Kwetsbaarheden in Citrix, wat kunt u doen?

Publicatiedatum: 20-1-2020

Op vrijdag 17 januari kwam het Nationaal Cyber Security Centre (NCSC) naar buiten met een dringend advies met betrekking tot Citrix Application Delivery Controller (ADC) en Citrix Gateway. Het advies komt erop neer om deze servers uit te schakelen, als u niet vóór donderdag 9 januari door Citrix geadviseerde mitigerende maatregelen heeft getroffen. U leest het volledige bericht - met een lijst van aanvullende mitigerende maatregelen - op de site van het NCSC.

Op de website van Northwave - een gerenommeerd bedrijf op het terrein van cyber security, waarmee SRA goede contacten onderhoudt - staat een inzichtelijk ‘threat response’-diagram, waarin u stap voor stap wordt meegenomen in het inventariseren van de risico's die u loopt. Wij adviseren u deze stappen samen met uw systeembeheerder te doorlopen. Daarnaast houdt Northwave op een speciale pagina alle ontwikkelingen bij, zodat u deze kunt volgen.

AFAS Online

Bovenstaande acties zijn met name relevant indien u zelf gebruik maakt van genoemde Citrix-oplossingen. Het is ook denkbaar dat u diensten afneemt van derden die Citrix gebruiken voor de technische inrichting. Dit is onder meer bij AFAS Online het geval. AFAS heeft actief ingespeeld op de berichtgeving en communiceert op heldere wijze via hun site (besloten deel, alleen toegankelijk voor klanten) over de genomen maatregelen. Deze maatregelen komen er met name op neer dat AFAS sinds zaterdag 18 januari IP-whitelisting toepast op het gebruik van AFAS Profit Online. Het verdient aanbeveling om de berichtgeving de komende dagen actief te volgen, indien u AFAS-klant bent.

Unit4

Ook Unit4 Online maakt gebruik van genoemde Citrix-technologie. Unit4 heeft richting SRA aangegeven bij te zijn met het treffen van maatregelen en houdt nauwlettend het gebruik van haar omgeving in de gaten. Unit4 is in afwachting van patches van Citrix. Op haar website staat een beknopte beschrijving.

Met AFAS en Unit4 noemen we twee grote partijen in de accountantsmarkt, waarvan bekend is dat ze gebruik maken van de Citrix-technologie. Daarmee is niet gezegd dat andere partijen niets met Citrix doen. Mocht u hierover twijfelen, verdient het aanbeveling om uw leverancier hierover te benaderen.

Overweeg om uw klant te informeren

Ten slotte kunt u overwegen om uw klanten actief te informeren over de door u getroffen maatregelen, dan wel ze gerust te stellen, indien u geen gebruik maakt van Citrix. In de media werden accountants al specifiek als kwetsbare doelgroep betiteld, zodat u wellicht vragen van klanten kunt verwachten.

Wilt u persoonlijk overleggen met SRA? Neem contact met ons op via 030-656 60 60, of mail ons: automatisering@sra.nl.