Door Anoniem: Dus de GGD gaat per 1 januari 2021 samenwerken met Z-CERT, is de ronkende titel van een artikel op de site van Z-CERT.

Door Anoniem: Dus de GGD gaat per 1 januari 2021 samenwerken met Z-CERT, is de ronkende titel van een artikel op de site van Z-CERT.

Daarover vier opmerkingen:

KNIP

Hopelijk is hier het spreekwoord "Een gewaarschuwd mens telt voor twee" van toepassing.

Door Anoniem: Dus de GGD gaat per 1 januari 2021 samenwerken met Z-CERT, is de ronkende titel van een artikel op de site van Z-CERT.

Daarover vier opmerkingen:

1. Op dat moment zijn de GGD systemen al 8 maanden lek, vanaf april 2020 tot januari 2021.
Want de GGD systemen "CoronIT" (gebruikt in de test-straten) en "HPzone Light" (Engelse software voor bron- en contactonderzoek) zijn al sinds april 2020 lek, omdat de "export-functie" open staat voor alle medewerkers van het door de GGD ingehuurde callcentrum TelePerformance, die weer medewerkers inhuurt bij de uitzendbureau's Olympia en YoungCapital.
https://nos.nl/nieuwsuur/artikel/2348581-testlijnmedewerkers-kunnen-bij-persoonsgegevens-ook-als-dat-niet-mag.html
Typisch een geval waar het spreekwoord "als het kalf verdronken is dempt men de put" van toepassing is.

2. Een soortgelijk geval herkennen we in Maastricht (Clop-ransomware) en MCL Leeuwarden (Citrix). De Universiteit Maastricht liet FoxIT onderzoek doen en presenteerde het onderzoeksverslag op een symposium:
https://www.security.nl/posting/642452/Universiteit+Maastricht+werd+besmet+via+phishingmail+en+verouderde+software
https://www.security.nl/posting/642572/Fox-IT+rapport+Maastricht

Op dat symposium werd ook de rol van het NCSC toegelicht (1:07:04-1:10:05 in de YouTube video):
https://www.youtube.com/watch?v=ik-ZVvZ2-xU&feature=youtu.be
Een samenvatting van dat stukje video over de bijdrage van van het NCSC :
- Het NCSC richt zich primair op vitale processen en rijksoverheid "maar dat laat onverlet dat we andere organisaties zoals universiteiten kunnen bijstaan",
- Adviezen en richtlijnen van het NCSC staan op de website van het NCSC,
- Onlangs is een aantal organisaties waaronder SURF aangewezen als organisatie waar we vertrouwelijke informatie over dreigingen en kwetsbaarheden mee kunnen delen, dus vertrouwelijke IoC (indicator of compromise) worden gedeeld via SURF zodat zij mitigerende maatregelen kunnen nemen,
- Nu is een viertal organisaties aangewezen, dat willen we uitbreiden tot een landelijk dekkend stelsel van informatieknooppunten,
- Ook werken we samen met SURF in een Nationaal Response Netwerk, samen met de Belasting, Rijkswaterstaat en Defensie, dat als een incident zich voordoet, we elkaar kunnen bijstaan met het verlenen van capaciteit en kennis.

Vraag: Heeft u dat in deze specifieke situatie ook gedaan?
Antwoord van het NCSC: "Nee, want SURF was pas aangewezen als organisatie om informatie mee te delen nadat dit incident zich voordeed, en ook dat Nationaal Response Netwerk daar hebben we pas heel recent een convenant voor afgesloten."

