Het Nieuwe Werken - Lekken in cyberspace

In de Justitiële Verkenning ‘Veiligheid in Cyberspace’ van begin maart wordt in het artikel ‘Het lekken van geheimen in Cyberspace’ van J.H. Maat beschreven welke gevolgen ontstaan voor de veilige omgang met vertrouwelijke informatie bij Het Nieuwe Werken. Allereerst legt hij uit hoe rubricering van informatie werkt.

Mooi daarin is het foutief rubriceren van informatie dat leidt tot lekken. Onterecht niet-gerubriceerde informatie wordt onvoldoende beveiligd en is onbedoeld kwetsbaar voor lekken. Te hoog gerubriceerde informatie wordt onterecht te zwaar beveiligd waardoor het ‘te vertrouwelijk’ wordt en daarmee aantrekkelijker om te lekken. Maat geeft aan dat geschat wordt dat 50% - 95% van de informatie onjuist is gerubriceerd   (Lemstra e.a., 2005, p.26-27;Curtin, 2011, p.20).

Bedenk daarbij dat het classificeren van data (rubriceren) zo ongeveer de moeilijkste opgave is binnen security. Vind maar eens een eigenaar die zich eigenaar voelt (en er naar handelt). Vervolgens moet je hem ook nog eens een uitspraak laten doen over de waarde van de informatie. Nee, die classificatie en BIV-coderingen bedenkt de IT-afdeling wel!

Verderop in het artikel van Maat staat aangegeven dat er drie problemen zijn die ten grondslag liggen aan het lekken van vertrouwelijke informatie:

·         Het volume aan vertrouwelijke informatie: er wordt steeds meer informatie digitaal opgeslagen.

·         De toegang tot vertrouwelijke informatie: autorisatie van informatiesystemen blijft een probleem voor veel organisaties.

·         De mobiliteit van vertrouwelijke informatie: verhoogde capaciteit van gegevensdragers en een sterke toename van email en internetgebruik spelen hierbij een rol.

Deze drie basisproblemen zijn volgens Maat eveneens karakteristiek voor Het Nieuwe Werken. En daar sluit ik me volledig bij aan! 


Tijdsonfahankelijk en plaatsonafhankelijk informatieverwerken brengt met zich mee dat organisaties sterk moeten vertrouwen op de kwaliteiten van hun medewerkers. Die moeten in staat zijn om zelfstandig bewust keuzes te maken bij het verwerken van vertrouwelijke informatie buiten kantoorlocaties en buiten kantoortijden. Kortom, ze zullen individueel ‘risicomanagement op de werkplek’ moeten kunnen uitvoeren.

Dit heb ik al beschreven in mijn blogpost ‘Security en Het Nieuwe Werken’.  

Mag vertrouwelijke informatie überhaupt buiten de deur komen? Of maken we gebruik van encrypted USB-sticks om informatie veilig buiten de organisatiegrenzen te kunnen vervoeren? Je ziet dit overigens vaak gebeuren. Er vindt geen classificatie of rubricering van data plaats, maar het transport naar een onveilige locatie wordt beveiligd door gebruik te maken van encrypted USB-sticks. Dat die (vertrouwelijke) informatie vervolgens op een onveilige locatie (Starbucks, thuis, …) op een onveilig systeem (thuis-pc, privé tablet, …) wordt verwerkt, daar wordt aan voorbij gegaan. Kortom, de juiste afweging wordt niet gemaakt in mijn ogen!

Maat geeft verder aan dat ‘veilig faciliteren' mogelijk is. Het opzetten van een private cloud en toepassing van Virtual Desktop Infrastructure kunnen hierbij een positieve rol spelen. Een allesbepalende factor in Het Nieuwe Werken blijft de aandacht voor risico’s bij de medewerkers zelf. Maat geeft dit eveneens aan. Hij spreekt wel over de ‘practical drift’ waarbij de aandacht en de discipline kunnen verslappen en er risicovolle situaties ontstaan. 


Een bijkomende maatregel bestaat in de klokkenluidersregeling waar anoniem misstanden kunnen worden gemeld. Een goede klokkenluiderregeling kan het minder aantrekkelijk maken om misstanden te lekken naar de buitenwereld. Toepassing van het vierogen-principe draagt bij aan een betere classificatie van data.

Zelf ben ik van mening dat het monitoren van gebruikersgedrag een goede maatregel is. Dit moet natuurlijk goed overlegd worden met de medewerkers (OR, privacy, CBP, ‘Goed werken in netwerken’, …). Maar het stelt de organisatie in staat om op basis van terugkoppeling via managers of teamleiders een open gesprek te voeren over verantwoord risicobewust gedrag, gecombineerd met alle voordelen van Het Nieuwe Werken. 


Hierdoor maak je gebruik van een van de basisprincipes van Het Nieuwe Werken: verantwoordelijkheid bij de medewerker. Dat is mooi, dan sla je als Security Officer twee vliegen in één klap: je verdeelt de verantwoordelijkheid voor security organisatiebreed en je maakt aanspraak op afdelingsbudgetten om security bekostigd te krijgen.

Blijf alert! De volgende blogposts wijd ik aan enkele andere artikelen uit de Justitiële Verkenning ‘Veiligheid in Cyberspace’. Geef je op om per email op de hoogte gehouden te worden of volg de blog door je aan te melden in de rechterkolom.

Ik ben overigens zeer benieuwd welke mening jijzelf hebt over security binnen Het Nieuwe Werken! Reageer! Alvast bedankt. 

