Fox-IT gaat logs van GGD-systeem CoronIT continu controleren

GGD GHOR heeft op zijn website een pagina gemaakt met veelgestelde vragen en antwoorden over het datalek in twee coronasystemen dat afgelopen maandag aan het licht kwam. RTL Nieuws meldde toen dat gegevens uit CoronIT - dat gebruikt wordt bij het test- en vaccinatieproces - en HPzone - dat bij het bron- en contactonderzoek ingezet wordt - illegaal verhandeld werden.

Hulp Fox-IT

In CoronIT kon naar personen gezocht worden, waarna gegevens over diegene gedownload konden worden. GGD GHOR zegt nu dat de mogelijkheden om te zoeken naar mensen in de systemen veel beperkter wordt. De zoekfunctie wordt daarvoor aangepast. Ook worden zoekacties die gedaan worden gelogd.

Op dit moment wordt door Fox-IT forensisch onderzoek gedaan naar logging in CoronIT. Daarnaast gaat het bedrijf de loggings voor GGD GHOR controleren totdat er eind maart volautomatische en constante controle gelanceerd wordt. Aan de hand van de controle van Fox-IT hoopt GGD GHOR in de toekomst verdacht gedrag te ontdekken. "Bovendien hebben we een team dat 7 dagen per week handmatig verdachte handelingen opspoort", aldus de organisatie.

De hulp van Fox-IT valt op: het bedrijf was eerder ook al betrokken bij CoronIT. Volgens een Kamerbrief van minister Hugo de Jonge van Volksgezondheid van 4 januari deed onder meer Fox-IT in 2020 ook al onderzoek naar de veiligheid van CoronIT. Dat onderzoek vond nog voor de oplevering van het systeem plaats en richtte zich volgens De Jonge specifiek op pentesten. Met pentesten worden echter geen risico's van binnenuit gecontroleerd, zoals de huidige situatie waarbij werknemers zelf data lekken. 

HPzone voldeed vanaf begin niet

GGD GHOR heeft ook extra maatregelen genomen voor HPzone, meldt de organisatie op zijn website. In dit systeem zat een exportfunctie waarmee epidemiologen rapportages konden maken op basis van datasets. Ook konden GGD'en via de knop exports van gegevens die in hun regio getest of gevaccineerd zijn ontvangen, zodat die gebruikt kunnen worden voor het maken van rapporten voor bijvoorbeeld gemeenten. NOS meldde gisteren dat de functie ook gebruikt werd om gegevens naar andere systemen over te dragen, maar die toepassing noemt GGD GHOR zelf niet.

De belangrijkste exportmogelijkheden zijn volgens GGD GHOR nu uitgezet. "We werken ook aan het aanpassen van alle overige exportmogelijkheden. De rechten voor gebruik van de resterende, benodigde exportfunctionaliteit zijn aan minder mensen toegekend op basis van beperktere rollen."

De organisatie geeft echter ook toe dat vanaf het begin al duidelijk was dat HPzone niet voldeed aan de eisen van deze tijd. Het systeem werd volgens GGD GHOR in maart 2020 ingezet voor het testproces, omdat dit het enige systeem voorhanden was. "We hebben aanpassingen gepleegd, maar wisten ook dat een nieuw systeem nodig was." 

Nieuw systeem in aantocht

Inmiddels heeft GGD GHOR bekendgemaakt dat het zo snel mogelijk wil stoppen met het gebruik van HPzone en dat er een nieuw systeem aankomt. "Alles is erop gericht om dit systeem GGD Contact – samen met het bijbehorende BCO-portaal – in maart operationeel te hebben voor de coronabestrijding."

Voorlopig moet dus nog met het oude HPzone gewerkt worden. "GGD GHOR Nederland heeft een gespecialiseerd bureau opdracht gegeven tot het in kaart brengen en realiseren van alle noodzakelijke wijzingen om het systeem te laten voldoen aan veiligheidseisen."

GGD heeft spijt

De GGD zegt verder in een reactie dat zij, de politie en justitie niet hebben waargenomen dat de data daadwerkelijk verkocht of verhandeld is. De data zou alleen zijn aangeboden.

De organisatie stelt bovendien dat het datalek niet te maken heeft met "het falen, disfunctioneren of de eventuele onveiligheid van het systeem". "In dit geval gaat niet om systeemfouten, maar om boosaardige opzet en de drang om over de rug van anderen wat te verdienen." De berichtgeving van de afgelopen dagen door diverse media bestaat volgens de organisatie dan ook uit "verhalen vol feiten en verzinsels, onjuistheden en onvolledigheden, terechte en onterechte kritiek". 

Wel betuigt de organisatie spijt voor hoe de zaken zijn gelopen. "Omdat dit afleidt van waar we ons in het land allemaal mee bezig zouden moeten houden: ervoor zorgen dat we dat verwoestende en ontwrichtende coronavirus onder controle krijgen én houden. Daar zou alle focus en energie op gericht moeten zijn. Ook die van ons."