Wil niet kan niet

Afbeelding via Unsplash

Het motto van de in 2007 verschenen film K3 en de kattenprins luidt: kan niet bestaat niet. De Belgisch/Nederlandse meidengroep K3 heeft kinderen als doelgroep. Dat publiek roept thuis nog wel eens: “dat kan ik niet”. Maar als ze die film hebben gezien, dan kun je daar als ouder nog best wel lang gepast gebruik van maken.

Bij volwassenen kan dat wel eens wat moeilijker liggen. We zijn momenteel bezig met het invoeren van wat extra beveiligingsmaatregelen, die alle gebruikers raken. De ene maatregel houdt in dat je bij het opstarten van de laptop een extra code moet invoeren, de andere dat Webex (ons videovergadersysteem) wordt voorzien van multifactorauthenticatie (waarover later meer). Voor het beproeven van die extra opstartcode werd een pilotgroep in het leven geroepen. Dat heeft enkele uitgesproken reacties opgeleverd: Dat kan ik niet! Ik wil daar niet aan meedoen! Ik ga bijna met pensioen! Ik heb het geheugen van een goudvis, ik vergeet die code meteen weer! Ik heb hier geen tijd voor!

Hiernaast zie je de Kunnen/Willen-matrix van arbeidsdeskundige Hanneke Tijken. Die matrix verdeelt de mensheid heel overzichtelijk in vier groepen, op basis van of zij iets kunnen en of zij dat ook willen doen. Mensen, die bijvoorbeeld kunnen solderen en dat ook graag willen, kun je prima inzetten voor een soldeerklus. Als iemand wel kan solderen, maar daar geen zin in heeft, kun je hem misschien overtuigen om het toch maar te doen. Weer anderen, die het wel graag zouden willen doen, maar nog niet kunnen solderen, kun je een cursus laten volgen. Linksonder in de matrix heb je een probleem. Daar zitten de mensen die het niet kunnen en er ook totaal geen zin in hebben. Om deze mensen aan het solderen te krijgen, zou je een onevenredig grote inspanning moeten leveren. Daarom staat in dat kwadrant ietwat pessimistisch het woord ‘verloren’: als budget en tijd beperkt zijn, besteed die dan maar liever elders, is de boodschap.

Deze matrix kun je ook toepassen op informatiebeveiliging. Want ook daar hebben we te maken met mensen die iets wel of niet willen en mensen die iets wel of niet kunnen. Soms dénken mensen alleen dat ze iets niet kunnen, en het niet willen kan gebaseerd zijn op onvolledige informatie. Als je kunt uitleggen waarom iets nodig is, dan kun je die mensen daarmee over de streep trekken. Net zoals je mensen met een tip, truc of cursus iets kunt bijbrengen.

De collega’s, van wie bovenstaande citaten afkomstig zijn, zitten in ieder geval niet in het kwadrant rechtsboven. Je ziet zowel niet kunnen-uitspraken als niet willen-uitspraken. Bij sommige uitspraken zou je kunnen vermoeden dat ze en niet kunnen, en niet willen. Maar ik wil niemand op basis van een vaag vermoeden als verloren beschouwen. Ik maak me al jaren sterk om iedereen binnenboord te houden. En juist met de aanstaande wijzigingen is dat van groot belang, want die gaan toch echt door.

Waar sta jij in die matrix? Vooral voor de mensen linksboven wil ik graag uitleggen wat er aan de hand is. De eerste aanpassing, de extra opstartcode, is nodig omdat uit onderzoek is gebleken dat de beveiliging van onze laptops toch niet zo goed is als we jarenlang dachten. Dat wordt met deze aanpassing hersteld, zodat onze zakelijke gegevens óók veilig zijn als jouw laptop door verlies of diefstal in verkeerde handen terechtkomt. De tweede aanpassing heeft ermee te maken dat we binnenkort via Webex niet alleen videovergaderen, maar er ook mee gaan chatten, bestanden delen en whiteboards volkliederen. Videovergaderen is vluchtig: wat je daar hoort en ziet is meteen weer weg. Chats, gedeelde bestanden en whiteboards worden echter opgeslagen, en wel buiten ons eigen datacenter. We moeten extra maatregelen treffen om de vertrouwelijkheid van die informatie te waarborgen. We willen zeker weten dat jij het bent als iemand met jou user-id wil inloggen en dat doen we dus met multifactorauthenticatie: de eerste factor is je wachtwoord, de tweede is een app op een mobiel apparaat, die steeds weer nieuwe codes genereert. Bij het inloggen moet je de code invoeren die de app op dat moment toont. Elders lopen die codes op een systeem mee en zo kan vergeleken worden of bij het inloggen een code wordt gebruikt die overeenkomt met de code op jouw apparaat. Op deze wijze log je in op basis van iets wat je weet (je wachtwoord) en iets wat je hebt (het mobiele apparaat met de aan jou gekoppelde app): multifactor! Het totale proces van controleren of jij het ook echt bent, heet authenticatie.

De pilot heeft ook positieve reacties opgeleverd. De mooiste vind ik deze: “Het is me erg meegevallen, het duurde maar vijf minuutjes!” En ik verwacht eigenlijk dat de grootste groep gebruikers straks gewoon een keer zucht en het daarna voor lief neemt.

Ten slotte nog een inspirerende uitsmijter. Op het gemeentehuis van Vaals kun je de volgende Latijnse spreuk lezen:  nil volentibus arduum. Dat betekent zoveel als: niets is te moeilijk voor hen die willen.

 

En in de grote boze buitenwereld …

• heeft John Oliver kennelijk de Security (b)log van vorige week gelezen en een programma over de handel in onze gegevens gemaakt.
• is Duitsland positief over een nieuwe Google-knop waarmee je alle cookies kunt afwijzen.
• heeft de Belastingdienst een fikse privacyboete gekregen voor het bijhouden van een zwarte lijst.
• kunnen je gegevens en processen in de cloud zomaar even niet beschikbaar zijn.
• verplicht een ‘Bestel nu’-knop je nergens toe.
• kaapt deze malware jouw telefoontje naar de klantenservice van je bank.
• heeft het Europese Parlement ingestemd met nieuwe regels voor gegevensuitwisseling met landen buiten de EU.
• willen ook chat-apps steeds weer geüpdatet worden.
• bood een Duitse hostingprovider zijn klanten een waardebon van twintig euro voor het verlies van gegevens.
• liggen je Legoblokjes mogelijk op straat.