Het kabinet onderzoekt of het Dutch Institute for Vulnerability Disclosure (DIVD) een structurele rol kan krijgen in de verdediging van ons land tegen hackers. Dat moet ten goede komen aan de financiering en continuïteit van de organisatie. De vrijwillige hackers zijn sceptisch over het voornemen: zij kunnen hun werk doen, omdat ze geen onderdeel uitmaken van de overheid.
Dat schrijft het Financieele Dagblad.
‘Een gat waar geen markt voor is’
Het DIVD zal bij de meesten waarschijnlijk geen belletje doen rinkelen. Het is een organisatie die bestaat uit zo’n honderd vrijwillige, ethische hackers die het internet afstruinen naar kwetsbaarheden. Denk aan servers die verkeerd zijn geconfigureerd, of bedrijfsnetwerken die op verouderde (onveilige) software draaien. Afgelopen jaar waarschuwde het hackerscollectief 176.000 bedrijven op potentiële veiligheidsrisico’s, waaronder bij de IT-dienstverlener Kaseya.
Voor hun inzet bij de supply chain attack bij Kaseya werd het DIVD beloond met een donatie van 100.000 dollar door het Amerikaanse cybersecuritybedrijf Huntress. Vorig jaar verstrekte het Digital Trust Center (DTC) een eenmalige subsidie van 192.000 euro. Goededoelenorganisaties leveren eveneens een financiële bijdrage zodat de vrijwillige hackers hun werk kunnen doen.
Chris van ’t Hof, directeur van het DIVD, is blij met de donaties, maar benadrukt dat het lastig is om geld los te peuteren. “Wij zitten in een gat waar geen markt voor is”, vertelt hij tegenover het Financieele Dagblad. Het liefst wil hij meerjarige financiële steun zodat de organisatie zijn eigen computerservers kan onderhouden of cursussen kan aanbieden aan vrijwilligers.
DIVD blij met ‘grote erkenning’
De Tweede Kamer beseft dat het DIVD belangrijk werk verricht bij het waken over de nationale veiligheid van ons land. Eind vorig jaar vroeg Lisa van Ginneken (D66) via een motie om ethische hackerscollectieven te financieren en onderdeel te laten maken van de Nationale Cybersecurity Strategie.
Minister van Justitie en Veiligheid Dilan Yeşilgöz-Zegerius erkent het belang van het DIVD bij de bescherming van bedrijven en organisaties in de vitale infrastructuur. Ze onderzoekt of het DIVD een structurele rol kan spelen op het gebied van cybersecurity, net zoals bijvoorbeeld het Nationaal Cyber Security Centrum (NCSC).
Van ’t Hof is blij met de “grote erkenning” van de Kamer en minister voor het vrijwilligerswerk dat het DIVD verricht. Hij juicht een meer formele positie in de digitale veiligheid van Nederland aan, al was het alleen maar om meer vertrouwen te krijgen van bedrijven en organisaties. “Als wij nu mensen wijzen op een lek, krijgen we vaak een reactie in de trant van: wie zijn jullie, waar bemoei je je mee? Het zou fijn zijn als iedereen weet: een mail van het DIVD, daar moeten we wat mee”, aldus Van ’t Hof.
Doorgaan als particuliere organisatie biedt allerlei voordelen
Tegelijkertijd is de directeur sceptisch over het voorstel. Van ’t Hof wil niet dat het DIVD onderdeel wordt van de overheid. Dat zorgt er namelijk voor dat de vrijwillige hackers niet vrijelijk hun werk kunnen doen. Overheidsinstanties mogen computersystemen niet zomaar binnendringen, tenzij ze aan strenge voorwaarden voldoen. Particuliere organisaties mogen dat wel, zolang ze dat doen om de beveiliging van de systemen te testen en verbeteren. “Dit voordeel zouden wij verliezen als we een overheidsdienst worden”, zegt Van ’t Hof.
Tevens mag het DIVD ook niet zomaar organisaties waarschuwen voor beveiligingsrisico’s als ze als overheidsorganisatie hun werk moeten doen. De Wet beveiliging netwerk- en informatiesystemen (Wbni) bepaalt dat organisaties als het NCSC alleen partijen die actief zijn in de vitale sector mogen alarmeren voor relevante en actuele dreigingen. Als particuliere organisatie mag het DIVD alle partijen hierover informeren.
Sinds december vorig jaar mag het NCSC bedrijven die geen onderdeel uitmaken van de kritische infrastructuur voorzien van dreigingsinformatie.
