Bedreigingen cybersecurity van vitale waterwerken

De Algemene Rekenkamer constateert dat de minister van Infrastructuur en Waterstaat nog stappen moet zetten om aan de eigen doelstellingen voor cybersecurity te voldoen. Tunnels, bruggen, sluizen en waterkeringen kunnen nog beter worden beveiligd tegen cyberaanvallen. Rijkswaterstaat heeft de afgelopen jaren veel werk verzet en noodzakelijke maatregelen in kaart gebracht om waterkeringen beter te beveiligen, maar die veiligheidsmaatregelen zijn niet allemaal uitgevoerd. In het rapport Digitale dijkverzwaring: cybersecurity en vitale waterwerken wordt de huidige stand van zaken doorgenomen. 

Tekst gaat verder onder de afbeelding.

Wat is cybersecurity?

Cybersecurity omvat de maatregelen om schade door verstoring, uitval of misbruik van ICT te voorkomen, of te herstellen. Bij falen van cybersecurity is de schade, anders dan bij falende informatiebeveiliging, potentieel maatschappelijk ontwrichtend. Het gaat om meer dan gelekte persoonsgegevens of verstoorde organisatieprocessen. Bij het keren en beheren van water staat de fysieke veiligheid van Nederland op het spel: in de strijd met het water kan het gaan om leven of dood. Sommige sectoren zijn zo essentieel voor de Nederlandse samenleving dat ze door de overheid als ‘vitaal’ zijn aangemerkt. In dit onderzoek heeft de Algemene Rekenkamer gekeken naar de wijze waarop vitale waterwerken beschermd zijn tegen cyberaanvallen.

Waarom zijn waterwerken kwetsbaar?

Vitale waterwerken maken voor het aansturen van processen gebruik van automatiseringssystemen die veelal uit de jaren ’80 en ’90 stammen. Deze systemen functioneerden oorspronkelijk stand alone, maar zijn in de loop der jaren gekoppeld aan grotere computernetwerken. Zodoende is de kwetsbaarheid van de systemen voor cyberdreigingen toegenomen. Risico’s wegnemen door de systemen te moderniseren is volgens Rijkswaterstaat technisch uitdagend en kostbaar. De organisatie richt zich daarom met name op detectie van aanvallen en het onschadelijk maken ervan. Ook op die gebieden moeten echter nog stappen gezet worden om aan de eigen doelstellingen voor cybersecurity te voldoen.

Aanbevelingen cybersecurity

Het rapport van de Algemene Rekenkamer bevat ook een aantal aanbevelingen. We lichten er een aantal uit:

• Voer een onderzoek uit naar het actuele feitelijke cybersecurity-dreigingsniveau voor de vitale waterwerken.
• Voltooi de maatregelen die directe detectie van cyberaanvallen mogelijk maken.
• Heroverweeg het niveau van screening voor Security Operations Center-medewerkers en de rubricering van gevoelige overzichtsdocumentatie van het SOC.
• Instrueer Rijkswaterstaat een proces te ontwerpen en te implementeren om de informatie op de crisiskaarten en netwerkoverzichten actueel te houden.
• Instrueer Rijkswaterstaat een specifiek crisisscenario voor cybersecurityin het crisismodel op te nemen en maak daarbij cascade-effecten inzichtelijk.
• Maak expliciet welke risico’s het doen van volwaardige pentesten op de industriële automatiseringssystemen van de vitale waterwerken in de weg staan.
• Maak van pentesten een integraal onderdeel van de cybersecuritymaatregelen bij vitale waterwerken.

Meer lezen over dit onderwerp?

Misschien vind je deze artikelen ook interessant:

Cybersecurity in 2020: aandachtspunten voor bedrijven
“95 procent van alle datalekken is te voorkomen”
De privacygevaren van het Internet of Things (IoT)
Hoe veilig is het om je data op te slaan in de cloud?