Ik hoorde ook dat ze veel privacy issues intern niet op orde hebben en een illegale zwarte lijst houden van personen en bedrijven waar ze liever niet mee samen werken (waaronder security specialisten en security bedrijven) welk zijn opgebouwd aan de hand van verschillende media publicaties dat waternet in een negatieve daglicht heeft geplaatst.

Ongetwijfeld dat waternet ook security.nl geblacklist heeft.

Wat een flauwekul.

Is absoluut geen flauwekul, dit heb ik ook eerder voor bij zien komen op social media eerder dit jaar.
Ik denk niet dat ze security.nl op de zwarte lijst hebben maar ze gebruiken hun responsible disclosure beleid om kwetsbaarheden op te lossen en vervolgens worden beveiliging onderzoekers die de kwetsbaarheden verantwoordelijk melden op een zwarte lijst geplaatst.

Maar ik moet wel zeggen, wat ik begrepen heb is dat dit niet zomaar gedaan wordt.
Waternet doet dit na dat onderzoekers een publicatie maken van de bevinding of op hun social media over de bevinding praten, al is het zonder technische details en alleen een foto van de beloning wat de onderzoeker heeft gekregen.

Dit is gebeurd met enkele van de bekendste ethische hackers van Nederland, die zijn vervolgens in een conflict geraakt met waternet omdat het directeur van de informatievoorziening naar mening was dat de onderzoekers geen woord mochten vrij geven over de bevinding ondanks dat de bevindingen al een jaar lang waren opgelost en dat de onderzoekers meerdere maanden de vraag bij waternet hadden staan of publicatie nu wel mocht of niet.

Het kwam erop neer dat waternet niet reageerde op de verzoek voor publicatie ondanks het belofte voor goede communicatie volgens hun eigen beleid, waardoor de onderzoekers in plaats van een publicatie slechts een post hadden geplaatst op social media met zeer beperkte informatie over de bevinding welk zij zouden hebben gevonden.

Dit schoot bij waternet in het verkeerde keelgat waarna al de beveiliging onderzoekers op een zwarte lijst zijn gezet en nu zowel de bedrijf waarbij zij werkzaam waren (hoewel die daar niets mee te maken hadden) als de onderzoekers zelf niet meer de beveiliging van waternet mogen testen en of ooit nog bij waternet aan het werk mogen.

Waternet schiet hiermee door hun eigen voet, ze weten dat zij hierdoor minder beveiligd worden maar accepteren dit alleen voor het gevoel van valse gerechtigheid op de beveiliging onderzoekers die meer dan een jaar lang aan beveiliging incidenten verantwoordelijk hadden gemeld aan waternet.

Waternet doet dus wel degelijk mensen onrecht aan middels een zwarte lijst (tegen de wet in), sterker nog. het integriteit van de aanbestedingswet waar waternet zich aan moet verplichten wordt hierdoor ondermijnd maar goed dat is weer aan het ILT om een keer te onderzoeken.

Of dit zwarte lijst systematisch wordt bijgehouden of individueel door de directeur of HR wordt bijgehouden is nooit bekend gemaakt, de onderzoekers zelf willen hier ook niets over zeggen omdat een advocaat van waternet welk de naam van niet wordt genoemd hun blijkbaar de mond gesnoerd heeft en de onderzoekers zelf niet verder in onnodige problemen willen komen.

Maar dit zegt genoeg.