De Nederlandsche Bank waarschuwt voor big tech, maar draait zelf op Microsoft
In dit artikel:
De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) gebruiken massaal Microsoft-diensten voor e-mail, documenten, samenwerking (SharePoint) en toezichtsystemen (Dynamics 365), en hebben de afgelopen jaren hun ICT-infrastructuur grotendeels naar de Microsoft-cloud verhuisd. Dat gebeurt terwijl dezelfde toezichthouders in oktober waarschuwden voor de afhankelijkheid van vooral Amerikaanse IT-leveranciers en voor een “guur geopolitiek klimaat”, omdat staten toegang tot zulke diensten als drukmiddel kunnen inzetten.
Eind vorig jaar stopte DNB bovendien met end-to-endversleuteling van e-mail (S/MIME) en adviseerde medewerkers externe contacten alleen via TLS-versleuteling te laten mailen. TLS beschermt berichten tijdens verzending, maar voorkomt niet dat de inhoud in de Microsoft-omgeving leesbaar kan zijn of door uitzonderlijke procedures vanuit de VS toegankelijk wordt gemaakt. DNB corrigeerde eerst een verkeerde bewering dat e-mail “end-to-end beveiligd” bleef en erkende later dat technische toegang in uitzonderlijke scenario’s mogelijk is.
DNB stelt dat e-mail uitsluitend voor lage-risicocommunicatie wordt gebruikt en dat vertrouwelijke informatie via speciaal ingerichte, streng beveiligde kanalen met onder toezicht staande instellingen en het Europese stelsel van centrale banken wordt uitgewisseld. Tegelijkertijd beschikt de bank over classificaties zoals “DNB-Secret” die medewerkers zouden moeten helpen bij het kiezen van het juiste communicatiemiddel — wat vragen oproept nu end-to-endversleuteling is afgeschaft. DNB zegt dat end-to-endoplossingen voor communicatie met meer dan duizend instellingen in de praktijk “niet uitvoerbaar” en te kostbaar zijn, terwijl S/MIME standaard in Outlook aanwezig is.
Als reden voor zorg noemt het artikel dat Amerikaanse wetgeving en bijv. precedenten (zoals het blokkeren van e-mailaccounts na Amerikaanse sancties) kunnen leiden tot beheer- of toegangsmogelijkheden tot data die buiten de VS staan. DNB zegt te werken aan exitstrategieën, back-ups in “meer soevereine omgevingen” en herstelcapaciteiten, maar concrete maatregelen om de afhankelijkheid van Microsoft te verminderen zijn niet duidelijk gemaakt. Daardoor blijven gevoelige gegevens van DNB, waaronder mogelijk mail van topfunctionarissen, in bepaalde scenario’s vatbaar voor Amerikaanse inzage of blokkade.