Wel of niet via Dropbox?

De kracht van de reminder

Vrijdagmiddag kwart voor vijf. Het weekeinde lonkt, nog even de laatste dingen op de post en dan lekker naar huis. Voor je ligt het patiëntendossier dat nog even naar de zorgverlener moet worden verzonden. Ach, even Dropboxen en dan de PC afsluiten…..

Of toch niet?

Waarom twijfel je? Is er iets dat je zegt dat het eigenlijk niet kan?

Hier komt de psychologie van het inschatten van risico’s om de hoek kijken. Je staat voor een denkbeeldige grens en je overweegt daar over heen te stappen. De vraag is waarom je dat impulsief toch niet doet?

Ik ben niet de psychologische professional die dit wetenschappelijk voor je gaat duiden. Laat ik dat alvast helder maken. Toch heb ik een wel een idee. 

Dan Ariely legt in zijn boek The (Honest) Truth about Dishonesty op een leuke manier uit hoe de mens, in conflict met zichzelf, bereid is vals te spelen en/of te misleiden. Dit doet hij o.a. aan de hand van verschillende experimenten die hij zelf, als directeur van het  Center for Advanced Hindsight, met andere onderzoekers heeft uitgevoerd.

Tot mijn verbeelding spreken een aantal onderzoeken.

Psychologie en golf

Het blijkt namelijk uit onderzoek onder golfspelers dat de 'gemiddelde' golfspeler meer bereidheid toont om vals te spelen als de ‘psychologische afstand tot de daad van het valsspelen’ groter is. Zo blijken ze er minder moeite mee te hebben als ze een golfbal een klein beetje verplaatsen met de golfclub. Anders wordt het als ze dat met hun voet zouden doen. Dan komt de wroeging toch al om de hoek kijken. De bereidheid neemt nog sterker af als ze de bal met de hand zouden verplaatsen.

Voor wat hoort wat

Een ander voorbeeld toont de bereidheid tot ‘de waarheid onrecht aandoen’ op basis van wederkerigheid. Deelnemers aan een onderzoek werd gevraagd hun mening te geven over zeer diverse kunstobjecten. Vooraf werd verteld dat hun deelname aan het onderzoek gesponsord werd door één van de twee sponsoren. Bij de kunstwerken werd een logo van één van de sponsoren getoond. Bij navraag bleek dat een groot aantal deelnemers de kunstwerken, waar het logo werd getoond van de sponsor die hun deelname had bekostigd, het mooiste vonden.

Het ging zelfs verder. De deelnemers kregen ook de hoogte van die kosten te horen. Naarmate de deelnemers een hoger bedrag vooraf hoorden werd de groep ‘mooivinders’ van de betreffende kunstwerken groter.

Wederkerigheid doet dus rare dingen met mensen.

Wederkerigheid is trouwens ook één van de beïnvloedingsprincipes die Cialdini heeft vastgesteld zie zijn boek ‘Influence’. En daar wordt dankbaar gebruik van gemaakt door social engineers. 

Erecode

Een laatste onderzoek van Dan Ariely, dat ik bijzonder vind, gaat over erecodes. Het komt er op neer dat studenten eerlijker zijn als ze bij hun tentamens vooraf een statement opstellen dat ze niet zullen afkijken. Een erecode vooraf werkt beter dan een erecode die plichtsmatig achteraf moet worden ingevuld. Ariely heeft dit op verschillende universiteiten onderzocht. Zowel universiteiten waar een uitgebreid systeem van erecodes van kracht is (Princeton), als universiteiten waar geen uitgebreid systeem van erecodes geldt (MIT, Yale). In beide gevallen helpt het om vooraf een erecode door de studenten zelf te laten opstellen. Eerlijkheid is te sturen!

Een analogie ligt verborgen in de wereld van de slotenmaker. De sloten op deuren zijn doorgaans eenvoudig te forceren. Dit is ook gebaseerd op dezelfde psychologische aspecten van de bovengenoemde erecodes. Het heeft geen zin om sloten extra sterk te maken. 

• Vijf procent van de bevolking wil koste wat het kost naar binnen. Die komen toch wel binnen, ongeacht de sterkte of complexiteit van het slot. 
• Vijf procent wil echt niet naar binnen en loopt gewoon door. Waarom zou je daarvoor überhaupt een slot op je deur zetten? 
• Nee, het slot is bedoeld voor de overige negentig procent die twijfelt. Het zien van het slot is genoeg om ze door te laten lopen. De ‘erecode’ in de vorm van het slot werkt daar ook positief.

