Posts tonen met het label Het Nieuwe werken. Alle posts tonen
Posts tonen met het label Het Nieuwe werken. Alle posts tonen

zaterdag 19 april 2014

Hoe trek jij beslissers over de streep?

De blog Security Anders Bekeken heb ik opgezet omdat iedereen een stukje van de waarheid in handen heeft. Het verhaal van de blinde wijzen en de olifant geeft het mooi weer. Je moet als securityprofessional de delen van het hele verhaal aan elkaar knopen. En met dat verhaal kun je dan anderen beter overtuigen.

Ik heb overigens geleerd dat overtuigen start met innemen van de basispositie. Die basispositie komt neer op het ‘inleven in de ander’. Kortom, stem je boodschap af op degene die je wilt overtuigen.

Overtuigen is trouwens maar één van de manieren om iemand iets te laten doen wat jij wilt. Je kunt ook straffen, belonen en inspireren. Nu denk ik zelf dat, bij een investeringsbeslissing voor de securityroadmap door de directie, straffen en belonen niet ‘im Frage’ zijn. Je kunt proberen ze te inspireren, maar veelal zie je bij dit soort gesprekken/vergaderingen de deelnemers dansen rond het ‘rationele’ kampvuur.

Als je het investeringsplan, op basis van je securityroadmap, mag presenteren aan de directie denk dan eens aan de volgende beschrijvingen van dezelfde vakantiebestemming.
  • Een prachtig wit strand, wit licht, blauwe lucht, groene palmbomen, mooi gekleurde schelpen, vissen die je kon zien zwemmen, veel mooie vogels die overvlogen, schitterende kleuren in de lucht en nog veel meer om te zien.
  • Ruisende wind door de palmen, een kabbelende zee en zingende vogels, allemaal rustgevende geluiden.
  • Het strand voelt lekker warm aan, de zon verwarmt je lichaam, toch niet te warm, een lekker briesje, je voelt je er prettig bij.
  • Als je aankomt op het strand neem je plaats onder de palmbomen, je gaat zwemmen, droogt weer onder de palmbomen en gaat iets drinken. Rond het middaguur ga je wat eten en daarna weer zwemmen.

Er is een duidelijk verschil in taalgebruik. Dit heeft te maken met de voorkeur van de vakantieganger. De eerste denkt in plaatjes en beschrijft alles visueel. De tweede heeft een voorkeur voor geluiden en is auditief ingesteld. De derde richt zich volledig op zijn gevoel. Iets moet goed voelen, dat heet kinestetisch. De laatste beschrijft alles in volgorde. Die vakantieganger is auditief-digitaal ingesteld. Visueel, auditief, kinestetisch en auditief-digitaal zijn termen die gebruikt worden binnen Neuro Linguistisch Programmeren (NLP).

Als je hier gebruik van wilt maken, dan moet je dus wel weten wat de voorkeur is van degene die je wilt overtuigen. Hoe je dit doet vind je hier terug.

Maar veelal weet je niet wat de voorkeuren zijn van degenen die je toespreekt. Dan kun je het verhaal in zoveel mogelijk stijlen vertellen. Maar, als je de voorkeur wel weet kun je jouw verhaal krachtiger over de bühne brengen.

In de volgende figuur zie je een ander mooi voorbeeld van afstemming op de doelgroep. In de supermarkt vind je al jouw voorkeuren op ooghoogte terug. De moeder zoekt naar aantrekkelijke producten op haar ooghoogte. De dochter ziet weer lekkere dingen in het andere schap.


Om even bij de taal van de supermarkt te blijven twee voorbeelden die de situatie toch net weer rooskleuriger voorstellen dan de werkelijkheid. Eerst de vele soorten eieren en dan de vele soorten kip.



Maar als je hierin gelooft moet je toch ook eens de andere kant van het verhaal tot je nemen. Zie de volgende figuur.



Ik zal je niet lastigvallen met allerlei ethische kwesties. Het gaat mij er om dat je je verhaal zo inkleurt dat de beslissers ja zeggen tegen je security roadmap. Terug naar het securitydomein.

Er is een onderzoek uitgevoerd  naar de manier waarop bloggers en journalisten in de States gesproken hebben over de onthullingen van Snowden. Het onderzoek ontdekte dat erg creatief was omgegaan met de term surveillance. In dit artikel is een interactieve infographic te zien waar je kunt zien welke termen allemaal gebruikt zijn. De onderstaande figuur geeft bijvoorbeeld allerlei nautische termen weer.


Kijk zelf maar eens welke termen er voor surveillance bestaan. Je ziet dat met een beetje creativiteit je jouw verhaal goed kunt opleuken. Zo leuk zelfs dat beslissers ja gaan zeggen tegen je security roadmap.

Dus als de organisatie dit moet kunnen doen.
  


Dan zeg je dat je dit nodig hebt.


Omdat de werkelijkheid er zo uit ziet.



Ik zou zeggen: ‘Veel creativiteit toegewenst bij het opleuken van je verhalen’. 

