OPINIE: NCSC snapt z'n eigen rol niet

Schromelijk onderschat

Gisteren werd duidelijk dat de minister en het NCSC de kwestie schromelijk onderschatten. In het NOS-Journaal bevestigde directeur Wil van Gemert van het NCSC dat onderzoek door 'veiligheidsdiensten' duidelijkheid heeft gemaakt dat de omvang en mogelijke gevolgen toch zodanig ver rijkten, dat er bij nader inzien toch wel aanleiding is om de besmette - en dus ook vrijwel zeker bestolen - bedrijven en instanties alsnog op de hoogte te brengen van hun slachtofferstatus. Dit met de kennelijk als geruststellend bedoelde toevoeging dat de gestolen 750 gigabyte aan data geen acute bedreiging oplevert voor de nationale veiligheid of de bedrijfscontinuïteit. Op termijn misschien wel, vandaar waarschijnlijk het nu dan eindelijk geplande bericht aan de bestolenen.

Een curieus verhaal. Zowel wat betreft het nader inzien als wat betreft het stellige vertrouwen in de tijdelijke ongevaarlijkheid van de gestolen gegevens. Hoe kan het NCSC stellig weten hoeveel tijd het geboefte nodig zal hebben om de eerste bruikbare data-elementen te identificeren en relevante combinaties te maken? Dat kan ze niet, want dat is big data-analyse en daarin speelt toeval domweg een flinke rol.

Misvatting

En wat betreft dat nu dan toch wel reden hebben om de betrokken te informeren. In februari heette het nog dat het NCSC de betrokkenen niet kon informeren omdat het niet wist wie er bij de aangetroffen IP-adressen hoorde (zeker nooit van www.whois.net gehoord). En dan nu opeens met terugwerkende kracht het schaal-argument aanvoeren? Ongeloofwaardig! Niet alleen vanwege het gedraai, maar vooral vanwege de impliciete aanname dat het gevaar van een lek of een besmetting besloten ligt in de omvang van de data-diefstal of het aantal besmette systemen. Het gevaar van een cyberinbraak is enkel en alleen gerelateerd aan de rol van de gehackte servers en inhoud van de gecompromitteerde data. En die factoren zijn alleen te beoordelen door de eigenaren van de betreffende systemen en bestanden.

Daarom verdient elk lek een waarschuwing. En niet na zes maanden, maar onmiddellijk. Dat behoort geen onderwerp te zijn van deskundologische afweging, maar moet domweg een standaardroutine zijn.