Onderzoekers van de Universiteit Twente hebben 60 kwetsbare ICS- en SCADA-systemen in Nederland gevonden, maar het kunnen ook honeypots zijn die opzettelijk zijn neergezet om aanvallers te lokken, zo laat de universiteit in een persbericht weten (pdf). De onderzoekers vonden met name relatief kleine systemen die gebruikt worden voor besturingsdoeleinden, maar wat er precies achter zit is onbekend. ICS- en SCADA-systemen worden onder andere voor industriële toepassingen en de vitale sector gebruikt.

Op verzoek van het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) van het ministerie van Justitie en Veiligheid voerde de universiteit het onderzoek naar vitale infrastructuren in Nederland uit. Eerst werd er gekeken hoeveel SCADA- en ICS-systemen eenvoudig via de Shodan-zoekmachine zijn te vinden. Het bleken er zo'n duizend te zijn. In de meeste gevallen gaat het om Tridium-systemen. Vervolgens keken de onderzoekers of de systemen ook kwetsbaar zijn. Hierbij werd onder andere naar de gebruikte software gekeken. Uiteindelijk werden 60 kwetsbare systemen ontdekt.

Het is onduidelijk wat dit precies zegt, aangezien de achterliggende systemen onbekend zijn. "Stel dat één of meerdere van die zestig besturingssystemen daadwerkelijk iets belangrijks is als een sluisdeur of elektriciteitscentrale? Het andere uiterste is dat het hier kan gaan om zestig systemen die bedoeld zijn om potentiële aanvallers te lokken, honeypots genaamd", zegt Aiko Pras, hoogleraar internetveiligheid aan de Universiteit Twente.

Pras hoopt dat het rapport leidt tot een politiek debat over cybersecurity van vitale infrastructuren in Nederland. "Volgens ons moet de overheid zeggen: elk systeem dat vitaal is, moet niet onbeveiligd aan het openbare internet gehangen worden zodat kwaadwillende, eventueel buitenlandse hackers erbij kunnen. We signaleren al een tijd dat er in Den Haag relatief weinig kennis van ict zit. Slechts een paar mensen hebben er echt verstand van en besluitvorming gaat traag."

De hoogleraar pleit voor een 'apart stukje internet dat losstaand te beheren is', een gesloten netwerkstructuur voor vitale systemen. Iets wat op dit moment in Nederland nog niet bestaat. De paar verschillende aanbieders die er zijn behandelen alle klanten in grote lijnen op dezelfde manier. Met het rapport wil Pras het debat hierover aanjagen.