Hou je wel een beetje in want security blijft natuurlijk wel een serieus vakgebied!

zaterdag 30 juni 2012

Veilige Social Business vraagt om de juiste kaders!

Organisaties worstelen zich door het oerwoud van nieuwe trends. Het Nieuwe Werken, cloud computing, social media en bring your own device (BYOD) zijn erg populair als ik om me heen kijk. Het gaat daarbij om loslaten, vertrouwen, verbinden, sturen op resultaat en eigen verantwoordelijkheid. Deze trends vragen om transparantie van binnen naar buiten en andersom.

In de BYOD-workshops die ik bij organisaties geef zie ik de worsteling tussen directies, midden management en medewerkers. Maar ook tussen medewerkers onderling. Wat betekent die nieuwe openheid nu voor de mensen individueel? En wat kunnen ze samen aan voordelen er uit halen? Kunnen ze er ook iets mee naar hun klanten? Waar liggen grenzen? Wordt de productiviteit er niet mee ondermijnd? Of wordt de productiviteit er juist door gestimuleerd?

Bij invoering van Het Nieuwe Werken zie je vaak de ‘bricks & bytes’ op orde gebracht worden. Relatief nieuwe kantoorpanden worden verlaten, nieuwe kantoorconcepten worden op kansvolle braakliggende terreinen uit de grond gestampt. Iedereen een laptop, een smartphone, een tablet, een flexibel contract, een flexibele onkostenvergoeding en we zijn er!

Helaas wordt de derde ‘b’ van ‘behaviour’ vergeten. We leren de mensen niet hoe ze samen moeten werken, hoe ze informatie met elkaar moeten delen. En wat zijn de kaders die openheid en sociale cohesie tot een succes voor de organisatie maken? 

Ik zie veel organisaties op die manier de eerste stapjes zetten naar een intensievere sociale cohesie. Enerzijds onderling tussen medewerkers en anderzijds in relatie tot hun omgeving. Die sociale cohesie en transparantie moeten echter wel ergens toe leiden. Onderstaand zijn een aantal doelstellingen weergegeven:

·        Medewerkers vinden sneller kennis in de organisatie.

·        Innovatie kan sneller.

·        Organisatiebrede communicatie kan sneller en effectiever.

·        Overnames en organisatieaanpassingen kunnen beter begeleid worden.

·        Kennis en informatie is sneller beschikbaar in het contact center (betere klantafhandeling).

·        Up-to-date kennis en informatie is beschikbaar voor sales.

·        Klanten worden langer aan de organisatie verbonden door communities.

·        Klanten kunnen intensiever en effectiever informatie krijgen over de organisatie, de dienstverlening en de producten.

·        Klanten kunnen problemen snel oplossen, mede op basis van andere klantervaringen.

·        Klanten kunnen vaker benaderd worden, de klantrelatie wordt hechter.

·        Klanten kunnen betrokken worden bij innovatie.

·        Nieuwe producten en diensten kunnen sneller en effectiever onder de aandacht van klanten gebracht worden.

·        Nieuwe medewerkers kunnen via social media en communities gerecruteerd worden.

·        Het imago van de organisatie kan positief ondersteund worden.

·        Problemen van klanten kunnen wereldwijd in behandeling genomen worden.

·        Nieuwe klanten dienen zich aan via social media.

·        De concurrentie is beter in beeld op social media.

Nou, als dat de voordelen zijn: ‘Aan de slag dan met die social business oplossingen!’ 

NB! Ik heb het hier niet over een Facebook-pagina, een LinkedIn-account, een Yammer-account en een Dropbox-account. Natuurlijk ben je dan al lekker op weg, want veel organisaties zien de voordelen hiervan nog niet. Maar het gaat hier over integrale social business oplossingen die in het hart van je organisatie komen te staan. Interne blogs, whiteboards, presentation area’s, knowledge rooms, knowledge inventories, … De lijst is te lang om verder op te noemen. Onder andere Microsoft, IBM, JIVE bieden deze integrale social business oplossingen.

Een mooi voorbeeld zag ik van het Leger Des Heils. Zij gaven op de Social Business Convention in Rotterdam vorige maand  een presentatie over het gebruik social business software binnen hun organisatie. Met de titel ‘Hoe sociaal kun je worden?’ gaven ze inzicht in de voordelen voor henzelf en hun hulp aan de kansarmen in de samenleving. Voor hen geldt natuurlijk niet het voordeel dat hun ‘concurrentie’ beter in beeld is. Ik denk dat iedere organisatie zijn eigen voordelen er uit kan en wil halen.

OK, openheid en transparanties dus? Maar wat betekent dit voor de verantwoordelijkheid van medewerkers in bijvoorbeeld zorginstellingen, financiële instellingen en andere organisatie waar met vertrouwelijke informatie gewerkt wordt?

