Het delen van informatie is cruciaal in de verdediging van Nederland in het vijfde domein

Tekst: Roel van Rijsewijk, Director Cyber Defense bij Thales

Uit een onderzoek van de Onderzoeksraad voor Veiligheid bleek dat ‘de Nederlandse overheid en het bedrijfsleven zeer kwetsbaar zijn voor cyberaanvallen’. Wat dit domein echter uitdagend maakt voor defensie, is dat anders dan op het land, ter zee of in de lucht, onze strijdkrachten niet zelf de verdediging op zich kunnen nemen.

Veel van onze netwerken en infrastructuur die een mogelijk doelwit zijn van een aanval, zijn namelijk in eigendom van en in beheer bij bedrijven en consumenten. En waar de luchtmacht fabrieken tegen bombardementen vanuit de lucht verdedigt, moeten bedrijven dat bij cyberaanvallen helemaal zelf doen. Daarbij worden ook de systemen geleverd en onderhouden door technologiebedrijven, die daarmee ook een verantwoordelijkheid voor de beveiliging daarvan delen.

De beveiligingshouding van Nederland 

Volgens mij hoeft deze gedistribueerde verantwoordelijkheid voor de verdediging van Nederland in het cyberdomein niet per se een probleem te zijn. Je kan het zelfs als een voordeel zien dat de verantwoordelijkheid en middelen niet bij één partij liggen.

Terroristennetwerken en criminele organisaties zijn moeilijk te verslaan, omdat zij ook opereren als gedistribueerde netwerken; georganiseerd in autonome cellen zonder een duidelijke hiërarchie. Het is in de basis zelfs goed voor de weerbaarheid van Nederland dat de verantwoordelijkheid voor de verdediging bij zowel defensie, justitie, politie, binnenlandse zaken, inlichtingendiensten en vooral bij meerdere bedrijven ligt. Denk bijvoorbeeld aan technologiebedrijven, nutsbedrijven, telco’s, fabrieken en financiële instellingen. Juist daarom is het van cruciaal belang dat de autonome cellen in dit verdedigingsnetwerk, net als bij de criminelen en terroristen, goed met elkaar samenwerken en vrij informatie met elkaar kunnen delen.  We zien dat informatie over bedreigingen en kwetsbaarheden nu vaak door securitybedrijven wordt verkocht of gebruikt om zich te onderscheiden van de concurrentie.

Enkele bedrijven in sommige sectoren delen wel kennis en informatie met elkaar in Joint Industry Committee’s (JIC’s), maar dat is geen dagelijkse stroom van concrete informatie die direct toepasbaar is. Bedrijven zijn daar juist voorzichtig in, omdat delen van informatie ten koste kan gaan van hun reputatie of zelfs kan leiden tot boetes. Bijvoorbeeld in het geval van details over informatielekken.

En de overheid beschikt weer over speciaal verkregen dreigingsinformatie die zij niet altijd kunnen en willen delen. Soms staat de wetgeving dat in de weg en soms is het de overweging om bronnen en methoden te beschermen. De angst bestaat dat deze informatie lekt maar het kan ook zijn dat zij de informatie voor zichzelf willen houden om die offensief te kunnen inzetten.

Het Digital Trust Center (DTC) maakte recentelijk bekend dat zij nu kleinere organisaties en bedrijven gaan inlichten over mogelijke dreigingen, wat volgens mij een goede ontwikkeling is. We zien nu eindelijk dat de overheid de regie neemt en de samenwerking met het bedrijfsleven opzoekt. Maar dat is nog niet genoeg.

Ik vind dat er wetgeving zou moeten komen die het delen van informatie tussen de overheid en het bedrijfsleven regelt. Denk bijvoorbeeld aan een breed toepasbare meldplicht die securitybedrijven, de overheid en haar inlichtingendiensten verplicht om informatie over acute dreigingen en kwetsbaarheden te allen tijde te delen, met de garantie dat dit niet tegen je gebruikt gaat worden.

Daarbij is een platform nodig waarop informatie gedeeld en gebruikt kan worden en waarborging biedt voor de bescherming van de herkomst en veiligheid van de informatie.

Bij mogelijke cyberdreigingen zou de overheid geen leidende, maar juist een faciliterende rol moeten nemen in het veilig houden van Nederland. Zij realiseren zich nog niet voldoende dat netwerkbeheerders en technologiebedrijven een cruciale rol spelen met ieder een eigen verantwoordelijkheid.

Tenslotte moet zij er voor zorgen dat Nederland, of in ieder geval Europa, onafhankelijk is van andere werelddelen voor de bewaking van haar staatsgeheimen.