De vraag is natuurlijk wat dit te maken heeft met het gebruik van Dropbox, vrijdagmiddag laat? Dat draait toch niet om valsspelen of misleiding?

Het gaat mij voornamelijk om de werking van de erecodes. Voordat je de vertrouwelijke informatie via Dropbox verzendt zou je jezelf moeten afvragen of het past binnen je eigen principes, normen en waarden. Maar wat helpt je op dat moment bij die afweging?

Ik moet dan denken aan een ballon. Klinkt gek misschien, maar stel je het volgende voor.

Pak een ballon en blaas die een klein stukje op. De omvang van de ballon is het risicoprofiel van de organisatie waar je werkt. De dikte van materiaal staat voor de goede bescherming. Blaas na iedere volgende stap de ballon verder op.

• Terug naar 2010 toen de eerste iPad op de markt verscheen. De directeur had er een aangeschaft en stond voor de helpdesk. ‘Sluit me aan, ik wil hier mijn mail op kunnen lezen’. Daarna ging het snel en mocht iedereen met (eigen) tablets hun mail ontvangen. Zonder nadenken werd het risicoprofiel van de organisatie opgeblazen. De bescherming werd dunner (dikte van het materiaal).
• Bij Het Nieuwe Werken mag iedereen overal en op ieder moment werken. Bij Starbucks, in de trein, thuis en op de fiets verwerkt iedereen (vertrouwelijke) informatie. Zonder goede beveiligingsoverwegingen wordt ook hierdoor het risicoprofiel verder opgeblazen. De bescherming wordt nog dunner.
• Het gebruik van cloud applicaties neemt hand over hand toe. Ook hierbij wordt de beveiliging nauwelijks meegewogen. Wederom een toename van het risicoprofiel. En de beveiliging wordt weer dunner.
• Het gebruik van sociale media neemt ook toe. Weer geen goede afweging van de risico’s. Het risicoprofiel neemt enorme proporties aan. De beveiliging is zo dun dat je er bijna doorheen kunt kijken.

Intussen heb je een grote ballon met een bijna transparante buitenkant. Kun je er inderdaad al doorheen kijken?

Blaas gerust nog even door. Net zo ver totdat ….

Niet? Ben je bang? Durf je het risico niet aan?

Mooi, dan heb je zojuist je eigen grens aan ‘acceptabel restrisico’ ontdekt. Noem het risico management in een notendop. 

Ik stel me zo voor dat je iedere keer, als je op het punt staat om vertrouwelijke informatie te verzenden, in gedachten de ballon opblaast. Het appelleert volgens mij aan de grens die jezelf net getrokken hebt bij het opblazen van de ballon.

Aanvullend lijkt het me goed dat je tegelijk jezelf afvraagt of je de verzending met je eigen gegevens ook zou doen. Naast de ballon als ‘erecode’ is dat het tweede element uit de onderzoeken van Dan Ariely dat volgens mij positief bijdraagt. De ‘psychologische afstand’ tot de vertrouwelijke gegevens maak je op die manier kleiner.

Nogmaals, Ik ben niet de psychologische professional die dit wetenschappelijk aantoonbaar heeft gemaakt. Toch vind ik de analogie met de beschreven onderzoeksresultaten en het proces van risico management treffend. Wellicht helpt het je om de juiste beslissingen te nemen op zo'n late vrijdagmiddag.  

Veel succes met je Dropbox-account en je eigen persoonlijke vertrouwelijke gegevens.  Koop vandaag of morgen trouwens nog even een paar ballonnen!

Is de identiteit van medewerkers, klanten en patiënten veilig achter de staldeur?

Gegevens vliegen de deur uit. Ook die van jouw klanten, patiënten en medewerkers?

Op basis van Pobelka is 750GB data onfutseld aan overheidsinstellingen en het bedrijfsleven. Daar zitten ook inlogcodes, wachtwoorden, persoonlijke informatie en creditcard gegevens bij. Door onduidelijke toewijzing van taken, bevoegdheden en verantwoordelijkheden opereert het Nationale Cyber Security Center in een vacuüm. Als je gegevens ontvreemd zijn, en als dat bekend is, kan of wil het NCSC daar te weinig mee doen.

