Opstelten waarschuwt Kamer voor ICT-risico’s

Oude software en ict-apparatuur die niet meer worden ondersteund, vormen een steeds groter beveiligingsrisico doordat steeds meer apparaten en software aan internet worden gekoppeld. Consumenten zijn zich nauwelijks bewust van de beveiligingsrisico's, daardoor kunnen problemen ontstaan die leiden tot grote economische schade, gebruikers in gevaar brengen of in uiterste gevallen de maatschappij ontwrichten. Dat stellen verschillende organisaties in het rapport 'Cybersecuritybeeld' dat door minister Opstelten van Veiligheid en Justitie naar de Tweede Kamer is gestuurd.

Het Nationaal Cyber Security Centrum (NCSC) schrijft daarin dat de ontwikkeling van ‘het internet der dingen’, waarbij steeds meer apparatuur, inclusief medische apparatuur, maar ook voertuigen, televisies en huishoudelijke apparaten verbonden zijn aan internet, een potentieel beveiligingsrisico vormt. ‘De software in deze apparatuur zal altijd beveiligingslekken bevatten. Veel apparatuur kan niet eenvoudig geüpdatet worden en ook zal niet alle software voor langere tijd door de leverancier onderhouden worden. De apparatuur zal kwetsbaar worden, en gezien de grote afhankelijkheid ontstaat een potentieel probleem met het waarborgen van de maatschappelijke veiligheid.’

NCSC schrijft: Door de steeds verdergaande koppeling met internet kunnen kwetsbaarheden op afstand misbruikt worden, waardoor de werking van producten verstoord kan worden. Dit kan leiden tot ernstige economische problemen en kan mogelijk zelfs gebruikers fysiek in gevaar brengen.’ Het stelt bovendien dat leveranciers van hardware en consumentenproducten vaak helemaal niet zijn toegerust op ondersteuning en aanpassing van hun producten, nadat deze eenmaal aan de consument zijn geleverd.

Het wijst op softwarefabrikanten die de ondersteuning en doorontwikkeling van oude software beëindigen terwijl die vaak nog in gebruik blijft. ‘Beveiligingslekken worden dan niet meer opgelost.’ Daarbij verwijst NCSC naar het staken van de ondersteuning van Windows XP door Microsoft (8 april 2014) terwijl die software nog steeds door privé-gebruikers, overheden en bedrijven in gebruik is.

Oplossing?

NSCS: ‘Op dit moment is er ook nog geen duidelijke oplossingsrichting. Er doemen een aantal vragen op waar nog geen algemene consensus over bestaat: Wat mag de redelijke verwachting van de economische levensduur van een geautomatiseerd product zijn?

Op basis van welke criteria kan gekozen worden om de softwareondersteuning van een product te beëindigen? Hoe kunnen fabrikanten, leveranciers en gebruikers worden aangespoord zich verantwoordelijk te voelen voor het onderhoud van hun producten?’, zijn vragen die in het rapport worden genoemd.

Het noemt enkele oplossingen die voor de hand lijken te liggen, zoals een onderhoudsverplichting, maar plaatst de kanttekening dat het verplichten van leveranciers tot het blijven ondersteunen van software ertoe leidt dat de kosten doorberekend worden aan consumenten. ‘Gezien de snelheid van veranderingen in de ict zou dit kunnen leiden tot kosten die niet in verhouding staan tot de baten, en een afname van het innovatieve karakter van de industrie.’

‘Self-destruct’

Een ander punt dat wordt genoemd is een houdbaarheidsdatum. ‘Bij het toevoegen van een houdbaarheidsdatum op producten stijgt het bewustzijn van consumenten, maar er is niet noodzakelijkerwijs een verband tussen bewustwording en het ernaar handelen (bij software wordt dit vaak duidelijk gecommuniceerd red.). Er bestaan bovendien grote verschillen in de periode waarin consumenten gebruik blijven maken van apparatuur, waardoor het een optie zou kunnen zijn om een ‘self-destruct’ in apparaten te bouwen.’