Vrijheid, eigen verantwoordelijkheid, vertrouwen en sturen op resultaat vormen de nieuwe managementstijl. Iedereen moet plaats- en tijdonafhankelijk kunnen werken. Maar veel managers weten dat medewerkers binnen de muren van de organisatie van elkaar verschillen. Op basis van situationeel leidinggeven hanteert de manager een zekere stijl bij een ervaren en verantwoordelijke medewerker. Die verschilt weer van de aansturing bij een minder ervaren en jongere collega. Ik sprak hier al over in een eerder artikel.

Wordt dat anders als ze op een andere plek of op een eigen apparaat werken?

Nee, naar mijn mening blijft die, op de individu afgestemde, managementstijl noodzakelijk. Veel medewerkers zullen niet kunnen omgaan met die enorme vrijheid. Ze hebben het praatje bij het koffieapparaat nodig, ze hebben fysieke aanwezigheid van collega’s nodig, ze hebben vaste structuren en werktijden nodig. De kans is groot dat deze medewerkers verzuipen in vrijheid.

Vorige week hoorde ik op BNR Nieuwsradio de column van Ewald Theunisse over ‘het nieuwste werken’. Hij sprak ook over die opdeling tussen medewerkers.

Als je behoort tot de groep die optimaal van vrijheid en eigen verantwoordelijkheid wilt genieten, dan raad ik je het boek ‘Slimmer werken met het kantoor in je tas’ van Gerald Essers aan. Boordevol slimme tips voor de ‘nomad worker’.

Loslaten is OK, maar de verbinding is nodig in het kwadraat! Het nieuwste werken, in social business,  vraagt om een individuele afstemming.

Goed, nu weer terug naar die vertrouwelijke gegevens.

Wet- & regelgeving zetten druk op de openheid. De Wet Bescherming Persoonsgegevens wordt momenteel aangescherpt. Als een datalek ontdekt wordt moeten organisaties daar melding van gaan maken bij het College Bescherming Persoongegevens. De sancties die het CBP mag opleggen worden sterk verruimd. Er is sprake van een maximale boete van 200.000 euro!

Betekent dit dat we die openheid en sociale cohesie met de omgeving dan maar in de ijskast moeten zetten?

Dat zal iedere organisatie voor zichzelf moeten uitmaken. Ik kan me voorstellen dat wereldwijde reiskosten enorm hoog oplopen. Het toepassen van skype, in combinatie met de kans op datalekken (lees boetes van het CBP), kan in zo’n situatie een meer dan sluitende business case opleveren.

Ik ben een groot voorstander van de openheid en de genoemde sociale cohesie. Maar vanuit mijn professie ben ik me terdege bewust dat er grenzen aan zitten als er met vertrouwelijke gegevens gewerkt wordt. In mijn werk hoor ik het hele spectrum aan meningen voorbijkomen. Dat is een razend spannende beleving. Hoe rolt de bal? Waar worden de piketpalen geslagen in de discussies?  Hoe bang is de directie? Welke verantwoordelijkheid tonen directieleden? In welke mate volgen medewerkers dat voorbeeldgedrag? Welke sluipweggetjes worden gevonden?

Het is een mooie tijd als beveiliger. Mensen willen meer vrijheid en meer verantwoordelijkheid. Sommige kunnen dat, anderen moeten daarbij geholpen worden. Feit blijft dat social business ook verantwoord gedrag met vertrouwelijke gegevens nodig heeft.

Ik zorg dat ik de komende tijd bij de discussies betrokken blijf. Het is leuk om een bijdrage te leveren aan ‘loslaten en verbinden’, met een accent op vertrouwen. Vertrouwen bedoel ik dan op twee manieren: de manager die zijn medewerkers vertrouwt en de professionele omgang met vertrouwelijke gegevens door diezelfde medewerkers.

In een volgend blogartikel zal ik verder ingaan op randvoorwaardelijke aspecten die spelen bij veilige verwerking van vertrouwelijke gegevens in een social business.

Blijf alert! Cybercriminelen houden je in de gaten!

dinsdag 3 april 2012

Over BYOD én Cybersecurity gesproken!

Onsight IT Security Congres, 22 mei 2012 


Op 22 mei spreek ik op het IT Security Congres 2012 van Onsight in het Gelredome over Secure Bring Your Own Device. In de recente artikelen ga ik vaker in op Bring Your Own Device, Het Nieuwe Werken en het bijbehorende gebruikersgedrag. Voor veilige omgang met vertrouwelijke gegevens worden organisaties teruggeworpen op de individuele gebruiker. Bring Your Own Device is hier in mijn ogen de belangrijkste oorzaak van! 


Daarnaast zal ik de aftrap geven van de round table over Cybersecurity. Hierover heb ik vorig jaar bij het Heliview Congres Cybersecurity de presentatie Cybercrime - complexe materie vraagt om pragmatische aanpak gegeven. 


Kijk op http://onsight.nl/congres en meld je aan!



woensdag 28 maart 2012

Het Nieuwe Werken - Lekken in cyberspace


In de Justitiële Verkenning ‘Veiligheid in Cyberspace’ van begin maart wordt in het artikel ‘Het lekken van geheimen in Cyberspace’ van J.H. Maat beschreven welke gevolgen ontstaan voor de veilige omgang met vertrouwelijke informatie bij Het Nieuwe Werken. Allereerst legt hij uit hoe rubricering van informatie werkt.

