’Vitale organisaties reageren te laks op bedreiging Citrix’

Op dit moment kampen duizenden Nederlandse organisaties die gebruikmaken van Citrix met problemen als gevolg van een gat in de beveiliging van deze dienst. „Al in december was bekend dat hackers door deze kwetsbaarheid in de systemen van vitale organisaties konden komen.” Wat is Citrix precies en waar gaat het nu mis? „Het is een server die zorgt voor de verbinding tussen het netwerk van een organisatie en iemand die thuis wil werken. Het is een dienst die juist als doel heeft dat netwerk veilig te kunnen benaderen. In de software van Citrix zit alleen een kwetsbaarheid, een achterdeurtje dat openstaat waardoor kwaadwillenden naar binnen kunnen komen. Dat gat is op dit moment nog niet gedicht.” Wat voor problemen veroorzaakt dat? „Praktisch gezien kunnen mensen hierdoor niet thuis werken wanneer hun werkgever besluit Citrix tijdelijk uit te schakelen zoals wordt geadviseerd. Dat is vervelend, maar niet heel erg. Je moet alleen naar kantoor. Wel erg is dat hackers door deze kwetsbaarheid – die al sinds december bekend was – de systemen in konden van veel vitale organisaties. Denk aan zorginstellingen, gemeenten en luchthavens. Ze kunnen daar malware plaatsen of bij data als patiëntgegevens komen.” Als dit al in december bekend was, waarom is nu iedereen in rep en roer? „Veel bedrijven hebben toen besloten te wachten tot Citrix met de patch kwam die dit probleem oplost. Als er niet te veel ruchtbaarheid aan wordt gegeven, kan het wel wachten. Dat was het idee. In mijn ogen is dat onverstandig. Wanneer zo’n gat wordt gemeld, maken bad guys er meestal direct gebruik van. Zij zetten autoscanning in voor zulke kwetsbaarheden. Als iets wordt gemeld, moet je meteen je maatregelen nemen. Ik denk dat organisaties eerder Citrix hadden moeten afkoppelen.” Er speelden afgelopen weken meer cyberproblemen. Zo werd Maastricht University (MU) slachtoffer van hackers die gijzelsoftware installeerden. Houden de zaken verband? „Nee, er lijkt geen direct verband te zijn. Wat ik wel signaleer is dat veel organisaties nog steeds niet willen of kunnen investeren in cybersecurity. Ze maken de afweging van kosten versus risico en besluiten ondanks alle waarschuwingen en dikke rapporten over deze dreigingen het risico te nemen. Dat loopt nooit goed af, zie je ook bij MU. De ransomware die daar werd geïnstalleerd is bepaald niet geavanceerd en valt goed tegen te houden.” Wie draait eigenlijk op voor de kosten die zo’n beveiligingslek met zich meebrengt? „Wanneer je een cyberverzekering hebt en kan aantonen dat je alles hebt gedaan om een besmetting tegen te gaan of er niets aan kunt doen, keert die meestal een bedrag uit. Maar ook daar geldt weer dat je wel je maatregelen moet nemen en zo’n verzekering moet hebben.”