Hacker zet polder onder water: is Delfland voldoende beveiligd tegen cybercrime?

[Guido van der Wedden]

Door de inbraak door hackers bij ict-bedrijf DigiNotar dreigde vorige week een black-out van de computers van het Rijk. Dat blijkt uit onderzoek van NRC Handelsblad. De dreiging van dit soort zogenaamde cyberaanvallen was vroeger ondenkbaar, maar wordt realiteit, ook voor Delfland. De betrouwbare werking van de controlesystemen van Delfland is cruciaal voor het uitvoeren van onze kerntaken. Het is absoluut niet ondenkbaar dat een hacker via een virus deze controlesystemen overneemt en bijvoorbeeld een polder onder water zet.

 

Niet alleen de computers van de Nederlandse overheid, ook de regelapparatuur van waterzuiveringen en het watersysteembeheer zijn namelijk kwetsbaar. In Queensland (Australië) vond al in januari 2000 een storing plaats in het controlesysteem van het rioleringssysteem van de lokale overheid van Maroochy Shire: pompen sloegen niet meer aan zodra dit nodig was, alarmeringen werden niet doorgemeld en uiteindelijk stortte het rioleringsysteem over, waardoor ongezuiverd rioolwater op het oppervlaktewater werd geloosd. Het controlesysteem, het zogenaamde SCADA-systeem, liet rioolkleppen openen op het moment dat deze juist gesloten hadden moeten worden. De oorzaak bleek een cyberaanval door een ontevreden medewerker van het bedrijf dat het SCADA-systeem had geïnstalleerd. Zie dit artikel.

 

(afbeelding crimbron.com)

 

Controlesystemen zoals SCADA-systemen worden gebruikt voor het verzamelen, doorsturen, verwerken en visualiseren van meet- en regelsignalen van verschillende machines en apparaten in grote industriële systemen. Deze systemen bestaan uit een computer met daarop SCADA-software. Een SCADA-systeem vereenvoudigt de uitwisseling van meetgegevens en maakt gegevens zichtbaar voor de operator. Daarnaast kan het SCADA-systeem meetgegevens in rapporten verwerken, een alarmering doorgeven als er iets misgaat of zelfs ingrijpen door apparaten aan te sturen.

 

Er zijn meerdere bedreigingen voor deze controlesystemen. Ten eerste is er de dreiging van ongeautoriseerde toegang tot de controle-software. Dit kan door kwaadwillende personen zijn, maar ook bedoeld of onbedoeld door virussen in de computers waarop de SCADA-software draait. Dit kan bijvoorbeeld als er een directe koppeling is tussen de kantoorautomatiseringsomgeving en het SCADA-systeem. Daarnaast is er de dreiging dat toegang tot het systeem wordt verkregen via fysieke toegang tot aan het SCADA-systeem gekoppelde apparaten.

 

Het hoogheemraadschap van Delfland gebruikt controlesystemen onder andere voor de aansturing van de verschillende procesonderdelen op de rioolwaterzuiveringsinstallaties en de rioolgemalen vanuit de Centrale Controle Kamer in Vlaardingen en voor de beheersing van het watersysteem door de aansturing van polder- en boezemgemalen en de stuwen in het buitengebied en in de Delftse binnenstad.

 

De AWP Delfland is bezorgd om de veilige werking van de IT-systemen van Delfland en heeft daarom de volgende vragen geformuleerd aan het college van Dijkgraaf en Hoogheemraden:

1. a) Maakt Delfland gebruik van SCADA-systemen of soortgelijke controlesystemen?
   b) Wie is er binnen Delfland verantwoordelijk voor de beveiliging van deze controlesystemen en onder welke hoogheemraad valt dit?

2. a) Bestaat er een directe koppeling tussen de kantoorautomatiseringsomgeving en de SCADA-systemen of soortgelijke controlesystemen en zo ja:
   b) Hoe is deze beveiligd?
   c) Zijn er medewerkers die toegang hebben tot beide omgevingen?
   d) Wordt de beveiliging van deze koppeling ook regelmatig getoetst? Is er een actief detectiesysteem dat mogelijke incidenten kan signaleren?

3. a) Worden de controlesystemen regelmatig nagelopen op beveiligingslekken?
   b) Wordt alle software up-to-date gehouden?
   c) Wordt hier regelmatig over gerapporteerd?
   d) Zijn er procedures die in werking treden wanneer een fabrikant van gebruikte apparatuur aangeeft dat er een beveiligingslek is?

4. a) Zijn er ook externe partijen met toegang tot onze controlesystemen?
   b) Zo ja: is hun IT-beveiliging goed doorgelicht en door de verantwoordelijke binnen Delfland goedgekeurd?

5. a) Is de calamiteitenorganisatie van Delfland voorbereid op een cyberaanval op de controlesystemen?
   b) Zo ja: hoe? Zo nee: vindt u net als ik dat dit wel moet gebeuren en op welke termijn?

