-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

@ntisec,

Hierbij onze reactie op je uitgebreide post op pastebin.com/Fv4eazzF

De problematiek die je aansnijdt is maatschappelijk zeer relevant en
bevindt zich op het snijvlak waar cyber security en fysieke veiligheid
elkaar raken.

Gisteren hebben we al kunnen vaststellen dat onze doelen deels overlappen.
Dat zit voor jou in je eigen veiligheid en welbehagen, voor ons in de
veiligheid van Nederland, en in het directe verlengde daarvan natuurlijk de
veiligheid van de burgers: dat zijn we allemaal.

Je wilt aan de kaak stellen dat mogelijk kritieke en kwetsbare systemen
vindbaar zijn op internet. Het naar buiten willen brengen van een misstand
is heel begrijpelijk en wij zijn daar in principe voor. Sterker nog, wij
zijn van mening dit de beveiliging van de betreffende systemen ten goede
kan komen, mits die misstanden op een verantwoorde wijze worden onthuld.

Wat ons betreft is het verantwoord om de misstand in concept aan te tonen
en de verantwoordelijke organisatie te informeren voordat je details
publiceert. Daarbij hoort volgens ons ook dat je de desbetreffende
organisatie een realistische termijn geeft om maatregelen te (laten) nemen,
voordat je tot publicatie overgaat. Vroegtijdige publicatie zou immers
zelfs tot een verhoogd risico kunnen leiden. Anderen (kwaadwillenden) die
er eerder nog geen kennis van hadden, zouden misbruik van kwetsbaarheden
kunnen maken. Dan help je indirect de verkeerde partij.

Nogmaals: ons doel overlapt.

Wij willen graag samenwerken om dat doel te bereiken. Als je de informatie
met ons deelt die je al hebt gevonden hebt en die je eventueel nog gaat
vinden, dan kunnen wij onze contacten gebruiken om ervoor te zorgen dat die
informatie terecht komt op de juiste plek. Zo kunnen wij de juiste
organisaties en personen informeren die daar over gaan. Wij zullen daarbij
naar jou toe transparant zijn over de status van elke melding. De credits
voor het melden van mogelijke kwetsbaarheden behoren de melder (jou) toe.
Wij willen geen credits van kwetsbaarheden die we niet zelf hebben gevonden
hebben.

Hoe kritisch een systeem is, of het wel of niet via internet toegankelijk
zou moeten zijn en wat dat betekent voor de beveiliging ervan, kan per
systeem verschillen. Wij vinden het belangrijk om zorgvuldig te werk te
gaan en organisaties te helpen om passende maatregelen te nemen.

Je hebt gelijk als je zegt dat er veel te vinden is en niemand het
overzicht heeft. Dat overzicht is als een puzzel met een nog onbekend
aantal stukjes. Dit is een probleem dat veel partijen, zowel binnen
overheid als bedrijfsleven, zich realiseren. Alleen door goede samenwerking
is die plaat compleet te krijgen en wij kunnen jouw hulp daarbij gebruiken.

Ga je de samenwerking met ons aan? Over de exacte invulling van de
samenwerking kunnen we natuurlijk nog verder praten. We zijn altijd op zoek
naar mensen met kennis, inzicht en goede intentie.

Groet,
Nationaal Cyber Security Centrum.

-----BEGIN PGP SIGNATURE-----
Version: PGP Desktop 10.1.1 (Build 10)
Charset: utf-8

wlcDBQFPCFCrQ+C/3OQykckRCLeVAP9wnaYMHadBoOisEmW4wRUkiACzY3jvOqMA
iqNLqGbBogD7B2a+bCHt7mwgdc1ZzdzRGUUUJe+TxAVc0hs2e/tLM4E=
=8ILp
-----END PGP SIGNATURE-----