Mooi daarin is het foutief rubriceren van informatie dat leidt tot lekken. Onterecht niet-gerubriceerde informatie wordt onvoldoende beveiligd en is onbedoeld kwetsbaar voor lekken. Te hoog gerubriceerde informatie wordt onterecht te zwaar beveiligd waardoor het ‘te vertrouwelijk’ wordt en daarmee aantrekkelijker om te lekken. Maat geeft aan dat geschat wordt dat 50% - 95% van de informatie onjuist is gerubriceerd   (Lemstra e.a., 2005, p.26-27;Curtin, 2011, p.20).

Bedenk daarbij dat het classificeren van data (rubriceren) zo ongeveer de moeilijkste opgave is binnen security. Vind maar eens een eigenaar die zich eigenaar voelt (en er naar handelt). Vervolgens moet je hem ook nog eens een uitspraak laten doen over de waarde van de informatie. Nee, die classificatie en BIV-coderingen bedenkt de IT-afdeling wel!

Verderop in het artikel van Maat staat aangegeven dat er drie problemen zijn die ten grondslag liggen aan het lekken van vertrouwelijke informatie:
·         Het volume aan vertrouwelijke informatie: er wordt steeds meer informatie digitaal opgeslagen.
·         De toegang tot vertrouwelijke informatie: autorisatie van informatiesystemen blijft een probleem voor veel organisaties.
·         De mobiliteit van vertrouwelijke informatie: verhoogde capaciteit van gegevensdragers en een sterke toename van email en internetgebruik spelen hierbij een rol.

Deze drie basisproblemen zijn volgens Maat eveneens karakteristiek voor Het Nieuwe Werken. En daar sluit ik me volledig bij aan! 


Tijdsonfahankelijk en plaatsonafhankelijk informatieverwerken brengt met zich mee dat organisaties sterk moeten vertrouwen op de kwaliteiten van hun medewerkers. Die moeten in staat zijn om zelfstandig bewust keuzes te maken bij het verwerken van vertrouwelijke informatie buiten kantoorlocaties en buiten kantoortijden. Kortom, ze zullen individueel ‘risicomanagement op de werkplek’ moeten kunnen uitvoeren.

Dit heb ik al beschreven in mijn blogpost ‘Security en Het Nieuwe Werken’.  

Mag vertrouwelijke informatie überhaupt buiten de deur komen? Of maken we gebruik van encrypted USB-sticks om informatie veilig buiten de organisatiegrenzen te kunnen vervoeren? Je ziet dit overigens vaak gebeuren. Er vindt geen classificatie of rubricering van data plaats, maar het transport naar een onveilige locatie wordt beveiligd door gebruik te maken van encrypted USB-sticks. Dat die (vertrouwelijke) informatie vervolgens op een onveilige locatie (Starbucks, thuis, …) op een onveilig systeem (thuis-pc, privé tablet, …) wordt verwerkt, daar wordt aan voorbij gegaan. Kortom, de juiste afweging wordt niet gemaakt in mijn ogen!

Maat geeft verder aan dat ‘veilig faciliteren' mogelijk is. Het opzetten van een private cloud en toepassing van Virtual Desktop Infrastructure kunnen hierbij een positieve rol spelen. Een allesbepalende factor in Het Nieuwe Werken blijft de aandacht voor risico’s bij de medewerkers zelf. Maat geeft dit eveneens aan. Hij spreekt wel over de ‘practical drift’ waarbij de aandacht en de discipline kunnen verslappen en er risicovolle situaties ontstaan. 


Een bijkomende maatregel bestaat in de klokkenluidersregeling waar anoniem misstanden kunnen worden gemeld. Een goede klokkenluiderregeling kan het minder aantrekkelijk maken om misstanden te lekken naar de buitenwereld. Toepassing van het vierogen-principe draagt bij aan een betere classificatie van data.

Zelf ben ik van mening dat het monitoren van gebruikersgedrag een goede maatregel is. Dit moet natuurlijk goed overlegd worden met de medewerkers (OR, privacy, CBP, ‘Goed werken in netwerken’, …). Maar het stelt de organisatie in staat om op basis van terugkoppeling via managers of teamleiders een open gesprek te voeren over verantwoord risicobewust gedrag, gecombineerd met alle voordelen van Het Nieuwe Werken. 


Hierdoor maak je gebruik van een van de basisprincipes van Het Nieuwe Werken: verantwoordelijkheid bij de medewerker. Dat is mooi, dan sla je als Security Officer twee vliegen in één klap: je verdeelt de verantwoordelijkheid voor security organisatiebreed en je maakt aanspraak op afdelingsbudgetten om security bekostigd te krijgen.

Blijf alert! De volgende blogposts wijd ik aan enkele andere artikelen uit de Justitiële Verkenning ‘Veiligheid in Cyberspace’. Geef je op om per email op de hoogte gehouden te worden of volg de blog door je aan te melden in de rechterkolom.


