De Nederlandse overheid heeft onzorgvuldig en ondoordacht gehandeld bij het besluit in mei 2018 om de antivirussoftware van Kaspersky Lab voor de rijksoverheid in de ban te doen. Dat concludeert de Nederlandse security-expert Brenno de Winter op basis van eigen onderzoek, uitgevoerd op verzoek van Kaspersky.
De Winter Information Solutions noemt in het rapport het overheidsbesluit voor alle betrokken partijen schadelijk. Zo is samenwerking op het gebied van de aanpak van ransomware stil komen te liggen. Het rapport stelt dat de overheid te weinig eigen onderzoek heeft gedaan voor haar risico-inschatting. Het ontbreekt aan een eigen evaluatie en onderbouwing.
Kaspersky roept bij monde van Europees directeur Martijn van Lom de Nederlandse regering nu op de ban te herzien, aldus Automatisering Gids in een vervolgartikel. Van Lom wil graag overleg en benadrukt dat de gezamenlijke missie moet zijn het 'versterken van de digitale weerbaarheid' van de Nederlandse samenleving.
Geleid door besluit VS
Nederland zou zich te veel door de het Amerikaanse besluit uit 2017 hebben laten leiden, toen de federale overheid ook een streep zette door het gebruik van Kaspersky-security-oplossingen. De Amerikaanse en Europese situatie zijn volgens De Winter echter niet vergelijkbaar. Bovendien volgde het kabinetsbesluit pas ruim acht maanden na de beslissing van de Amerikaanse regering.
Recent besloot de Belgische overheid om juist door te blijven gaan met het gebruik van Kaspersky-oplossingen. Volgens het Belgisch centrum voor cybersecurity zou uit geen enkele objectieve of onafhankelijke studie blijken dat de software en oplossingen van Kaspersky onbetrouwbaar zouden zijn.
Vrees voor banden met Russische overheid
Halverwege mei 2018 liet Justitie-minister Ferd Grapperhaus weten dat de vrees voor banden tussen het van oorsprong Russische Kaspersky Lab en de Russische overheid aanleiding was voor het uitfaseren van het gebruik van antivirus-oplossingen van het bedrijf. Grapperhaus adviseerde destijds ook bedrijven uit vitale sectoren zoals energievoorziening en telecom om Kaspersky antivirussoftware niet langer te gebruiken.
De analyse van De Winter is mede gebaseerd op overheidsdocumenten die via Wob-verzoeken (Wet openbaarheid bestuur) van de KRO-NCRV zijn verkregen. Eerder al werd duidelijk dat Nederland geen voorbeelden kent waaruit blijkt dat de antivirussoftware van Kaspersky Lab is misbruikt door Russische inlichtingendiensten. Grapperhaus heeft dit toegegeven, maar stelde ook dat dit niet kan worden uitgesloten’.
- De door het kabinet aangevoerde eerste reden voor de ban - diepgaande computertoegang van antivirussoftware in overheidssystemen - staat niet automatisch gelijk aan toegang voor spionage en sabotage, aldus het woensdag 14 november gepubliceerde rapport. ’Verplichte controlemaatregelen bij overheden en bedrijven en de uitgebreide toetsing van de software en allerhande procedures van Kaspersky Lab maken de risico’s zeer beheersbaar.’
- De tweede reden voor de Nederlandse overheidsban is Russische wetgeving die Russische bedrijven zou verplichten om mee te werken met de overheid als inlichtingendiensten daar om vragen. In het rapport wordt echter gesteld dat Kaspersky Lab geen Russisch bedrijf is. Het heeft weliswaar het hoofdkantoor in Moskou staan, maar Kaspersky is een Britse holding. Bovendien geldt de betrokken Russische verplichting voor medewerking voor elke firma met vestigingen in dat land. Vergelijkbare verplichtingen gelden ook in landen als Chna, de VS en Nederland.
- De derde reden van het kabinet is het feit dat de Russische Federatie een offensief cyberprogramma heeft om spionage en sabotage te plegen. Hoewel dat klopt, betekent dit niet dat Kaspersky hier ook in gebruikt of misbruikt wordt, schrijft De Winter. ‘Uit jaarverslagen van inlichtingendiensten blijkt dat veel landen hiermee bezig zijn. Juist Kaspersky Lab laat zich kwalificeren als een effectieve stoorzender bij veel operaties door ongeacht de afkomst van de aanval en zonder schroom Russische operaties bloot te leggen. Het bedrijf hanteert een ‘malware is malware’-beleid ongeacht de afkomst.’
In het rapport wordt nog benadrukt dat Kaspersky Lab op geen enkele wijze invloed heeft uitgeoefend op vorm en inhoud. De Winter heeft van begin af aan bedongen dat Kaspersky alle medewerking verleende, zich niet met de inhoud van het rapport bemoeide en op voorhand akkoord was dat het rapport openbaar werd, ongeacht de bevindingen. Ook de eis neergelegd en gehonoreerd dat de securityleverancier geen druk uitoefent op de inhoud en observaties.
Meer inzicht en transparantie
Kaspersky Lab heeft het afgelopen jaar maatregelen getroffen om meer inzicht te geven in haar activiteiten. In Zurich staat inmiddels een Transparency Center waarbij organisaties volledige inzage krijgen in de broncodes van de software. Een externe onafhankelijke partij zal de gegevensopslag en -verwerking, de software-assemblage en de broncode monitoren.
Kaspersky Lab stelde te garanderen dat door de verhuizing naar Zwitserland alle nieuwe software geverifieerd kan worden door deze onafhankelijke organisatie. Daarmee wordt inzichtelijk dat de software en de updates die klanten ontvangen, overeenkomen met de broncode die voor audit is verstrekt. Kaspersky Benelux-directeur Jacco Enting stelde in mei: “We hopen hiermee de overheid te kunnen overtuigen op de lange termijn.”
Volgens Enting had Kaspersky voorafgaand aan het besluit geen enkele mogelijkheid gekregen om te reageren. “Wij hebben diverse keren via mail en telefonisch contact opgenomen om onze hulp aan te bieden, inzicht te bieden in onze processen en onze source code etc. en een dialoog te starten. De overheid heeft echter de boot afgehouden totdat het onderzoek was afgerond en een beslissing was genomen. Wij werden over de beslissing 3 uur voor de bekendmaking geïnformeerd.”
