CTIVD wil toezicht houden op zerodaylekken van inlichtingendiensten
De Commissie van Toezicht op de Inlichtingen- en veiligheidsdiensten (CTIVD) wil toezicht gaan houden op de zerodaylekken waarover de AIVD en MIVD beschikken en vindt niet dat hiervoor een apart orgaan moeten worden opgericht, zoals D66 wil. Dat heeft de toezichthouder vandaag in een brief aan de Tweede Kamer laten weten.
De inlichtingendiensten hebben intern beleid opgesteld dat beschrijft hoe er met zerodaylekken moet worden omgegaan. Het gaat hier om kwetsbaarheden die niet bij de leverancier bekend zijn. Het uitgangspunt van dit beleid is dat de kwetsbaarheden bij de leverancier worden gemeld, tenzij er beweegredenen zijn om dit niet te doen. "Deze argumenten zijn alle terug te voeren op de zorgplicht van artikel 23 van de Wiv 2017, meer in het bijzonder het zorgdragen voor geheimhouding van bronnen, modus operandi en huidig kennisniveau", zo stelt de CTIVD.
De toezichthouder wilde meer informatie over de manier waarop het beleid door de inlichtingendiensten in de praktijk wordt toegepast. Dit leidde vorig jaar tot drie bijeenkomsten tussen de CTIVD en AIVD/MIVD. "De eerste bijeenkomst stond in het teken van het beleid en de gevolgde werkwijze. In de tweede en derde bijeenkomst zijn de gemaakte afwegingen en beslissingen met betrekking tot de concrete bij de diensten aanwezige zerodays besproken", aldus de CTIVD. De toezichthouder meldt dat de diensten alle (recente) zerodays waar mogelijk hebben geïnventariseerd en daarna gewogen.
De CTIVD vindt dat de inlichtingendiensten zerodays moeten melden, tenzij er redenen zijn om dit niet te doen. Bij het toezicht op de diensten komt de CTIVD al zerodaylekken tegen. Het gaat hier volgens de toezichthouder om zeer gevoelige gegevens, die zicht geven op de werkwijze en in een aantal gevallen ook de bronnen en het huidig kennisniveau van de diensten. "Het betreft daarmee hoog gerubriceerde informatie. Aan de omgang met dit soort staatsgeheimen worden hoge eisen gesteld", aldus de toezichthouder.
Vorig jaar kwam D66-Kamerlid Kees Verhoeven met een wetsvoorstel om een "gespecialiseerd afwegingsorgaan" in het leven te roepen om een afweging over zerodaylekken te maken. De CTIVD ziet dit niet zitten. Niet alleen vereist het een aanzienlijke investering in mensen en middelen, maar vormt tevens een risico voor de geheimhouding van de informatie, zo stelt de toezichthouder in de brief aan de Tweede Kamer.
Afsluitend laat de CTIVD weten dat het vanuit haar expertise en met de beschikbaarheid van voldoende middelen prima toezicht kan houden op de zerodaylekken van de inlichtingendiensten en dat er geen aanvullende wetgeving nodig is.
Het begrip zerodaylek kan dus allerlei soorten software omvatten en op basis daarvan lijkt mij een stellig beleid als 'always disclose' niet de meeste geschikte aanpak. Een duidelijk wegingskader lijkt mij dus belangrijk. En daarbij moet het niet alleen gaan om inlichtingenbronnen geheim gehouden, ook moet de impact van het eventueel uitlekken (of ontdekking door anderen) op de samenleving als geheel bekeken worden. Niemand zit te wachten op een nieuwe Wannacry (thx NSA).
Maar het zou wel fijn zijn als de toezichthouders die we hebben ook behoorlijk hun werk doen, en dat behelst toch echt meer dan de wc-eend-rapportjes waar we CTIVD zo goed van kennen.
(Waarom linkt het artikel daar niet naar?)
Het begrip zerodaylek kan dus allerlei soorten software omvatten en op basis daarvan lijkt mij een stellig beleid als 'always disclose' niet de meeste geschikte aanpak. Een duidelijk wegingskader lijkt mij dus belangrijk. En daarbij moet het niet alleen gaan om inlichtingenbronnen geheim gehouden, ook moet de impact van het eventueel uitlekken (of ontdekking door anderen) op de samenleving als geheel bekeken worden. Niemand zit te wachten op een nieuwe Wannacry (thx NSA).
Wat dus wel jammer is dat dit kader niet publiek is. Want de vraag is of een breed misbruikbare kwetsbaarheid opweegt tegen het belang van de inlichtingendiensten. Ik denk van niet.
Maar het zou wel fijn zijn als de toezichthouders die we hebben ook behoorlijk hun werk doen, en dat behelst toch echt meer dan de wc-eend-rapportjes waar we CTIVD zo goed van kennen.
Geef eens een voorbeeld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
