De Inspectie voor de Leefomgeving en Transport (ILT) heeft Stichting Waternet onder verscherpt toezicht gesteld omdat het waterbedrijf onvoldoende grip op de eigen cybersecurity heeft wat een risico vormt voor de waarborging van de kwaliteit en leveringszekerheid van het drinkwater. Dat laat demissionair minister Van Nieuwenhuizen in een brief aan de Tweede Kamer weten.
Verzwegen hack test
Naar aanleiding van een verzwegen penetratie test (ethische hack test) startte de Inspectie een onderzoek naar Waternet. Het waterbedrijf is verantwoordelijk voor het drinkwater in Amsterdam en omgeving. In het gebied van Waterschap Amstel Gooi en Vecht houdt het zich bezig met de dijken en de afvoer en schoonmaak van rioolwater. Vorig jaar september meldde website Follow The Money op basis van vertrouwelijke documenten en verklaringen van interne bronnen dat de digitale omgeving van Waternet niet goed was beveiligd.
De directeur van Waternet stuurde in reactie daarop een brief naar het bestuur dat het om "gedateerde" bevindingen ging en er niet zoveel aan de hand was. Een penetratie test die Waternet in januari van vorig had laten uitvoeren, en serieuze problemen blootlegde, werd niet in de brief genoemd. De ITL had, als toezichthouder op het waterbedrijf, op 27 oktober een gesprek met Waternet. Dit gesprek werd gevoerd vanwege een eerdere publicatie van Follow The Money over de beveiliging bij Waternet. Tijdens dit gesprek werd de Inspectie niet geïnformeerd over het pentest rapport of uitkomsten van andere penetratie testen.
Nadat Follow The Money met het nieuws zou komen over de voor het bestuur verzwegen penetratie test informeerde Waternet de Inspectie over deze test. Op 2 november verscheen het artikel van Follow The Money dat de directeur de in januari uitgevoerde penetratie test had verzwegen. Dezelfde dag vroeg de Inspectie het pentest rapport op en ontving die de volgende dag.
Onvoldoende grip
Uit het onderzoek dat vervolgens door de Inspectie zelf werd uitgevoerd blijkt dat Waternet zowel op bestuurlijk als organisatorisch niveau onvoldoende grip heeft op de eigen cybersecurity. "Dit wordt veroorzaakt door een aantal tekortkomingen in de uitvoering van de wettelijke zorg- en meldplicht ingevolge de Wet beveiliging netwerk- en informatiesystemen (Wbni) en in de besturing van de organisatie ingevolge de Drinkwaterwet en Wbni. Dit vormt een risico voor de waarborging van de kwaliteit en leveringszekerheid van drinkwater", aldus Van Nieuwenhuizen.
Zo is er onvoldoende risicomanagement, onvoldoende evaluatie en verbeterprocessen en beperkingen in detectie en incident-response. Volgens de minister heeft Waternet nog geen procedures voor het melden van beveiligingsincidenten die grote gevolgen voor de continuïteit van de drinkwater levering kunnen hebben. Daardoor kan het mogelijk langer duren voordat incidenten zijn opgelost en kunnen de gevolgen van incidenten onnodig groter worden, merkt de minister op.
Bestuurlijke structuur ontbreekt
Verder blijkt dat integraal toezicht in het ontwerp van de bestuurlijke structuur op de drinkwater taak ontbreekt. Er vindt onvoldoende gestructureerd risicomanagement, evaluatie en bijsturing plaats. Op strategisch niveau blijkt dat Waternet zowel bij de drinkwater taak als cybersecurity tekort schiet. Het waterbedrijf heeft inmiddels een aantal stappen gezet om de situatie te verbeteren. Volgens de Inspectie is dit niet voldoende en stelt het Waternet daarom onder toezicht, zodat het voldoende grip heeft op de uitvoering van de verbeteringen en indien nodig kan bijsturen.
"Het verscherpt toezicht zal duren tot het moment dat er weer sprake is van vertrouwen dat Waternet de leveringszekerheid en kwaliteit van drinkwater en de daarvoor benodigde besturing en processen, in het bijzonder die van cybersecurity, in voldoende mate op orde heeft", zo laat de minister verder weten. Mede vanwege de uitkomsten van dit onderzoek zal de Inspectie dit jaar onderzoeken in hoeverre andere aanbieders van essentiële diensten, waaronder alle drinkwaterbedrijven, voldoen aan de zorg- en meldplicht uit de Wbni.
Bron: ftm.nl, tweedekamer.nl, security.nl
Meer info over ‘hacking’?
Tips of verdachte activiteiten gezien? Meld het hier.
Hacking gerelateerde berichten
"De servers zijn gehackt" van de 'Nederlandse Organisatie voor Wetenschappelijk Onderzoek'
De servers van de 'Nederlandse Organisatie voor Wetenschappelijk Onderzoek' (NWO) zijn gehackt. Geen van de applicaties is momenteel toegankelijk. Wetenschappers die een subsidieaanvraag willen indienen, moeten dit op een later moment doen. NWO doet er alles aan om de problemen zo snel mogelijk te verhelpen.
Hacker verhoogde deeltjes 'Natronloog' van 100 naar 11.000 per miljoen waterdeeltjes
Een cybercrimineel heeft vorige week toegang tot het beheersysteem van een waterzuiveringsinstallatie in Florida gekregen en vervolgens de waarden van het zuiveringsmiddel 'natronloog' naar potentieel gevaarlijke waardes aangepast, zo heeft sheriff Bob Gualtieri van Pinellas County in Florida tijdens een persconferentie laten weten.
Zeroday kwetsbaarheid in 'Secure Mobile Access apparaat'?!
De afgelopen jaren gingen steeds meer mensen thuiswerken. Door de coronapandemie is dit in een stroomversnelling geraakt. Vanuit huis werken brengt echter risico’s met zich mee. Op de werkvloer zijn tal van maatregelen genomen om veilig en verantwoord te werken, maar hoe zit dat thuis? Zorg dat u geen slachtoffer wordt van cybercriminelen en verzeker u en uw medewerkers van een goed beveiligd netwerk met de oplossingen van SonicWall.
''Een gevaar dat de wereld zich niet kan veroorloven''
》Choose your language
“Het ministerie van Financiën weet nog steeds niet wat de hackers allemaal hebben gedaan en welke informatie ze hebben buitgemaakt”
De e-mailaccounts van tientallen hooggeplaatste ambtenaren van het Amerikaanse ministerie van Financiën zijn in handen gevallen van hackers. Volgens Amerikaanse media wisten de aanvallers de hand te leggen op encryptiesleutels waarmee de ambtenaren hun dataverkeer beveiligden tegen hackers en cybercriminelen. Dit is wellicht pas het topje van de ijsberg.
Joe Biden geïnformeerd over de gevolgen van hack campagne die meerdere federale agentschappen heeft getroffen
Amerikaanse nationale veiligheidsfunctionarissen hebben het overgangsteam voor de verkozen president Joe Biden en Capitol Hill-assistenten geïnformeerd over de gevolgen van een vermoedelijke door de overheid gesteunde hack campagne die meerdere federale agentschappen heeft getroffen.