Ik wil ook vergeten worden

DNA vastleggen

Deze week is in Friesland een verdachte aangehouden voor de moord op Marianne Vaatstra. Aan de hand van een DNA-match is een lokale bewoner in hechtenis genomen. De verdachte had meegewerkt aan de vrijwillige afgifte van DNA-materiaal onder enkele duizenden lokale bewoners.

Gisteren betoogde Peter R. de Vries in De Wereld Draait Door dat het praktisch zou zijn dat er een verplichte landelijke DNA-database aangelegd zou worden. Bij rampen en terroristische aanslagen zouden eenvoudig losse armen en benen gelinkt kunnen worden met de gevallen slachtoffers.

In het gesprek was ook juridisch commentator van NRC, Folkert Jensma, aanwezig. Hij gaf aan dat rationeel er geen directe aanleiding was om een verplichte landelijke DNA-database aan te leggen. Het succes op basis van vrijwillige afgifte door lokale bewoners was volgens hem onvoldoende om zo’n grote stap te rechtvaardigen.

Andere argumenten van Jensma waren emotioneel van aard: ‘hij vertrouwt de overheid niet in zo’n gevoelige kwestie’, ‘hij wil niet tot in detail vastgelegd worden, hij wil ook vergeten kunnen worden’.

De Vries gaf aan dat alle mensen van Nederland in de bestanden van de Belastingdienst staan. Alles wat iedereen bezit is al vastgelegd. Daar doet niemand moeilijk over.  

En dat is precies het punt waarom ik het onderwerp in dit blogartikel gekozen heb.

Ik ben geboren toen alle gegegevens over bezit in mijn familie al waren vastgelegd bij de Belastingdienst. Daar heb ik geen moeite mee. Als er gesproken wordt over het praktisch nut van een verplichte landelijke DNA-database raakt dat de essentie van mijn persoonlijke identiteit. Alles wat de wetenschap over de mens heeft kunnen ontdekken wordt herleid naar DNA.

Voor mij is DNA het meest fundamentele en essentiële bewijs van mijn individualiteit. Daarmee is mijn DNA ook een onderdeel van mijn grondrecht op privacy. Het verplicht vastleggen staat daarom erg ver van mijn wens om ‘ook vergeten te kunnen worden’.  

Als security professional ben ik daarnaast ook erg huiverig over de capaciteiten van de overheid om waterdichte borging te realiseren van die opgeslagen DNA-gegevens.

Vanuit mijn vakgebied zie ik de discussie over privacy veelvuldig voorbijkomen. Het monitoren van netwerkverkeer, in feite gebruikersgedrag, mag niet buitenproportioneel zijn. Duidelijk moet zijn welk doel er mee gediend is.

Dat er extra monitoring plaats moet vinden staat als een paal boven water. Bij data loss prevention trajecten schakel ik echter direct de Ondernemingsraad in om de dialoog over nut en noodzaak van het vastleggen van gegevens op te starten. Je staat als organisatie buitenspel als die dialoog te laat wordt opgestart.

De tools om intensief en indringend te monitoren zijn beschikbaar. Als security professional zie ik daar de voordelen positief van in. Echter, de vraag is en blijft iedere keer hoever je bereid bent te gaan om privacy op te rekken. 

Ik ben bang dat verplichte instemming met het vastleggen van al het gebruikersgedrag een te grote stap voorwaarts is. Net als de landelijke verplichte DNA-database.  

Kortom, voer de dialoog met je gebruikers. Start de discussie met de OR. Verken de grenzen van het acceptabele en vul je security management systeem ook aan met professioneel ‘security information management’.

Blijf alert! Cybercriminelen houden je in de gaten. Nee sterker nog, de malware draait al in stealth mode in je netwerk!