Vertrouwelijke gegevens zijn binnen de muren van jouw organisatie niet meer veilig. Veel organisaties, vergelijkbaar met die van jou, beveiligen de koppeling aan het internet met een staldeur.

Dat is verre van toereikend, bewijst Pobelka maar weer. Dus gaan die organisaties investeren in betere voordeuren. Feit is echter dat de gegevens op allerlei andere manieren het pand verlaten. Tel het aantal clouddiensten bij jou in de organisatie maar eens op. Vermenigvuldig die met het aantal eigen tablets en smartphones. Maak een inschatting van de bewuste medewerker.

Die rekensom vertelt je dat het risicoprofiel van jouw organisaties enorm is opgeblazen. Daarbij komt de grensvervaging tussen binnen en buiten en de vermenging van werk en privé. Gegevens verlaten het pand op allerlei onbeheersbare wijzen. Erger nog, het pand bestaat niet meer!

Er is een schaduwinfrastructuur ontstaan van werkplekken, systemen, netwerken, clouddiensten, apps en storage waarop de organisatie geen vat meer heeft.

Waar leg jij het zwaartepunt van security in de beschreven situatie? Er zijn echt nog wel betere voordeuren nodig. Kies dan echter wel een oplossing die op basis van eenduidige policies de beveiliging van IT-infrastructuur én endpoints realiseert. Val niet voor de blauwe ogen van de commercianten van ‘Wij-van-WC-eend’. Die zien jouw organisatie alleen maar als toiletpot die zij wel even schoon zullen maken. Risicoanalyse zegt dat je risico niet alleen in de perimeter zit.

OK, dus niet alleen een staldeurupgrade!

De organisatie heeft geen grip op de schaduwinfrastructuur. De medewerkers daarentegen wel. Op grond van de ideeën van het Jericho-forum is enkele jaren geleden al aangegeven dat beveiliging van data en identiteit leidt tot een effectievere beveiliging van vertrouwelijke gegevens. Er ontstaat een nieuwe perimeter, identiteit!

De organisatie moet dan ook op zoek naar een manier om naadloos beveiligde toegang te bieden tot vertrouwelijke zakelijke gegevens in verschillende SAAS-oplossingen, en tot privégegevens van medewerkers in clouddiensten (dropbox, drive, …). Dan komt al vlug Federated Identity Management om de hoek kijken. Maar hoe krijg je als organisatie al die cloud providers op één lijn?

Diverse organisaties hebben natuurlijk al veel tijd gestoken in Identity Access Manegement projecten toen er nog geen schaduwinfrastructuur bestond. Ik kan me voorstellen dat menig directielid de wenkbrauwen fronst bij de budgetaanvraag voor een nieuw IAM-project. Wellicht dat standaarden als SAML en OAuth een rol van betekenis kunnen spelen in de zoektocht naar goed Identity Management. Wel zullen cloud providers mee moeten bewegen. Niet iedere partij is daartoe in staat. Zoek dus de juiste partijen die bereidwillig zijn om ook jouw gegevens veilig te houden.

Een bijkomend aspect van de nieuwe identiteitsperimeter is de context waarbinnen die identiteit van kracht is. Thuis, op een eigen apparaat, is de identiteit van het directielid snel afgezwakt. Moet hij dan alle autorisaties krijgen die op kantoor wel gelden?

Kijk echter niet te holistisch naar identiteit. Neuro Linguistisch Programmeren biedt met logische niveaus van Bateson een mooie kijk op de verschillende niveaus van identiteit. Het start onderaan met omgeving. Of de andere niveaus van toegevoegde waarde zijn voor het vaststellen van toegangsrechten betwijfel ik echter.   

Daar sta je dan. Een half opengezwaaide staldeur, een schaduwinfrastructuur en de wetenschap dat je straks geen pand meer hebt waarbinnen gegevens beveiligd hoeven te worden.

Ga jij die perimeter ‘identiteit’ de prioriteit geven die het verdiend? Of ga je toch voor een staldeurupgrade? Wellicht ga je allebei doen. Ik kan me wel vinden in de laatste.

Mocht jij het totaal niet meer zien zitten als beveiliger dan verwijs ik je naar de Paardenkamp. Kijk uit voor al die staldeuren!