Kamervragen over aanmerken van voedselvoorziening als vitale infrastructuur
In de Tweede Kamer zijn vragen gesteld aan demissionair minister Grapperhaus van Justitie en Veiligheid over het aanmerken van de voedselvoorziening al vitale infrastructuur. Aanleiding is de ransomware-aanval op logistiek dienstverlener Bakker Logistiek, wat zorgde voor lege schappen op de kaasafdelingen van Albert Heijn. Door de aanval moesten allerlei zaken opeens met de hand en pen en papier bij Bakker worden afgehandeld. Daarnaast waren allerlei bestanden versleuteld, wat gevolgen had voor de bevoorrading van supermarkten.
De voedselvoorziening is niet aangemerkt als vitale infrastructuur en kan zodoende niet bij het Nationaal Cyber Security Centrum (NCSC) aankloppen. Er werd dan ook opgeroepen om de voedselvoorziening wel van dit stempel te voorzien. "Wat zijn de voor- en nadelen van de voedselvoorziening als vitale infrastructuur te benoemen?", vraagt PvdA-Kamerlid Kathmann aan de minister.
Ook wil ze van Grapperhaus weten wanneer een bedrijf als vitale infrastructuur wordt aangemerkt en wat hij vindt van de oproep om de voedselvoorziening toe te voegen aan de lijst met bedrijven die worden gezien als vitale infrastructuur. De bewindsman moet tevens duidelijk maken welke hulp het NCSC biedt aan bedrijven die als vitale infrastructuur worden gezien.
Afsluitend gaat Kathmann in op uitspraken dat de pakkans bij cybercrime laag is. "Wat is de reden van de lage pakkans?", vraagt ze aan de minister. Daarnaast wil ze weten of de overheid meer moet doen om de pakkans bij cybercrime te vergroten en wat voor maatregelen Grapperhaus hierbij in gedachten heeft. De minister heeft drie weken de tijd om de vragen te beantwoorden.
Is er ook een fallback scenario als een dergelijke calamiteit zich voordoet op grotere schaal? Is er dan vanuit de overheid bijvoorbeeld een garantiefonds zodat leveranciers gewoon kunnen blijven leveren, en de administratie even op papier overgaat, waarbij de leveranciers altijd financieel worden gecompenseerd voor mislukte/foute administratie?
Gegeven dat zorg hier niet in voorkomt, denk ik dat er uberhaupt eens een hereiking van deze lijst mag komen. Als ik mag kiezen tussen ziekenhuizen die door blijven draaien, en "Toonbankbetalingsverkeer"/"Effectenverkeer"/"Vervoer van personen en goederen over (hoofd)spoorweginfrastructuur", dan weet ik het wel.
Gegeven dat zorg hier niet in voorkomt, denk ik dat er uberhaupt eens een hereiking van deze lijst mag komen. Als ik mag kiezen tussen ziekenhuizen die door blijven draaien, en "Toonbankbetalingsverkeer"/"Effectenverkeer"/"Vervoer van personen en goederen over (hoofd)spoorweginfrastructuur", dan weet ik het wel.
Natuurlijk kun je prioriteren wat belangrijker is, maar uiteindelijk gaat het erom om over de gehele breedte weerbaar te zijn.
In dit geval is de vraag trouwens wanneer een bedrijf als vitale infrastructuur wordt aangemerkt. Daarmee vraagt men niet of een bedrijf op die lijst staat maar wanneer een bedrijf op die lijst komt, wat de criteria zijn om op die lijst opgenomen te worden dus.
Maar voor Linux kun je niet een grote 13-in-dozijn club inhuren die 'alles' voor je uit handen nemen. (ja, ik weet dat ze er zijn en bijv vroeger in blauwe subaru's reden) maar voor elke Unix/Linux specialist vind je 200 Windows clubjes.
Linux is ook niet fool-proof.
Zo ben ik in 25 jaar Linux gebruik wel degelijk 2 keer gep0wned.
Een keer door een bug in Apache, een keer door een bug in SSH.
Apache was een zero day, SSH was verkeerd gepatched.
Daarentegen zijn de Windows installaties, zeker de NT 3.51 en NT4 systemen maar in den beginne ook de Windows 2000 ADV Server installaties en de SBS servers zeker bijna gegarandeerd elke 3 maanden de sjaak.
Er is wel verschil... Exchange was niet alleen vaak open-relay maar ook virus-relay.
MSProxy 2.0 en later ISA werden regelmatig misbruikt voor spam en hack.
Maar er is wel degelijk wat winst te halen bij fabrikanten. Niet lang geleden moest ik nog een hagelnieuwe electronenmicroscoop van meer dan 1 miljoen euro achter een firewall zetten omdat het ding geleverd werd met een van fabriek af lekke Windows 95 installatie.
Welke debiel koopt een ding van 1 miljoen met Windows 95? En dan niet een embedded variant, nee gewoon de huis-tuin-en-keuken variant.
Welke debiel vind het een goed idee om zo'n ding te bouwen met Windows 95? Iemand die in 1995 geboren is?
Dus bij elke qualys scan kwam dat ding naar boven en moest het achter een firewall.. zucht...
Ja, zo blijf je aan de gang...
In dit geval is de vraag trouwens wanneer een bedrijf als vitale infrastructuur wordt aangemerkt. Daarmee vraagt men niet of een bedrijf op die lijst staat maar wanneer een bedrijf op die lijst komt, wat de criteria zijn om op die lijst opgenomen te worden dus.
Tot en met 2005 stonden zorginstellingen, voedselproductie, voedseldistributie, medicijnen en vaccins asl vitaal te boek. Daarna is de overheid gaan 'rommelen' met critreria.:Zie de NCTV vitaal-A en vitaal-B indeling die gemaakt is voor uitval van één gehele infrastructuur, niet losse bedrijven of organsiaties tenzij too big to fail.
Het gaat dus niet om uitval van één bedrijf, zonder kaas is er nog voldoende te eten. In alle wijsheid: er zijn genoeg ziekenhuizen, ze vallen niet allemaal om, dus is met wat verplaatsingen van patienten kun je het opvangen ... vaccindistributie is ook niet vitaal, de centrale opslag ook niet .. je kunt eeen nieuwe levering ook op Schiphol stallen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