Ik ben overigens zeer benieuwd welke mening jijzelf hebt over security binnen Het Nieuwe Werken! Reageer! Alvast bedankt. 

vrijdag 16 maart 2012

BYOD artikelen, het lezen waard!

Bring Your Own Device zet de IT-afdeling onder druk. Omarmen en dan van alles verbieden? Of helemaal links laten liggen en laten gebeuren?

Onderstaand enkele artikelen die je helpen bij de keuze.

Verschijningsvormen van BYOD 

Aandachtspunten BYOD op een rij

Android maakt BYOD niet makkelijker

Iedere organisatie zijn eigen app-store

Is BYOD bij jou in de organisatie aan de orde? Volgens mij moet je dan snel beslissen wat je doet: omarmen of verbieden. Het is afwegen van belangen tussen die van de organisatie en die van de individuele medewerker.

Veel leesplezier!

donderdag 15 maart 2012

Apps die jouw informatie versturen zonder je toestemming!

Gisteren berichtte ik nog over een onderzoek van de Sunday Times waarin apps vertrouwelijke informatie bleken te versturen naar India en China. Vandaag zijn verschillende organisaties in de Verenigde Staten aangeklaagd voor het distribueren van dit soort apps. Het betreft Facebook, Apple, Twitter, Yelp en 14 andere organisaties. Dit bericht geeft aan dat het ecosysteem rondom appstores onder het vergrootglas ligt. Ik ben ervan overtuigd dat app-whitelists een goede maatregel zijn om dit probleem te adresseren.

De Australische Department of Defence (Intelligence & Security) heeft in 2011 een top 35 maatregelen opgesteld waarmee een groot aantal cyberaanvallen op Australische overheidsinstellingen zijn tegen gehouden. Sterker nog, met de top vier maatregelen zijn in 2010 meer dan 80% van de aanvallen tegengehouden. De top vier maatregelen bestaat uit:
  • Patchen van operating systems.
  • Patchen van applicaties.
  • Beperken van admin rechten.
  • Toepassen van applicatie-whitelists.
Als een maatregel als applicatie-whitelists goed werkt in een Windows-omgeving, is het dan een goede maatregel voor smartphones?

Android stelt aardig wat eisen aan de gebruiker als het gaat om security. Apple daarentegen veel minder. Bij Android wordt een gebruiker gevraagd bewust in te stemmen met het toewijzen van allerlei rechten aan nieuwe apps. Dit kan echter doorslaan in het toekennen van teveel rechten. En daar kunnen kwaadaardige apps misbruik van maken zonder dat gebruikers dat door hebben.  

In een onderzoek bij standaard Android smartpones is gebleken dat het permissiemodel door verschillende modellen niet op de juiste manier is geimplementeerd. En daar kunnen kwaadaardige apps vrij eenvoudig misbruik van maken. Gebruikersinformatie wissen, SMS-berichten versturen of ongevraagd gesprekken opnemen behoren tot de mogelijkheden.

App-whitelists bieden hier een goede uitkomst hoewel ze natuurlijk de vrijheid beperken die je de gebruikers bij Bring Your Own Device wilt geven. Een oplossing die hierbij helpt is het afschermen van bepaalde API's zodat alleen goedgekeurde applicaties worden toegelaten. Daarnaast zouden bepaalde apps en signatures van ontwikkelaars op een blacklist gezet kunnen worden. 

Het toepassen van app-whitelists is niet eenvoudig, maar er zijn goede resultaten mee behaald in de Windows-omgeving. Gelukkig ontwikkelen verschillende security vendors betere anti-malware oplossingen voor mobiele apparaten waar ook whitelists tot de mogelijkheden behoren.

Speelt Bring Your Own Device bij jou in de organisatie? Bespreek dit dan vanaf het begin met de gebruikers. Zoek naar de juiste balans tussen individuele gebruikerservaring (onbeperkte functionaliteit) en goede beveiliging (o.a. app-whitelists). Gebruikers zijn in mijn ogen echt aan te spreken op de verantwoordelijkheid die ze hebben bij het verwerken van vertrouwelijke bedrijfsinformatie. Zeker als ze dat doen op hun eigen apparatuur, in hun eigen omgeving en via een provider die ze zelf hebben gekozen.

Ga niet uit van de standaard security van smartphones!

Met meer dan twintig jaar ervaring op het snijvlak van IT en organisatie verbaas ik me elke dag weer over de staat van security binnen organisaties. BYOD brengt de IT-afdeling in verwarring waardoor de rem erop gaat. Security speelt daarbij een belangrijke rol. Dat is terecht, maar het gesprek met de gebruikers moet wel gevoerd worden!


woensdag 14 maart 2012

Je data is écht veilig


De Sunday Times heeft 70 apps voor smartphones onderzocht op het verzenden van vertrouwelijke informatie. Door gebruik te maken van  MiddleMan’ is gebleken dat 21 apps vertrouwelijke data verzonden (telefoonnummer, emailadressen, locatiegegevens, smartphone-ID, …). We kijken er natuurlijk niet van op dat gebruikers achteloos de voorwaarden accepteren. Maar de bepalingen voor het verzamelen van allerlei informatie zijn veelal onderin weggestopt door de producent/leverancier van de apps.


