Brekelmans: samenwerking met KPN voor NAFIN-netwerk is houdbaar
De samenwerking tussen Defensie en KPN voor het NAFIN-netwerk is houdbaar, zo heeft minister Brekelmans van Defensie laten weten op vragen van de vaste commissie voor Defensie. De commissie had de bewindsman na een kritisch rapport van de Algemene Rekenkamer om opheldering gevraagd.
Het Netherlands Armed Forces Integrated Network (NAFIN) is een glasvezelnetwerk van het ministerie van Defensie en KPN. Het maakt veilige communicatie tussen Defensieonderdelen mogelijk. Politie, de meldkamers van noodnummer 112 én alle ministeries en Eerste en Tweede Kamer maken ook gebruik van het netwerk om onderling te communiceren. Vanwege het belang van NAFIN besloot de Rekenkamer het netwerk te onderzoeken.
De Rekenkamer stelde dat de beveiliging van het NAFIN-netwerk op papier goed is geregeld, maar in de praktijk onvoldoende blijkt. Eén van de conclusies betreft het ontbreken aan militaire regie en controle vanuit Defensie over het netwerk. Voor de aanleg van de glasvezelkabels heeft de minister van Defensie een contract met KPN afgesloten. In dat contract werd de minister van Defensie de economisch eigenaar van NAFIN en KPN de juridisch eigenaar.
"Dat betekent dat het netwerk in feite niet volledig military owned is en Defensie afweek van deze eigen randvoorwaarde. Defensie is afhankelijk van KPN voor aanleg en aanpassingen in het netwerk en kan praktisch gezien niet meer overstappen op een andere provider", aldus de Algemene Rekenkamer. KPN huurt voor het werk aan de glasvezel onderaannemers in, die op hun beurt weer onderaannemers kunnen inschakelen.
Voor de uitbesteding van werk aan KPN moet Defensie staatsgeheime informatie met KPN delen, zoals informatie over waar de NAFIN-kabels liggen of waar de netwerkruimtes precies staan. Defensie toetst daarom KPN om te onderzoeken of het bedrijf genoeg beveiligingsmaatregelen neemt om deze geheime informatie te beschermen. KPN is er vervolgens voor verantwoordelijk dat zijn onderaannemers getoetst worden door Defensie en geldige autorisaties hebben.
"Wij constateren dat de verplichte autorisatie bij één van de drie onderaannemers van KPN al sinds 2021 verlopen was. Defensie was hier niet van op de hoogte. Het zicht van Defensie op welke bedrijven de onderaannemers op hun beurt vervolgens inschakelen en welke veiligheidsmaatregelen zij nemen, is nog beperkter", stelde de Algemene Rekenkamer. "We concluderen daarom dat Defensie te weinig overzicht en grip heeft op wie er aan de kabels van het NAFIN werken."
Eén van de aanbevelingen van de Algemene Rekenkamer was om te overwegen of het mogelijk is het werk aan minder partijen uit te besteden en beter toezicht te houden op de uitvoering van de beveiligingsmaatregelen en autorisaties voor de private partijen en hun onderaannemers die aan het NAFIN-netwerk moeten werken.
De vaste commissie voor Defensie wilde naar aanleiding van het rapport weten of de samenwerking met KPN nog houdbaar is. "De samenwerking met KPN is houdbaar. KPN is geruime tijd een belangrijke Nederlandse partner voor Defensie, niet alleen voor NAFIN", reageert minister Brekelmans daarop. Eerder liet de bewindsman al weten dat Defensie, als opdrachtgever, KPN per brief ging verzoeken maatregelen te nemen om het veiligheidsbewustzijn van betrokken medewerkers en onderaannemers te verbeteren.
Dat maakt vast indruk.
Heeft zich al een oorlogszuchtige kleptocratisch oligarch gemeld voor overname van KPN of zijn onderaannemers?
Nafin maakt veilige communicatie tussen Defensieonderdelen mogelijk. Politie, de meldkamers van noodnummer 112 én alle ministeries en Eerste en Tweede Kamer maken ook gebruik van het netwerk om onderling te communiceren.
Hoe goed dat C2000 werkte op oudjaarsnacht alweer vergeten?
Zijn die criminelen die in 2019 noodnummer 112 doorverbonden met de Telegraaf al ingerekend en bestraft?
Of kan dat niet omdat het de overheid zelf was, die misbruik van het nafin netwerk maakt in overleg met de KPN-top.
Dat zou nog wel eens heel ongezellig kunnen worden op Navo top in juni.
1. C2000 is geen deel of onderdeel van het NAFIN netwerk. Het C2000 net is wat zich "door de lucht" afspeelt.
2. KPN, of enig ander bedrijf wat staatsgeheime data/informatie behandeld, zal niet zomaar overgenomen worden door een buitenlandse onderneming. In ieder geval niet het deel wat zich met deze info bezighoudt.
3. Het 112 noodnummer debacle had ook niets met NAFIN van doen en ook niet met enige vorm van staatsgeheim.
De constructie is een hele normale constructie. En ja, Defensie en KPN moeten zorgen dat de keten gecertificeerd blijft. Dat is wel een aandachtspunt.
Schoenmaker, blijf bij je leest.
Saluut!
Heeft zich al een oorlogszuchtige kleptocratisch oligarch gemeld voor overname van KPN of zijn onderaannemers?
Dat heeft KPN een paar keer geprobeerd maar dat werd door bepaalde overheids onderdelen tegen gehouden
Schoenmaker, blijf bij je leest.
Saluut!
Gaat afhangen of je door de screening heen komt.
Overigens denk ik dat je de mensen bij defensie, die daadwerkelijk werkzaamheden uitvoeren, niet moet onderschatten. Het enige waar de private sector aanwijsbaar beter in is, is het schrijven van facturen.
Is dat wel zo? Niet kunnen, of niet voldoende budget beschikbaar krijgen om het goed uit te voeren.
Hoe "kwalitatief goed" het bedrijfsleven is met de hoge salarissen, zien we wel in de recente rapportage over ZZP'ers in de zorg.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?