Datamining

Need to know wordt van oudsher beschouwd als het leidende principe bij het inrichten van het beveiligingsaspect vertrouwelijkheid. Het is een heel eenvoudig principe: je mag alleen die data benaderen die je nodig hebt om je werk te kunnen doen. Een gemeenteambtenaar die bouwvergunningen beoordeelt hoeft geen inzage te hebben in de parkeerbonnen die de aanvrager heeft vergaard. Een vracht-afhandelaar op Schiphol hoeft niet te weten welke passagiers in het vliegtuig zitten waarmee zijn container wordt vervoerd. En de treinconducteur hoeft niet te weten welk bedrijf mijn business card betaalt. Zo simpel is dat.

Althans, in de oude wereld. Maar hoe zit dat in de wereld van de big data? Er is dan sprake van een grote bak gegevens waar slimme analisten informatie van proberen te maken. Je weet dat er een speld in de hooiberg zit, maar hoe vind je die? Waarschijnlijk weten die analisten van tevoren niet welke informatie ze met die gegevens kunnen maken. Ze proberen verbanden tussen gegevens te vinden die je met het blote oog niet ziet. Ze ontwikkelen algoritmes die deze verbanden kunnen leggen.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Intermezzo
Het verschil tussen data, gegevens en informatie laat zich gemakkelijk uitleggen aan de hand van een voorbeeld. In ’27 april’ vormen de pixels op je beeldscherm of de inkt op het papier waarop je dit leest de data. Jouw interpretatie van die data als datum maken er gegevens van. En als je die datum in de Nederlandse context plaatst en weet dat we dan Koningsdag vieren, dan spreken we van informatie. Helaas is data in het Nederlands ook de meervoudsvorm van datum.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Dat je vooraf niet weet wat je gaat vinden hoeft nog niet te betekenen dat er zomaar in het wilde weg wordt gezocht. Datamining is gebaseerd op wetenschappelijke technieken zoals beslisbomen, neurale netwerken, rule induction en meer. Het is belangrijk om vooraf een hypothese op te stellen en je resultaten daaraan te toetsen.

Datamining is gebaseerd op statistiek. Een gevleugelde uitdrukking luidt: geen grotere leugen dan statistiek. Daarmee wordt bedoeld dat het gemakkelijk is om statistiek zó uit te leggen dat iedereen denkt dat je gelijk hebt. Een bekend voorbeeld hiervan vinden we aan de roulettetafel. De wetten van de statistiek dicteren dat alle getallen een precies even grote kans hebben om aan de beurt te komen. Nogal wat mensen verbinden daar de conclusie aan dat als de negen al een hele poos niet is gevallen, de kans steeds groter wordt dat dit getal binnenkort aan de beurt komt; anders klopt die statistische wet immers niet meer, zo redeneren ze. Daarbij vergeten ze gemakshalve dat statistiek geen geheugen heeft. Bij iedere trekking staat de teller weer op nul en hebben alle nummers dezelfde kans. Casino’s spelen overigens handig in op dit sentiment door boven de tafel een x-aantal laatst gevallen nummers weer te geven. Als je datamining bedrijft is kennis van statistiek onontbeerlijk. Anders ga je dingen geloven die niet kloppen. Overigens speelt de kwaliteit van de data ook een belangrijke rol. Hoe betrouwbaar zijn ze, zijn ze ontdubbeld, actueel, correct en plausibel?

Maar hoe moet dat nou met die vertrouwelijkheid? Betekent need to know dat je alle gegevens mag zien omdat je in potentie alle gegevens kunt gebruiken? Volgens mijn uitleg in de eerste alinea luidt het antwoord ja: als data-analist heb je toegang tot alle gegevens nodig om je werk te kunnen doen. ‘Toegang tot gegevens’ is echter iets anders dan ‘inzage in gegevens’. Als de eigenaren van de brongegevens ervoor zorgen dat de gegevens aan alle kwaliteitseisen voldoen, dan hoeft de analist niet in de brongegevens te neuzen, denk ik. Althans, niet massaal. Hij zal allicht in beperkte mate willen kijken ‘of het allemaal wel klopt’. Maar hij hoeft zijn ruime autorisaties zeker niet te gebruiken om gericht naar bepaalde gegevens te zoeken.

