Nederlands Security Meldpunt: aanjager van structurele internetveiligheid

Onzichtbaar probleem

Kwetsbaarheden, misconfiguraties en misbruik: op het internet duiken voortdurend problemen op. Vaak worden ze gesignaleerd door internationale partijen die continu netwerken scannen, zoals Shadow Server of Google Safe Browsing. Maar die meldingen bereiken lang niet altijd de partijen die er iets aan kunnen doen. ‘Soms moest je daar als netwerkbeheerder expliciet om vragen,’ zegt Wido Potters, een van de initiatiefnemers van het meldpunt en betrokken via Stichting Abuse.io. ‘En veel netwerken deden dat niet; omdat ze niet wisten dat die informatie bestond, of omdat ze dachten dat er geen probleem was. Het gevolg: duizenden kwetsbaarheden die onopgemerkt bleven, en dus ook onopgelost. De meldingen kwamen namelijk wél bij het Nationaal Cyber Security Centrum (NCSC) terecht, maar werden daar alleen doorgezet naar de Rijksoverheid en vitale infrastructuur. Met de rest werd niks gedaan.’

Het Nederlands Security Meldpunt

Na jaren van overleg met het NCSC besloten Potters en andere partijen in het anti-abusenetwerk het heft in eigen handen te nemen. Met steun van het SIDN fonds richtten 6 organisaties samen het NSM op: NBIP, Stichting AbuseIO, Connect2Trust, het Dutch Institute for Vulnerability Disclosure (DIVD), AMS-IX en SURFcert. Gezamenlijk bouwden zij informatiesystemen om dreigingen op het Nederlandse internet te signaleren én te delen, zowel gevraagd als ongevraagd.

Ondersteuning van SIDN fonds

De steun van het SIDN fonds maakte cruciale technische koppelingen mogelijk. Potters: ‘We brachten bestaande systemen bij elkaar en pasten ze aan zodat alles naadloos op elkaar aansloot. Het SIDN fonds financierde ongeveer de helft, de andere helft brachten de deelnemende organisaties zelf in. In totaal verwerkte het meldpunt honderdduizenden meldingen, vooral over kwetsbaarheden en misconfiguraties, maar ook over concreet misbruik zoals phishing. Zonder SIDN fonds was het NSM er simpelweg niet geweest.’

Mieke van Heesewijk, SIDN fonds: ‘Dit project laat precies zien waar SIDN fonds voor staat: initiatieven in een vroeg stadium ondersteunen die urgente problemen agenderen en oplossingen verkennen. Het Nederlands Security Meldpunt was een katalysator voor structurele internetveiligheid. Helemaal bijzonder is dat de overheid deze verantwoordelijkheid nu zelf oppakt. Dat is de ultieme bevestiging dat onze steun in de opstartfase het verschil kan maken.’

Zó succesvol dat het mag stoppen

Het meldpunt draaide enkele jaren succesvol, maar is inmiddels opgeheven. Potters: ‘We zijn blij dat de overheid het nu op zich neemt. Dat was altijd de beste plek voor deze verantwoordelijkheid. Daarom is het meldpunt na enkele succesvolle jaren opgeheven. Juist omdat het werkte. De overheid zag dat het nodig én mogelijk was om de taken structureel op te pakken. De druk vanuit het veld heeft duidelijk geholpen om hen in beweging te krijgen.’

Samen verder

De samenwerking tussen verschillende partijen was niet altijd makkelijk, geeft Potters toe. ‘Soms wilde de een sneller dan de ander. Maar dat hoort erbij als je met veel partijen bouwt. In je eentje ga je misschien sneller, maar samen kom je verder.’ En verder kwam het. Dankzij de steun van het SIDN fonds én de inzet van de initiatiefnemers werd een tijdelijk meldpunt de katalysator voor blijvende, structurele internetveiligheid.