Nederlandse bedrijven en belangenorganisaties werken aan een eigen alarmsysteem tegen hackers. Bedrijven die een veiligheidsrisico lopen, moeten via dat systeem sneller gewaarschuwd worden dan via het huidige waarschuwingssysteem van de overheid.

Onder meer beveiligingsbedrijf Fox-IT en Nederlandse internetproviders werken mee aan het systeem, dat voor het eind van het jaar operationeel moet zijn. "Het systeem waarmee we nu informatie delen is te ingewikkeld geworden, het is een lappendeken", zegt Frank Breedijk van vrijwilligerscollectief Dutch Institute for Vulnerability Disclosure. In dat collectief zijn ethische hackers verenigd die het internet veiliger proberen te maken.

"We hebben naar de overheid gekeken om het simpeler te maken", zegt Inge Bryan van Fox-It in het FD. "Maar we willen daar niet meer op wachten en hebben besloten zo'n systeem zelf op te zetten."

Systeem overheid

In het systeem van de overheid komen meldingen van dreigingen binnen bij het Nationaal Cyber Security Centrum (NCSC). Die deelde de meldingen tot deze maand enkel met bedrijven uit zogenoemde vitale sectoren en met het Rijk. Die bevoegdheid is deze maand uitgebreid. Bedrijven kunnen nu worden gebeld als ze gevaar lopen. Op termijn is het plan om meldingen automatisch te versturen.

Dat is onvoldoende, vinden de bedrijven die nu hun eigen systeem opzetten. Volgens de betrokken partijen duurt het te lang voordat informatie over kwetsbaarheden op de juiste plek komt. Soms komt de informatie ook helemaal niet bij bedrijven terecht die het moeten weten.

"Partijen die zich niet hebben aangesloten of niet binnen het bereik van het NCSC vallen, krijgen de informatie niet of te laat", zegt Breedijk van het vrijwilligerscollectief van ethische hackers. Hij denkt dat het juridisch geen probleem is dat het alarmsysteem meldingen over persoonlijke informatie met bedrijven deelt.

De organisaties beroepen zich op een 'gerechtvaardigd belang'. Volgens Breedijk is er haast geboden. "Het is twee voor twaalf. We moeten dit fixen met z'n allen." Het FD schrijft dat het NCSC welwillend tegenover het plan staat en in gesprek wil over de nadere invulling.

95% dreigingsinformatie gaat verloren

Het Nationaal Cyber Security Center (NCSC) dat overheden en vitale bedrijven waarschuwt voor dreigingen, deelt nog geen 5 procent van de ontvangen informatie. Dat zeggen bronnen tegen de Volkskrant. De grote boosdoener is de Wet beveiliging netwerk- en informatiesystemen (WBNI) die niet doordacht zou zijn.

Op basis van de 95 procent informatie die ‘weggegooid’ wordt, zouden vele organisaties beveiligingsmaatregelen kunnen treffen, voordat zij door cybercriminaliteit worden getroffen. Het gebeurt nu regelmatig dat bedrijven gehackt worden via een kwetsbaarheid die bij het NCSC bekend was. Het gaat dan bijvoorbeeld om lekken in de beveiliging van veelgebruikte systemen als Microsoft Exchange en Citrix. Voor het bedrijfsleven vormt de gang van zaken een reden om maar een ‘eigen’ NCSC op te zetten, zo werd dinsdag aangekondigd.

Frustratie over wet WBNI

Ook bij het NCSC is er frustratie over de in 2018 ingevoerde WBNI, die het delen van essentiële informatie aan banden legt. Soms zou men zelfs de wet overtreden om potentiële slachtoffers te kunnen waarschuwen. Dat gebeurde vorige week nog om te voorkomen dat bedrijven door ransomware getroffen zouden worden.

Er komt nu een wijziging in de wet, waardoor sommige informatie wel via het Digital Trust Center (DTC) met het niet-vitale bedrijfsleven gedeeld mag worden, maar de meeste beperkingen blijven bestaan.

De manier van werken van het tot het ministerie van Justitie en Veiligheid behorende NCSC leidt er ook toe dat zelfs de Rijksoverheid en vitale bedrijven vaak weken moeten wachten voordat zij dreigingsinformatie ontvangen, terwijl ook bij cyberdreigingen elke seconde telt. En er ontstaan problemen als de dreigingsinformatie persoonsgegevens, zoals IP-adressen of e-mailadressen, bevat.

Actief waarschuwen verboden

Het NCSC mag ook niet actief waarschuwen, bijvoorbeeld door op internet op zoek te gaan naar systemen die een bekende kwetsbaarheid hebben. Zou dat wel mogen, dan kon men de betreffende organisaties waarschuwen dat de ‘achterdeur op een kier staat’.

Dat was bijvoorbeeld het geval bij gebruikers van het platform van Kaseya, waarmee computers op afstand beheerd kunnen worden. Onderzoekers hadden daarin een lek ontdekt en dat in april gemeld bij het NCSC. Drie maanden later werden via dat lek enkele Nederlandse bedrijven gehackt, terwijl dat dus makkelijk te voorkomen was geweest.

Volgens Frank Breedijk van het Dutch Institute for Vulnerability Disclosure is het delen van informatie veel te ingewikkeld gemaakt. Het zoeken naar kwetsbaarheden wordt nu als hacken beschouwd en mag daarom niet door de overheidsorganisatie worden uitgevoerd.