Wiebes: Wel logging en monitoring bij Belastingdienst
Bij de 'Broedkamer' van de Belastingdienst vindt wel logging en monitoring plaats, zo heeft staatssecretaris Wiebes van Financiën aan de Tweede Kamer laten weten. Vorige week stelde het televisieprogramma Zembla dat de financiële en persoonlijke gegevens van 11 miljoen belastingbetalers en 2 miljoen bedrijven niet goed waren beveiligd bij de Belastingdienst.
Volgens Wiebes klopt het geschetste beeld dan ook niet. "Er werd en wordt minimaal gelogd wie wanneer iets doet, wat iemand doet en welke directories, bestanden en databasetabellen worden gebruikt", aldus de staatssecretaris. Hij heeft nu de opdracht gegeven om de beschikbare loggegevens te onderzoeken, zodat kan worden vastgesteld of getracht is daadwerkelijk gegevens van belastingplichtigen buiten de Belastingdienst te brengen. Tevens is de opdracht gegeven om het gegevensgebruik van de Broedkamer en zijn voorgangers nader te onderzoeken. De Broedkamer is een afdeling van de fiscus die zich met data-analyse bezighoudt.
Wiebes stelt verder dat de bewering van Zembla, dat de Belastingdienst in maart 2015 voor een beveiligingslek zou zijn gewaarschuwd, niet klopt. Het televisieprogramma zou zich op een document hebben gebaseerd waarin observaties en aanbevelingen worden gedaan voor een organisatieonderdeel op het gebied van data-analyse. "Op beveiliging gaat het document niet in, noch bevat dit waarschuwingen over informatiebeveiligingsrisico’s" laat de staatssecretaris weten.
Afsluitend stelt Wiebes dat de aantijgingen van Zembla serieus onderzocht moeten worden, maar dat er bij de door Zembla genoemde afdeling, na onderzoek naar de ict-beveiliging, geen acute beveiligingsproblemen zijn. "Dat laat onverlet dat nader onderzoek naar de periode voor de start van Data & Analytics (D&A) gewenst is", merkt de staatssecretaris op. Zodra het onderzoek van de Autoriteit Persoonsgegevens, het eigen onderzoek naar de informatiebeveiliging en het forensisch onderzoek naar de aanbesteding zijn afgerond zal hij de Tweede Kamer opnieuw informeren.
Het is opmerkelijk, dat:
- De accenture medewerkers uit de broedkamer vervangen zijn door vaste medewerkers.
- Beide websites (Zemble en belastingdienst) op dezelfde datum exact het tegenoverstelde beweren en beide websites op dezelfde datum gewijzigd waren.
1) Ik zou wel eens het bewijs willen zien van de datum van inwerkingstelling van die audit instellingen en welke instellingen dit precies waren. Dit kan namelijk heel snel "spontaan" gewijzigd zijn. Ik durf te wedden dat ze dat niet kunnen bewijzen..of dat die gegevens ineens weg zijn.
2) Wie verrichte het onderzoek? Welke onafhankelijke partij was dit. Als de overheid dit onderzoekt is het toch de slager k"l"eurt zijn eigen vlees?
3) Als er gelogged en gemonitord is op bestanden, directoriesen en tabellen laat ze dan maar eens bewijzen dat dit minstens voor en tijdens het bestaan van de broedkamer ook daad werkelijk gebeurd is. iets met WOB. Ik geloof er echt helemaal niets van.
4) Normaliter als er dit soort aantijgingen zijn hoor je de boel te bevriezen en mag er niemand meer aan komen totdat alle bewijs is verzameld.
5) Als Accenture zelf niet kon bewijzen dat haar medewerkers data hadden meegenomen en beweert haar medewerkers te vertrouwen krijg ik er een onprettig gevoel bij. Dus dit zal hard aangetoond moeten worden.
Pas als die vragen minstens beantwoord zijn...zou het wat vertrouwen kunnen scheppen. Maar goed ze zijn er dus deels mee bezig...maar het mag wel iets scherper..
Oja check ook even op virusbesmettingen. de afgelopen jaren. Durf te wedden dat ze dat ook niet onder controle hadden.
Wiebes zelf citeert in zijn brief beveiligingsvoornemens van D&A:
De broedkamer was een pilot, en als je ergens aan begint dat heel anders van opzet is dan je verder aan systemen hebt is het op zich begrijpelijk dat er van alles nog opgetuigd moet worden. Als die pilot met privacygevoelige gegevens van alle Nederlanders en Nederlandse bedrijven werkt dan is dat helaas niet goed genoeg, illegaal zelfs.
Er wordt zo te zien trouwens wel goed op gereageerd, er wordt op verschillende manieren onderzocht wat er gebeurd is, en het is ook goed dat men wel degelijk op zijn minst een aanzet maakte om het beter in te richten. De betrokken dataset is alleen iets waar je ook niet tijdelijk onnodige risico's mee moet lopen, en daar gaat de herrie over.
Ik zou zoiets direct hebben afgekeurd en met een voorstel zijn gekomen,
Een pilot doe je maar met dummy data
Dat Accenture mw vervangen worden lijkt me eerder een budgetkwestie dan dat dit verband houdt met deze zaak...vind ik....<einde>
Het wordt nader onderzocht, onder meer door de AP, en dat is goed. Of dit een storm in een glas water is of dat het werkelijk niet deugde zal nog wel blijken. Ik vind vooralsnog niet dat Wiebes gewoon gelijk heeft, ik interpreteer de informatie die hij zelf aandraagt anders dan hij hem kennelijk interpreteert. Als ik het lees krijg ik de indruk dat de broedkamer de beveiliging nog lang niet rond hadden in hun wereldje, en kennelijk werkten ze in die onaffe opzet al wel met zeer gevoelige gegevens.
Wiebes gaat er overigens verder wel goed mee om, hij heeft onderzoeken laten starten en houdt wel degelijk de mogelijkheid open dat er wel dingen mis zijn gegaan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
