Die ochtend werd Rik wakker, draaide zich om in bed en greep toen snel de rand van het bed vast, want hij voelde G-krachten die er in werkelijkheid helemaal niet konden zijn, hij lag immers in bed. Rik was duizelig, en niet zo’n beetje ook. Later die dag begonnen z’n darmen ook nog op te spelen, en wel aan beide uiteinden, als je snapt wat ik bedoel. Het werd een beroerde zondag.
Omdat Rik de volgende ochtend nog steeds duizelig was, belde hij met de
huisarts. Die vertelde wat Rik ook al had gelezen: deze symptomen kúnnen duiden
op covid. Testen dus, was het devies. En zo belde Rik naar de coronatestlijn
van de GGD. Na het opdreunen van BSN, geboortedatum en nog meer
persoonsgegevens kreeg hij te horen dat hij zich nog die middag kon laten
testen. “Alleen nog even een paar vragen: bent u verkouden? Hoest u? Hebt u
koorts? Benauwdheid? Verlies van reuk en/of smaak? Nee, allemaal niet? Dan kan
ik helaas geen afspraak voor u maken, het spijt me.” “Ja maar, de huisarts…”. “Sorry
meneer, ik kan niets voor u doen.” Een typisch geval van computer says ‘no’.
En toch kreeg Rik even later een bevestigingsmail voor zijn afspraak.
Oh, die dame heeft zeker over haar hart gestreken en de afspraak alsnog
doorgedrukt, dacht hij. En dus liet hij zich later die dag naar de teststraat
brengen. De portier kon Rik echter niet vinden in de computer. Daar deden ze verder
niet moeilijk over, alleen: zonder haakje in de computer konden ze nergens
testgegevens aan ophangen. Of Rik dus even ter plekke naar de coronalijn wilde
bellen voor een nieuwe afspraak. Maar dan mocht hij er wel even tussendoor, hij
was er nu toch. En dus belde Rik andermaal. De afgezegde afspraak was nog
zichtbaar, en dus moest Rik met de billen bloot. De dame aan de andere kant was
vriendelijk, doch onverbiddelijk: duizeligheid kwam niet voor op haar lijstje
en dus kon ze geen afspraak maken. Nee, aan de huisarts hadden ze daar geen
boodschap. En ook niet aan het feit dan vanaf 1 december zelfs mensen zonder
klachten getest mochten worden.
Rik had het bijna opgegeven, maar toen kreeg hij een ingeving. “En wat
als ik nu een hoestaanval krijg?” “Dan,” antwoordde de GGD’ster na een lichte
aarzeling, “maak ik nu een afspraak voor u.” En dus hoestte Rik voor de vorm
een paar keer in zijn telefoon. Vijf minuten later wroette iemand met een
wattenstaafje in Riks hersenen (die stokjes zijn zó lang hè) en keelholte en de
volgende ochtend wist hij dat hij geen corona had.
In de informatiebeveiliging werken we met white- en blacklists,
tegenwoordig ook wel allow- en denylists genoemd. Op de eerste staat
wat wel mag, op de tweede wat niet mag. Afhankelijk van hoe je het inricht, mag
iets wat op geen enkele lijst staat standaard niet of juist wel. Een voorbeeld
hiervan is de wijze waarop wij met onze zakelijke werkplek het internet
betreden. We mogen overal naar toe, behalve naar sites die in bepaalde
categorieën vallen, zoals gokken, porno en bestandsuitwisseling. Die
categorieën – en daarmee alle sites die erin vallen – staan op de blacklist.
Soms komt het echter voor dat een medewerker een goede, zakelijke reden heeft
om tóch een geblackliste site te bezoeken. Dan kan hij een verzoek indienen;
als dat positief wordt beoordeeld, dan komt die site op de whitelist. Andersom
kan ook: als bekend wordt dat een site, die normaliter bona fide is, door een
hack opeens malware verspreid, dan wordt die site tijdelijk op de blacklist
gezet en kan niemand er meer bij.
In tegenstelling tot het coronatestgebeuren kennen wij dus wél
uitzonderingen en ontheffingen. En dat is ook goed zo. Je kunt geen organisatie
runnen en daarbij in alle gevallen star aan de regeltjes vasthouden. Als iemand
een erg goede reden heeft om van de regels af te wijken, dan moet dat kunnen.
Met een risicoanalyse bepaal je of het verantwoord is om een uitzondering te
maken. Dat is lang niet altijd een dik rapport; soms is het gewoon een instant
afweging op basis van professional
judgement, een andere keer gaat het helemaal tot aan de directeur of nog
hogerop. Uiteraard hebben die managers dan wel goede informatie nodig. En dat
beseffen ze zelf natuurlijk ook; laatst mailde zo iemand: “Gelet op jullie
adviezen, in de veronderstelling dat de adviseurs hier meer verstand van hebben
dan ik (daar is ook niet heel veel voor nodig), in het besef van de urgentie,
geef ik toestemming”.
De GGD had Rik heus wel zonder vals voorwendsel willen testen, maar dat
kon de computer domweg niet aan: er moest iets worden aangevinkt en
duizeligheid kwam niet voor in het lijstje (waarom niet eigenlijk?). Soms word
je niet gestuit door starre regels, maar door starre programma’s. Een vakje
‘overige’ doet dan wonderen.
En in de grote boze buitenwereld …
- wist een Nederlandse journalist zich kinderlijk eenvoudig toegang te verschaffen tot een videoconferentie van Europese defensieministers.
- leidde dit incident tot Kamervragen.
- is niet alleen de beveiliging van je eigen systemen van belang, maar ook van die van je leveranciers en providers.
- heeft zelfs het Vaticaan te maken met cyberaanvallen.
- heeft de EU richtlijnen voor het beveiligen van het internet der dingen gepubliceerd. Het gaat me niet zozeer om de inhoud van het rapport (dat is meer iets voor de liefhebbers), maar om het langzaam doorsijpelende besef dat er nog heel wat te winnen valt bij het beveiligen van IoT-devices.
- staan er neppe Minecraft mods in Google Play, die maar één doel hebben: advertenties tonen.
- luistert je robotstofzuiger je nu ook al af. Met z’n ogen.
- maken ook criminelen dankbaar gebruik van de diensten van Google.
- is iedereen even vatbaar voor internetfraude.
