Het ministerie van Volksgezondheid en de GGD wisten half december dat de beveiliging van de ict-systemen voor het bron- en contactonderzoek en testen niet op orde waren. Dat blijkt uit stukken die gisteravond naar de Tweede Kamer zijn verstuurd.
Een interne analyse wees op “serieuze kwetsbaarheden”. Desondanks werden risicovolle onderdelen in de systemen niet uitgeschakeld. Zelfs toen de lek aan het licht kwam sprak de GGD nog over een “vervelend incident”.
Het gaat onder meer om de export-functie, die zou zijn misbruikt om persoonsgegevens te lekken. Maar ook om de printfunctie, waarmee ook privacygevoelige data kunnen worden ingezien en die pas afgelopen zaterdag werd uitgeschakeld. Dat gebeurde nadat de NOS en Nieuwsuur vaststelden dat hij nog steeds voor alle gebruikers werkte.
Er lag op 11 december bij het ministerie en de GGD al een interne risicoanalyse, die wees op “serieuze kwetsbaarheden” in de systemen. “Moeten we gezamenlijk wat mee”, staat in de notulen van een vergadering van ambtenaren van het ministerie, het RIVM en de GGD.
Bij andere vergadering, een week later, blijft de GGD bij het standpunt dat “bestaande ict” moet blijven werken, zodat het werk kan doorgaan. De GGD was verder “benieuwd” naar het effect op “de operatie” van een nieuwe werkgroep die de beveiliging tegen het licht ging houden.
Kerstavond
Op 24 december, vlak voor Kerstavond, informeert minister De Jonge de Tweede Kamer over meerdere kwetsbaarheden in de GGD-systemen. De alinea’s staan aan het einde van een brief die verder gaat over het testen en een OMT-advies.
Om “enkele kwetsbaarheden” op te lossen, wordt volgens de minister gewerkt aan een “beter passend autorisatiebeheer”, zodat mensen niet bij informatie kunnen waar ze niet bij horen te kunnen. Wat er toen schortte aan dat autorisatiebeheer is onbekend, maar achteraf werd dus duidelijk dat te veel mensen bij te veel informatie konden.
De details van de risicoanalyse naar de GGD-systemen zijn (en blijven) geheim, in overleg met het Nationaal Cyber Security Centrum.
