Kabinet: terecht dat NAVO cyberaanval als militaire aanval kan bestempelen
Het is terecht dat de NAVO een cyberaanval of een reeks kwaadwillende cyberactiviteiten als een gewapende aanval in de zin van artikel 5 kan bestempelen, zo laat het kabinet weten in een reactie op een nieuw Strategisch Concept van de NAVO. In artikel 5 stelt de NAVO dat een gewapende aanval tegen één of meer van de bondgenoten als een aanval tegen alle bondgenoten wordt beschouwd.
De conceptteksten van het nieuwe NAVO Strategisch Concept zijn gerubriceerd als "NATO Restricted". Het document is dan ook alleen op papier en in vertrouwelijke vorm voor Tweede Kamerleden beschikbaar. Wel heeft het kabinet een reactie op het nieuwe concept openbaar gemaakt, waarin ook wordt gesproken over het onderwerp "cyber".
Volgens het kabinet kunnen kwaadwillende cyberactiviteiten en desinformatie een risico vormen voor de veiligheid en stabiliteit van de NAVO. "Zo hebben bondgenoten terecht besloten dat een cyberaanval of een reeks aan kwaadwillende cyberactiviteiten als een gewapende aanval in de zin van artikel 5 gekwalificeerd kunnen worden", zo staat in de kabinetsappreciatie van het NAVO-concept.
Het kabinet vindt dat de NAVO een organisatie moet zijn die haar eigen cyberveiligheid op orde heeft en te allen tijde baas is over haar eigen ict. "Het verhogen van de cyberweerbaarheid van de NAVO en bondgenoten is cruciaal. Ook moet de NAVO cybercapaciteiten van bondgenoten kunnen integreren in missies en operaties om zo ook op digitaal gebied slagkracht te kunnen genereren. Het kabinet is van mening dat de formulering hierover in het huidige concept adequaat is", aldus de kabinetsreactie.
Verder meldt het kabinet dat op het gebied van hybride dreigingen het van belang is dat duidelijker in het concept komt dat de NAVO doorgaat met het verbeteren van het situationeel bewustzijn en het verder ontwikkelen van instrumenten om hybride activiteiten tegen te kunnen gaan. Daarbij merkt het kabinet op dat de NAVO niet alleen verantwoordelijk is voor het nemen van maatregelen op deze vlakken. "Juist ook op dit terrein is de samenwerking met de EU, met zijn brede instrumentarium dat zowel politieke, economische als ook defensie-instrumenten omvat, van groot belang."
Amerikaanse software fabrikanten zijn onder druk van V.S. sinds midden de jaren negentig over de hele wereld op geen enkele manier vervolgbaar voor de gevolgen van fouten en/of gebreken in hun producten. De rest van de wereld plooide mee en besloot ook bij hun software fabrikanten buiten elke vervolging te stellen.
Software fabrikanten gebruiken met nauwelijks of zelfs zonder enige vorm van compensatie open source software in hun miljarden business met monsterwinsten, waarbij ze ook nog eens de code niet opnieuw delen (bvb: OpenSSL, grSec) In het geval van OpenSSL werd dit door alle grote HW en SW fabrikanten gebruikt en draaide het project op 30.000$ per jaar met 1 betaalde medewerker gedurende vele jaren.
Microsoft bouwde een heel ecosysteem uit van anti-virus tot cloud om de structurele fouten en gebreken in hun software te verbloemen, te compenseren en leverde bij herhaling security modellen af welke structureel sommige kwetsbaarheden als 'niet security relevant' wegzetten. MS Patched ook steeds vaker op voorhand in de cloud met slechts vertraagde of zelfs geen release naar het publiek. Alles onder het mom van 'veiligheid'. Hier kan een boek of zelfs een reeks boeken rond geschreven worden hoe dit ene bedrijf onveiligheid gebruikt als een sluwe vorm van marketing en marktonwikkeling en vooral om klanten hard te lijmen en afhankelijk te houden. Ze hebben ondertussen zowel jouw code als jouw data in hun cloud en waar kan je nog naartoe als ook MS Windows verplicht cloud-only wordt ?
De wereld van cybersecurity is een aaneenrijgen van politieke en zakelijk-politieke benoemingen en realiteitsvreemd optimisme waar zelfs de basisprincipes niet geïmplementeerd worden met alle gevolgen van dien.
Maar het zijn de aanvallers welke uitsluitend aansprakelijk gesteld worden ?
Wat met de politieke gevolgen van de software fabrikanten welke als 'buitenlands inmenging' of zelfs 'buitenlandse dreiging' gezien worden omwille van de vele kwetsbaarheden, structurele fouten, de groeiende lijst van nooit gepatchte software kwetsbaarheden ? Je zou net zo goed kunnen stellen dat de 'buitenlandse dreiging' eigenlijk tegen aanvallen zijn.
De manier waarop politiek de eigen onwetendheid en onkunde blijft omzettten in beleid is niet enkel schrikbarend maar ook doldriest.
Stel dat Oekraïne van Rusland af wil, als een recent voorbeeld, is het dan genoeg om een cyberaanval op een NATO land bij Rusland vandaan te laten komen?
Mensen lijken nog wel eens te vergeten dat Rusland het grootste kernwapenarsenaal ter wereld heeft. 'Don't mess with the bull or you will get the horns'. Of de beer in dit geval, die nog wel gevaarlijker kan zijn als een stier.
"China addressed the American ops at its daily foreign affairs briefing on June 8, when spokesperson Zhao Lijian said "The US needs to explain to the international community how these 'hacking operations' are consistent with its professed position of not engaging directly in the Russia-Ukraine conflict.""
en
"Washington is deliberately lowering the threshold for the combat use of ICT," Krutskikh said. "Militarization of the information space by the West and attempts to turn it into an arena of interstate confrontation have greatly increased the threat of a direct military clash with unpredictable consequences."
https://www.theregister.com/2022/06/10/russia_china_usa_ukraine_cyberdefense/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
