CBCS: Al wel ruim voor 2 september toen infiltratie werd ontdekt

Van een onzer verslaggevers
Willemstad - Al geruime tijd vóór 2 september, toen de cyberaanval op de Centrale Bank CBCS werd ontdekt, is er ‘ongeautoriseerde toegang geweest’.

Dit antwoordt Financiënminister Javier Silvania (MFK) op Statenvragen. De vragen zijn beantwoord aan de hand van informatie die hij van de CBCS heeft ontvangen, schrijf hij erbij.
Op zondagavond 5 september meldde de Centrale Bank in een persbericht dat sprake was geweest van een cyberattack. In het communiqué stond dat dit op 2 september was ontdekt aan de hand van ‘verkregen informatie’. Later onthulde het Antilliaans Dagblad dat deze informatie afkomstig was van Interpol.
,,De exacte datum van de eerste infiltratie is niet bekend”, antwoordt de bewindsman op vragen van zijn partijgenoot Amerigo Thodé van de MFK-fractie, die op 8 september schriftelijke vragen stelde. De Staten hebben op 18 oktober de antwoorden van Silvania van 15 oktober ontvangen.
,,Er loopt momenteel een diepgaand forensisch onderzoek naar de cyberattack. Dit onderzoek wordt uitgevoerd door een team, samengesteld uit experts van de CBCS, bijgestaan door lokale en buitenlandse experts. Duidelijk is in elk geval dat reeds geruime tijd voor 2 september 2021, toen de cyberattack werd ontdekt, er ongeautoriseerd toegang is geweest.”
De president van de CBCS, Richard Doornbosch, heeft toen op zondag 5 september om 20.00 uur ’s avonds minister Charles Cooper (MFK) als waarnemend minister van Financiën geïnformeerd over hetgeen was voorgevallen. Een ‘strikt vertrouwelijke briefing’ voor de regering heeft plaatsgevonden op 24 september. Over de inhoud daarvan ‘kunnen geen verdere mededelingen worden gedaan’.
Het is niet duidelijk wanneer de minister, in verband met de beantwoording van de Statenvragen, de informatie van de CBCS ontving. Maar in zijn antwoord stelt Silvania dat ‘de werkzaamheden van de CBCS de komende tijd nog hinder ondervinden omdat het operationele netwerk van de Centrale Bank tijdelijk niet online kan worden gebruikt’.
,,Het betalingssysteem van Curaçao en Sint Maarten staat los van het netwerk van de CBCS en functioneert normaal.” En, zo voegt de bewindsman op basis van verkregen input van de Centrale Bank hieraan toe: ,,De cyberaanval heeft geen gevolgen voor de stabiliteit van de waarde van de gulden.”
Ook: ,,Er is tot nog toe geen indicatie dat de cyberaanval te maken heeft met de dossiers waarmee de CBCS op dit moment bezig is”, luidt de respons op de vraag van Thodé of de aanval mogelijk iets van doen heeft met een zaak waar het Openbaar Ministerie (OM) mee bezig zou zijn.
Volgens de CBCS heeft de cyberaanval ‘tot heden geen directe consequenties gehad voor financiële instellingen’. ,,Desondanks heeft de recente aanval op de CBCS de nodige aandacht van de regering”, schrijft de minister van Financiën.
Bescherming tegen cyberaanvallen ‘staat hoog op onze beleidsagenda’, gaat Silvania verder. ,,Als zodanig zal de regering-Pisas prioriteit geven aan het tot stand brengen van de nodige wet- en regelgeving, om ons land te beschermen tegen soortgelijke aanvallen.”
Feit is dat Curaçao, anders dan bijvoorbeeld Nederland, geen specifieke wetgeving heeft, gericht op cyberaanvallen. Ook kampt de regering met een ‘wetgevingscapaciteitsprobleem’.
Vanaf het begin van de coronapandemie (medio maart 2020, red.) heeft de overheid haar ‘beperkte wetgevingscapaciteit ingezet voor het nakomen en de naleving van de voorwaarden die de Rijksministerraad (RMR) heeft gesteld om in aanmerking te komen voor liquiditeitssteun’.
Op een hele reeks vragen luidt het antwoordt dat de CBCS ‘uit veiligheidsoverwegingen’ geen inhoudelijke mededelingen doet over hun beveiliging. Wel dat reeds geplande investeringen in het ICT-systeem nu versneld zullen worden doorgevoerd. Tegelijkertijd meldt de CBCS dat de IT-infrastructuur en de beveiliging daarvan ‘zijn ingericht conform best international practices’.
Over de ‘exacte toedracht van het incident’ worden geen mededelingen gedaan, behalve dan wat eerder aan en via de media is medegedeeld. ,,In algemene zin is de CBCS verantwoordelijk voor de beveiliging van de aan haar toevertrouwde informatie en de integriteit van haar ICT-systeem”, zo meldt Silvania.
Een cyberattack is een fenomeen dat de hele wereld raakt. ,,Wij hier op Curaçao vormen geen uitzondering hierop. Deze aanvallen vormen ongetwijfeld een groot risico voor ons land”, aldus de minister.
De Centrale Bank, als een van de belangrijkste spelers in het financieel systeem, moet de nodige investeringen blijven plegen en ook haar personeel de nodige bijscholing blijven geven, om het financieel systeem ‘weerbaarder te maken tegen soortgelijke aanvallen’.