Grapperhaus: Nederland geprezen voor Citrix-aanpak
Enkele overheden van grote bevriende naties hebben Nederland geprezen voor de manier waarop het omging met het beveiligingslek in Citrix, zo heeft minister Grapperhaus van Justitie en Veiligheid laten weten tijdens het mondelinge vragenuur in de Tweede Kamer.
De minister reageerde op vragen van D66-Kamerlid Kees Verhoeven. "Enige maanden geleden stonden wij hier ook. Toen noemde de minister van Justitie en Veiligheid elk bedrijf dat zijn digitale beveiliging niet op orde heeft, een "ongelofelijke oliebol". Heeft de minister het allemaal zelf wel op orde, vraag ik me nu af. De eerste vraag die ik hem daarom stel is: is de minister van Justitie en Veiligheid nu zelf een ongelofelijke oliebol? En zo nee, waarom niet?", stelde Verhoeven de vraag.
Volgens Grapperhaus hebben de overheidsdiensten de afgelopen jaren zeer grote stappen gemaakt als het gaat om het goed monitoren van wat er in de digitale wereld van de rijksoverheid en de vitale infrastructuur gebeurt. "Ik wil dat niet op mijzelf laten afstralen. Ik wil natuurlijk graag aan het eind van deze kabinetsrit ook niet als oliebol worden beoordeeld door de heer Verhoeven", antwoordde de minister.
"Het is wel saillant dat enkele overheden van grote bevriende naties het compliment hebben gemaakt dat het NCSC, de NCTV, maar ook de rijks-CIO, de Chief Information Officer voor het Rijk, in hun handelen aanzienlijk voorliepen op wat er in andere landen aan actie werd ondernomen", ging Grapperhaus verder. Ondanks de complimenten is het volgens de minister belangrijk om te beseffen dat Nederland niet goed voorbereid is op digitale ontwrichting, zoals de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) eerder liet weten.
"De WRR zegt: het is niet een kwestie óf het gebeurt, maar je moet voorbereid zijn áls het gebeurt. We zullen natuurlijk ook gaan evalueren hoe het hier gegaan is: hebben we dat goed aangepakt? Ook zullen we kijken wat de implicaties zijn voor het cyberbeleid. Ik zeg nu vast toe dat ik dat meteen meeneem in de brief aan uw Kamer — die is aangekondigd voor maart — over de beleidsreactie op dat WRR-rapport."
Over de kosten van het incident kan en wil Grapperhaus nog niets zeggen. "Het moge duidelijk zijn dat dit inderdaad een schadepost oplevert; daar moeten we heel duidelijk over zijn. Maar het allerbelangrijkste is dat de onder mij ressorterende diensten samen met de onder BZK ressorterende diensten alert en actief in zo'n crisis optreden en natuurlijk geen maatregelen nemen die onnodig schade en kosten opleveren."
Dat veel partijen op hun servers niet tijdig de mitigatie hebben doorgevoerd (na vele waarschuwing van meerdere instanties) of zeer verouderde versies van de software draaiden is een heel ander issue en moet intern bij de betreffende organisaties worden opgelost.
Zoals gitarist van David Bowie, Reeves Gabrels, zong: "You're the leper with the most fingers"
https://www.youtube.com/watch?v=SjtkIxHaqy4
Ofwel, Nederland is dat. Internet is nog steeds lek.
om op die manier het eigen hachje te beschermen en op het pluche te kunnen blijven.
Daarom liever alles afsluiten dan nuchter de situatie analyseren, stel je voor dat er toch wat gebeurt dan kun je aftreden.
In die zin was het Nederlandse optreden prima, het beschermt de zittende verantwoordelijken. Dat het meteen ook het
werk tot stilstand bracht, ach "niet mijn probleem".
Zo gaat dat overal. Daarom staan we allemaal in de file voor de tunnel. Want 20 jaar geleden vloog er een vrachtwagen
in brand in een file in een tunnel, en daarom mag er nu nergens meer een file in een tunnel ontstaan. Dan nog liever in
de spits de tunnel afsluiten. Want stel je voor (kans 0.00000001%) dat er wat fout gaat, dan ben je je baantje kwijt.
En laat die mensen maar wachten, de lucht vervuilen, en hun koppelingsplaten verslijten.
