Het Nationaal Cyber Security Center (NCSC) dat overheden en vitale bedrijven waarschuwt voor dreigingen, deelt nog geen 5 procent van de ontvangen informatie. Dat zeggen bronnen tegen de Volkskrant. De grote boosdoener is de Wet beveiliging netwerk- en informatiesystemen (WBNI) die niet doordacht zou zijn.

Op basis van de 95 procent informatie die ‘weggegooid’ wordt, zouden vele organisaties beveiligingsmaatregelen kunnen treffen, voordat zij door cybercriminaliteit worden getroffen. Het gebeurt nu regelmatig dat bedrijven gehackt worden via een kwetsbaarheid die bij het NCSC bekend was. Het gaat dan bijvoorbeeld om lekken in de beveiliging van veelgebruikte systemen als Microsoft Exchange en Citrix. Voor het bedrijfsleven vormt de gang van zaken een reden om maar een ‘eigen’ NCSC op te zetten, zo werd dinsdag aangekondigd.

Wetswijziging
Ook bij het NCSC is er frustratie over de in 2018 ingevoerde WBNI, die het delen van essentiële informatie aan banden legt. Soms zou men zelfs de wet overtreden om potentiële slachtoffers te kunnen waarschuwen. Dat gebeurde vorige week nog om te voorkomen dat bedrijven door ransomware getroffen zouden worden. Er komt nu een wijziging in de wet, waardoor sommige informatie wel via het Digital Trust Center met het niet-vitale bedrijfsleven gedeeld mag worden, maar de meeste beperkingen blijven bestaan. De manier van werken van het tot het ministerie van Justitie en Veiligheid behorende NCSC leidt er ook toe dat zelfs de Rijksoverheid en vitale bedrijven vaak weken moeten wachten voordat zij dreigingsinformatie ontvangen, terwijl ook bij cyberdreigingen elke seconde telt. En er ontstaan problemen als de dreigingsinformatie persoonsgegevens, zoals IP-adressen of e-mailadressen, bevat.

Achterdeur op een kier
Het NCSC mag ook niet actief waarschuwen, bijvoorbeeld door op internet op zoek te gaan naar systemen die een bekende kwetsbaarheid hebben. Zou dat wel mogen, dan kon men de betreffende organisaties waarschuwen dat de ‘achterdeur op een kier staat’. Dat was bijvoorbeeld het geval bij gebruikers van het platform van Kaseya, waarmee computers op afstand beheerd kunnen worden. Onderzoekers hadden daarin een lek ontdekt en dat in april gemeld bij het NCSC. Drie maanden later werden via dat lek enkele Nederlandse bedrijven gehackt, terwijl dat dus makkelijk te voorkomen was geweest. Volgens Frank Breedijk van het Dutch Institute for Vulnerability Disclosure is het delen van informatie veel te ingewikkeld gemaakt. Het zoeken naar kwetsbaarheden wordt nu als hacken beschouwd en mag daarom niet door de overheidsorganisatie worden uitgevoerd.