Cybersecuritybeeld Nederland: al tien jaar lang de basis niet op orde
Al tien jaar publiceert de overheid het Cybersecuritybeeld Nederland (CSBN) waarin cyberdreigingen en de kwetsbaarheid van de Nederlandse digitale infrastructuur centraal staan. De boodschap is al die tijd nagenoeg niet veranderd, en dat is dat organisaties basale beveiligingsmaatregelen nog altijd niet op orde hebben. Er ontstaat echter een kloof tussen bedrijven die wel en niet digitaal weerbaar zijn, zo laat de Nationaal Coördinator Terrorismebestrijding (NCTV) tegenover Security.NL weten.
Recentelijk publiceerde de NCTV het Cybersecuritybeeld Nederland van 2021. Het CSBN moet iedereen die een belang heeft bij cybersecurity, zowel publiek, privaat als wetenschappelijk, handvatten bieden om de aanpak van cybersecurity te versterken. Het CSBN wordt daarnaast vaak genoemd in Kamerbrieven van het kabinet.
Sinds 2011 verschijnt het CSBN, maar de boodschap is de afgelopen tien jaar niet veranderd: basale beveiligingsmaatregelen worden nog altijd niet of onvoldoende getroffen. In dit artikel gaat Security.NL in vogelvlucht langs de CSBN-publicaties van het afgelopen decennium en gaat kort met de NCTV in gesprek hoe het kan dat elementaire beveiligingsmaatregelen niet worden getroffen en wat er nodig is om dit te veranderen.
Cybersecuritybeeld Nederland 2011 - (pdf)
Het eerste CSBN was afkomstig van GovCERT, de voorloper van het Nationaal Cyber Security Centrum (NCSC). Digitale spionage en cybercrime werden als grootste dreiging gezien. Ook werd er gewezen naar onvoldoende aandacht voor cybersecurity bij organisaties. "Het beeld dat nu vooral ontstaat, is dat sommige organisaties, zowel dienstaanbieders als afnemers, pas actie ondernemen als gesignaleerde kwetsbaarheden media-aandacht ontvangen."
Daarnaast werd er gewezen op het installeren van beveiligingsupdates. "Patchen is een van de belangrijkste maatregelen die individuele organisaties kunnen nemen om de eigen weerbaarheid te verhogen. Dit patchen is vaak nog geen geautomatiseerd proces, waardoor het gevoelig is voor verstoring of simpelweg niet gebeurt. Als gevolg daarvan blijft een deel van de computers kwetsbaar."
Cybersecuritybeeld Nederland 2012 - (pdf)
In juni 2012 verscheen het tweede CSBN, afkomstig van het NCSC. Digitale spionage en cybercriminaliteit werden wederom als de grootste dreigingen voor overheid en bedrijfsleven bestempeld. En net als bij de eerste editie werd gewezen naar het nemen van basale maatregelen.
Cybersecuritybeeld Nederland 2013 - (pdf)
"Veel organisaties hebben de basismaatregelen, zoals het patchen en updaten van systemen of het wachtwoordenbeleid nog niet op orde. Daarom zijn oude kwetsbaarheden en aanvalsmethoden nog steeds effectief. Een belangrijke kwetsbaarheid is ten slotte dat veel organisaties de juiste kennis, de detectiemiddelen en het vermogen ontberen om incidenten afdoende af te handelen."
Cybersecuritybeeld Nederland 2014 - (pdf)
"De populairste aanvalsmethode van cybercriminelen blijft het misbruiken van bekende kwetsbaarheden in veelgebruikte software. Omdat zowel beheerorganisaties als particuliere gebruikers software-updates( waarin bekende kwetsbaarheden zijn opgelost) vaak niet of pas laat uitvoeren, kunnen cybercriminelen wetsbaarheden soms langdurig uitbuiten."
Cybersecuritybeeld Nederland 2015 - (pdf)
"De maatregelen die banken hebben getroffen tegen DDoS-aanvallen tonen aan dat het mogelijk is effectieve maatregelen te treffen om beschikbaarheid van digitale voorzieningen te verhogen. Organisaties treffen dergelijke maatregelen echter vaak pas als de ICT-systemen al beschikbaarheidsproblemen hebben gekend."
Cybersecuritybeeld Nederland 2016 - (pdf)
"Het mkb neemt, ten opzichte van grotere bedrijven, relatief weinig maatregelen op het gebied van cybersecurity. Dit terwijl een groot deel van de Nederlandse economie wordt gevormd door bedrijven uit het mkb. Lage weerbaarheid van het mkb op het gebied van cybersecurity kan negatieve impact hebben op de Nederlandse economie."
"Het up-to-date houden van apparaten en software blijft een uitdaging. Organisaties zijn kwetsbaar omdat updates niet tijdig op systemen worden geïnstalleerd."
