Nieuws
Kamervragen over de afhankelijkheid van een enkele cloudleverancier
Illustratie bij dit bericht.
Kamerleden willen opheldering over de afhankelijkheid van een enkele cloudleverancier. De vragen zijn gesteld naar aanleiding van berichtgeving van de afgelopen week.
De vragenstellers willen weten welke waarborgen er zijn en of aanvullende regels nodig zijn.
Hoe het werd ontdekt
Het kabinet heeft toegezegd de vragen binnen drie weken te beantwoorden.
Eerdere vragen over hetzelfde onderwerp leidden tot een toezegging die volgens de indieners nog niet is nagekomen.
22 reacties
Kamervragen zijn leuk, maar wat gebeurt er met het antwoord?
Dit speelt al jaren en er verandert structureel weinig.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Precies dat. Alert fatigue is een onderschat beveiligingsrisico op zichzelf.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
De gemiddelde gebruiker merkt hier niets van, tot het misgaat. Bewustwording blijft het lastigste stuk.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Hoeveel van dit soort meldingen krijgen we per week? Op een gegeven moment gaan mensen ze negeren.
Dat valt in de praktijk tegen. Het hangt sterk af van je configuratie. Standaard staat die optie namelijk uit.
Iedereen roept zero trust, maar in de praktijk hangt er nog een plat netwerk achter de firewall.
Dat valt in de praktijk tegen. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Dit is precies waarom segmentatie zo belangrijk is. Eén lek betekent dan niet meteen het hele netwerk.
Dat is te kort door de bocht. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Reageren kan na registratie.
Inloggen
Meer nieuws