Herfstweer, dicht met die deuren

Nu alle zorgplannen van Rutte II van tafel lijken is het echter nog niet gedaan met mijn bezorgdheid over kosten van de huishouding. Net heb ik nog lekker door de natuur gewandeld en genoten van het lekkere weer. Toch ben ik scherp op alles waarop we kunnen besparen. Zo zijn we thuis intensief bezig om de kinderen besef bij te brengen over onnodige kosten voor verwarming en elektricieit.

Het start met vriendelijk vragen om het licht uit te doen op hun kamer, of de deur achter zich dicht te doen. Een beetje ouder onder u weet dat zoiets niet effectief is. Dan komen de zwaardere maatregelen aan de orde. Drie keer deur openlaten betekent vandaag niet op de iPad. En als dat niet werkt gaan we aan het zakgeld sleutelen. En het werkt ook nog!

Het is deze week trouwens ‘week van het geld’, het is dus een prima week om je kinderen besef van kosten bij te brengen. Kijk even op 'week van het geld'.

Waarom begin ik over kosten van energie en deuren die dicht moeten?

Afgelopen vrijdag heeft Homme Bitter op ‘security.nl’ zijn column geschreven over ‘open deuren van DigiNotar’. Natuurlijk wisten we al veel van DigiNotar en hebben velen van u het rapport van Fox IT door zitten spitten. Homme legt echter op eenvoudige wijze uit dat het bij DigiNotar wel over een heleboel open deuren ging. Ik kijk al uit naar het tweede deel van zijn column.

De vraag is natuurlijk hoe dat soort open deuren ontstaan in beveiligingsinfrastructuren? Een beheerder die op eigen initiatief iets openzet? Of ligt hier een andere oorzaak aan ten grondslag?

Bij Diginotar waren vele open deuren niet gedocumenteerd. Voor mij is het dan al snel duidelijk. Gebrek aan kwaliteit van IT-beheer, ontbrekende security awareness en ondoordachte bedrijfsvoering binnen zo’n organisatie. Als security niet een serieus onderdeel is binnen een organisatie krijg je vanzelf open deuren.

Uit eigen ervaring weet ik dat het merendeel van die open deuren het gevolg zijn van snelle projecten, bijbehorende managers en ongeliniteerde dadendrang. De nieuwe services moeten de lucht in, de nieuwe klant moet gisteren aangesloten zijn, …

Natuurlijk ligt er een verantwoordelijkheid voor een security officer om bij ieder project van te voren de eisen t.a.v. security onder de aandacht te brengen. Maar het is niet iedere security officer gegeven om dat in de politieke arena te bevechten. Vooropgesteld natuurlijk dat er in de organisatie een security officer is aangesteld.

Kortom, open deuren als gevolg van een gebrekkig besef van security. Ik denk dan aan een regelrecht gebrek aan risicomanagement. De signalen kennen we wel. Angstige gezichten van directieleden als hun organisatie negatief in de pers komt.

Terug naar mijn kinderen. Bij mij thuis doen de kinderen de deuren nu vaker dicht door het direct gevolg voor hun zakgeld. 

Je hoeft geen gedragswetenschapper te zijn om te weten dat een gemiddeld directielid nerveus wordt als je aan zijn bonus zit. Ik stel voor dat je eens met de firewall beheerder doorneemt hoeveel deuren onbedoeld open staan. Schat eens in hoeveel daarvan het gevolg zijn van snelle projecten, doordrukken en politieke spelletjes.

Gebruik dat getal eens in het volgende gesprek met de directie over security. Laat hem zelf dan aangeven wel deel hij van zijn bonus bereid is in te leveren per open deur! Kijk deze week samen met directieleden ook even op ‘week van het geld’.

Wees wel snel want de malware draait al in stealth mode in je netwerk!

Succes met opvoeden.

Over BYOD én Cybersecurity gesproken!

