Waarom is software van bijv. Citrix en Fortinet constant ernstig lek? En waarom lukt het dit soort bedrijven maar niet om dat te stoppen?

Ik sprak erover met mede CISO en developer Hugo Leisink in CISO praat.

Luisteren kan via het niet soevereine Spotify, omdat daar nu eenmaal mijn grootste publiek zit:
https://open.spotify.com/show/0qSxCHWV66I2Fd2hJB97qT

Andere platforms kan ook, maar vergen mogelijk iets meer zoekwerk.

Ik volgde vanochtend het gesprek in de Tweede Kamer met enkele vertegenwoordigers van #Kyndryl. (Dat bedrijf neemt de Nederlandse onderneming Solvinity over, het bedrijf dat belangrijke diensten levert aan Logius/DigiD)
Ik hoorde veel gladde praatjes. Dat ze 'mitigerende maatregelen kunnen treffen' voor het risico dat Logius ervaart. Het gaat om 'vertrouwen' en 'transparantie', 'samen sterker' en 'Nederland naar een volgend niveau trekken'. Ik hoorde nog veel meer vaag en glibberig geklets. Onder andere over het feit dat Kyndryl Nederland een Nederlandse BV is en onder Nederlands recht valt. Ja, nogal wiedes. Maar de aandelen van dat bedrijf zijn in handen van de Amerikaanse moeder.
Ik stelde tijdens het gesprek in de Kamer op LinkedIn deze vraag: Kan iemand aan die heren van Kyndryl vragen of het Amerikaanse bedrijf Kyndryl 100 procent garanties kan geven tegen de Amerikaanse Cloud Act en sancties?

Bovenstaande vraag werd dus door geen van de Kamerleden gesteld. Zo ingewikkeld was die vraag niet, maar kennelijk kwam niemand erop. Het antwoord op de vraag is natuurlijk: nee. Natuurlijk kan Kyndryl die garanties niet afgeven en om die simpele reden is de overname van Solvinity zeer onwenselijk. Daar doet het betoog van hoogleraar Lokke Moerel gisteravond bij het rondetafelgesprek in de Kamer niets aan af. Moerel - die eerder door Kyndryl werd ingehuurd om een advies te geven - sprak over drie verschillende lagen van soevereiniteit. Die drie lagen bieden in feite een goed geplaveid geitenpad voor Amerikaanse ondernemingen om nog veel langer diensten aan de Nederlandse overheid te bieden. De 'drie lagen' waren vanochtend ook weer uit monden van de heren van Kyndryl te horen. Het zijn rookwolken die ons het zicht op de zaak ontnemen. Inzake Solvinity is duidelijkheid juist zeer gewenst. Hoogleraar Moerel gaf die niet, ze gaf geen oordeel over de overname van Solvinity. Haar drie-lagen-verhaal effent eerder de weg voor een overname.
Niet naar luisteren.
De overname van Solvinity is een digitale kwestie waarbij de nationale veiligheid in het geding is en dus ook binair: als Kyndryl de soevereiniteit niet 100 procent kan garanderen (en dat kan het bedrijf dus niet) mag de overname niet doorgaan.