CTIVD wil toezicht houden op zerodaylekken van inlichtingendiensten
De Commissie van Toezicht op de Inlichtingen- en veiligheidsdiensten (CTIVD) wil toezicht gaan houden op de zerodaylekken waarover de AIVD en MIVD beschikken en vindt niet dat hiervoor een apart orgaan moeten worden opgericht, zoals D66 wil. Dat heeft de toezichthouder vandaag in een brief aan de Tweede Kamer laten weten.
De inlichtingendiensten hebben intern beleid opgesteld dat beschrijft hoe er met zerodaylekken moet worden omgegaan. Het gaat hier om kwetsbaarheden die niet bij de leverancier bekend zijn. Het uitgangspunt van dit beleid is dat de kwetsbaarheden bij de leverancier worden gemeld, tenzij er beweegredenen zijn om dit niet te doen. "Deze argumenten zijn alle terug te voeren op de zorgplicht van artikel 23 van de Wiv 2017, meer in het bijzonder het zorgdragen voor geheimhouding van bronnen, modus operandi en huidig kennisniveau", zo stelt de CTIVD.
De toezichthouder wilde meer informatie over de manier waarop het beleid door de inlichtingendiensten in de praktijk wordt toegepast. Dit leidde vorig jaar tot drie bijeenkomsten tussen de CTIVD en AIVD/MIVD. "De eerste bijeenkomst stond in het teken van het beleid en de gevolgde werkwijze. In de tweede en derde bijeenkomst zijn de gemaakte afwegingen en beslissingen met betrekking tot de concrete bij de diensten aanwezige zerodays besproken", aldus de CTIVD. De toezichthouder meldt dat de diensten alle (recente) zerodays waar mogelijk hebben geïnventariseerd en daarna gewogen.
De CTIVD vindt dat de inlichtingendiensten zerodays moeten melden, tenzij er redenen zijn om dit niet te doen. Bij het toezicht op de diensten komt de CTIVD al zerodaylekken tegen. Het gaat hier volgens de toezichthouder om zeer gevoelige gegevens, die zicht geven op de werkwijze en in een aantal gevallen ook de bronnen en het huidig kennisniveau van de diensten. "Het betreft daarmee hoog gerubriceerde informatie. Aan de omgang met dit soort staatsgeheimen worden hoge eisen gesteld", aldus de toezichthouder.
Vorig jaar kwam D66-Kamerlid Kees Verhoeven met een wetsvoorstel om een "gespecialiseerd afwegingsorgaan" in het leven te roepen om een afweging over zerodaylekken te maken. De CTIVD ziet dit niet zitten. Niet alleen vereist het een aanzienlijke investering in mensen en middelen, maar vormt tevens een risico voor de geheimhouding van de informatie, zo stelt de toezichthouder in de brief aan de Tweede Kamer.
Afsluitend laat de CTIVD weten dat het vanuit haar expertise en met de beschikbaarheid van voldoende middelen prima toezicht kan houden op de zerodaylekken van de inlichtingendiensten en dat er geen aanvullende wetgeving nodig is.
Het begrip zerodaylek kan dus allerlei soorten software omvatten en op basis daarvan lijkt mij een stellig beleid als 'always disclose' niet de meeste geschikte aanpak. Een duidelijk wegingskader lijkt mij dus belangrijk. En daarbij moet het niet alleen gaan om inlichtingenbronnen geheim gehouden, ook moet de impact van het eventueel uitlekken (of ontdekking door anderen) op de samenleving als geheel bekeken worden. Niemand zit te wachten op een nieuwe Wannacry (thx NSA).
Maar het zou wel fijn zijn als de toezichthouders die we hebben ook behoorlijk hun werk doen, en dat behelst toch echt meer dan de wc-eend-rapportjes waar we CTIVD zo goed van kennen.
(Waarom linkt het artikel daar niet naar?)
Het begrip zerodaylek kan dus allerlei soorten software omvatten en op basis daarvan lijkt mij een stellig beleid als 'always disclose' niet de meeste geschikte aanpak. Een duidelijk wegingskader lijkt mij dus belangrijk. En daarbij moet het niet alleen gaan om inlichtingenbronnen geheim gehouden, ook moet de impact van het eventueel uitlekken (of ontdekking door anderen) op de samenleving als geheel bekeken worden. Niemand zit te wachten op een nieuwe Wannacry (thx NSA).
Wat dus wel jammer is dat dit kader niet publiek is. Want de vraag is of een breed misbruikbare kwetsbaarheid opweegt tegen het belang van de inlichtingendiensten. Ik denk van niet.
Maar het zou wel fijn zijn als de toezichthouders die we hebben ook behoorlijk hun werk doen, en dat behelst toch echt meer dan de wc-eend-rapportjes waar we CTIVD zo goed van kennen.
Geef eens een voorbeeld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.