'We moeten durven te melden als er iets gigantisch misgaat'

Het BAPI-kanaal
is inbraakproof
NOAB
Activa 8
De hack van DigiNotar heeft de kwetsbaarheid van overheidssites opnieuw blootgelegd. Ook de
Belastingdienst was doelwit van de aanval. De beveiliging van het BAPI-systeem doorstond de
dreiging. “Zelfs bij een lek met het certificaat komt een hacker het systeem niet op”, blikt Hans
Blokpoel, algemeen directeur Belastingdienstregio’s en voorzitter crisisteam van de Belastingdienst
terug. De reconstructie van een crisis.
Door: Hans Pieters
Vrijdag 2 september 2011 bleken de veiligheidscertificaten
van DigiNotar onbetrouwbaar te zijn. Een hack werd
het bedrijf fataal. Een groot aantal bedrijven en overheden,
waaronder de Belastingdienst en DigiD, gebruikte
de certificaten van DigiNotar voor de beveiligde uitwisseling
van gegevens. Als gevolg van de hack, waarbij
vervalste certificaten in omloop waren gebracht, was de
zekerheid of informatie wel met de juiste partij werd uitgewisseld
niet langer gegarandeerd.
‘Er was geen acuut
materieel risico’
“Bij DigiNotar gebeurde
iets waardoor gerede
twijfel ontstond over de
betrouwbaarheid van één
leverancier van certificaten”,
vertelt Blokpoel. “Vanuit mijn rol als bestuurder
binnen de Belastingdienst en als crisismanager voor het
gehele ministerie van Financiën stel ik mij op dat moment
de vraag ‘wat heeft dat voor gevolgen voor ons?’.”
Vanaf het eerste moment was duidelijk dat in de uitwisseling
van fiscale gegevens in Nederland binnen het zogenoemde
BAPI-netwerk, een bepaald type certificaten
van DigiNotar grootschalig werden gebruikt. In dat netwerk
leveren fiscale intermediairs en het bedrijfsleven
fiscale gegevens aan de Belastingdienst aan. Hij vervolgt:
“De eerste opdracht was relatief simpel. Regel gelijk dat
het certificaat van de websites van de Belastingdienst
worden vervangen. Dat is een kleine inspanning waar
de burger weinig van merkt. De Belastingdienst heeft via
een aantal kanalen contact met burgers en bedrijven. De
directe een-op-eenrelatie en daarnaast die via massale,
elektronische gegevensuitwisseling, zoals in de loonheffingsketen.
Wij noemen dat ‘machine-machinenetwerken’.
De Belastingdienst stuurt die gegevens, al dan niet geanonimiseerd,
na herbewerking door naar andere overheidsinstanties,
bijvoorbeeld het CBS en UWV. We zijn
zo een voordeur van een meer samenwerkende overheid.
Om hier alle certificaten te vervangen moest niet
alleen bij de Belastingdienst werk worden verricht, maar
ook bij honderden leveranciers van softwarepakketten
en bij tienduizenden bedrijven.”
Vertrouwen
“Het beveiligingslek is niet louter van technische aard,
maar ook een kwestie van beeldvorming en vertrouwen”,
vervolgt Blokpoel. “Het gaat om gevoelige gegevens.
DigiNotar is een particulier bedrijf dat z’n beveiliging
niet op orde heeft en omvalt. De koppen in de
media luiden echter ‘het is een probleem van de (falende)
overheid’.” Het was geen overheidsprobleem, wil
hij graag kwijt: “In de hele problematiek wordt met de
maatschappij geïnteracteerd. Ik voel me verantwoordelijk
voor het fiscale netwerk, maar 98% van de actoren
bestaat uit particuliere bedrijven. Uiteindelijk neem je
als overheid wel je verantwoordelijkheid. Wij hebben de