Onsight IT Security Congres, 22 mei 2012 


Op 22 mei spreek ik op het IT Security Congres 2012 van Onsight in het Gelredome over Secure Bring Your Own Device. In de recente artikelen ga ik vaker in op Bring Your Own Device, Het Nieuwe Werken en het bijbehorende gebruikersgedrag. Voor veilige omgang met vertrouwelijke gegevens worden organisaties teruggeworpen op de individuele gebruiker. Bring Your Own Device is hier in mijn ogen de belangrijkste oorzaak van! 


Daarnaast zal ik de aftrap geven van de round table over Cybersecurity. Hierover heb ik vorig jaar bij het Heliview Congres Cybersecurity de presentatie Cybercrime - complexe materie vraagt om pragmatische aanpak gegeven. 


Kijk op http://onsight.nl/congres en meld je aan!

Het Nieuwe Werken - Lekken in cyberspace

In de Justitiële Verkenning ‘Veiligheid in Cyberspace’ van begin maart wordt in het artikel ‘Het lekken van geheimen in Cyberspace’ van J.H. Maat beschreven welke gevolgen ontstaan voor de veilige omgang met vertrouwelijke informatie bij Het Nieuwe Werken. Allereerst legt hij uit hoe rubricering van informatie werkt.

Mooi daarin is het foutief rubriceren van informatie dat leidt tot lekken. Onterecht niet-gerubriceerde informatie wordt onvoldoende beveiligd en is onbedoeld kwetsbaar voor lekken. Te hoog gerubriceerde informatie wordt onterecht te zwaar beveiligd waardoor het ‘te vertrouwelijk’ wordt en daarmee aantrekkelijker om te lekken. Maat geeft aan dat geschat wordt dat 50% - 95% van de informatie onjuist is gerubriceerd   (Lemstra e.a., 2005, p.26-27;Curtin, 2011, p.20).

Bedenk daarbij dat het classificeren van data (rubriceren) zo ongeveer de moeilijkste opgave is binnen security. Vind maar eens een eigenaar die zich eigenaar voelt (en er naar handelt). Vervolgens moet je hem ook nog eens een uitspraak laten doen over de waarde van de informatie. Nee, die classificatie en BIV-coderingen bedenkt de IT-afdeling wel!

Verderop in het artikel van Maat staat aangegeven dat er drie problemen zijn die ten grondslag liggen aan het lekken van vertrouwelijke informatie:

·         Het volume aan vertrouwelijke informatie: er wordt steeds meer informatie digitaal opgeslagen.

·         De toegang tot vertrouwelijke informatie: autorisatie van informatiesystemen blijft een probleem voor veel organisaties.

·         De mobiliteit van vertrouwelijke informatie: verhoogde capaciteit van gegevensdragers en een sterke toename van email en internetgebruik spelen hierbij een rol.

Deze drie basisproblemen zijn volgens Maat eveneens karakteristiek voor Het Nieuwe Werken. En daar sluit ik me volledig bij aan! 


Tijdsonfahankelijk en plaatsonafhankelijk informatieverwerken brengt met zich mee dat organisaties sterk moeten vertrouwen op de kwaliteiten van hun medewerkers. Die moeten in staat zijn om zelfstandig bewust keuzes te maken bij het verwerken van vertrouwelijke informatie buiten kantoorlocaties en buiten kantoortijden. Kortom, ze zullen individueel ‘risicomanagement op de werkplek’ moeten kunnen uitvoeren.

Dit heb ik al beschreven in mijn blogpost ‘Security en Het Nieuwe Werken’.  

Mag vertrouwelijke informatie überhaupt buiten de deur komen? Of maken we gebruik van encrypted USB-sticks om informatie veilig buiten de organisatiegrenzen te kunnen vervoeren? Je ziet dit overigens vaak gebeuren. Er vindt geen classificatie of rubricering van data plaats, maar het transport naar een onveilige locatie wordt beveiligd door gebruik te maken van encrypted USB-sticks. Dat die (vertrouwelijke) informatie vervolgens op een onveilige locatie (Starbucks, thuis, …) op een onveilig systeem (thuis-pc, privé tablet, …) wordt verwerkt, daar wordt aan voorbij gegaan. Kortom, de juiste afweging wordt niet gemaakt in mijn ogen!