Dat is rijkelijk aan de late kant, meneer Grapperhaus, en het laat wederom zien dat je een politicus bent en geen technofiel zoals se meeste onder ons. En je luistert ook nog steeds veel te veel naar wat ze aan het bekokstoven zijn in de VS.
Ze waren de enige die advies gaven om Citrix server uit te schakelen.
Gaven verkeerde informatie op hun website. Diverse maken. Zelfs het huidige advies straalt geen heel duidelijk advies.
Ze hebben meer ellende veroorzaakt, dan Citrix zelf. Ik ben meer tijd bezig geweest met management meetings in de organisatie, dan de patch activeren. Eigenlijk alleen maar door het NCSC advies
Linux is de meest gebruikte kernel ter wereld en als OS meest gebruikt in Microsoft Azure. Verlos je van de verslaving en investeer in open vrij en transparantie. Stop met het geld overmaken naar Amerika en investeer lokaal en Europees.
Laat me niet lachen.
Nederland, systeembeheerders, lagen te slapen op 16 dec 2019.
Toen werd er al gewaarschuwd voor het gat in Citrix servers maar is er niets aan gedaan.
Er is nix om jezelf voor op de borst te kloppen als je pas een maand later alles maar uit zet om uit problemen te komen.
Wakker worden Grapperhaus :-)
tsssss
Wat is het toch met die ministers van Justitie die gewoon never nooit niet ook maar iets van ict begrijpen.
Korthals, Donner, Balin, Opstelten hahahha, Grapperhaus .... zucht.
Ze waren de enige die advies gaven om Citrix server uit te schakelen.
Gaven verkeerde informatie op hun website. Diverse maken. Zelfs het huidige advies straalt geen heel duidelijk advies.
We hadden alleen maar "last" van en overigens wel terecht ongeruste klanten door de media. Zij vroegen zich af of we ook niet de Citrix Netscalers uit moesten gaan zetten. Ze vonden het raar dat wij ze aanlieten, terwijl hele grote instanties en bedrijven ze juist uit gingen zetten. Deze ongerustheid werd mede veroorzaakt door NCSC en de media. Over de kwaliteit van dit advies valt dan ook zeker te twisten en in onze ogen kon deze informatievoorziening beter.
Tevens zijn wij in de beveiliging niet alleen afhankelijk van alleen Citrix en gebruiken we daarnaast een ander merk firewall(s) die in ons geval er transparant tussen staat. Dit zorgt voor extra beveiliging door o.a. antivirus en Intrusion Prevention System. Ook kunnen we indien nodig direct een landenblokkade opwerpen om zo de risico’s verder te beperken.
Vreemd dat wij als zo’n relatief kleine ICT speler dit beter voor elkaar lijkt te hebben dan zulke grote overheidsinstanties en bedrijven. Tuurlijk wij kunnen dynamischer en flexibeler handelen, maar wij hebben hier in het begin met het ontwerp van de infrastructuur al rekening mee gehouden. Daarbij wil je, volgens mij met security, ook niet afhankelijk zijn van 1 systeem of 1 merk. Maar goed iedereen denkt hier anders over, als er maar in ieder geval goed over na wordt gedacht.
Een voordeel is wel dat Nederland nu is wakker geschud en nu hopelijk actiever reageert op adviezen van o.a. leveranciers en nu nog beter naar de beveiliging gaat kijken. Ander voordeel is dat bijna alle Netscalers wereldwijd zometeen op de laatste patches draaien.
We moeten hier met zijn allen kritisch naar kijken en vooral leer uittrekken. En roepen dat het allemaal zo goed was gegaan, kun je je afvragen, want dan was er ook geen advies gekomen om de Citrix Netscalers uit te zetten.
Toen werd er al gewaarschuwd voor het gat in Citrix servers maar is er niets aan gedaan.
Deze URL's vertellen hetzelfde verhaal.
15 januari 2020, 17.31 uur:
https://www.at5.nl/artikelen/199472/gemeente-niet-bezorgd-om-kwetsbaarheid-in-citrix-server
20 januari 2020, 09.17 uur:
https://www.at5.nl/artikelen/199551/gemeente-neemt-maatregelen-en-maakt-weer-gebruik-van-citrix
Op de 15e had ik al een voorgevoel dat er binnen dan en no-time het tweede artikel zou komen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