Verzamelen van de data is nog tot daar aan toe. Maar de voorwaarden maken niet duidelijk waar die data naartoe gezonden wordt. De Sunday Times geeft aan dat de data onder andere naar China en India gestuurd worden. De European Data Protection Directive geeft aan dat vertrouwelijke data niet naar landen buiten de Europese economische grenzen gestuurd mogen worden. Tenzij die landen er een ‘vergelijkbare’ wet-/regelgeving met betrekking tot privacy  op na houden. Dit geldt tot op de dag van vandaag niet voor China en India.


In mijn vorige blog schreef ik over de immense hoeveelheid apps die er te downloaden zijn in de appstore.

Vijfhonderdvijfentachtigduizend!

Daarbij wees ik ook op de gevaren voor het gehele ecosysteem van appstores die door Enisa in kaart gebracht zijn (meer dan 65 risico’s).

We weten dus nu van 21 apps dat er vertrouwelijke data verzameld wordt, waarvan enkele data naar China en India sturen. Dat brengt de totale blinde vlek op 584.979 apps en 64 risico’s die we nog niet helder hebben.

Kortom, Bring Your Own Device is een echte uitdaging voor de IT-afdeling, het security team, de juristen en HR binnen jouw organisatie!

Ik wil je echter ook wijzen op de positieve kant van dit verhaal. 

Vorige week vond het jaarlijkse Mobile World Congress plaats in Barcelona. Naast allerlei mooie gadgets presenteerde de GSM Association (GSMA) richtlijnen voor ‘Privacy-by-Design’ voor mobiele ontwikkelaars.  De GSMA stelt dat iedere gebruiker privacy op zijn eigen manier beleeft (verwachtingen, behoeften, eisen, bezwaren, …). Daarmee moet op een proactieve manier vanaf het ontstaan van een app rekening gehouden worden.

De GSMA wil de richtlijnen laten adopteren door bijna iedereen in de gehele ecosysteem van de appstores: ontwikkelaars, fabrikanten van apparatuur, leveranciers van platformen en operating systems, mobiele providers, adverteerders en data analytics. Vodafone, Orange en Deutsche Telekom hebben al toegezegd deze richtlijnen te zullen naleven. De verwachting is echter dat Apple, Google, Microsoft en RIM deze richtlijnen niet gemakkelijk zullen adopteren omdat ze soms haaks staan op de business modellen van deze giganten.  

De richtlijnen van GSMA bevatten enkele goede suggesties:
·         Stel apparatuur default in op de beveiliging van privacygevoelige gegevens.
·         Geef gebruikers de controle over herhaling van het gebruik van persoonlijke informatie (niet éénmalig dus).
·         Laat gebruikers instemmen bij updates. Voer geen ‘heimelijke’ updates op de achtergrond uit.  

De vraag is of de veiligheid van (persoonlijke) vertrouwelijke informatie door deze richtlijnen wordt vergroot?

Het ecosysteem rondom de appstores bestaat uit vele individuele ontwikkelaars. Tel daarbij de kans dat de ‘app-giganten’ de richtlijnen zullen adopteren op. Gelet op de grote aantallen apps en de andere risico’s blijft er realistisch gezien een risicovolle situatie over.

De richtlijnen van GSMA dragen sterk positief bij maar ik ben er van overtuigd dat iedere organisatie moet nadenken over de apps die ze toe willen laten op mobiele apparatuur. Het opstellen van een app-whitelist is een realistische overweging.
Ikzelf werk al meer dan 20 jaar op het snijvlak van organisatie en IT. Daarvan richt ik me de laatste 12 jaar op security. 

woensdag 7 maart 2012

‘Privacy is een doodgeboren paard’ (NRC Next, 7 maart 2012)


De nieuwe iPad is vandaag aangekondigd en ik besluit te berichten over privacy. Het zijn onvoorstelbare getallen waar Apple ons mee overdonderd: 315 miljoen IOS-apparaten verkocht, waarvan 65 miljoen in het laatste kwartaal van 2011 (Webwereld.nl). Daarbij komt dat er meer dan 585.000 apps in de appstore staan waarvan 200.000 voor de iPad.

Onvoorstelbaar? Ga even zitten!

Er zijn meer dan 25 miljard apps gedownload! Dat is gemiddeld 80 apps per iPhone of iPad!

Ik wil dan toch wijzen op een rapport van ENISA waarin meer dan 65 risico’s in het ecosysteem van de Appstore en Android market zijn geïdentificeerd.  Als organisatie heb je geen controle meer over de aanschaf of ontwikkeling van veilige software. Dat ligt in handen van potentieel 585.000 individuele app-ontwikkelaars, Apple, Google en RIM (BlackBerry). Hoezo, privacy met zoveel iPads, apps en risico’s?  