Met deze vier organisaties worden bedoeld:
".. Als computercrisisteams als bedoeld in de artikelen (..) van de Wet beveiliging netwerk- en informatiesystemen worden aangewezen:
a. de Informatiebeveiligingsdienst (IBD), onderdeel van VNG (Vereniging Ned.Gemeenten) Realisatie B.V.;
b. de Stichting Z-CERT;
c. SURFcert, onderdeel van SURFnet B.V.;
d. CERT Watermanagement, onderdeel van het openbaar lichaam Het Waterschapshuis .."
https://zoek.officielebekendmakingen.nl/stcrt-2020-4410.html

Dus het NCSC heeft als kerntaak het waarschuwen van de vitale infrastructuur, maar nu worden ook sinds 13 januari 2020 via deze vier CERT (computer emergency response teams) a. de gemeenten b. de gezondheidsinstellingen c. de universiteiten en d. de waterschappen gewaarschuwd.
https://www.ncsc.nl/actueel/nieuws/2020/januari/27/aanwijzing-certs

Overigens werd de oprichting van Z_CERT al in 2016 aangekondigd, en ging Z-CERT officieel van start op 24 januari 2018:
https://www.icthealth.nl/nieuws/z-cert-moet-zorg-sectorbreed-ondersteunen-cyberaanvallen/
"Al jaren blijken ICT-systemen en websites van zorginstellingen kwetsbaar voor datalekken, onder meer door cyberaanvallen. Zo heeft de sector gezondheid en welzijn volgens de Autoriteit Persoonsgegevens de meeste meldingen van datalekken gedaan sinds begin 2016 de meldplicht datalekken ging gelden, bijna 30 procent van het totaal. Het aantal meldingen van datalekken is gestaag gestegen, van ruim duizend in het eerste kwartaal van 2016 tot 2600 in het derde kwartaal van 2017."

3. Is men bij Z-CERT (maar ook bij de andere vier organisaties) niet teveel gericht op cyberaanvallen? Terwijl een grote (de grootste) kwetsbaarheid achter een toetsenbord zit (nu toevallig een goedkope callcenter medewerker die een "export" functie heeft ontdekt in de GGD systemen) ?

4. Is Marion Koopmans ook beveiligd tegen (cyber) aanvallen, nu zij in China onderzoek doet?
https://nos.nl/artikel/2364311-onderzoekers-in-wuhan-begin-van-wetenschappelijke-speurtocht-naar-ontstaan-corona.html
Of kunnen we straks lezen over "diefstal onderzoekgegevens van Erasmus Medisch Centrum en RIVM" ?
Want ik kan mij voorstellen dat zij tijdens de quarantaine periode op haar Chinese hotelkamer toch wel contact heeft onderhouden met haar thuisbasis. Welke instantie is daar verantwoordelijk voor? Z-CERT of SURF? Of toch het NCSC? AIVD? MIVD?
Hopelijk is hier het spreekwoord "Een gewaarschuwd mens telt voor twee" van toepassing.

Door Anoniem: Dus de GGD gaat per 1 januari 2021 samenwerken met Z-CERT, is de ronkende titel van een artikel op de site van Z-CERT.

Daarover vier opmerkingen:

3. Is men bij Z-CERT (maar ook bij de andere vier organisaties) niet teveel gericht op cyberaanvallen? Terwijl een grote (de grootste) kwetsbaarheid achter een toetsenbord zit (nu toevallig een goedkope callcenter medewerker die een "export" functie heeft ontdekt in de GGD systemen) ?

4. Is Marion Koopmans ook beveiligd tegen (cyber) aanvallen, nu zij in China onderzoek doet?
https://nos.nl/artikel/2364311-onderzoekers-in-wuhan-begin-van-wetenschappelijke-speurtocht-naar-ontstaan-corona.html
Of kunnen we straks lezen over "diefstal onderzoekgegevens van Erasmus Medisch Centrum en RIVM" ?

Want ik kan mij voorstellen dat zij tijdens de quarantaine periode op haar Chinese hotelkamer toch wel contact heeft onderhouden met haar thuisbasis. Welke instantie is daar verantwoordelijk voor? Z-CERT of SURF? Of toch het NCSC? AIVD? MIVD?

Door Anoniem: Er verandert hierdoor dus feitelijk niets.

Door Anoniem:
Het is de GGZ en niet de GGD.

