VNO-NCW en MKB-Nederland willen breder mandaat NCSC
VNO-NCW en MKB-Nederland willen dat het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid een breder mandaat krijgt zodat informatie over cyberdreigingen niet alleen met overheden en vitale sectoren wordt gedeeld, maar ook met organisaties daarbuiten.
"Wat ons betreft wordt het mandaat van het NCSC echt verbreed", zegt een woordvoerder van beide koepels tegenover het FD. Aanleiding voor de uitspraken zijn de ontwikkelingen rondom het ernstige beveiligingslek in Citrix. Het NCSC staat overheden en de vitale sector bij met beveiligingsadvies. Op de website van het NCSC zijn echter beveiligingsadviezen te vinden waarin de dienst voor allerlei kwetsbaarheden waarschuwt. Deze adviezen zijn voor iedereen toegankelijk. Sinds 18 december vorig jaar is er gewaarschuwd voor de kwetsbaarheid in Citrix. Op 24 december, 9 januari en 11 januari volgden updates.
Sommige partijen vinden dat het NCSC meer en proactiever moet communiceren. De overheidsinstantie kan zich daar niet in vinden. "Als de politie zegt: je moet een hangslot hebben, dan hangen ze het ook niet proactief al voor je aan de deur', aldus een woordvoerder van het NCSC. Wat betreft het verbreden van het mandaat is dit volgens de overheidsinstantie een politieke beslissing. Hans Biesheuvel, voorzitter van ondernemersorganisatie ONL, stelt tegenover het FD dat bedrijven zelf meer kunnen doen. "Er is bij kleine bedrijven weinig aandacht voor cyberveiligheid."
De verantwoording hiervoor ligt ALTIJD primair bij de eigenaar/beheerder van systemen. Het NCSC, of welke externe adviserende partij dan ook, heeft geen idee welke hardware en software jij in huis hebt, en welke versies.
Het hoort een taak te zijn van een of meer aangewezen personen -in elke organisatie die gebruik maakt van ICT- om ervoor te zorgen dat ze op de hoogte zijn en blijven van actuele dreigingen. Op z'n minst zorg je dat je bent ingeschreven op maillijsten van de betrokken leveranciers, maar het is altijd verstandig om actief security-nieuws in de gaten te houden.
Elke organisatie die hier geen mensen voor in dienst heeft, of niet in de SLA heeft opgenomen dat een ICT onderhoudspartij dit voor haar rekening neemt, is geen knip voor de neus waard v.w.b. security.
Nee, maar niet iedere deur is onderdeel van de "vitale infrastructuur". Het NCSC is mede opgericht om de "vitale infrastructuur" te beschermen, en daar nu juist wel die "extra stap" te zetten.
De vraag is wat er onder "vitale infrastructuur" verstaan moet worden. Ziekenhuizen vallen daar nu onder het huidige mandaat kennelijk (nog) niet onder. En dat kan gemakkelijk worden aangepast: dat betekent een breder mandaat voor het NCSC. Volledig eens..
En uit de berichtgeving blijkt dat ook een "regionale luchthaven" zich onder de 700 kwetsbare Citrix servers bevond. Valt deze niet onder de "vitale infrastructuur"?
Het NTSC heeft op 16 december een eerste waarschuwing gepubliceerd op haar site. De alertheid is dus in orde. Nu nog de actieve communicatie. Het moet toch niet moeilijk zijn om een gedifferentieerd (email) waarschuwingssysteem in te richten. Heeft u Citrix, Windows, Android (of om het even welk ander platform / software) ... u krijgt van het NTSC een mailtje.
Of misschien volstaat een dagelijks bezoek aan:
https://www.ncsc.nl/actueel/beveiligingsadviezen
Praatjes vullen geen beveiligingsgaatjes.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