En dat heb je binnen de muren van je organisatie toegelaten. Erger nog, ook buiten de muren van je organisatie, waar medewerkers onder het genot van een kopje Starbucks koffie vertrouwelijke klant- of patiëntgegevens zitten te verwerken.

Wat moet je dan met de titel van deze blogpost: ‘Privacy is een doodgeboren paard’?

Het artikel gaat in op de geschiedenis van privacy en stelt dat ‘privacy al 200 jaar wordt bedreigd met uitsterven. En zo hoort het!’

Vandaag is ook de dag van de Big Brother Awards, voor ‘de grofste privacyschenders van het jaar’. Hierin neemt de overheid een groot deel van de genomineerde instanties voor haar rekening. Daarbij komt dat de Europese Unie recent nog met wetsvoorstellen is gekomen voor strengere online privacybescherming. Kortom, het is een onderwerp dat aandacht verdient en ook krijgt.

Privacy is volgens de auteur van het artikel (Lynn Berger) een bedreigde diersoort. De aandacht voor een bedreidge diersoort ontstaat als de bedreiging reëel is. Anders is het de aandacht niet waard. Het speelt geen enkele rol als we onze dagelijkse bezigheden op sociale media neerzetten. Maar als Google op 1 maart de privacyvoorwaarden van al haar individuele producten stroomlijnt stromen de media weer vol met tips, trucs en waarschuwingen.

Privacy is natuurlijk niet een technologie-gebonden issue! Het fotograferen van straten door Google wordt in ieder land anders beleefd. Topless zonnen is in Nederland ook aanvaard, terwijl het in Amerika ondenkbaar is. Daarentegen spreken Amerikanen honderduit over hun salaris en zijn de kaken daarover in Nederland stijf op elkaar gesloten.

Voor de oude Grieken was duidelijk dat deelname aan debat een beter mens van je maakte. Je moest wel deelnemen aan het openbare leven, waardoor je privacy onder druk kwam te staan. Ronddwalen in je eentje kon in de Middeleeuwen een teken van krankzinnigheid zijn.

In de achttiende eeuw is de mens begonnen met het opnieuw erkennen van privacy. Denk aan aparte kamers in de architectuur en stemhokjes. Sindsdien hebben zowel groepen en geloofsgemeenschappen in de samenleving, als koningshuizen zich beklaagd over gebrek aan privacy. Het ‘interview’ werd in Europa gezien als een inbreuk op de privacy, terwijl het ontstond in Amerika waar de hang naar details over het privéleven toenam.

Privacy is altijd ‘tegen’ iets: staatsinvloed of –inmenging, sociale bemoeienis, journalistieke nieuwsgierigheid. Het balanceert op de rand van de steeds veranderende samenleving. Iedere schending van privacy is een ‘ijkmoment’. Privacy gaat over de grens tussen publiek en privé.

OK, mooi dat historisch besef! Maar hoe moet je daar nou mee omgaan?

Je moet er niet voor weglopen. Door de grens op te zoeken, het positief te benaderen en het debat erover te voeren is het voor zowel voor- als tegenstanders duidelijk waar de grens ligt. Het is een discussie binnen jouw organisatie, waar alle controle over aanschaf of ontwikkeling van veilige software weg is gevallen. Dat geldt ook voor de beheersbaarheid van veilige omgang met vertrouwelijke informatie door je collega’s. Zij werken buiten de deur op eigen apparatuur en leggen contact via een, door henzelf gekozen, provider.

Kortom, je zult als CEO, CIO of Security Officer een weg moeten vinden om verloren terrein goed te maken. Volgens mij is het meer dan gerechtvaardigd om de discussie aan te gaan over het monitoren van gebruikersgedrag, lees ‘de veilige omgang met vertrouwelijke informatie buiten de grenzen van de organisatie’. Het historisch besef van privacy, waar het geciteerde artikel een mooie beschrijving van geeft, helpt je bij het aangaan van die discussie.

Het College Bescherming Persoonsgegevens heeft trouwens een goede richtlijn opgesteld voor het monitoren van gebruikersgedrag (internet/email): ‘Goed werken in netwerken’. Daarin staan goede vuistregels. 


Monitoren van gebruikersgedrag is een essentiële component van de beveiliging binnen de organisatie. Dit heb ik ook in de vorige blog post 'Security en Het Nieuwe Werken' aangegeven. 

Lynn Berger is auteur voor o.a. NRC Next. Zij werkt aan een proefschrift over de geschiedenis van privacy aan de Colombia University in New York. Ikzelf werk al meer dan 20 jaar op het snijvlak van organisatie en IT. Daarvan richt ik me de laatste 12 jaar op security.  

dinsdag 28 februari 2012

Security en Het Nieuwe Werken

Controle en vertrouwen

Nederland loopt wereldwijd voorop als het gaat om Het Nieuwe Werken. Intensief worden gebouwen en werkplekken aangepast aan de flexibele werkstijl. Soms met een eenzijdige aanpak op alleen de fysieke elementen (bricks & bytes), soms met een uitgebreidere aanpak waarbij ook zachtere aspecten van Het Nieuwe Werken worden meegenomen (behaviour). De uitdaging ligt in het ‘loslaten en verbinden’, maar daarbij moeten de medewerkers wel aangestuurd en vertrouwd kunnen worden.