‘Privacy is een doodgeboren paard’ (NRC Next, 7 maart 2012)

De nieuwe iPad is vandaag aangekondigd en ik besluit te berichten over privacy. Het zijn onvoorstelbare getallen waar Apple ons mee overdonderd: 315 miljoen IOS-apparaten verkocht, waarvan 65 miljoen in het laatste kwartaal van 2011 (Webwereld.nl). Daarbij komt dat er meer dan 585.000 apps in de appstore staan waarvan 200.000 voor de iPad.

Onvoorstelbaar? Ga even zitten!

Er zijn meer dan 25 miljard apps gedownload! Dat is gemiddeld 80 apps per iPhone of iPad!

Ik wil dan toch wijzen op een rapport van ENISA waarin meer dan 65 risico’s in het ecosysteem van de Appstore en Android market zijn geïdentificeerd.  Als organisatie heb je geen controle meer over de aanschaf of ontwikkeling van veilige software. Dat ligt in handen van potentieel 585.000 individuele app-ontwikkelaars, Apple, Google en RIM (BlackBerry). Hoezo, privacy met zoveel iPads, apps en risico’s?  

En dat heb je binnen de muren van je organisatie toegelaten. Erger nog, ook buiten de muren van je organisatie, waar medewerkers onder het genot van een kopje Starbucks koffie vertrouwelijke klant- of patiëntgegevens zitten te verwerken.

Wat moet je dan met de titel van deze blogpost: ‘Privacy is een doodgeboren paard’?

Het artikel gaat in op de geschiedenis van privacy en stelt dat ‘privacy al 200 jaar wordt bedreigd met uitsterven. En zo hoort het!’

Vandaag is ook de dag van de Big Brother Awards, voor ‘de grofste privacyschenders van het jaar’. Hierin neemt de overheid een groot deel van de genomineerde instanties voor haar rekening. Daarbij komt dat de Europese Unie recent nog met wetsvoorstellen is gekomen voor strengere online privacybescherming. Kortom, het is een onderwerp dat aandacht verdient en ook krijgt.

Privacy is volgens de auteur van het artikel (Lynn Berger) een bedreigde diersoort. De aandacht voor een bedreidge diersoort ontstaat als de bedreiging reëel is. Anders is het de aandacht niet waard. Het speelt geen enkele rol als we onze dagelijkse bezigheden op sociale media neerzetten. Maar als Google op 1 maart de privacyvoorwaarden van al haar individuele producten stroomlijnt stromen de media weer vol met tips, trucs en waarschuwingen.

Privacy is natuurlijk niet een technologie-gebonden issue! Het fotograferen van straten door Google wordt in ieder land anders beleefd. Topless zonnen is in Nederland ook aanvaard, terwijl het in Amerika ondenkbaar is. Daarentegen spreken Amerikanen honderduit over hun salaris en zijn de kaken daarover in Nederland stijf op elkaar gesloten.

Voor de oude Grieken was duidelijk dat deelname aan debat een beter mens van je maakte. Je moest wel deelnemen aan het openbare leven, waardoor je privacy onder druk kwam te staan. Ronddwalen in je eentje kon in de Middeleeuwen een teken van krankzinnigheid zijn.

In de achttiende eeuw is de mens begonnen met het opnieuw erkennen van privacy. Denk aan aparte kamers in de architectuur en stemhokjes. Sindsdien hebben zowel groepen en geloofsgemeenschappen in de samenleving, als koningshuizen zich beklaagd over gebrek aan privacy. Het ‘interview’ werd in Europa gezien als een inbreuk op de privacy, terwijl het ontstond in Amerika waar de hang naar details over het privéleven toenam.

Privacy is altijd ‘tegen’ iets: staatsinvloed of –inmenging, sociale bemoeienis, journalistieke nieuwsgierigheid. Het balanceert op de rand van de steeds veranderende samenleving. Iedere schending van privacy is een ‘ijkmoment’. Privacy gaat over de grens tussen publiek en privé.

OK, mooi dat historisch besef! Maar hoe moet je daar nou mee omgaan?

Je moet er niet voor weglopen. Door de grens op te zoeken, het positief te benaderen en het debat erover te voeren is het voor zowel voor- als tegenstanders duidelijk waar de grens ligt. Het is een discussie binnen jouw organisatie, waar alle controle over aanschaf of ontwikkeling van veilige software weg is gevallen. Dat geldt ook voor de beheersbaarheid van veilige omgang met vertrouwelijke informatie door je collega’s. Zij werken buiten de deur op eigen apparatuur en leggen contact via een, door henzelf gekozen, provider.

Kortom, je zult als CEO, CIO of Security Officer een weg moeten vinden om verloren terrein goed te maken. Volgens mij is het meer dan gerechtvaardigd om de discussie aan te gaan over het monitoren van gebruikersgedrag, lees ‘de veilige omgang met vertrouwelijke informatie buiten de grenzen van de organisatie’. Het historisch besef van privacy, waar het geciteerde artikel een mooie beschrijving van geeft, helpt je bij het aangaan van die discussie.

Het College Bescherming Persoonsgegevens heeft trouwens een goede richtlijn opgesteld voor het monitoren van gebruikersgedrag (internet/email): ‘Goed werken in netwerken’. Daarin staan goede vuistregels. 


Monitoren van gebruikersgedrag is een essentiële component van de beveiliging binnen de organisatie. Dit heb ik ook in de vorige blog post 'Security en Het Nieuwe Werken' aangegeven. 

Lynn Berger is auteur voor o.a. NRC Next. Zij werkt aan een proefschrift over de geschiedenis van privacy aan de Colombia University in New York. Ikzelf werk al meer dan 20 jaar op het snijvlak van organisatie en IT. Daarvan richt ik me de laatste 12 jaar op security.