Het toenemend gebruik van cloud-diensten vergroot de “cyberdreiging” in Nederland volgens de Algemene Inlichtingen- en Veiligheidsdienst (AIVD). De AIVD waarschuwt in zijn jaarverslag voor het maken, delen en opslaan van gegevens in de cloud. Daarnaast willen de spionnen een algehele internettap op alle internetkabels om botnets te achterhalen.

Cyberdreiging

“Het toenemend gebruik van online-diensten […] vergroot het risico van digitale spionage door andere staten. In korte tijd kunnen zij op veel verschillende plekken binnen de digitale infrastructuur grote hoeveelheden data (laten) onderscheppen.”

Als je een cloud-dienst uit het buitenland gebruikt, stel je je dus bloot aan het risico van misbruik door andere staten.

Maar e-mail, opslag, chat; voor welke dienst gebruik je eigenlijk niet een cloud-oplossing uit het buitenland? Zal de AIVD straks cloud-diensten keuren, net zoals met Microsofts beveiligingsproduct Bitlocker, dat afgelopen jaar een positief advies kreeg?

“Ook gaf de AIVD een positief advies over veilig gebruik van Microsoft Bitlocker voor het rubriceringsniveau dep. vertrouwelijk.”

Kwetsbaarheden in systemen

Verder staat in het jaarverslag dat de ICT-specialisten van de AIVD (gelukkig?) de kennis hebben van kwetsbaarheden in systemen, maar deze informatie geheim houden. Het blijkt dat ze de informatie wel delen met andere inlichtingendiensten:

“Wij beschikken over technische kennis van digitale aanvallen die in reguliere beveiligingskringen niet of nauwelijks bekend is. Deze wordt uitsluitend gedeeld binnen de internationale gemeenschap van inlichtingen- en veiligheidsdiensten. Bovendien beschikt de AIVD over kennis van kwetsbaarheden in systemen […]”

De vraag is dus: is de AIVD gebaat bij deze kwetsbaarheden in systemen? Wie maken er gebruik van deze gaten? Is het goed voor de Nederlandse cybersecurity dat de AIVD kennis heeft van zwaktes in systemen maar deze kennis vervolgens voor zich houdt?

Wetsvoorstel

We berichtten al eerder over het aftappen van alle internetkabels en de mogelijke consequenties van deze zeer vergaande bevoegdheid. Toen kondigde toenmalig minister van Defensie Hillen aan dat er een onderzoek komt naar uitbreiding van de aftapbevoegdheden van de inlichtingen- en veiligheidsdiensten. Kort gezegd: er wordt meer geïnternet dus willen de inlichtingendiensten meer kunnen tappen.

De AIVD wil al het bekabelde telefoon- en internetverkeer kunnen ontvangen en opnemen; de “ongerichte interceptie van kabelgebonden telecommunicatie”. De AIVD geeft een voorzet voor een wetsvoorstel om deze nieuwe bevoegdheid vast te leggen aan de hand van recente DDoS aanvallen:

“Om dergelijke aanvallen op de ict-infrastructuur te kunnen blijven detecteren is het van belang om ook ongerichte interceptie van kabelgebonden telecommunicatie te kunnen uitvoeren. Er is een wetsvoorstel in voorbereiding om deze bevoegdheid in de Wiv 2002, met waarborgen omgeven, vast te leggen.”

De komende maanden wordt het wetsvoorstel voor deze algehele internettap afgerond en naar de Tweede Kamer gestuurd. Maar eerst moet de huidige afluisterwet nog even vlug worden geëvalueerd.