Bruggen, sluizen, waterkeringen en tunnels zijn niet optimaal beveiligd tegen cyberaanvallen. De Algemene Rekenkamer heeft onderzocht hoe de essentiële waterwerken worden beschermd en komt tot de conclusie dat bij het keren en beheren van water de fysieke veiligheid van Nederland op het spel staat.
‘Rijkswaterstaat heeft de afgelopen jaren veel werk verzet en noodzakelijke maatregelen in kaart gebracht om waterkeringen beter te beveiligen. Maar die veiligheidsmaatregelen zijn niet allemaal uitgevoerd.’ De Algemene Rekenkamer constateert op basis van zijn onderzoek dat minister Cora van Nieuwenhuizen van Infrastructuur en Waterstaat ‘nog stappen moet zetten om aan de eigen doelstellingen voor cybersecurity te voldoen’.
Kostbaar
Vitale waterwerken functioneren op automatiseringssystemen die nog vaak stammen uit de jaren 80 en 90 van de vorige eeuw. Deze zijn in de loop der jaren gekoppeld aan computernetwerken om bijvoorbeeld bediening op afstand mogelijk te maken. Daardoor is de kwetsbaarheid voor cybercriminaliteit toegenomen. Volgens Rijkswaterstaat is het kostbaar en technisch uitdagend om klassieke automatiseringssystemen te moderniseren. Dat gebeurt daarom niet; de beheerder zet vooral in op het ontdekken van aanvallen en een adequate reactie daarop.
Uit het onderzoek blijkt dat Rijkswaterstaat de afgelopen jaren zelf van alle tunnels, bruggen, sluizen en waterkeringen heeft vastgesteld welke cyberveiligheidsmaatregelen moeten worden genomen. Ongeveer 60 procent daarvan was begin 2018 uitgevoerd, maar Rijkswaterstaat ziet volgens de Algemene Rekenkamer onvoldoende toe op de uitvoering van het resterend deel en heeft ook geen actueel overzicht van de maatregelen die nog nodig zijn.
Vitaal
De minister heeft een aantal waterwerken die Rijkswaterstaat beheert als vitaal aangewezen. Een aanval op de IT van deze waterwerken kan grote gevolgen hebben voor Nederland. Uit het onderzoek blijkt dat nog niet alle vitale waterwerken rechtstreeks zijn aangesloten op het Security Operations Center (SOC) van Rijkswaterstaat. ‘De ambitie om eind 2017 bij alle vitale waterwerken cyberaanvallen direct te kunnen detecteren was in het najaar van 2018 daarmee nog niet gerealiseerd. Hierdoor bestaat het risico dat RWS een cyberaanval niet of te laat detecteert.’
Scenario
Uit het onderzoek blijkt dat bij crises belangrijke documentatie niet altijd actueel is en dat er geen proces is ingericht om deze actueel te houden. Ook ligt er geen specifiek scenario klaar voor een crisis als gevolg van een cyberaanval.
Er worden veel te weinig zogenoemde penetratie- of ‘pentesten’ uitgevoerd. Bij zulke testen proberen ingehuurde hackers beveiligingssystemen te omzeilen of te doorbreken. Pentesten zouden integraal onderdeel uit moeten maken van de cybersecuritymaatregelen bij vitale waterwerken, vindt de Algemene Rekenkamer.
Controlekamer
Voor het onderzoek is in samenwerking met Rijkswaterstaat een kwetsbaarheidstest uitgevoerd bij een van de vitale waterwerken. Daarbij wisten de ingehuurde ethische hackers het object fysiek binnen te dringen en zich toegang tot de controlekamer te verschaffen. De aanvallers werden echter direct opgemerkt door het SOC toen ze vanaf het terrein een laptop aansloten op het IT-netwerk van Rijkswaterstaat.
Dreiging
De Algemene Rekenkamer beveelt de minister van Infrastructuur en Waterstaat ook aan om het actuele dreigingsniveau te onderzoeken en te besluiten of extra mensen en middelen nodig zijn. Op het moment van onderzoek was namelijk niet bekend hoe groot de dreiging van een cyberaanval bij waterwerken is.