Van oudsher worden medewerkers gecontroleerd op de voortgang van hun werk. Daarbij komt dat de politiek en wet- & regelgeving steeds meer de nadruk op controle van de bedrijfsvoering leggen. Het Nieuwe Werken vraagt echter om los te laten en te vertrouwen. Maar is dat realistisch in de situatie waar compliance en governance de druk voor controle opvoeren?


Een belangrijk element van de dagelijkse activiteiten is de kwaliteit van de dienstverlening aan de klanten. Dat betekent dat er bekwame professionals nodig zijn om het werk uit te kunnen voeren. Binnen de muren van het kantoor kan een manager met situationeel leiderschap prima de kwaliteit van het werk sturen. De doorgewinterde professional wordt vrijgelaten om op basis van zijn eigen verantwoordelijkheidsgevoel en ervaring zijn werk te doen. De minder ervaren collega kan, gecoacht door de manager, ook zijn werk op het benodigde kwaliteitsniveau afleveren.


De vraag is of onder Het Nieuwe Werken situationeel leiderschap zijn waarde verliest. Ja, er moet gestuurd worden op resultaat. Maar nee, niet iedere medewerker heeft voldoende verantwoordelijkheidsgevoel of ervaring om individueel zijn werk goed af te krijgen. Dat betekent dat een manager de medewerker op een positieve manier moet ondersteunen en/of coachen. Zo kan uiteindelijk die medewerker, onder de voorwaarden van Het Nieuwe Werken, toch zijn werk goed doen. Soms moeten managers dus hun medewerkers tussentijds kunnen controleren op de voortgang en kwaliteit van hun werk. Alleen dan is het mogelijk om de medewerker professioneler en meer verantwoordelijk te maken. Controle is dus wel nodig, maar het moet een positief doel nastreven.


Hetzelfde geldt voor het organiseren van security ‘rondom de medewerker’. Hier bedoel ik mee dat bij Het Nieuwe Werken we niet meer kunnen volstaan met het beveiligen van de infrastructuur. De data van de medewerker is straks opgeslagen in de cloud. De verbinding tussen de medewerker en de data wordt niet beheerd door de IT-afdeling. Kortom, de securityfuncties (zoals firewall, anti-virus, IPS, …) moeten rondom de medewerker georganiseerd worden. Die bepaalt waar hij is, op welke manier hij de data benadert en in de ultieme situatie waar de data is opgeslagen.


Bij de toegenomen vrijheid van de individuele medewerker hoort een grotere verantwoordelijkheid. De vakinhoudelijke kwaliteiten van medewerkers kan veelal goed worden ingeschat. Echter de mate waarin bewust verantwoordelijk wordt omgegaan met vertrouwelijke informatie is veel moeilijker in te schatten. Daar bestaan geen richtlijnen voor. Het loslaten van een vakinhoudelijk bekwame medewerker is vaak al moeilijk voor managers. Dat houdt in dat het loslaten van medewerkers, die zich niet bewust zijn van de risico’s, nog veel moeilijker moet zijn voor managers.


Feit is dat managers zich vaak ook niet bewust zijn van de risico’s die ze lopen bij het werken met vertrouwelijke informatie. Er is dus geen fundament voor loslaten en vertrouwen als het gaat om de privacy van klantgegevens, patiëntgegevens, financiële gegevens of persoonlijke gegevens. De medewerkers moeten zich van moment tot moment bewust zijn van het werken met privacy gevoelige informatie. Dat zijn ze binnen de kantoormuren nauwelijks gewend, laat staan als ze thuiswerken of bij Starbucks aan het werk zijn.


Dit alles houdt in dat de medewerkers stevig ondersteund moeten worden om bewust te kunnen handelen bij het verwerken van vertrouwelijke gegevens. Daar hoort een positieve manier van controle bij. Dit is niets anders dan de controle van de managers op de vakinhoudelijke voortgang en kwaliteit van het werk van de minder ervaren medewerker.


Ten slotte komt het neer op een positieve ondersteuning van alle medewerkers als ze aan Het Nieuwe Werken mogen beginnen. Ze moeten, nog meer dan op basis van hun vakinhoudelijke professionaliteit, geholpen worden bij wat ik noem ‘risicomanagement op de werkplek’. Dit kan door een transparante manier van monitoren van het gebruikersgedrag. De organisatie voldoet daarmee aan de compliancyrichtlijnen en de medewerkers kunnen hun werk veilig doen. Belangrijk blijft om op te merken dat het monitoren van gebruikersgedrag gepaard gaat met privacyvraagstukken die aan de hand van de richtlijn ‘Goed werken in netwerken’ van het College Bescherming Persoonsgegevens geadresseerd kunnen worden.