De Rijksoverheid heeft een ernstig beveiligingslek in Citrix dat begin dit jaar nog voor langere files zorgde voor zover bekend onder controle, zo laat staatssecretaris Knops van Binnenlandse Zaken weten. Knops reageerde op vragen van CDA-Kamerlid Van Dam over een artikel in De Volkskrant van begin juli.

Via het beveiligingslek, waar sinds januari updates voor beschikbaar zijn, is het mogelijk om Citrix-systemen op afstand over te nemen. Aanvallers hebben dit de afgelopen maanden ook op grote schaal gedaan. De kwetsbaarheid werd in december openbaar gemaakt, terwijl er nog geen update beschikbaar was. Wel kwam Citrix met mitigatiemaatregelen om systemen te beschermen.

Onder andere het NCSC waarschuwde voor de kwetsbaarheid. Binnen de Rijksoverheid bleken er echter verschillende organisaties te zijn die de geadviseerde oplossing niet of niet tijdig hadden doorgevoerd. Daarop besloot het kabinet maatregelen te nemen. De Rijksoverheid en vitale aanbieders worden verplicht om kritieke kwetsbaarheden in hun systemen te verhelpen of aan een toezichthouder uit te leggen waarom ze dit niet doen.

Begin juli meldde De Volkskrant dat aanvallers via het Citrix-lek bij zeker 25 Nederlandse organisaties toegang tot het interne netwerk hebben gekregen en deze organisaties van niets wisten. Daarop wilde CDA-Kamerlid Van Dam van de staatssecretaris weten of de overheid nu "in control" is wat betreft deze kwetsbaarheid (pdf). Nu drie maanden later meldt Knops dat dit inderdaad het geval is. "Op basis van de mij nu bekende informatie zijn rijksoverheidsorganisaties in control naar aanleiding van het Citrix incident waar de Volkskrant op 1 juli over berichtte."

Knops merkt op dat elk departement zelf verantwoordelijk is voor het op orde hebben van de eigen informatiebeveiliging. Daarnaast benadrukt de staatssecretaris dat organisaties binnen de Rijksoverheid straks bij dringende beveiligingsadviezen van het NCSC aan de CIO Rijk moeten uitleggen wanneer zij die niet opvolgen. Ook wordt beter in kaart gebracht welke netwerken en informatiesystemen er bij rijksoverheidsinstanties in gebruik zijn.

De kwetsbaarheid in Citrix zorgt nog altijd voor problemen. Zo raakte onlangs nog een Duits ziekenhuis via dit lek besmet met ransomware en waarschuwde de FBI dat er nog altijd actief misbruik van wordt gemaakt. Tevens meldde de Amerikaanse overheid dat federale overheidsinstanties geregeld via het Citrix-lek worden aangevallen.