Nood aan meer aandacht voor informatie- en cyberveiligheid

Vlaams volksvertegenwoordiger Stijn De Roo vroeg tijdens de plenaire vergadering van 7 juni 2023 meer aandacht voor informatie- en cyberveiligheid na een nieuw datalek bij een aantal grote bedrijven en kennisinstellingen. Het volledige fragment kan je hier (her)bekijken.

Hackers slaagden erin om een half miljoen Belgische bedrijfsmailadressen en de bijhorende wachtwoorden te bemachtigen. Ze haalden de data van RaidForums, een platform waar gestolen gegevens worden verhandeld. Vorig jaar haalden de FBI en Europol het platform nochtans offline, maar toch kon dit niet verhinderen dat de gegevens recent werden ontvreemd.

Volgens de pers staan op de lijst onder meer e-mailadressen van medewerkers van verschillende bedrijven en instellingen, waaronder de UGent, KU Leuven en de VRT. 

De kans is groot dat het gaat over oudere wachtwoorden van de bedrijfsaccounts. Verschillende bedrijven hebben intussen hun beleid rond cybersecurity aangescherpt en maken bijvoorbeeld gebruik van een tweestapsverificatie. Toch houdt het lek nog steeds risico's in, bijvoorbeeld wanneer dezelfde wachtwoorden gebruikt worden bij het inloggen voor privéaangelegenheden. 

In de meest recente cybersecurity-barometer bleek dat 57,1% van de Vlaamse bedrijven het gebrek aan bewustzijn over problematiek cybersecurity bij werknemers als een obstakel ondervond voor de invoer en het gebruik van cyberveiligheidsmaatregelen. Het verhogen van digitale competenties vormt dus een noodzakelijke schakel in het digitale veiligheidsbeleid van bedrijven en bij uitbreiding van de overheid.

Vlaams volksvertegenwoordiger Stijn De Roo vroeg aan de minister-president hoe hij de informatieveiligheid van onze kennisinstellingen, openbare omroep en overheid wil garanderen?

De minister-president antwoordde:

"In de analoge wereld zetten we heel veel in op veiligheid. In de digitale wereld moeten we dat zo mogelijk nog meer doen. Voor de Vlaamse overheid pakken we dat aan met een breed spectrum aan acties, sommige veeleer beleidsmatig, andere puur technisch, organisatorisch of communicatief. Wat de informatieveiligheid van de overheid betreft, worden de risico’s en de bedreigingen continu geëvalueerd. Die evolueren ook continu, dus moeten we continu evalueren. We hebben de werkgroep informatieveiligheid in het Stuurorgaan Vlaams Informatie- en ICT-beleid. Als de werkgroep adviezen formuleert, gaan die naar het stuurorgaan en bekijkt dat orgaan binnen zijn bevoegdheden welke aanpassingen er nodig zijn aan het informatieveiligheidsbeleid binnen de Vlaamse overheid. Daarbij worden de leidend ambtenaren voortdurend geïnformeerd over geïdentificeerde risico’s en te nemen technische en organisatorische maatregelen. Sinds oktober 2021, dus nu bijna twee jaar geleden, is ook een programma opgestart rond het voeren van een gezamenlijk informatieveiligheidsbeleid voor de gehele Vlaamse administratie. Die strategie is goedgekeurd door de Vlaamse Regering op 15 oktober 2021. Digitaal Vlaanderen treedt op als de regieorganisatie, die een sturend karakter biedt aan deze initiatieven. In die rol heeft Digitaal Vlaanderen beleidsafspraken gemaakt over de authenticatiestrategie, en dan spreken we niet alleen over duale authenticatie, maar ook over multifactorauthenticatie.

Men heeft reeds twee relevante adviezen geformuleerd. Een eerste advies gaat over software of andere dienstverleningen door medewerkers van de overheid buiten contractuele kaders. Het gaat dus om e-mails die gelinkt zijn aan een bedrijf of een instelling en hoe ze kunnen worden gebruikt buiten de contractuele kaders. Men moet daar bijzonder voorzichtig mee optreden. Het wachtwoordenbeleid is een tweede advies. Het is de verantwoordelijkheid van elk departement en agentschap om die regels ook toe te passen.

De lokale besturen zijn ook op heel wat vlakken gelinkt aan de Vlaamse overheid, fysiek en digitaal. Daar hebben collega Somers en ikzelf het Cyber Response Team opgericht. Zij nemen een coördinerende en kennisdelende taak op voor de belanghebbenden, zowel naar de lokale besturen als binnen de Vlaamse overheid wat de interactie betreft. Alle administraties verbonden aan de Vlaamse overheid worden door mij actief opgeroepen om deel te nemen aan deze beleidsvormende initiatieven. De dienst- en afdelingshoofden en de lokale besturen krijgen een heleboel dingen aangereikt, maar ze moeten die wel toepassen in hun eigen organisatie. We controleren wel daarop, maar de verantwoordelijkheid ligt bij de verantwoordelijken."

Stijn beaamde dat we effectief moeten inzetten op die systemen. Die moeten tonen op welke manier de veiligheid kan worden verhoogd. "Het feit dat de departementen zelf verantwoordelijk zijn, zorgt ervoor dat zij dat op de juiste manier kunnen implementeren, passend bij hun departement. Maar het brengt ook een risico met zich mee wanneer het onvoldoende wordt opgevolgd. We moeten goed blijven evalueren en kijken of de departementen de juiste dingen doen en effectief overgaan tot implementatie", aldus Stijn.

Een ander onderdeel is dat ook personeelsleden gesensibiliseerd moeten worden. De laatste cybersecuritybarometer - die de situatie van 2022 bekijkt - geeft aan dat 57 procent van de Vlaamse bedrijven het gebrek aan bewustzijn rond cybersecurity bij werknemers als een obstakel ziet om verder te gaan in de implementatie ervan. Het verhogen van de digitale competenties is nodig in bedrijven, maar ook in een overheidscontext.

Stijn stelde daarom nog de volgende bijkomende vraag aan de minister-president: hoe u de competenties van de leden van de Vlaamse overheid verder gaat verhogen?

De minister-president antwoordde:

"Wat betreft de opvolging is het de taak van Digitaal Vlaanderen om regelmatig te solderen, om na te gaan of de regels die we opleggen ook effectief gevolgd worden. U hebt de vergelijking gemaakt met de bedrijfswereld, u hebt daar een cijfer genoemd van 57 procent. Ik beschouw de overheid als een van de bedrijven. Het is dus onze verantwoordelijkheid om binnen de Vlaamse overheid te zorgen dat er een veiligheidsbeleid is – en dat is er –, dat het opgevolgd wordt – dat gebeurt ook –, dat er ook verantwoordelijken voor aangeduid worden – en ook dat gebeurt.

Wat betreft het verhogen van de competenties, wijs ik op het permanente aanbod van Digitaal Vlaanderen aan diensthoofden en afdelingshoofden indien er een behoefte is aan bijscholing van medewerkers. De grote verantwoordelijkheid ligt bij de leidende ambtenaren."

Stijn De Roo: "We zitten in een steeds verder digitaliserende maatschappij. We moeten ervoor zorgen dat iedereen meekan, en dat dit op een veilige manier kan verlopen. We zijn een kenniseconomie, een data-economie, en dat zal alleen maar toenemen. We moeten dus blijven investeren in de cyberveiligheid van onze bedrijven en onze overheid."