 |
| Afbeelding via Pixabay |
“Heb jij al eens een blog geschreven over het spanningsveld tussen security en gebruiksgemak?”, vroeg een collega. “Vast wel”, antwoordde ik, “maar wat is jouw aanleiding om daarnaar te vragen?” “Mijn vrouw.”
Ik
snapte meteen wat hij bedoelde. Niet dat mijn gezin het allemaal niet begrijpt
hoor. Maar we hadden laatst wat mensen over de vloer, waaronder een stel dat
bij elkaar opgeteld ongeveer mijn leeftijd heeft. Zij vroeg om het
wifi-wachtwoord, en ik noemde het wachtwoord van ons gastennetwerk. Dat is
gemakkelijk te onthouden en daarom niet erg ingewikkeld (iets als fiets3oven) –
het is toch maar het gastennetwerk en daarmee kun je niet bij onze gegevens.
Zij reageerde tot mijn verrassing echter met: “Poh, wat een moeilijk
wachtwoord!” En ze noemde spontaan hun eigen wifi-wachtwoord, dat ik zou
inschalen in de categorie “20e eeuw”.
Een
afkeurende blik kon ik niet vermijden, maar vervolgens deed ik een voorzichtige,
uiterst vriendelijke poging om uit te leggen dat een dergelijk wachtwoord geen
goede keus is. En het is bepaald niet zo dat ik onervaren of onhandig ben in het
uitleggen van dat soort dingen. Maar in dit geval was mijn uitleg aan
dovemansoren gericht. “Ach, bij ons gebeurt toch nooit iets”, zei de jongedame.
Het was echter vooral haar blik die boekdelen sprak: waar maakt die man zich
druk om? Ik nam nog een nieuw aanloopje en begon over wachtwoorden van andere,
misschien belangrijkere accounts – vanuit de wetenschap dat mensen die links
onverstandig handelen, dat meestal rechts ook doen. De muur van onbegrip was
echter dermate hoog dat ik haar, ondanks alle ervaring, niet wist te slechten.
En ik besefte dat ik het hierbij moest laten; die mensen waren hier voor de
gezelligheid, niet om de les gelezen te krijgen.
Mijn
vrouw en dochter, die dit allemaal hadden meegekregen, waren inmiddels al
ruimschoots door de vloer gezakt. Los van het feit dat tieners er slecht tegen
kunnen als hun vader zoiets doet, hadden de beide dames veel sneller dan ik in
de gaten dat ik aan een mission impossible was begonnen. Hun opluchting
was dan ook groot toen ik het onderwerp liet varen en we overgingen op koetjes
en kalfjes.
Beveiliging
en gebruiksgemak staan op gespannen voet met elkaar. Ga maar na: als je je huis
op slot hebt gedaan, dan sta je net iets langer in de regen als je weer thuis
komt. Iedereen begrijpt echter dat deze maatregel is bedoeld om buitenstaanders
buiten te houden – die heten niet voor niets zo. Bij informatiebeveiliging
werkt het net zo: legitieme gebruikers wil je eigenlijk geen strobreed in de
weg leggen, maar omdat de meeste systemen nu eenmaal niet voor iedereen zijn
bedoeld, moet er een slot op deur.
Sommige
van die sloten zijn hinderlijker dan andere, en soms kunnen ze ronduit
vervelend zijn, bijvoorbeeld om ze vaak op slot gaan. Als het vervelend wordt,
dan zijn mensen geneigd om beveiligingsmaatregelen te omzeilen. Het moge
duidelijk zijn dat de organisatie dergelijke creativiteit niet op prijs stelt. Daarom
vind ik het altijd belangrijk dat je kunt begrijpen waarom een bepaalde maatregel
van kracht is. En dus heb ik voor een tweetal maatregelen, waarbij ikzelf vaak
denk: “Waarom werkt dit toch zo”?, navraag gedaan.
In
beide gevallen kwam het antwoord neer op: dat zou niet zo moeten zijn. Gevolgd
door technische uitleg waaruit valt op te maken dat er helemaal geen
beveiligingsmaatregel in het spel is, althans: geen maatregel die verklaart wat
ik beleef. Er is waarschijnlijk gewoon iets niet goed. Dat kan dus ook: dat je
denkt dat iets een kromme beveiligingsmaatregel is, maar dat er iets anders aan
de hand is.
Hopelijk
kan die collega zijn vrouw ervan overtuigen dat sommige maatregelen belangrijk
zijn. En hopelijk herkent hij situaties waarin er gewoon iets stuk is en het
gedrag niet de schuld van de beveiliging is.
En in de grote boze buitenwereld …
- snappen sommige hooggeplaatste functionarissen niet dat ze geen persoonlijke e-mail voor het werk moeten gebruiken.
- is Gmail’s end-to-end encryptie geen echte E2EE.
- zijn er namaaktelefoons met malware in omloop.
- was de grote storing van vorig jaar in het Defensie-netwerk niet te voorkomen.
- is crisiscommunicatie een vak apart.
- wordt de Zweedse belastingdienst voor de rechter gesleept omdat hij gegevens van burgers verkoopt.
- wil iemand wel heel graag Chinese domeinen hacken.
