, op afstand toegang te krijgen tot gegevens. Waar je ook bent.
Het gaat om het algemene data beleid en hoe dit beveiligd is. USB sticks die verloren worden tegenwoordig door de niet IT-er ook begrepen, maar alle nieuwe vormen zoals de sociale media worden nog niet begrepen. Een bedrijf moet zich daar ook tegen wapenen, en dat is nog ingewikkelder, maar wel mogelijk met goede DLP oplossingen (Data Loss PRevention).
En het ergste is, Defensie heeft goede oplossingen, alleen de politiek krijgt het niet voor elkaar om op alle departementen hetzelfde in te voeren, of door de procedures te krijgen. Dit duurt jaren, en dan nog zijn het slechts een paar afdelingen of enkele onderdelen. ER zijn ook richtlijnen voor het niveau van documenten en gevoelige informatie zou alleen op systemen gebruikt mogen worden die beveiligd zijn, echter is dat eenvoudiger gezegd dan gedaan.
Een sterker IT beleid binnen ministeries met minder procedures en een flexibelere omgang met openbare aanbestedingen zou kunnen helpen in deze. De politiek heeft nog een lange weg te gaan op dit gebied...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
