Het Financieele Dagblad publiceerde onlangs een artikel hierover.

DIVD is een organisatie met circa 100 vrijwillige ethische hackers die online kwetsbaarheden bij bedrijven aan het licht brengen. Denk aan verkeerd geconfigureerde servers of netwerken die op onveilige software draaien.

Ruim 176 duizend kwetsbare IP’s aan het licht gebracht

In 2022 informeerde het DIVD 38 partijen over in totaal 176.008 kwetsbare IP-adressen. Er werd onder andere ransomware aangetroffen bij Kaseya, dat een tool aanbiedt om software op afstand te beheren. Dat leverde het DIVD een donatie van 100.000 dollar op van een Amerikaans cybersecuritybedrijf. Ook kreeg het hackerscollectief vorig jaar een eenmalige subsidie van 192.000 euro van het Digital Trust Center van het ministerie van Economische Zaken en Klimaat.

Geen overheidsorganisatie, wel mogelijke steun

Het DIVD krijgt geen structurele financiële steun. Om zijn werk te doen, is het afhankelijk van donaties en subsidies zoals hierboven. Daardoor is de continuïteit niet gegarandeerd. Minister Dilan Yeşilgöz-Zegeriu van Justitie en Veiligheid ziet geen rol voor de DIVD als overheidsorganisatie. Overheidsinstanties mogen namelijk in principe niet hacken. Ook al gebeurt dat volgens een ethische code. Het kabinet onderzoekt de komende tijd welke rol het DIVD wél kan spelen in de nationale cyberveiligheid en hoe de overheid hierin kan ondersteunen.

Het DIVD hoopt op meerjarige financiële overheidssteun, waarmee de continuïteit grotendeels gewaarborgd zou zijn. Dat geld zou onder andere gebruikt kunnen worden om de eigen computerservers te onderhouden, managers te vergoeden en vrijwilligers cursussen te laten volgen.

Gebaat bij naamsbekendheid

Het DIVD speelt min of meer dezelfde rol als het Nationaal Cyber Security Centrum (NCSC), maar dan voor middelgrote en kleinere organisaties die niet onder de vitale infrastructuur vallen. Deze organisaties krijgen geen informatie over dreigingen van het NCSC. Zij hebben dus belang bij het DIVD, maar beschikken vaak niet over de financiële middelen om te doneren. Bovendien is het DIVD nog niet zo bekend, waardoor bedrijven een waarschuwingsmail van dit instituut vaak wantrouwen.

Het DIVD zelf wil ook geen overheidsorganisatie worden, omdat het als particuliere organisatie in principe wél ‘gewoon’ mag hacken en bedrijven mag alarmeren over dreigingen. Tenminste, als de hack tot doel heeft de beveiliging van systemen te testen en verbeteren. Als overheidsorganisatie zou het DIVD dit voordeel niet hebben.

Krijg je als bedrijf dus een waarschuwingsmail van het DIVD? Dan weet je nu in ieder geval dat je die mail kunt vertrouwen én serieus moet nemen.

Bron: FD.nl