Officier van Justitie: geen vrijbrief voor terughacken
De afgelopen maanden is er verschillende keren opgeroepen om cybercriminelen terug te hacken, maar enige behoedzaamheid is gepast. Dat zegt Lodewijk van Zwieten, landelijk officier Cybercrime & Interceptie in Opportuun, het relatiemagazine van het Openbaar Ministerie.
Volgens Van Zwieten is er vanuit de 'community' grote bereidheid om een bijdrage te leveren aan het veiliger maken van digitaal Nederland, door kwetsbaarheden op te sporen en die te melden.
"Dat soort participatie is hard nodig en zeer wenselijk. Wel past enige behoedzaamheid: ook hacken met goede bedoelingen is strafbaar. Vrijbrieven kunnen niet gegeven worden."
Politie
De oproep om terug te hacken is onder andere afkomstig van Ronald Prins van het Delftse beveiligingsbedrijf Fox-IT. Die gaat in Opportuun ook in op de rol van politie in het bestrijden van cybercrime. "Ergens is het natuurlijk van de zotte. Dat wíj bedrijven helpen om aanvallen van hackers onschadelijk te maken. Ik wil gewoon dat de politie dat kan doen."
Prins maakt de vergelijking met brand en brandweer. "Politie en OM komen er wel, haken digitaal aan en pakken de digitale pyromaan. Maar wie blust de digitale branden?"
De Delftse beveiliger stelt dat de overheid de verantwoordelijkheid bij het bedrijfsleven legt. "Maar ik zeg: de 'brandweer' moet het doen. Die moet iedereen het bedrijf uit schoppen: 'wij nemen het over, we gaan jullie netwerk redden'."
Niet dat dit nieuws is. Maar subtiel is het ook niet, en of je beter wordt van het onvrijwillig je bedrijfsnetwerk in deze Prins zijn slagveld te veranderen valt ook nog te bezien.
kunnen we dan mooi de voorwaarden aan hangen dat onder nederlandsch ip gehackedth moet worden. net als de brieven eisten dat je een nederlandse vlag op je schip had.
lijkt erop dat de piraten als partij hun tijd ver vooruit waren. Terug naar eins 17e eeuw!
Iets serieuzer vraag ik me af of we wel een 'digitale brandweer' nodig hebben. Als jij vlam in de pan hebt komen ze ook niet langs; in principe alleen als er levens in gevaar zijn (of katten in bomen, maar dat doen ze hier voor zover ik weet niet). Ik kan me de laatste keer niet heugen dat iemands leven afhankelijk was van een bedrijfsnetwerk.
Ne hoor. Je dient je (bedrijfs-)risico al dan niet te verzekeren!
De "D-brandweer" komt om de stekkers er uit te trekken. Daarna komt de verzekering in aktie. Niet verzekerd? Vette pech.
Andere optie is iets als: OK, D-brandweer huurt Fox-It in voor de taak en stuurt de nota naar belastingbetaler.
(Zouden ze wel willen. Ondernemen op risico voor de belastingbetaler.) Tijd voor een D-Belasting dus. ;-P
(er is nog vrij veel onkunde bij de politie op dit gebied) maar er zit zeker vooruitgang in.
(ze mogen blij zijn met de hulp van de FBI.)
Nou, als ik een Phishing mail of een andere vorm van cybercrime ontdek en naar mijn inzichten kan ik er wat aan doen. dan doe ik dit, ookal krijg ik geen vrij brief van de politie.
voorbeeld; mocht mijn pc geinfecteerd worden met een bot, en die word RE'd en ik kom er achter waar hij zijn spul host en wat zijn toegangs gegevens zijn, dan zal ik het niet na laten om dat netje overtenemen en het hele spul een .die commando geven.
als de politie hier dan boos over word, en voor mn deurtje komt staan. dan is in mijn ogen de politie fout, immers helpen ze dan eigenlijk de badguy.
ik zeg, digitale cybercrime kunnen we zelf wel aan zonder de politie. dat hebben we tot nu toe al gemoeten en zullen we voor de rest ook wel moeten. als jij opstraat beroofd word en je geeft die gene niet aan word de gene ook ---Niet altijd--- vervolgd. net als met cybercrime, als jij n slachtoffer word en je doet geen aangifte, met jouw bevindingen dan word er niets aan gedaan. dus ja dit ligt niet alleen bij de politie (en de brandweer) zoals als voorbeeld werd genoemd, maar ook bij de burger zelf.
Digitaal terughacken lijkt me niet juist, maar enigszins de aanval inzetten (denk aan het tijdelijk DoSen van de aanvaller, of b.v. een C&C server) om zodanig weer/meer controle te verkrijgen over de eigen infrastructuur moet kunnen (m.i.) ... onder het motto: de aanval is de beste verdediging.
Een centrale, verplichte 'digitale brandweer' vanuit de overheid om de netwerk-branden te doven in het bedrijfsleven lijkt me niet wenselijk; al is het wel handig als de overheid zelf wel over een 'digitale brandweer' beschikt i.p.v. meneer Prins z'n bankrekening tot in het oneindige te spekken.
Ja, zowel de politie als ook de brandweer helpen in het voorkomen van inbraak en branden!
Om de analogie van heer Prins te volgen, ook in de privé sector koopt men zijn slot niet bij de politie, de blusdeken niet bij de brandweer. Dus, Fox-IT dankt zijn inkomen aan bedrijven die particuliere specialisten inhuren.
En voor advies kun je terecht bij het NCSC (Nationaal Cyber Security Centrum), waar heer Prins nogal blij mee was dat ze de particuliere markt om medewerking vroegen. Ook daar is Fox-IT te vinden!
Is meneer Prins de instantie aan het schoppen waar zijn bedrijf goed van leeft? Volgens mij is het meer van "Elk nieuws is goed nieuws" en het was de afgelopen tijd weinig op het nieuws over Fox-IT ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
