D66 bezorgd over beveiliging staatsgeheimen door Fox-IT
D66 maakt zich zorgen over de beveiliging van staatsgeheimen door beveiligingsbedrijf Fox-IT, dat eind 2015 voor 133 miljoen euro in Britse handen kwam. Dat blijkt uit Kamervragen die D66-Kamerlid Kees Verhoeven aan minister Kamp van Economische Zaken, minister Plasterk van Binnenlandse Zaken en minister Blok van Veiligheid en Justitie heeft gesteld.
Vorige week kwam NRC met het nieuws dat de overheid zeggenschap over besluiten en benoemingen bij het bedrijfsonderdeel Fox Crypto wil en bij verkoopplannen als eerste de aandelen wil kunnen kopen. Als het beveiligingsbedrijf niet meewerkt zou het staatsopdrachten kunnen verliezen. Verhoeven vraagt de bewindslieden of er door de overname van Fox-IT een direct gevaar is ontstaan dat Nederlandse staatsgeheimen in handen van NCC-medewerkers, Britse inlichtingen- en veiligheidsdiensten of andere niet-bevoegden kunnen vallen?Ook wil het Kamerlid weten of de ministers hier nader onderzoek naar willen doen.
"Erkent u dat door de overname van Fox-IT het risico groter is geworden dat staatsgeheimen in verkeerde handen kunnen vallen, bijvoorbeeld doordat informatie over de manier van versleutelen of het proces van "key management" bekend wordt binnen NCC Group en mogelijk ook de Britse inlichtingendiensten? Hoe groot acht u dit risico?", vraagt Verhoeven verder. Hij wil ook weten in hoeverre de Britse wet op de inlichtingendiensten de mogelijkheid biedt voor de Britse inlichtingendiensten om via NCC Group toegang tot Nederlandse staatsgeheimen te krijgen, de manier van versleutelen of het proces van "key management".
De ministers moeten tevens duidelijk maken hoe afhankelijk de overheid voor de versleuteling van staatsgeheimen van het bedrijfsleven is. "Acht u dit een wenselijke afhankelijkheid of bent u van mening dat deze afhankelijkheid in de toekomst afgebouwd dient te worden?", stelt Verhoeven de vraag. Hij vraagt verder of er alternatieve leveranciers zijn van de diensten die Fox-IT levert die volledig in Nederlandse handen zijn en onder welke omstandigheden de overheid overweegt om naar een alternatieve leverancier over te stappen. De ministers hebben drie weken de tijd om de vragen te beantwoorden (pdf). Eerder stelde ook de SP al Kamervragen over Fox-IT.
Als dat wel een risico mee brengt, dan heb je al een veel groter probleem.
Het idee achter goede crypto is toch dat je alles mag weten, maar dat je er zonder dat je de key hebt, nog steeds niks mee kunt.
Als de politiek zich nou eens druk gaat maken over dat geheimen ook geheimen blijft en. Iet uitlekken door een of andere lul van een politieke knakker!
Als dat wel een risico mee brengt, dan heb je al een veel groter probleem.
Het idee achter goede crypto is toch dat je alles mag weten, maar dat je er zonder dat je de key hebt, nog steeds niks mee kunt.
Ik ben het met je eens. Daardoor ben ik nu heel benieuwd waarom je geen fan bent van Fox-IT.
Helaas hebben we in de praktijk te maken met implementaties van de (theoretisch) nog onkraakbare crypto, waar zeer waarschijnlijk fouten in zitten. Daarom is het zinvol om bijv. de details van hard- en softwareversies geheim te houden, zodat een andere mogendheid niet zo makkelijk zero-days voor jouw setup kan kopen.
Als dat wel een risico mee brengt, dan heb je al een veel groter probleem.
Het idee achter goede crypto is toch dat je alles mag weten, maar dat je er zonder dat je de key hebt, nog steeds niks mee kunt.
Zucht.
Ja - en je moet vertrouwen dat het bedrijf wat de crypto (box) gebouwd heeft daar geen lekken in heeft aangebracht waardoor die sleutel uitlekt. (of waardoor een niet-zo-random random generator gebruikt wordt, of noem maar op ).
En als het echt belangrijk is, wil je dus dat zo'n device gebouwd wordt door eigen gescreende mensen .
En dat is het probleem geworden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security analist
De Universiteit Utrecht is op zoek naar een Security Analist. Je bent verantwoordelijk voor het uitvoeren van analyses met de tools van het security- operationsteam van de universiteit. Je werkt met Splunk Enterprise, voor securitymonitoring. En met InsightVM, voor netwerkscanning. Ook komt er nog een nieuwe tool, voor applicatiescanning. Je werkt bij de afdeling Identity & Security Services (ISS).
