Op Security.nl stond een bericht over Tibetaanse monniken die digitale veiligheidslessen krijgen. Ik dacht direct: zou voor de rest van de wereldbevolking ook wel goed zijn, daar hoef je geen Tibetaanse monnik voor te zijn. Gewoon, een beetje nadenken bij wat je doet als je achter je computer zit, of als je informatie verwerkt.

Je mag tenslotte ook niet zomaar met een auto de weg op, je moet eerst weten hoe je met zo’n gevaarte om moet gaan, omdat er anders ongelukken gebeuren. Met een computer (maar ook in het omgaan met “fysieke” informatie) is het niet anders. Ik heb wel vaker gepleit voor verplichte training voordat je de digitale snelweg op gaat.

Vraagje: Is er binnen jullie bedrijf wel eens aandacht voor security? Staat het op de agenda in je afdelingsoverleg? Denken je collega’s na over de risico’s die de organisatie loopt? Heb je wel eens met het team een sessie “herken de phishing mail” gedaan?

Alleen al met elkaar er over praten helpt al enorm. Bij awareness-trainingen hoor ik heel vaak opmerkingen als “goh, nooit over nagedacht” of “ja, eigenlijk heel logisch dat je nadenkt bij wat je doet. Maar nu ik de risico’s ken, snap ik ook beter waarom het belangrijk is”.

Ken je de risico’s van je organisatie? En weet je of je medewerkers voldoende bagage hebben om met de risico’s om te gaan? Met een kleine inspanning kan al veel resultaat worden behaald!

Laatst was ik op bezoek op een vliegveld in een Afrikaans land. En dat was voor een informatiebeveiliger flink afzien. Niet vanwege de temperatuur, die was geweldig. Maar wel vanwege datgene wat ik aantrof. Netwerkkabels kriskras door het gebouw. Kabels letterlijk aan elkaar geknoopt. Een nagenoeg onbeheerd netwerk. Pc’s met de meest wazige software erop; het meeste niet-werkgerelateerd uiteraard. Mensen hadden echt vanalles op hun pc geïnstalleerd. Ik heb nog nooit zoveel “handige” toolbars bij elkaar gezien. Mensen die klikken op iedere link. (Ik dacht eigenlijk dat phishing mails vanuit Afrika naar Nederland worden gestuurd vanwege het feit dat Afrikanen er niet in trappen. Niets is minder waar, ook in Afrika worden te pas en te onpas bijlagen geopend en op “opportunistische links” geklikt.) Ik ga er vanuit dat het hele vliegveld volledig gecompromitteerd is door hackers. En de medewerkers op het vliegveld maar roepen dat ’t allemaal zo traag is, dat printers niet meer werken en dat pc’s het vaak niet doen… Sja, geen commentaar. Of juist wel eigenlijk…

Ik heb me de laatste tijd af zitten vragen of we hier iets van kunnen leren. En dat kunnen we mijns inziens zeker! Een strakke beheerorganisatie is zo gek nog niet. Dichttimmeren dat netwerk; alleen goedgekeurde applicaties toestaan en voor de rest geen mogelijkheden geven om software te installeren. Voorwaarde is uiteraard wel dat goed is nagedacht over de informatievoorziening. Degelijk informatiemanagement is daarom een vereiste op het moment dat je gebruikers gaat beperken in bevoegdheden.

Maar dat niet alleen. Ik pleit voor een examen wat mensen met goed gevolg moeten afleggen voordat ze op internet mogen. Of eigenlijk überhaupt een computer mogen bedienen. Er zijn meerdere initiatieven, zoals het European Computing Driving License. (Er is ook een Amerikaanse versie, een Afrikaanse versie zou welkom zijn). De gedachte hierachter is dat je zonder dit rijbewijs niet de digitale snelweg op mag. Anders krijg je ongelukken.

Het hebben van een autorijbewijs is geen garantie dat je geen ongeluk krijgt, maar de kans op ongelukken is een stuk kleiner als iedere chauffeur weet hoe je een auto moet bedienen en zich ook nog eens aan (dezelfde) regels houdt. Als je dat namelijk niet weet en doet, is een auto feitelijk een levensgevaarlijk moordwapen. Het wordt meer en meer duidelijk dat dit voor het bedienen van een computer ook geldt.

Gezien de enorme digitalisering van onze maatschappij, leidt het op grote schaal foutief bedienen van computers tot enorme schade. Denk maar aan de DDoS-aanvallen op de Belastingdienst, ING, SNS Bank, ABNAMRO, KLM en DigID de laatste tijd. Laatst las ik op security.nl een quote dat het internet inmiddels een oorlogsgebied is geworden. Gezien de initiatieven van zo’n beetje alle landen op het gebied van cybercrime en cyberwar is dat nog niet zo’n gek statement. Het verontrustende is dat argeloze gebruikers in hun ontwetendheid een pion worden in deze digitale oorlogsvoering.

