Digital Identity Compass - November 2022

Third-Party Access

98% bedrijven heeft problemen gehad door aanval in digitale supply chain
AG Connect, 10 november 2022 

Uit onderzoek van BlueVoyant onder 2100 internationale CIO’s, CISO’s en CTO’s blijkt dat van de 300 Nederlandse respondenten 96% de afgelopen 12 maken te maken kreeg met een aanval als gevolg van een beveiligingslek in de supply chain. Maar liefst 57% van hen kreeg met twee tot vijf aanvallen te maken. Opvallend is dat 43% van de Nederlandse respondenten cyberrisico’s van derde partijen (nog) niet op hun radar heeft staan. Bij slechts 30% is het een prioriteit. Dit is het laagste percentage van alle ondervraagde landen. 

Gemeente Hof van Twente wil schade aanval verhalen op ICT-leverancier 
AG Connect, 30 november 2022 

Gemeente Hof van Twente is van mening dat IT-bedrijf Switch IT Solutions een wanprestatie heeft geleverd en heeft een rechtzaak aangesponnen met als doel de schade van de hack in december 2020 te verhalen op de leverancier. Switch IT Solutions stelt daarentegen dat Hof van Twente fouten heeft gemaakt. De rechter heeft beide partijen gevraagd of zij tot een schikking kunnen komen. Als dat niet lukt, wordt de zaak op 27 december verder behandeld  

Digital Identity

E-wallet en meer: Van Huffelen presenteert plannen 
Computable, 4 november 2022 

In de werkagenda Digitalisering presenteert staatssecretaris Van Huffelen haar plannen voor een digitale samenleving. Onder dit plan valt ook de ontwikkeling van een experimentele, decentrale open source e-wallet, waar momenteel aan gebouwd wordt door ICTU. De wallet moet het mogelijk maken om een digitale versie van je rijbewijs, diploma of verzekeringsgegevens op te slaan. De planning is dat de e-wallet in januari al gereed is voor gebruik. Daarmee loopt Van Huffelen dus voor op de plannen van de Europese Unie.  

Europese eID nog omgeven met risico’s: hou het simpel
iBestuur, 15 november 2022 

Jaap-Henk Hoepman, hoogleraar privacy, heeft op het iBestuur congres zijn zorgen geuit dat de geplande infrastructuur het Europese eID-stelsel onnodig complex maakt. Daarnaast waarschuwde hij ook voor ‘onderspecificatie’ en ‘over-identificatie’. Aanbieders zouden bijvoorbeeld meer persoonsgegevens dan nodig kunnen opvragen en deze mogelijk voor heel andere doeleinden inzetten. Daarnaast is er volgens Hoepman nog veel onduidelijk over de technische specificaties: moeten attributen bijvoorbeeld lokaal opgeslagen worden of in de cloud? Volgens Hoepman houdt de Europese Commissie nog onvoldoende rekening met de afhankelijkheid van big tech zoals Apple en Google. 

Op het iBestuur congres stonden meer sessies in het teken van de digitale identiteit. Deze zijn terug te lezen op de site van iBestuur: 

• Lorena Boix Alonso, directeur Digitale Samenleving, schetste de eID ambities van Europa.  
• Michiel van der Veen, directeur Innovatie en Ontwikkeling bij de Rijksdienst voor Identiteitsgegevens, stelde dat de herziening van de eIDAS een grote impact heeft op uitvoeringsorganisaties. 
• Wouter Welling, coördinator Digitale Identiteitsbeleid bij het ministerie van BZK, stelde dat Nederland de standaard in Europa kan zetten. 
• Een consortium van SAP, ICTU en DEI lichtten hun Proof of Concept met Self Sovereign Identity toe. 

• Hiten Khambhadia van Tata Consultancy Services deelde lessen die de overheid van het bedrijfsleven kan leren.  

Niet langer één vast nummer voor Europese identificatie 
Binnenlands Bestuur, 28 november 2022 

Het is de doelstelling dat de Europese Commissie de eerste versie van de technische specificaties en standaarden voor een eID eind 2022 publiceert. Staatssecretaris Van Huffelen meldt aan de Tweede Kamer dat er niet langer wordt vastgehouden aan ‘één uniek en persistent nummer’. Daarnaast zijn er inmiddels ook vier consortia die ‘large scale pilots’ willen gaan uitvoeren: 

• DC4EU: Gericht op hybride use cases (identiteit, handtekeningen, diploma’s en sociale zekerheid). 
• Nobid: Een consortium van Nordic en Baltische landen, gericht op grensoverschrijdende betalingen. 

• Potential: Een consortium van 19 EU landen. 
• EUDI Wallet Consortium (EWC): Gericht op veilige e-commerce (reizen, betalingen en organisatorische digitale identiteit).   

RDW en BZK onderzoeken binnen het consortium Potential via een proof of concept hoe een digitaal rijbewijs in de toekomst onderdeel kan zijn van de ID-wallet. Daarnaast werken EZK, KVK en BZK in ditzelfde consortium aan het laden van bedrijfsgegevens in id-wallets en aan een een elektronische handtekening in id-wallets.  

