Cybersecurity

Wilt u bijdragen aan dit groeiboek? Heeft u opmerkingen, aanvullingen of een vraag? Neem dan contact op met het COB per mail of telefoon: info@cob.nl / 085 – 4862 410. We horen graag van u!

Inleiding

Downloads
Enkele belangrijke aandachtspunten uit dit groeiboek zijn samengevat in een factsheet en op een poster. U kunt de producten gratis downloaden.
>> Factsheet (pdf, 525 KB)
>> Poster (pdf, 133 KB)
Groeiboek

Deze handreiking is gepresenteerd als groeiboek, zodat de inhoud gemakkelijk kan worden aangevuld en bijgewerkt. De eerste versie is gelanceerd op 30 mei 2018. In de toekomst kan het groeiboek worden uitgebreid voor andere doelgroepen.

Wat is cybersecurity?

Om deze handreiking goed te kunnen plaatsen, definiëren we eerst wat we verstaan onder cybersecurity:

Cybersecurity is het streven naar het voorkomen van schade veroorzaakt door verstoring, uitval of misbruik van ICT en/of industriële automatisering en, indien er toch schade is ontstaan, het herstellen hiervan . De schade kan bestaan uit aantasting van de betrouwbaarheid, beperking van de beschikbaarheid of schending van de vertrouwelijkheid en/of de integriteit van opgeslagen informatie.

Als we spreken over cybersecurity hebben we het dus eigenlijk over digitale weerbaarheid.

Uit diverse onderzoeken komt naar voren dat overheid, bedrijfsleven en burgers veel stappen nemen om hun digitale weerbaarheid te vergroten. Gezien de snelle ontwikkelingen van de cybercriminaliteit gebeurt dit nog niet snel genoeg. Dit blijkt onder andere uit het rapport Cybersecuritybeeld Nederland 2017 van het Nationaal Cyber Security Centrum (NCSC), aangeboden aan de Tweede Kamer door toenmalig staatssecretaris van Veiligheid en Justitie de heer K. Dijkhoff.

Reactie van de heer Dijkhoff tijdens de overhandiging van het onderzoek:
“Het besef van investeren in cybersecurity groeit in Nederland in de gehele maatschappij. Toch moeten we blijven investeren in kennis en kunde om als Nederland op topniveau te blijven. Daarom spreken we met het bedrijfsleven, het onderwijsveld en vertegenwoordigers uit vitale sectoren. We moeten samenwerken om Nederland digitaal veilig te houden. Dit cybersecuritybeeld bevestigt dat iedereen nodig is om de snel digitaliserende wereld veilig te houden. Bedrijven door bijvoorbeeld geld te reserveren om hun netwerk veilig te houden en awareness van de medewerkers te verhogen. Gewone Nederlanders door digitaal veilige spullen te kopen en na te blijven denken waarop men klikt, wat we downloaden en wat we op sociale media plaatsen.”

Met deze handreiking wil het COB-netwerk een impuls geven aan deze bewustwording door de ontwikkelde kennis ten aanzien van cybersecurity in tunnels voor iedereen beschikbaar te stellen.

Werkgroepleden
Leen van Gelder (coördinator)COB/Soltegro
Ron BeijBrandweer Amsterdam-Amstelland
Bob van den BoschSiemens Nederland
Arie BrasWegschap Tunnel Dordtse Kil
René van der HelmMinisterie van IenW
Harald HofstedeSiemens Nederland
Erik HolleboomStrypes Nederland
Cuno van den HondelABB
Jan HouwersAntea Group
Wim Jansen Rijkswaterstaat
Jasper KimstraKimpro
Arnold KroonABB
Mark van LeeuwenRijkswaterstaat
Bernhard van der LindeADTS ICT
Ron PerrierENGIE Services Infra & Mobility
Jos RenkensMovares
André StehouwerSoltegro
Peter StrooGemeente Den Haag
Johan van der VeldeVialis
Tom VersluijsGemeente Den Haag
Jaap van WissenRijkswaterstaat
Turabi YildirimRijkswaterstaat

