Kleine storingen in communicatienetwerken kunnen half Nederland lam leggen, maar die kwetsbaarheid leeft niet erg. Het wachten is op een cyberaanval.

Door RONALD ROVERS

AMSTERDAM, 8 NOV. Door een kleine computerstoring moesten op maandag 30 oktober negenduizend mensen zonder koffer van Schiphol vertrekken. Een week eerder, op 24 oktober, konden bijna drie miljoen mensen niet meer mobiel bellen door softwareproblemen in het Libertel-netwerk. Op 5 april van dit jaar kwam de handel op de Londense aandelenbeurs door een computerstoring vrijwel de hele dag stil te liggen. Een scenario dat vooralsnog géén werkelijkheid is geworden: iemand kraakt het netwerk van de bloedbank en verwisselt de labels van de bloedgroepen.

Het zijn storingen in wat de 'kritische infrastructuur' wordt genoemd: informatie- en telecommunicatiesector, energiesector, financiële instellingen, transport en vitale hulpdiensten. De afgelopen decennia zijn deze sectoren steeds afhankelijker geworden van informatie- en communicatietechnologie. Netwerken zijn voortdurend uitgebreid zonder dat een systeem is ontwikkeld dat taken in het geval van calamiteiten kan opvangen. De software die diensten binnen die sectoren aanstuurt is op zijn beurt uiteindelijk afhankelijk van de elektriciteitsvoorziening. En omgekeerd, de elektriciteitsvoorziening is afhankelijk van software. Feilbare software.

Een eenvoudige storing kan verstrekkende gevolgen hebben. Op 15 juni vorig jaar werden tijdens bouwwerkzaamheden in Groningen vier glasvezelkabels van KPN doorgesneden. Van acht uur 's ochtends tot vijf uur 's middags waren in de provincie Groningen en grote delen van Friesland geen vaste en mobiele telefonie, 112-diensten, alarmeringen, fax- en dataverkeer, geld- en pindiensten en internet beschikbaar. In Groningen werd een zogenoemd single point of failure geraakt, een kwetsbaar punt dat bij storingen een groot netwerk uit kan schakelen. Het typeert de onderlinge afhankelijkheid van allerlei voorzieningen.

De overheid heeft volgens Eric Luiijf, onderzoeker information operations and assurance bij het Fysisch en Elektronisch Laboratorium van TNO in Den Haag, tot nu toe vooral gekeken naar de tastbare fysieke beveiliging, "poortjes en deurtjes", van ministeries. Het besef dat de samenleving in zijn geheel kwetsbaar is door uitval van elektriciteitsvoorziening, telecommunicatie en financiële diensten is nauwelijks aanwezig, al groeit het inmiddels wel. In de nota Digitale Delta waarvan maandag het tweede deel aan de Tweede Kamer werd overhandigd bewijst het kabinet vooral lippendienst aan de beveiliging van ICT. Veiligheid en betrouwbaarheid zijn noodzakelijk, zo wordt gemeld. Toch komen initiatieven op dit gebied komen traag op gang.

Eén van de problemen is het gebrek aan coördinatie. Ministeries willen de elektronische dienstverlening uitbreiden maar de beveiliging van die voorzieningen wordt aan de afzonderlijke ministeries overgelaten. Het frustreert de voortgang, zegt Wibo Koole, campagneleider van 'de digitale consument' van de Consumentenbond. Een ander probleem is dat onderdelen van de kritische infrastructuur in private handen zijn. OPTA, de toezichthouder in de telecomsector, zegt zich zorgen te maken over de toenemende schaarste op de netwerken van telecomaanbieders. "Met name op het vaste net van KPN wordt de schaarste steeds groter", aldus een woordvoerder. Toch kan de organisatie KPN niet dwingen meer te investeren in hun vaste netwerk.

Niet elke storing of elk virus kan worden voorkomen zegt Luiijf maar "de kwetsbaarheid van ICT-infrastructuren baart ons zorgen. Nederland zit vol met single points of failure." De druk om hier veranderingen in te brengen neemt snel toe. Nederland is een belangrijk knooppunt in Europa voor glasvezelverbindingen met Engeland en de Verenigde Staten. Als hierin storingen optreden moet het verkeer worden omgeleid. Het is maar de vraag of dit kan zonder dat andere netwerken in gevaar komen.

Op 4 mei van dit jaar werden particulieren en bedrijfsleven wereldwijd getroffen door het I-love-you virus. Volgens VNO-NCW kostte het virus Nederland zo'n vijftig miljoen gulden. Naar later bleek was het een eenvoudig virus, in elkaar geknutseld door een 24-jarige Filippijnse informaticastudent. In Nederland bestaat geen centraal meldpunt voor zulke grootschalige virusincidenten. Eric Luiijf pleit daarom voor een 24-uurs alarm- en coördinatiecentrum en een nationaal intranet- noodnet. Als er tijdig kan worden gewaarschuwd kan de voortgang van een virus worden geremd of kan in geval van storingen in de telecommunicatievoorzieningen op tijd worden overgeschakeld op een noodvoorziening.

Volgens Hans Leemans, directeur van de Nederlandse Vereniging van Internet Providers (NLIP) wordt een virus door de NLIP niet opgemerkt. "E-mail met dubieuze inhoud zien we niet eens omdat we de e-mail niet controleren." Binnen NLIP wordt wel nagedacht over een controlecentrum. "Een soort Raad voor de internetverkeersveiligheid", suggereert Leemans. "We kunnen de blauwdruk voor zo'n centrum van Engeland en Canada krijgen", zegt Luiijf. In samenwerking met de Engelse en Canadese centra kan Nederland sneller overzicht krijgen over een ramp en voor zover mogelijk maatregelen nemen.

De FBI waarschuwde in een recent rapport voor mogelijke cyberaanvallen vanuit het Midden-Oosten op sites van Amerikaanse bedrijven en overheden. Een paar dagen later werd het Amerikaanse bedrijf Lucent Technologies getroffen door een cyberaanval opgezet door Palestijnen.

( a d v e r t e n t i e s )