Maat geeft verder aan dat ‘veilig faciliteren' mogelijk is. Het opzetten van een private cloud en toepassing van Virtual Desktop Infrastructure kunnen hierbij een positieve rol spelen. Een allesbepalende factor in Het Nieuwe Werken blijft de aandacht voor risico’s bij de medewerkers zelf. Maat geeft dit eveneens aan. Hij spreekt wel over de ‘practical drift’ waarbij de aandacht en de discipline kunnen verslappen en er risicovolle situaties ontstaan. 


Een bijkomende maatregel bestaat in de klokkenluidersregeling waar anoniem misstanden kunnen worden gemeld. Een goede klokkenluiderregeling kan het minder aantrekkelijk maken om misstanden te lekken naar de buitenwereld. Toepassing van het vierogen-principe draagt bij aan een betere classificatie van data.

Zelf ben ik van mening dat het monitoren van gebruikersgedrag een goede maatregel is. Dit moet natuurlijk goed overlegd worden met de medewerkers (OR, privacy, CBP, ‘Goed werken in netwerken’, …). Maar het stelt de organisatie in staat om op basis van terugkoppeling via managers of teamleiders een open gesprek te voeren over verantwoord risicobewust gedrag, gecombineerd met alle voordelen van Het Nieuwe Werken. 


Hierdoor maak je gebruik van een van de basisprincipes van Het Nieuwe Werken: verantwoordelijkheid bij de medewerker. Dat is mooi, dan sla je als Security Officer twee vliegen in één klap: je verdeelt de verantwoordelijkheid voor security organisatiebreed en je maakt aanspraak op afdelingsbudgetten om security bekostigd te krijgen.

Blijf alert! De volgende blogposts wijd ik aan enkele andere artikelen uit de Justitiële Verkenning ‘Veiligheid in Cyberspace’. Geef je op om per email op de hoogte gehouden te worden of volg de blog door je aan te melden in de rechterkolom.

Ik ben overigens zeer benieuwd welke mening jijzelf hebt over security binnen Het Nieuwe Werken! Reageer! Alvast bedankt. 

Je data is écht veilig

De Sunday Times heeft 70 apps voor smartphones onderzocht op het verzenden van vertrouwelijke informatie. Door gebruik te maken van  ‘MiddleMan’ is gebleken dat 21 apps vertrouwelijke data verzonden (telefoonnummer, emailadressen, locatiegegevens, smartphone-ID, …). We kijken er natuurlijk niet van op dat gebruikers achteloos de voorwaarden accepteren. Maar de bepalingen voor het verzamelen van allerlei informatie zijn veelal onderin weggestopt door de producent/leverancier van de apps.

Verzamelen van de data is nog tot daar aan toe. Maar de voorwaarden maken niet duidelijk waar die data naartoe gezonden wordt. De Sunday Times geeft aan dat de data onder andere naar China en India gestuurd worden. De European Data Protection Directive geeft aan dat vertrouwelijke data niet naar landen buiten de Europese economische grenzen gestuurd mogen worden. Tenzij die landen er een ‘vergelijkbare’ wet-/regelgeving met betrekking tot privacy  op na houden. Dit geldt tot op de dag van vandaag niet voor China en India.

In mijn vorige blog schreef ik over de immense hoeveelheid apps die er te downloaden zijn in de appstore.

Vijfhonderdvijfentachtigduizend!

Daarbij wees ik ook op de gevaren voor het gehele ecosysteem van appstores die door Enisa in kaart gebracht zijn (meer dan 65 risico’s).

We weten dus nu van 21 apps dat er vertrouwelijke data verzameld wordt, waarvan enkele data naar China en India sturen. Dat brengt de totale blinde vlek op 584.979 apps en 64 risico’s die we nog niet helder hebben.