Werkgroep cybersecurity tunnels

Vanuit de bijeenkomst ‘Veilige software’ op 10 februari 2015 van het platform Veiligheid van het COB is het initiatief ontstaan voor een werkgroep gericht op cybersecurity in tunnels. Tijdens deze bijeenkomst heeft Jaap van Wissen van Rijkswaterstaat een toelichting gegeven op de information sharing and analysis centres (ISAC’s) voor vitale sectoren in Nederland, zie figuur hieronder. In lijn hiermee is besloten een ISAC Tunnels in te richten.

Overzicht ISAC’s die actief zijn in Nederland. Standaard is in elke ISAC een drietal verschillende publieke organisaties aangesloten: het NCSC, de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en Team High Tech Crime (THTC) van de Nationale Politie. (Bron: NCSC)

De ISAC Tunnels heeft de volgende taak- en doelstelling:

  1. De ISAC Tunnels biedt een veilige en vertrouwde omgeving waarbinnen private partijen, die een onderdeel zijn van de vitale infrastructuur in de tunnel-community, samen met de met (cyber)security belastte overheidspartijen gevoelige en vertrouwelijke informatie over cyberdreigingen en best practices kunnen uitwisselen.
  2. De ISAC Tunnels is een gremium waar het delen van kennis, informatie en ervaringen ten aanzien van cybersecurity tussen leden binnen de tunnel-community centraal staat.
  3. De ISAC Tunnels draagt bij aan het versterken van de (keten)beveiliging in de sector door een permanent netwerk te vormen, waardoor partijen elkaar ook buiten het overleg om makkelijker weten te vinden.
  4. Toegevoegde waarde en onderling vertrouwen staan aan de basis van de ISAC Tunnels.
Cybercrime

Cybercrime is er in vele soorten en maten. In de bijlage zijn enkele bekende technieken op een rij gezet.
>> Lees meer over cybercrime

Aanleiding voor deze handreiking

Hackers, malware, phishing, ransomware, DDoS aanvallen… Cybersecurity is dagelijks in het nieuws. Of beter gezegd, het gebrek aan cybersecurity is in het nieuws, want in de meeste gevallen gaat het om (bijna) geslaagde aanvallen en kwetsbaarheden. Wat in de media minder aan de orde komt, is hoe organisaties zelf hun weerbaarheid kunnen verbeteren.

'Nederlandse cyberweerbaarheid blijft achter bij digitale dreigingen'

Bedrijven, overheden en burgers wapenen zich niet snel genoeg tegen de groeiende digitale dreigingen. Dat staat in het Cybersecuritybeeld Nederland 2017. Volgens het rapport van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) wordt het gat tussen dreiging en maatregelen eerder groter dan kleiner.
>> Lees het bericht op nu.nl

'Risico op hacks bij sluizen en gemalen door verouderde software'

Sluizen en gemalen lopen nog altijd het gevaar te worden gehackt. Dat komt doordat waterschappen de cyberbeveiliging niet op orde hebben. De beveiligingssoftware wordt doorgaans maar vijf jaar lang bijgewerkt, terwijl de computersystemen om de waterwerken te bedienen tot dertig jaar lang meegaan. Dat blijkt vrijdag uit een onderzoek van het blad Binnenlands Bestuur.
>> Lees het bericht op nu.nl

Meltdown en Spectre: kwetsbaarheden in processoren

Er zijn kwetsbaarheden in chips ontdekt die door nagenoeg alle laptops, smartphones en computerservers worden gebruikt. Dit kan gevolgen hebben voor zowel bedrijven als thuisgebruikers, omdat gevoelige gegevens kunnen worden bemachtigd. De kwetsbaarheden staan bekend onder de namen Spectre en Meltdown.
>> Lees het bericht op ncsc.nl