"Er is in Nederland verbetering mogelijk op het gebied van beschermingsmaatregelen: bedrijven hebben vaak geen goed beeld van benodigde maatregelen."
Cybersecuritybeeld Nederland 2017 - (pdf)
"Grote organisaties hebben hun aandeel in DDoS-aanvallen en ransomware voor de kiezen gehad en zijn daardoor noodgedwongen naar een hoger volwassenheidsniveau geklommen. Toch worden basale maatregelen als het installeren van beveiligingsupdates vaak niet getroffen. Zowel grote als kleine organisaties doen dit vaak niet tijdig, waardoor malwarebesmettingen mogelijk worden."
Cybersecuritybeeld Nederland 2018 - (pdf)
Het CSBN van 2018 had zelfs een aparte pagina met alleen de tekst "Aanvallers succesvol door ontbreken basismaatregelen". Volgens de opstellers kende de rapportageperiode veel incidenten waar basismaatregelen de schade hadden kunnen beperken of het incident hadden kunnen voorkomen.
Cybersecuritybeeld Nederland 2019 - (pdf)
"Organisaties worden succesvol aangevallen met eenvoudige methoden. De afgelopen periode laat wederom zien dat incidenten voorkomen hadden kunnen worden of dat de schade beperkt had kunnen worden met behulp van basismaatregelen. Die worden door lang niet alle organisaties getroffen."
Cybersecuritybeeld Nederland 2020 - (pdf)
"Digitale weerbaarheid is echter nog niet overal op orde. Daardoor zijn partijen extra kwetsbaar voor cyberincidenten. Dat geldt zeker wanneer er onvoldoende basismaatregelen zijn getroffen, om eerste barrières op te werpen tegen cyberaanvallen, schade te beperken en herstel eenvoudiger te maken wanneer incidenten zich toch voordoen."
"Bij veruit de meeste cyberaanvallen wordt nog steeds gebruik gemaakt van eenvoudige methoden. Deze blijven effectief doordat basismaatregelen onvoldoende zijn geïmplementeerd. Basismaatregelen kunnen ook tegen geavanceerde aanvallen helpen."
Cybersecuritybeeld Nederland 2021 - (pdf)
Tien jaar na de eerste editie van het Cybersecuritybeeld Nederland blijken basale maatregelen nog altijd niet te worden genomen. Iets wat de opstellers van de editie van 2021 zelf ook zien.
Om dit te veranderen pleit de NCTV voor meer kennis. "Investeren in mensen vormt het fundament", staat in het CSBN 2021. "Naast de experts op het gebied van cybersecurity risicomanagement moet ook de rest van de organisatie een minimale kennisbasis hebben om goed met elkaar in gesprek te kunnen gaan over belangrijke risico’s voor de organisatie en hoe hiermee om te gaan."
Bewustwording
"Vanuit de overheid wordt op meerdere manieren ingezet op voorlichting aan bedrijven om hun digitale weerbaarheid te verbeteren. De bewustwording groeit, mede door cyberincidenten die plaatsvinden, maar je merkt dat het thema te vaak bij de technische afdeling blijft in plaats van dat het onderwerp van gesprek is in de boardroom. We zien cybersecurity nog te weinig als business risico en te veel als puur technische aangelegenheid", laat een woordvoerder van de NCTV aan Security.NL weten.
Die stelt dat er overal het besef moet zijn dat de digitale veiligheid net zo cruciaal is als de fysieke veiligheid van bijvoorbeeld het wegverkeer, luchtwegen en waterwegen. "Digitale veiligheid is onlosmakelijk verbonden met het functioneren van onze vitale infrastructuur."
Kloof
De NCTV ziet ook een kloof ontstaan tussen bedrijven die wel en niet weerbaar zijn. "Dat heeft te maken met bewustzijn en of er voldoende kennis en kunde aanwezig is. Er zijn bedrijven die kunnen investeren in kennis en kunde op het gebied van cybersecurity, terwijl andere (veelal kleine) bedrijven niet de middelen hebben om de weerbaarheid naar een hoger plan te tillen", laat de woordvoerder weten.
Wel merkt de NCTV op dat grote bedrijven steeds vaker kleine bedrijven helpen om hun cyberveiligheid op orde te krijgen. "Kleine bedrijven hebben soms de middelen niet om alle advies zelf in te winnen of dingen aan te passen om hun veiligheid te verhogen. Dan is het mooi dat grotere bedrijven die die kennis al in huis hebben hen daarbij helpen en kennis delen."