Data-analisten moeten een goed ontwikkeld gevoel voor informatiebeveiliging en ethiek hebben. Dat laatste is nodig omdat we hun gedrag niet kunnen beïnvloeden met technische maatregelen (beperkte autorisaties). Daarom moet de analist begrijpen – voelen – wat wel en niet in de haak is. Vastlegging van zijn activiteiten en de bijbehorende (!) log-analyse moeten helpen bij de naleving van de ethische en beveiligingsnormen. Want de vertrouwelijkheid van de gegevens moet linksom of rechtsom geborgd zijn.

En in de grote boze buitenwereld …

... recruteren cybercriminelen medewerkers van organisaties om gemakkelijk gegevens te kunnen stelen.
http://www.darkreading.com/vulnerabilities---threats/how-cybercriminals-turn-employees-into-rogue-insiders/d/d-id/1328018?_mc=sm_dr&hootPostID=158548bbdeb418fa6f90653251f000a0

... komen er uiteindelijk wel boetes voor datalekken.
https://blog.iusmentis.com/2017/02/01/natuurlijk-komen-er-boetes-op-datalekken-aan

... spreekt Mikko Hyppönen over ethiek in de informatiebeveiliging.
https://www.youtube.com/watch?v=-CXD8qSPDHo

... komt er bij het verwerken van de stemmen voor de Tweede Kamerverkiezingen geen computer meer aan te pas. De Kiesraad is daar niet helemaal blij mee.
http://www.rtlnieuws.nl/nederland/politiek/vrees-voor-hackers-kabinet-schrapt-software-stemmen-tellen-volledig-met-de-hand
https://www.security.nl/posting/502316/Kiesraad+bezorgd+over+uitslag+zonder+verkiezingssoftware

... konden de gasten van een Oostenrijks hotel hun kamers niet in omdat het pasjessysteem met ransomware was aangevallen. Het verhaal dat gasten in hun kamers zaten opgesloten is echter een broodje aap.
http://www.volkskrant.nl/buitenland/oostenrijks-hotel-slachtoffer-van-hackers-gasten-kunnen-kamers-niet-in~a4455849
http://www.theverge.com/2017/1/30/14438226/hackers-austrian-hotel-bitcoin-ransom-ransomware

... is je Netgear-router mogelijk lek.
http://www.welivesecurity.com/2017/01/31/password-stealing-security-hole-discovered-many-netgear-routers/

... gebruiken phishers tegenwoordig ook Whatsapp en sms om contact met je te maken. [Dit bericht gaat over de ING, maar de genoemde werkwijzen werken ook bij andere banken en bedrijven.]
https://www.ing.nl/de-ing/veilig-bankieren/belangrijke-mededelingen/phishers_gebruiken_nieuwe_contact-methoden.html

... kun je met één sms-bericht een Samsung Galaxy om zeep helpen.
https://hotforsecurity.bitdefender.com/blog/how-a-single-sms-can-break-your-samsung-galaxy-android-phone-17585.html

... legt deze animatie uit wat het Tor-netwerk is en hoe het werkt.
https://www.youtube.com/watch?v=JWII85UlzKw

... werken veel VPN-apps voor Android, die voor veilige verbindingen moeten zorgen, niet goed.
https://arstechnica.com/security/2017/01/majority-of-android-vpns-cant-be-trusted-to-make-users-more-secure/

... volgt hier maar nog eens een lijstje van tien tips voor het beveiligen van je LinkedIn-account.
https://heimdalsecurity.com/blog/linkedin-security-privacy-essential-guide

... kun je je alvast schrap zetten voor bewegende beveiligingsmeldingen.
https://www.security.nl/posting/502105/%22Mensen+reageren+beter+op+bewegende+waarschuwingen%22

... slaan overheid en bedrijfsleven de handen ineen om veilige e-mail te bevorderen.
https://www.security.nl/posting/502301/Overheid+en+bedrijven+lanceren+coalitie+voor+veilig+e-mailen