6. Heeft Delfland een goed beeld van de kwetsbaarheid van de controlesystemen? Is er bijvoorbeeld wel eens een zogeheten 'pentest' ('penetration test') uitgevoerd, waarbij een gespecialiseerde partij poogt om het netwerk binnen te dringen?

7. a) Zijn de technische of administratieve systemen van Delfland of de Regionale Belastinggroep die namens Delfland de belastingen int voorzien van certificatie door DigiNotar? Maken deze organisaties gebruik van DigiD?
   b) Zo ja: hoe is het gesteld met de veiligheid van deze systemen? Is er bijvoorbeeld gevaar dat (belasting)gegevens van ingelanden in onbevoegde handen komen?

Na het stellen van schriftelijke vragen volgt binnen 30 dagen de beantwoording van dijkgraaf en hoogheemraden. Daarna kan het punt geagendeerd worden voor bespreking in de Verenigde Vergadering (het algemeen bestuur) van Delfland.

[Guido van der Wedden]

Zie ook het bericht "AWP twijfelt aan veiligheid" op de website van Omroep West, volgens Delfland is het "vrijwel" uitgesloten dat er iets gebeurt. Ik ben benieuwd naar de onderbouwing bij de beantwoording van mijn schriftelijke vragen.

[Guido van der Wedden]

Zie ook dit bericht op TV West vanmorgen:

[Guido van der Wedden]

En dit bericht in De Schakel Midden-Delfland.

[Guido van der Wedden]

Inmiddels zijn de zeer uitgebreide, inhoudelijke antwoorden op mijn vragen binnen. Deze geven mij het vertrouwen dat hier binnen Delfland goed over nagedacht is.

Resten mij nog de volgende aanvullende vragen, die ik morgen in de VV aan de orde zal stellen:

1. In antwoord op vraag 2a/b wordt gesteld dat procesautomatisering (PA) en kantoorautomatisering (KA) gescheiden zijn d.m.v. verschillende username/ wachtwoord-combinaties. De bedoeling van mijn vraag was echter om te informeren of deze systemen ook daadwerkelijk fysiek gescheiden zijn. Wat weerhoudt virussen er nou van om de sprong van KA naar PA te maken? Dit geldt ook voor de externe toegang door leveranciers (vraag 4).
2. Vraag 6, of er een zogenaamde penetration test is uitgevoerd (waarbij een gespecialiseerde partij poogt om het netwerk binnen te dringen) is niet beantwoord: u stelt dat de beveiliging is gecheckt. Echter dit betreft waarschijnlijk slechts een theoretische doorlichting van de systeemarchitectuur, en niet een praktische doorlichting van het systeem d.m.v. het daadwerkelijk uitvoeren van een aanval.
3. Terugval op handmatige actie door medewerkers wordt genoemd als oplossing bij storingen van systemen. Mijn zorg is echter dat ook de detectiesystemen worden aangevallen, waardoor geen storing merkbaar is en er dus geen aanleiding lijkt om medewerkers naar buiten te sturen.
4. Op internet vond ik een schematische weergave van Delflands calamiteitenorganisatie. Achter het blokje 'cybercrime' staat hier 'nog uitwerken'. Dat doet meer actie vermoeden dan het antwoord op mijn vraag 5b: "De kans is klein. We lossen dit op als het zich voordoet." Ik zou willen aandringen dat dit wel uitgewerkt wordt om de calamiteitenorganisatie voor te bereiden en niet de afwachtende houding uit het antwoord aan te nemen.

[Guido van der Wedden]

Zie ook dit bericht van Een Vandaag.

[Guido van der Wedden]

Op 15 mei 2013 lagen de IP-adressen van SCADA-systemen van ons collega-waterschap Groot-Salland op straat, zie deze link. Indien je het wachtwoord kent of kunt raden (vaak zijn ze al langere tijd hetzelfde of makkelijk te raden) kun je hiermee gemalen, stuwen, zuiveringen etc. van dit waterschap op afstand besturen. Dit toont maar weer eens aan hoe kwetsbaar ook de waterschappen zijn voor cybercrime.

[Guido van der Wedden]

Reactie van dit waterschap na melding door de AWP Groot Salland: "Dit genoemde SCADA-systeem is een systeem waarop informatie van gemeentelijke gemalen staat vermeld en alleen bedoeld is als raadpleeginformatie voor medewerkers van gemeenten. N.a.v. dit bericht is dit SCADA-systeem dezelfde dag nog van het internet gehaald en zijn de betrokken gemeentes geïnformeerd.

 

Hoewel het om een systeem gaat met alleen te raadplegen niet-vertrouwelijke informatie en daardoor geen feitelijke risico’s met zich mee brengt, is dit SCADA-systeem wel achter “een extra voordeur” geplaatst waardoor - naar verwachting – dit soort meldingen op Twitter of andere media worden voorkomen. Dit kan helaas niet voorkomen dat nog gereageerd kan worden op inmiddels achterhaalde informatie op internet."

Het viel in dit geval dus allemaal wel mee gelukkig.