Kortom, Bring Your Own Device is een echte uitdaging voor de IT-afdeling, het security team, de juristen en HR binnen jouw organisatie!

Ik wil je echter ook wijzen op de positieve kant van dit verhaal. 

Vorige week vond het jaarlijkse Mobile World Congress plaats in Barcelona. Naast allerlei mooie gadgets presenteerde de GSM Association (GSMA) richtlijnen voor ‘Privacy-by-Design’ voor mobiele ontwikkelaars.  De GSMA stelt dat iedere gebruiker privacy op zijn eigen manier beleeft (verwachtingen, behoeften, eisen, bezwaren, …). Daarmee moet op een proactieve manier vanaf het ontstaan van een app rekening gehouden worden.

De GSMA wil de richtlijnen laten adopteren door bijna iedereen in de gehele ecosysteem van de appstores: ontwikkelaars, fabrikanten van apparatuur, leveranciers van platformen en operating systems, mobiele providers, adverteerders en data analytics. Vodafone, Orange en Deutsche Telekom hebben al toegezegd deze richtlijnen te zullen naleven. De verwachting is echter dat Apple, Google, Microsoft en RIM deze richtlijnen niet gemakkelijk zullen adopteren omdat ze soms haaks staan op de business modellen van deze giganten.  

De richtlijnen van GSMA bevatten enkele goede suggesties:

·         Stel apparatuur default in op de beveiliging van privacygevoelige gegevens.
·         Geef gebruikers de controle over herhaling van het gebruik van persoonlijke informatie (niet éénmalig dus).
·         Laat gebruikers instemmen bij updates. Voer geen ‘heimelijke’ updates op de achtergrond uit.  

De vraag is of de veiligheid van (persoonlijke) vertrouwelijke informatie door deze richtlijnen wordt vergroot?

Het ecosysteem rondom de appstores bestaat uit vele individuele ontwikkelaars. Tel daarbij de kans dat de ‘app-giganten’ de richtlijnen zullen adopteren op. Gelet op de grote aantallen apps en de andere risico’s blijft er realistisch gezien een risicovolle situatie over.

De richtlijnen van GSMA dragen sterk positief bij maar ik ben er van overtuigd dat iedere organisatie moet nadenken over de apps die ze toe willen laten op mobiele apparatuur. Het opstellen van een app-whitelist is een realistische overweging.

Ikzelf werk al meer dan 20 jaar op het snijvlak van organisatie en IT. Daarvan richt ik me de laatste 12 jaar op security. 

Security en Het Nieuwe Werken

Controle en vertrouwen

Nederland loopt wereldwijd voorop als het gaat om Het Nieuwe Werken. Intensief worden gebouwen en werkplekken aangepast aan de flexibele werkstijl. Soms met een eenzijdige aanpak op alleen de fysieke elementen (bricks & bytes), soms met een uitgebreidere aanpak waarbij ook zachtere aspecten van Het Nieuwe Werken worden meegenomen (behaviour). De uitdaging ligt in het ‘loslaten en verbinden’, maar daarbij moeten de medewerkers wel aangestuurd en vertrouwd kunnen worden.

Van oudsher worden medewerkers gecontroleerd op de voortgang van hun werk. Daarbij komt dat de politiek en wet- & regelgeving steeds meer de nadruk op controle van de bedrijfsvoering leggen. Het Nieuwe Werken vraagt echter om los te laten en te vertrouwen. Maar is dat realistisch in de situatie waar compliance en governance de druk voor controle opvoeren?

Een belangrijk element van de dagelijkse activiteiten is de kwaliteit van de dienstverlening aan de klanten. Dat betekent dat er bekwame professionals nodig zijn om het werk uit te kunnen voeren. Binnen de muren van het kantoor kan een manager met situationeel leiderschap prima de kwaliteit van het werk sturen. De doorgewinterde professional wordt vrijgelaten om op basis van zijn eigen verantwoordelijkheidsgevoel en ervaring zijn werk te doen. De minder ervaren collega kan, gecoacht door de manager, ook zijn werk op het benodigde kwaliteitsniveau afleveren.