Informatie delen
De overheid is van plan om zelf ook meer informatie met niet-vitale organisaties te gaan delen. Daarvoor wil demissionair minister Grapperhaus van Justitie en Veiligheid de Wet beveiliging netwerk- en informatiesystemen (Wbni) aanpassen, zodat het NCSC de mogelijkheid krijgt om dreigings- en incidentinformatie te delen met zogeheten OKTT's (organisaties die objectief kenbaar tot taak hebben om organisaties of het publiek te informeren over dreigingen en incidenten), die als schakelorganisaties van andere aanbieders fungeren. Daarnaast maakt het wetsvoorstel het mogelijk voor het NCSC om in bijzondere gevallen dreigings- of incidentinformatie direct met andere aanbieders zelf te delen.
Verder is onlangs het wetsvoorstel bevordering digitale weerbaarheid bedrijven gepresenteerd om het niet-vitale bedrijfsleven over kwetsbaarheden, dreigingen en incidenten te informeren en adviseren. Een tweede taak van dit wetsvoorstel is het stimuleren van de ontwikkeling van samenwerkingsverbanden tussen bedrijven op het gebied van digitale weerbaarheid.
Het probleem is dat dit inzicht te weinig wordt geschetst. Het gaat te vaak alleen maar om de technische details. En om dingen als 'informatie delen'. Informatie delen helpt bij het tegengaan van concrete dreigingen, maar lost de kern van het probleem niet op.
Het moeilijke van dit alles dat het om een cultuurverandering vraagt. Om dat door te zetten is lef nodig. En daar ontbreekt het nog wel eens aan.
Voor meer uitleg over omgaan met digitale risico's, zie https://www.ravib.nl/publicaties/risicomanagement
En daarom zal IT beveiliging voorlopig een kansloos verhaal blijven. We roepen al 10 jaar lang dat het fundament op orde moet zijn, dan de eindgebruikers op moeten letten, dat patches geïnstalleerd moeten worden, en dat rechten op basis van het "least privilege" principe ingesteld moeten worden. En 10 jaar later is het nog steeds bar en boos. Dan kan wel gezegd worden "awareness omhoog, huis op orde" en meer van dat soort leuke termen, maar je blijft gewoon die kansloze weg in rijden. De huidige manier werkt niet. Over 10 jaar zien we hetzelfde verhaal terug: "het fundament moet op orde zijn". Zolang de aanwas van mensen zonder affiniteit met, belang voor en kennis van informatiebeveiliging niet stopt, en alle bestaande mensenlijkse eigenschappen omtrent informatiebeveiliging niet veranderen, gaat dit probleem nooit weg, ook niet met extra kennis. Verkeersongelukken gaan ook niet weg door mensen het belang van veilig rijden te leren. Zie o.a. https://www.security.nl/posting/643854#posting643870 en https://www.security.nl/posting/665955#posting665968.
Corruptie los je op door mensen te laten nadenken, ze te laten kijken naar "op wie (politici)" en "welke partij" moet ik stemmen. Door een goed onderzoek op te richten naar deze mensen en transparant te stellen wat hun basis is. Zo doende niet voor het onkruid te stemmen.
Echter stemt niet meer dan 40% van de totale bevolking (dat betekend dat 60% er een blind oog voor heeft of het opgegeven heeft, wat hetzelfde resultaat geeft).
Daarbij durf ik te wedden dat van die 40% die uberhaupt wel stemt, 5% voor ze eigen clique/groepje stemt en de rest zo raf achterlijk is dat ze alleen stemmen "want meneer zegt meer of minder migratie/belasting x".
De samenleving als concept faalt, dus schuiven we de schuld maar af op anderen (hackers (black-hats whatever) ,criminelen, politici etc). Ook heeft iedereen een blind oog voor "kwalijke situaties", al is het maar een server die nooit geupdate word. Als je onkruid niet verwijderd dan geef je het juist ruimte om tot groeien. Je moet het vergaan en verotten van dingen aanpakken, save your crops.
Hugo de Jongen had ergens een punt (ik heb zelf echter een bloedhekel aan politiek) maar hij zei ooit dat het vallen van Rome iets weg had van de "decadente cultuur" zie: A Decadent Girl (art) en https://en.wikipedia.org/wiki/Decadent_movement . Ik denk echter alleen dat de decadente cultuur een gevolg is van "goed leven in rome". De "zwakke mens" krijgt een plaats en begint blindelings te regeren binnen de democratie. Vervolgens raakt alles corrupt en valt rome.
Wat een ongelovelijk langdradig kut verhaal, wat bedoel je nou?
Ik denk niet dat we het cyber probleem of corruptie ooit volledig gaan oplossen. Het is een bloed complexe situatie. Maarja, blijven proberen en redden wat je kan redden is beter dan een blind oog hebben.
Maar, vandaar dat deze meldingen over "cyber is hilarious at most companies" waarschijnlijk vaker terug komt dan je zou willen zien of horen.