Door Anoniem: Hoi Anoniem,

De vergelijking met de brandweer is zo gek nog niet. Echter, de brandweer doet meer dan enkel een brand blussen - Ze spenderen juist veel tijd aan brandpreventie. Ik denk dat dit in dit geval niet anders is.

Er zit natuurlijk wel een verschil in bepaalde principes verplicht stellen en een bijdrage te leveren aan incidentpreventie en het verhogen van de weerbaarheid. Ook hier kun je prima vergelijkingen maken met de brandweer, als je zou willen.

Daarnaast ook de notie dat iets verplichten (zoals een lidmaatschap van Z-CERT) ook daadwerkelijk motiveert om het onderliggende probleem aan te pakken. Mijn inziens zou het beter zijn als men zich hier intrinsiek voor inzet en dan ook vrijwillig aansluit bij een partij als Z-CERT.

Als laatste, laten we vooral blij zijn dat er steeds meer aandacht en organisatie is om de weerbaarheid in deze in deze tijd kwetsbare sector te vergroten, en niet enkel kritisch zijn.

De vergelijking met de brandweer is zo gek nog niet. Echter, de brandweer doet meer dan enkel een brand blussen - Ze spenderen juist veel tijd aan brandpreventie. Ik denk dat dit in dit geval niet anders is.

Goed verhaal. En wat vind je van de samenwerking tussen Z-CERT en de GGZ?

Daarnaast ook de notie dat iets verplichten (zoals een lidmaatschap van Z-CERT) ook daadwerkelijk motiveert om het onderliggende probleem aan te pakken. Mijn inziens zou het beter zijn als men zich hier intrinsiek voor inzet en dan ook vrijwillig aansluit bij een partij als Z-CERT.

Wat mij betreft worden de volgende elementen verplicht:
- Security By Design
- Open Standaarden
- Periodieke pentesten, met Responsible Disclosure en beloning

Als laatste, laten we vooral blij zijn dat er steeds meer aandacht en organisatie is om de weerbaarheid in deze in deze tijd kwetsbare sector te vergroten, en niet enkel kritisch zijn.

Door Anoniem van 30-01-2021, 01:54: [knip hoop opmerking]

Je hebt duidelijk een misverstand over de rol/taak van een NCSC of Z-CERT.

Die organisaties gaan niet "de security" 'doen' van hun aangesloten partijen.
Ze zijn een kennis/advies/informatie en bij paniek hulpbron voor hun achterban.

Lees dat op https://www.z-cert.nl/diensten/

Door Anoniem van 30-01-2021, 01:54:
Niemand (hopelijk) zal zeggen dat je 'klaar' bent met security als je maar aangesloten bent bij Z_CERT/NCSC/Surf-CERT/DefCERT.
Laat staan dat je je eigen security team kunt of moet opdoeken want dat doet cert team nu - zo werkt het niet.
Zorgen dat je organisatie veilig werkt - en dat je geen lekke dingen bouwt is en blijft de verantwoording van de organisatie.

Door Anoniem van 30-01-2021, 01:54:
Uh, de gegevens die in China verzameld gaan worden zijn min of meer per definitie (en afspraak) al van de Chinezen.
Je gaat daar echt geen dingen verzamelen die de Chinezen niet zelf (ook) verzameld hebben.
Alleen in interpretatie / analyse achteraf vind je misschien iets dat de Chinezen gemist hebben - of niet, en is je meerwaarde alleen dat je geen Chinees bent die het zegt.

Door Anoniem van 30-01-2021, 01:54:De security afdeling van haar werkgever. Die eventueel aanvullend advies kunnen vragen aan Surfcert .
Het kan best dat dat betekent dat ze feitelijk geen toegang krijgt tot de normale werkomgeving totdat ze weer terug is.

Misschien dat de AIVD wat algemene adviezen heeft/geeft voor mensen met een heel hoog profiel die naar een spionage-gevoelige omgeving gaan .
Maar ik denk dat zij alleen in detail betrokken worden bij de voorbereiding van missies van landsbelang.