Nederland gaat meedoen aan Europese pilot voor digitaal reisdocument 
Tweakers, 29 november 2022 

Nederland gaat begin 2023 meedoen met een pilot van drie maanden, waarbij 1000 tot 5000 Nederlanders naar Canada kunnen reizen met een Digital Travel Credential (DTC). Met een speciaal ontwikkelde app kunnen reizigers de chip uit hun fysieke paspoort uitlezen. Vervolgens wordt een selfie gemaakt die wordt vergeleken met de foto die is opgeslagen in de chip. Overigens stond een soortgelijke pilot van het World Economic Forum al gepland voor 2020. Deze is toen niet doorgegaan door de coronapandemie. 

Nederlandse Overheid

Agentschap Telecom wordt Rijksinspectie Digitale Infrastructuur
iBestuur, 3 november 2022 

Vanaf 1 januari 2023 gaat het Agentschap Telecom verder als de Rijksinspectie Digitale Infrastructuur. Volgens de organisatie dekt ‘Telecom’ de lading niet meer en past de naam ‘Rijksinspectie’ beter omdat de toezichtstaken steeds intensiever worden. Ondanks dat de taken van de organisatie hetzelfde blijven, krijgt de organisatie wel een hernieuwde focus doordat er meer geïnvesteerd wordt in de digitale veiligheid.   

Werkagenda Waardengedreven Digitaliseren 
Rijksoverheid, 4 november 2022 

Staatssecretaris Van Huffelen van BzK heeft de Werkagenda Waardengedreven Digitaliseren naar de Tweede Kamer gestuurd. De Werkagenda heeft vijf ambities die uiteengezet worden in verschillende doelstellingen en concrete acties: 

• Vergroten van digivaardigheden en kennis. 

• Toegankelijke, hoogwaardige en proactieve dienstverlening. 
• Impact online desinformatie verminderen. 
• (EU) regelgeving en implementatie in samenhang ondersteunen. 

• Publieke waarden borgen. 
• Borgen privacy, verantwoord datagebruik en vergroten transparantie gegevensverwerking en -uitwisseling. 
• Anticiperen op nieuwe digitale technologie. 
• Versterken cybersecurity. 

• Regie op eigen gegevens. 
• Hoogwaardig identiteitsstelsel, waaronder inlogmiddelen en een wallet. 
• Algoritmes reguleren. 

• Verbeteren informatiehuishouding voor openbaarheid van bestuur. 
• Verbeteren gegevenshuishouding voor burgers en organisaties. 
• Versterken ICT-organisatie en -systemen van het Rijk. 

• Versterken van de digitale samenleving in het Caraïbisch deel van het Koninkrijk. 

Digital Trust Center waarschuwde al 4.254 niet-vitale bedrijven voor kwetsbaarheden 
AG Connect, 15 november 2022 

In 2022 waarschuwde het DTC al 4.254 bedrijven voor 43 kwetsbaarheden in systemen. Dit is een grote stijging ten opzichte van 2021: toen werden er ‘slechts’ 361 notificaties verstuurd over 15 kwetsbaarheden. De stijging kan veroorzaakt worden doordat het DTC sinds 2021 concrete dreigingsinformatie van het NCSC ontvangt. 

Zet digitale continuïteit op de directie-agenda 
Digitale Overheid, 11 november 2022 

Het Agentschap Telecom heeft de handreiking ‘Digitale Continuïteit en Weerbaarheid op de bestuurstafel’ gepubliceerd. De handreiking moet lijnmanagers en CISO’s van organisaties organisatorisch voorbereiden op verstoring en uitval van telecom en IT. De handreiking adviseert hoe om te gaan met drempels in de organisatie en adviseert drie uitgangspunten aan te houden: 

• Creëer wederzijds begrip en inzicht. 

• Kies de juiste taal en boodschap. 
• Beleg verantwoordelijkheden en maak procesafspraken. 

Nieuwe Europese cyberbeveiligingswetgeving 
Digitale Overheid, 14 november 2022 

Het Europees Parlement heeft ingestemd met de herziening van de richtlijn inzake netwerk- en informatiebeveiliging (NIS2). De NIS2 heeft als doel om een gemeenschappelijke cyberbeveiligingsaanpak tussen lidstaten en essentiële bedrijven te bevorderen en stelt regels op het gebied van incidentenbehandeling, beveiliging van de toeleveringsketen, encryptie en openbaarmaking van kwetsbaarheden. Het is nu zaak dat ook de Raad de wet formeel goedkeurt. Na goedkeuring van de Raad hebben de lidstaten nog 21 maanden de tijd om de richtlijn om te zetten in nationale wetgeving. 

