Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: Geregeld ontdek ik triviale beveiligingsfouten bij bedrijven en instellingen. Als ik ze daarop wijs, dan zeggen ze meestal dat ze het gaan fixen, maar maanden later zie ik het dan nog steeds compleet lek online staan. Zijn ze niet verplicht dit te fixen als ze het weten? Wat kan ik doen om ze te dwingen?

Antwoord: Helaas is domheid nog steeds niet strafbaar, net zo min als het online zetten van onbeveiligde applicaties. Er is nu een soort-van meldplicht voor telecombedrijven die gehackt zijn, maar dan moet het gaat om beveiligingslekken waarbij persoonsgegevens zijn buitgemaakt. En voor andere bedrijven geldt zo'n meldplicht niet.

Formeel kun je een bedrijf dus niet dwingen om een beveiligingslek te fixen. Het enige dat je kunt doen, is druk uitoefenen om ze zo te laten inzien dat ze eigenlijk dom bezig zijn.

Binnen de securitywereld is hiervoor de tactiek van "responsible disclosure" ontwikkeld. De ontdekker van een fout meldt eerst het bedrijf waar de fout zit en geeft ze een redelijke termijn om deze te herstellen. Pas na die termijn publiceert de ontdekker zijn bevindingen – maar dat doet hij óók als het bedrijf niet heeft gereageerd of niet met een oplossing voor de fout kan of wil komen.

De wet schrijft geen procedure voor bij responsible disclosure. Het is niet verplicht een fabrikant of ontwikkelaar te informeren over een fout, en ook niet om te wachten tot deze meldt een oplossing voor de fout te hebben. De rechter zal alleen onderzoeken of de gevolgde procedure zorgvuldig is: hoeveel moeite was het om de fabrikant te contacteren, was daar een snelle reactie van te verwachten en hoe belangrijk was het om het publiek te informeren voordat de fout was hersteld? Wat was jouw opstelling, was je een behulpzame bezoeker of vroeg je geld met de ondertoon "anders publiceer ik een exploit"?

Ook zal de mate van gepubliceerd detail meewegen. Publicatie van een theoretische analyse zonder concrete exploit is minder snel een probleem dan publicatie van alleen een stuk software dat de fout misbruikt (of van de complete database met klantgegevens).

Een praktische vuistregel is dat een publicatie van een exploit enkele irrelevante technische details zou moeten weglaten of veranderen, zodat deze niet direct bruikbaar is voor iedereen. Ook zou een exploit eigenlijk alleen op relatief onschuldige wijze moeten laten zien dat het lek bestaat. Een exploit die aantoont dat willekeurige commando’s onder Windows kunnen worden uitgevoerd, kan dat prima demonstreren door het Kladblok te starten in plaats van de System32 directory te wissen. Deze vuistregel werkt niet altijd, en slimme hackers kunnen de exploit vast ombouwen tot iets schadelijkers, maar zo heb je in ieder geval gedaan wat je kon om de schade te beperken.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.