De vraag is of onder Het Nieuwe Werken situationeel leiderschap zijn waarde verliest. Ja, er moet gestuurd worden op resultaat. Maar nee, niet iedere medewerker heeft voldoende verantwoordelijkheidsgevoel of ervaring om individueel zijn werk goed af te krijgen. Dat betekent dat een manager de medewerker op een positieve manier moet ondersteunen en/of coachen. Zo kan uiteindelijk die medewerker, onder de voorwaarden van Het Nieuwe Werken, toch zijn werk goed doen. Soms moeten managers dus hun medewerkers tussentijds kunnen controleren op de voortgang en kwaliteit van hun werk. Alleen dan is het mogelijk om de medewerker professioneler en meer verantwoordelijk te maken. Controle is dus wel nodig, maar het moet een positief doel nastreven.

Hetzelfde geldt voor het organiseren van security ‘rondom de medewerker’. Hier bedoel ik mee dat bij Het Nieuwe Werken we niet meer kunnen volstaan met het beveiligen van de infrastructuur. De data van de medewerker is straks opgeslagen in de cloud. De verbinding tussen de medewerker en de data wordt niet beheerd door de IT-afdeling. Kortom, de securityfuncties (zoals firewall, anti-virus, IPS, …) moeten rondom de medewerker georganiseerd worden. Die bepaalt waar hij is, op welke manier hij de data benadert en in de ultieme situatie waar de data is opgeslagen.

Bij de toegenomen vrijheid van de individuele medewerker hoort een grotere verantwoordelijkheid. De vakinhoudelijke kwaliteiten van medewerkers kan veelal goed worden ingeschat. Echter de mate waarin bewust verantwoordelijk wordt omgegaan met vertrouwelijke informatie is veel moeilijker in te schatten. Daar bestaan geen richtlijnen voor. Het loslaten van een vakinhoudelijk bekwame medewerker is vaak al moeilijk voor managers. Dat houdt in dat het loslaten van medewerkers, die zich niet bewust zijn van de risico’s, nog veel moeilijker moet zijn voor managers.

Feit is dat managers zich vaak ook niet bewust zijn van de risico’s die ze lopen bij het werken met vertrouwelijke informatie. Er is dus geen fundament voor loslaten en vertrouwen als het gaat om de privacy van klantgegevens, patiëntgegevens, financiële gegevens of persoonlijke gegevens. De medewerkers moeten zich van moment tot moment bewust zijn van het werken met privacy gevoelige informatie. Dat zijn ze binnen de kantoormuren nauwelijks gewend, laat staan als ze thuiswerken of bij Starbucks aan het werk zijn.

Dit alles houdt in dat de medewerkers stevig ondersteund moeten worden om bewust te kunnen handelen bij het verwerken van vertrouwelijke gegevens. Daar hoort een positieve manier van controle bij. Dit is niets anders dan de controle van de managers op de vakinhoudelijke voortgang en kwaliteit van het werk van de minder ervaren medewerker.

Ten slotte komt het neer op een positieve ondersteuning van alle medewerkers als ze aan Het Nieuwe Werken mogen beginnen. Ze moeten, nog meer dan op basis van hun vakinhoudelijke professionaliteit, geholpen worden bij wat ik noem ‘risicomanagement op de werkplek’. Dit kan door een transparante manier van monitoren van het gebruikersgedrag. De organisatie voldoet daarmee aan de compliancyrichtlijnen en de medewerkers kunnen hun werk veilig doen. Belangrijk blijft om op te merken dat het monitoren van gebruikersgedrag gepaard gaat met privacyvraagstukken die aan de hand van de richtlijn ‘Goed werken in netwerken’ van het College Bescherming Persoonsgegevens geadresseerd kunnen worden.