Het hele rijbewijs hoeft voor mij overigens niet hoor. Maar het volgen en begrijpen van de security-module (op de pagina onderaan) zou voor veel wereldgenoten geen overbodige luxe zijn. Een idee van de onderwerpen:

Beveiligingsbegrippen:
– Kan gegevensbedreigingen kennen en herkennen;
– Kan waarde van informatie begrijpen en bewaken;
– Kan persoonlijke beveiliging bewaken en beschermen;
– Kan bestandsbeveiliging bewaken en beschermen.

Malware
Weet de definitie en functie van Malware en kan soorten Malware herkennen, de werking begrijpen en de werking van bescherming begrijpen.

Netwerkbeveiliging
– Het weten wat een netwerk inhoudt en de functies hiervan kennen
– Netwerkverbindingen en de consequenties voor beveiliging weten
– Draadloze beveiliging en de consequenties voor beveiliging kennen
– Toegangsbeheer begrijpen en deze kunnen toepassen

Veilig internetgebruik
– Surfen op het internet en de gevaren begrijpen, voorzorgen kunnen nemen

Communicatie
– De gevaren van e-mail begrijpen en voorzorgen kunnen nemen
– De gevaren van Instant Messaging begrijpen en voorzorgen kunnen nemen

Dit lijkt me toch minimaal basiskennis voor verantwoord gebruik van IT-middelen. En nee, ik heb geen aandelen bij het ECDL.

Weten jouw collega’s en vrienden je pincode al? Echt niet? Vind je dit zo’n rare vraag dan?

Natuurlijk is dit een rare vraag. Wie geeft er nu zijn pincode weg. Dat doe je toch niet? Je hebt gelijk, dat zou ik zelf ook nooit doen. Niemand weet mijn pincode en ik ken niemand die zijn pincode met collega’s of anderen deelt.

Maar waarom doe je dat eigenlijk niet? Wel eens over nagedacht? Het heeft te maken met je “digitale” identiteit. Je identiteit die hoort bij je bankrekening. Zonder je pas heeft niemand iets aan je pincode, maar zonder je pincode heeft ook niemand iets aan je pas. Eigenlijk zijn je pas en je pincode je digitale identiteit bij de geldautomaat. Je bankpas zegt wie je bent en je pincode bevestigt wie je zegt dat je bent, zodat de geldautomaat het gevraagde bedrag uitkeert. Logisch dus dat je je pincode én je pas voor jezelf houdt.

Eigenlijk best een interessant ding: zo’n digitale identiteit. We hebben er allemaal mee te maken en we hebben er inmiddels één of meerdere van. Denk maar eens aan je digitale identiteit op Facebook, Gmail of Hotmail, maar ook je DigID om je belastingaangifte mee te doen of om de kinderbijslag mee te regelen.

Hoe zit dat dan met je wachtwoord (lees: je pincode om op Facebook of DigID te komen)? Geef je zomaar je Facebook-wachtwoord aan een collega? Of het wachtwoord van je Gmail of Hotmail? Of je DigID? Natuurlijk niet, dat doet niemand toch? De reden is vergelijkbaar met het geheimhouden van je pincode: je wilt niet dat mensen zich als jou voordoen en namens jou allerlei berichten de wereld insturen, zonder dat jij daar invloed op hebt.

Hoe is dat op je werk? Heb je daar ook een digitale identiteit? Jazeker, je gebruikersnaam en wachtwoord zijn jouw digitale identiteit op het netwerk en binnen je applicaties. Navraag bij werknemers binnen veel verschillende organisaties leert dat verbazingwekkend veel collega’s elkaars wachtwoorden kennen. Gewoon, omdat dat makkelijk is. Maar is dat echt nodig?

Als we zo zuinig zijn op onze privé-identiteiten, waarom dan niet op het werk? Houd er rekening mee dat je activiteiten op het netwerk en binnen je applicaties worden bijgehouden (gelogd). Deze logs zijn gekoppeld aan jouw gebruikersnaam, dus je digitale identiteit. Stel dat je collega onder jouw naam onbewust een foutje maakt, met allerlei gevolgen voor jouw bedrijf, klanten of medewerkers, toon dan maar aan dat jij het niet geweest bent. Kun je de gevolgen overzien? Zeker met de steeds verdergaande digitalisering (we gaan steeds meer digitaal werken) is het belangrijk dit te realiseren.

Je wachtwoord is tenslotte als je pincode, die leen je ook niet uit…