Ja, het bedrijfsleven heeft het wel helemaal perfwct voor elkaar. Slaap zacht.
- De maatschappij wordt steeds meer afhankelijk van Internet.
- Internet wordt steeds enger.
- Veel (individuele) bedrijven hebben hun basismaatregelen niet op orde.
Dan kan je natuurlijk nog 10 jaar gaan herhalen maar veel zal het niet helpen. Wat wel kan helpen is een analyse over:
- Wat werkte afgelopen jaar wel om de dreiging te verkleinen. (zodat we daarvan kunnen leren, dit kunnen extrapoleren)
- Wat was er nieuw aan de dreigingen in Nederland en buitenland. (Immers dreigingen in buitenland van nu zijn wellicht onze dreigingen van morgen).
- Wat kunnen we doen als maatschappij gezamenlijk om de dreiging te verkleinen. (Er zijn immers genoeg analyses voor individuele bedrijven. Dit is een van de weinige analyses met als scope de hele maatschappij. Laten we ons in die analyse dan ook focussen op de gezamenlijke oplossingen.
Klopt, maar het geschetste beeld toont nu aan dat we op 10% zitten. Het is echt bedroevend hoe de cyberbeveiliging ervoor staat (uitzonderingen natuurlijk daargelaten). Een Digitale Armaggeddon zorgt er misschien voor dat we gaan nadenken. Of misschien wat hardere dingen afdwingen, net zoals bij autorijden: zaken niet op orde, dan word je afgesloten en nemen we je auto in beslag.
Jammer voor je website, maar je bent niet meer welkom tot je je zaken op orde hebt gebracht. Iedereen meent maar dat alles moet kunnen en dat je allerlei onveilige rommel aan het internet moet kunnen hangen, maar die tijd ligt achter ons. Bij auto's vinden we het toch ook niet normaal dat je wiel er zomaar af kan rollen, je 10 jaar geen APK hebt doorlopen, je deur niet meer dicht kan, of dat je auto door wat loszittende onderdelen wat mensen torpedeert?
Als ik zeg dat het internet vergelijkbaar is met 1 miljoen dieven aan je voordeur, dan hoor ik pas "oh ja, zo heb ik er nog nooit over nagedacht". Alsof je een schattig cijferslotje slot op je voordeur zet, terwijl de hele straat vol staat met inbrekers.
(Referentie naar boek van Stephen King)
De oplossing is heel eenvoudig: leg vast dat er alleen open source software gebruikt mag worden. Geen uitzonderingen.
De oplossing is heel eenvoudig: leg vast dat er alleen open source software gebruikt mag worden.
Als je denkt dat dat de oplossing is van het probleem, dan begrijp je het probleem niet.
De oplossing is heel eenvoudig: leg vast dat er alleen open source software gebruikt mag worden.
Als je denkt dat dat de oplossing is van het probleem, dan begrijp je het probleem niet.
Als je niet begrijpt dat niet te onderhouden closed source spaghetticodebouwwerken wel degelijk (deels) het probleem veroorzaken dan ben je wel erg naïef. Ik citeer:
Kwaliteitssoftware die minder patches nodig heeft; open source met versiebeheer, zodat je kan zien wat er gebeurt én is gebeurd in de broncode; een fatsoenlijk werkend updatemechanisme dat niet bij vrijwel elke update een reboot verlangt, zodat patches worden uitgesteld; etc. Dit alles vormt de basis en heeft vanzelfsprekend een grote, zo niet de grootste, invloed op het probleem.
Exact en daarom zou het IT product dat gebruikt word vanuit de doos met stabiele dagelijkse updates moeten komen zonder dat die meteen reboots of downtime of een OTAP straat behoeven, met een fatsoenlijk wachtwoord policy zonder bijvoorbeeld unsalted md4 hashes nog ergens op te slaan, zonder een default setup met allerlij services open en bloot en runnend. Je begint het te begrijpen dat als er op dat vlak stappen ondernomen worden, dan kunnen MKBers hun eigen werk doen waar ze goed in zijn...
Als je niet begrijpt dat niet te onderhouden closed source spaghetticodebouwwerken wel degelijk (deels) het probleem veroorzaken dan ben je wel erg naïef.
Als je niet begrijpt dat niet te onderhouden closed source spaghetticodebouwwerken wel degelijk (deels) het probleem veroorzaken dan ben je wel erg naïef.
Dat staat er niet en de reden dat je dit object en boven alle twijfel kan vaststellen over Wordpress is juist omdat het open source is. Bij closed source moet je op de symptomen afgaan (steeds meer patches, patches die andere onvoorziene problemen veroorzaken, een updatemechanisme dat reboots nodig heeft, waarbij je denkt waarom toch?, etc.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