Kabinet presenteert strategie digitale economie 
Digitale Overheid, 23 november 2022 

Minister Adriaansens van EZK heeft de strategie Digitale Economie gepubliceerd die gebaseerd is op vijf pijlers: 

• Versnellen digitalisering mkb. 
• Stimuleren digitale innovatie en vaardigheden. 
• Creëren van de juiste randvoorwaarden voor goedwerkende digitale markten en diensten. 

• Behouden en versterken van een veilige, betrouwbare en hoogwaardige digitale infrastructuur. 
• Versterken cybersecurity. 

AIVD en MIVD zien cyberspionage toenemen 
Computable, 29 november 2022 

In het Dreigingsbeeld Statelijke Actoren 2 stellen de AIVD en de MIVD dat zij cyberspionage (van statelijke actoren) zien toenemen. China vormt daarbij de grootste dreiging, maar ook Russische inlichtingendiensten zijn actief op zoek naar Nederlandse (sleutel)technologieën.   

Overig

130 Dropbox-repositories gestolen bij phishing-aanval
AG Connect, 2 november 2022 

Door een phishing aanval zijn 130 repositories van Dropbox gestolen. De aanvallers deden zich in e-mails voor als CircleCI, een continuous integration en deliveryplatform. De werknemers werden in die e-mail omgeleid naar een valse webpagina, waar ze gevraagd werden om hun GitHub-gebruikersnaam en wachtwoord in te vullen en een hardware-verificatiesleutel te gebruiken voor een One Time Password (OTP). Ondanks dat er geen code is gestolen, zaten er wel onder meer API-sleutels van Dropbox-ontwikkelaars in de repositories. Om aanvallen in de toekomst te voorkomen, gaat Dropbox verder inzetten op WebAuthn en hardware-tokens of biometrische factoren. 

Europese clouds klagen over Microsoft bij EC 
AG Connect, 10 november 2022 

Handelsgroep Cloud Infrastructure Service Providers in Europe (CISPE) heeft een klacht ingediend bij de Europese Commissie over het machtsmisbruik en concurrentievervalsing van Microsoft op het gebied van de cloud. Doordat Microsoft meer rekent namelijk voor het draaien van zijn software in clouds van andere aanbieders, wordt Azure volgens de Europese cloud providers financieel voorgetrokken.  

AP: Cloudbeleid kabinet niet privacyproof 
Computable, 14 november 2022 

Volgens de Autoriteit Persoonsgegevens is in het nieuwe cloudbeleid van het kabinet onvoldoende vastgelegd dat data van Nederlandse burgers moet voldoen aan de privacyregels. Volgens de AP moet de overheid – als persoonsgegevens buiten de EU worden opgeslagen – nagaan of de bescherming van persoonsgegevens ten minste op hetzelfde niveau ligt als in de EU. In landen waar privacyregels minder geborgd zijn, zoals de VS, moet de overheid van tevoren goed in kaart brengen wat de risico’s zijn. Tenslotte waarschuwt de AP ook dat het huidige beleid te vrijblijvend. Zelfstandige bestuursorganen zijn bijvoorbeeld niet verplicht het beleid te volgen, maar deze hebben wel veel gevoelige persoonsgegevens in hun systemen staan. 

NCSC: Kleine kans dat VS Cloud Act inzet bij EU-klant
Computable, 25 november 2022 

Naar aanleiding van aanvullend onderzoek door Greenberg Traurig, een Amerikaans advocatenkantoor, concludeert NCSC dat Europese klanten van Amerikaanse cloud-aanbieders zich geen zorgen hoeven te maken dat Amerikaanse overheden hun gegevens opvragen op basis van de Cloud Act. De kans is in de praktijk namelijk heel klein. Voor Europese organisaties die twijfelen, hebben de onderzoekers wel enkele tips, zoals versleutelde of gepseudonomiseerde gegevens en beveiligde overdracht naar de cloud aanbieder.   

DNB ziet cyberdreiging toenemen terwijl basismaatregelen niet altijd op orde zijn
DNB, 30 november 2022 

Op basis van onderzoeken bij instellingen en de jaarlijkse uitvraag gericht op informatiebeveiliging concludeert DNB dat cyberdreigingen toenemen terwijl basismaatregelen niet altijd op orde zijn. Basismaatregelen die aandacht vragen zijn: 

• Actieve monitoring op cyberrisico’s binnen de IT-omgeving; 
• Noodzakelijk onderhoud op beveiliging van IT-systemen; waarin de aanbestedingsketen betrokken wordt; 
• Testen van- en oefenen met een cyberaanval. 

Plan van Aanpak Informatiebeveiliging 2.0 
iBestuur en Ministerie van JenV, november 2022 

 Het ministerie van JenV heeft een nieuwe visie en strategie, gericht op operationele veiligheid, ontwikkeld. In dit e-zine staan verschillende artikelen over weerbare medewerkers, governance, risk & compliance en hoe de versterking van het SOC de digitale weerbaarheid verhoogt.  

Podcast tip van de maand

Uitgelichte webinars

• 15 december: Online EDI Heartbeat 
• On demand: Diverse webinars over het thema Weerbare digitale overheid die terug te kijken zijn.