Het aantal kwetsbaarheden dat het afgelopen jaar bij het Nationaal Cyber Security Centrum (NCSC) werd gemeld is sterk toegenomen. Meldingen van cybersecurity-incidenten namen daarentegen af. Van mei 2017 tot en met april 2018 ontving het NCSC 1140 meldingen van beveiligingslekken.

In de vorige rapportageperiode ging het nog om 194 meldingen, zo staat in het vandaag verschenen Cybersecuritybeeld Nederland (CSBN). Volgens het NCSC kan de toename worden verklaard door een substantiële toename in het aantal meldingen vanuit het buitenland, voornamelijk uit India. Een aantal van deze melders liet weten dat het melden van een kwetsbaarheid en het ontvangen van een beloning daarvoor, vaak een T-shirt, een manier is om hun cybersecuritykennis richting potentiële werkgevers te bewijzen.

De meerderheid (93 procent) van alle meldingen heeft te maken met een kwetsbaarheid in een website, een webapplicatie, of infrastructuur waarop webapplicaties draaien. Het gaat dan bijvoorbeeld om zwakke TLS-parameters, cross-site scripting (XSS), SQL-, XML- en HTML-injectie en informatielekkage. Slechts 4 procent van alle meldingen heeft te maken met con?guratiefouten in hard- en software. Ook kwetsbaarheden in software of hardware (exclusief webservers en -applicaties) worden weinig gemeld.

Incidenten

Het NCSC ondersteunt de rijksoverheid en organisaties in vitale processen bij het afhandelen van cybersecurity-incidenten. Zo worden incidenten en kwetsbaarheden bij het NCSC gemeld en worden deze ook zelf door de organisatie geïdentificeerd, bijvoorbeeld op basis van diverse detectiemechanismen en eigen onderzoek. In de afgelopen rapportageperiode werden er in totaal 358 incidenten gemeld, ongeveer 30 per maand. Een jaar eerder ging het nog om 429 incidenten. Vergeleken met vorig jaar zijn de grootste verschillen te vinden in het aantal meldingen over phishing (20 procent afname) en malware infecties (30 procent).

Volgens het CSBN is de afname mogelijk te verklaren doordat organisaties basale incidenten minder melden, omdat deze als "going-concern" worden beschouwd. Daarnaast zorgt de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) ervoor dat bepaalde organisaties geen incidenten meer bij het NCSC melden, aangezien hierdoor de doelgroepen zijn verscherpt. Per 1 januari 2018 zijn organisaties binnen de vitale infrastructuur verplicht om ernstige digitale veiligheidsincidenten te melden bij het NCSC. Er zijn in de rapportageperiode geen meldingen gedaan in het kader van de meldplicht Wgmc.