Overheid richt nieuw kenniscentrum op voor cybersecurity bedrijven

Een nieuw kenniscentrum van de overheid, het Digital Trust Centre (DTC), gaat ondernemers helpen met hun digitale veiligheid. Minister Henk Kamp (Economische Zaken) heeft de oprichting van het centrum zaterdag bekendgemaakt, ook namens staatssecretaris Klaas Dijkhoff van Veiligheid en Justitie.
>> Lees het bericht op nu.nl

'Meer samenwerking nodig om cyberveiligheid te verbeteren'

Nederland moet werk maken van diplomatie, defensie én ontwikkelingssamenwerking om de groeiende dreiging van cyberaanvallen van vijandige landen en criminelen het hoofd te bieden. Dat staat in de Internationale Cyberstrategie die minister Bert Koenders van Buitenlandse Zaken zondagavond naar de Tweede Kamer heeft gestuurd.
>> Lees het bericht op nu.nl

Klap uit Klap in

Voor de meest actuele meldingen zie:

Beheerders van tunnels en andere objecten willen dat het object veilig gebruikt kan worden en dat dit ook in de toekomst zo blijft. Cyberaanvallen kunnen enorme schade met zich meebrengen, en dan gaat het niet alleen om financiële schade. De bedrijfscontinuïteit van vitale en niet-vitale processen kan grote maatschappelijke gevolgen hebben, waarbij ook de veiligheid van mensen in het geding kan zijn. Daarnaast kan imagoschade voor een organisatie een zeer grote impact hebben. De geloofwaardigheid van de organisatie tegenover (potentiële) opdrachtgevers kan ernstig beschadigd raken. Tegen financiële risico’s kun je als organisatie allerlei maatregelen nemen, denk aan verzekeringen en/of het reserveren van een risicobudget, maar imagoschade is niet te verzekeren en is vaak blijvend.

Het management in zowel de publieke als de private sector zijn voor een deel nog niet doordrongen van de realiteit als het gaat om cyberdreiging. ‘Wat is er nu bij ons te halen? Wij zijn toch niet interessant? Bij ons gebeurt dit niet hoor! Onze systemen zijn niet aan internet gekoppeld.’ Bovendien schrikken de kosten van beveiligingsmaatregelen menig organisatie af. Het is echter niet meer de vraag óf je wordt gehackt, maar wanneer en met welke impact.

Het is niet meer de vraag óf je wordt gehackt,
maar wanneer en met welke impact

Doelstelling

Het doel van deze handreiking is de (tunnel)beheerder kennis te laten nemen van de verschillende aspecten van cybersecurity. Met deze kennis is de (tunnel)beheerder in staat de weerbaarheid van zijn object te beoordelen en zijn processen zodanig te optimaliseren dat tijdig de juiste maatregelen worden genomen om cybersecurity-incidenten te voorkomen of te beheersen en eventueel opgetreden effecten bij incidenten te mitigeren.

Hoewel de handreiking gericht is op de (tunnel)beheerder, is hij breed toepasbaar en biedt hij informatie voor alle betrokken partijen binnen de tunnelsector en in alle projectfases.

Opzet

In deze handreiking wordt een risicogestuurde aanpak beschreven. De voordelen van een dergelijke aanpak zijn legio. Zo is de aanpak sterk gestructureerd en is het bijvoorbeeld mogelijk maatregelen te prioriteren, zodat de grootste risico’s het eerst en het best beheerst worden.

De handreiking gaat niet in op ICT-gerelateerde zaken, zoals systemen, netwerk-ontwerpen, changeprocedures, enz. Kennis over dergelijke onderwerpen is veelal belegd bij experts. Het doel van de handreiking is immers te tonen hoe de methode is toe te passen, waardoor beheerders zelf in staat zijn de aanpak op ‘hun’ tunnel toe te passen.

Gezien de snelle ontwikkelingen op het gebied van cybersecurity wordt de handreiking opgezet als een digitaal groeiboek. Tevens biedt dit de mogelijkheid om in aanvullingen op het groeiboek nadrukkelijker in te gaan op specifieke projectfases en aspecten.

Leeswijzer