Wiebes: Wel logging en monitoring bij Belastingdienst
Bij de 'Broedkamer' van de Belastingdienst vindt wel logging en monitoring plaats, zo heeft staatssecretaris Wiebes van Financiën aan de Tweede Kamer laten weten. Vorige week stelde het televisieprogramma Zembla dat de financiële en persoonlijke gegevens van 11 miljoen belastingbetalers en 2 miljoen bedrijven niet goed waren beveiligd bij de Belastingdienst.
Volgens Wiebes klopt het geschetste beeld dan ook niet. "Er werd en wordt minimaal gelogd wie wanneer iets doet, wat iemand doet en welke directories, bestanden en databasetabellen worden gebruikt", aldus de staatssecretaris. Hij heeft nu de opdracht gegeven om de beschikbare loggegevens te onderzoeken, zodat kan worden vastgesteld of getracht is daadwerkelijk gegevens van belastingplichtigen buiten de Belastingdienst te brengen. Tevens is de opdracht gegeven om het gegevensgebruik van de Broedkamer en zijn voorgangers nader te onderzoeken. De Broedkamer is een afdeling van de fiscus die zich met data-analyse bezighoudt.
Wiebes stelt verder dat de bewering van Zembla, dat de Belastingdienst in maart 2015 voor een beveiligingslek zou zijn gewaarschuwd, niet klopt. Het televisieprogramma zou zich op een document hebben gebaseerd waarin observaties en aanbevelingen worden gedaan voor een organisatieonderdeel op het gebied van data-analyse. "Op beveiliging gaat het document niet in, noch bevat dit waarschuwingen over informatiebeveiligingsrisico’s" laat de staatssecretaris weten.
Afsluitend stelt Wiebes dat de aantijgingen van Zembla serieus onderzocht moeten worden, maar dat er bij de door Zembla genoemde afdeling, na onderzoek naar de ict-beveiliging, geen acute beveiligingsproblemen zijn. "Dat laat onverlet dat nader onderzoek naar de periode voor de start van Data & Analytics (D&A) gewenst is", merkt de staatssecretaris op. Zodra het onderzoek van de Autoriteit Persoonsgegevens, het eigen onderzoek naar de informatiebeveiliging en het forensisch onderzoek naar de aanbesteding zijn afgerond zal hij de Tweede Kamer opnieuw informeren.
Het is opmerkelijk, dat:
- De accenture medewerkers uit de broedkamer vervangen zijn door vaste medewerkers.
- Beide websites (Zemble en belastingdienst) op dezelfde datum exact het tegenoverstelde beweren en beide websites op dezelfde datum gewijzigd waren.
1) Ik zou wel eens het bewijs willen zien van de datum van inwerkingstelling van die audit instellingen en welke instellingen dit precies waren. Dit kan namelijk heel snel "spontaan" gewijzigd zijn. Ik durf te wedden dat ze dat niet kunnen bewijzen..of dat die gegevens ineens weg zijn.
2) Wie verrichte het onderzoek? Welke onafhankelijke partij was dit. Als de overheid dit onderzoekt is het toch de slager k"l"eurt zijn eigen vlees?
3) Als er gelogged en gemonitord is op bestanden, directoriesen en tabellen laat ze dan maar eens bewijzen dat dit minstens voor en tijdens het bestaan van de broedkamer ook daad werkelijk gebeurd is. iets met WOB. Ik geloof er echt helemaal niets van.
4) Normaliter als er dit soort aantijgingen zijn hoor je de boel te bevriezen en mag er niemand meer aan komen totdat alle bewijs is verzameld.
5) Als Accenture zelf niet kon bewijzen dat haar medewerkers data hadden meegenomen en beweert haar medewerkers te vertrouwen krijg ik er een onprettig gevoel bij. Dus dit zal hard aangetoond moeten worden.
Pas als die vragen minstens beantwoord zijn...zou het wat vertrouwen kunnen scheppen. Maar goed ze zijn er dus deels mee bezig...maar het mag wel iets scherper..
Oja check ook even op virusbesmettingen. de afgelopen jaren. Durf te wedden dat ze dat ook niet onder controle hadden.
Wiebes zelf citeert in zijn brief beveiligingsvoornemens van D&A:
De broedkamer was een pilot, en als je ergens aan begint dat heel anders van opzet is dan je verder aan systemen hebt is het op zich begrijpelijk dat er van alles nog opgetuigd moet worden. Als die pilot met privacygevoelige gegevens van alle Nederlanders en Nederlandse bedrijven werkt dan is dat helaas niet goed genoeg, illegaal zelfs.
Er wordt zo te zien trouwens wel goed op gereageerd, er wordt op verschillende manieren onderzocht wat er gebeurd is, en het is ook goed dat men wel degelijk op zijn minst een aanzet maakte om het beter in te richten. De betrokken dataset is alleen iets waar je ook niet tijdelijk onnodige risico's mee moet lopen, en daar gaat de herrie over.
Ik zou zoiets direct hebben afgekeurd en met een voorstel zijn gekomen,
Een pilot doe je maar met dummy data
Dat Accenture mw vervangen worden lijkt me eerder een budgetkwestie dan dat dit verband houdt met deze zaak...vind ik....<einde>
Het wordt nader onderzocht, onder meer door de AP, en dat is goed. Of dit een storm in een glas water is of dat het werkelijk niet deugde zal nog wel blijken. Ik vind vooralsnog niet dat Wiebes gewoon gelijk heeft, ik interpreteer de informatie die hij zelf aandraagt anders dan hij hem kennelijk interpreteert. Als ik het lees krijg ik de indruk dat de broedkamer de beveiliging nog lang niet rond hadden in hun wereldje, en kennelijk werkten ze in die onaffe opzet al wel met zeer gevoelige gegevens.
Wiebes gaat er overigens verder wel goed mee om, hij heeft onderzoeken laten starten en houdt wel degelijk de mogelijkheid open dat er wel dingen mis zijn gegaan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.