Posts tonen met het label beleid. Alle posts tonen
Posts tonen met het label beleid. Alle posts tonen

vrijdag 11 juli 2025

Zoals het klokje thuis tikt

Afbeelding via Pixabay

Mijn opa en oma hadden, in het diepe Zuid-Limburg, een Friese staartklok aan de muur hangen. In hetzelfde dorp hing precies dezelfde klok bij mijn schoonouders. Onlangs deed mijn vrouw een interessante onthulling over hun exemplaar.

De tijd schreed volgens die klok langzamer voort dan in werkelijkheid. Ze hadden haar al eens naar een klokkenmaker in België gebracht. Een schoonmaakbeurt bracht geen soelaas. Toen verklapte iemand hen een speciaal trucje. Hij zei dat de klok waarschijnlijk een tikkeltje scheef wilde hangen. Dat bleek inderdaad te kloppen. Maar het uit het lood brengen ervan was millimeterwerk. Er gingen weken overheen voordat de juiste stand was gevonden. Andere klokken in huis dienden daarbij als referentiebron.

Ik heb een moderne bureaulamp met ingebouwde digitale klok. Mijn natuurkundedocent legde ooit uit dat elektrische klokken altijd de juiste tijd aangeven, omdat ze – als ik het goed onthouden heb – met de frequentie van de wisselspanning (50 Hertz) meetikken. Zo niet mijn bureaulampklok. Die moet ik om de paar weken opnieuw instellen. Gewoonlijk doe ik dat als zij twee minuten voorloopt, want dan wordt het mij te gortig. Ik verbaas mij dan telkens erover dat er anno 2025 nog klokken bestaan die het niet zo nauw nemen met de tijd.

Al deze klokken, die zich minder goed van hun taak kwijten, moet je interpreteren. “Oh ja, het is die klok, dus het zal in werkelijkheid iets vroeger/later zijn.” Bij klokken in andermans huis weet je dat vaak niet. Dan denk je misschien dat je toch al te laat bent voor de trein naar huis, terwijl je die nog gewoon had kunnen halen.

Interpreteren, dat doen we ook met beveiligingsbeleid. Als security officer krijg je vaak vragen in de trant van: iemand heeft zus of zo gedaan, mag dat eigenlijk wel? Het antwoord op die vraag staat slechts zelden letterlijk in een beleidsdocument. Je moet zo’n document dan als het ware een beetje scheef houden om de juiste informatie eruit te halen. We vinden dan altijd wel een of meerdere regels die van toepassing blijken te zijn op de aangekaarte situatie. Soms moet je het ook wíllen zien. Daarvoor gebruiken we professional judgement: je bent niet voor niets security officer, en als jij zegt dat iets wel of niet kan, dan is dat ook zo – jouw oordeel is gebaseerd op je professionaliteit.

Door de jaren heen heb ik een hele stoet aan collega’s zien langskomen waar het een of andere beveiligingssysteem over gepiept had. Zo’n melding leidt tot een beoordeling. Is het de moeite waard om hiervoor in actie te komen? Is het incident ernstig genoeg? Of is het meteen al duidelijk dat het om een per-ongelukje gaat en dat de gebruiker geen kwade bedoelingen had? Vooral dat laatste vind ik interessant: als het een melding betreft over iets waar iets kwaadaardigs achter zou kúnnen zitten, dan heb je mijn aandacht en mag je een onderhoud met je leidinggevende tegemoetzien. Die kent jou beter dan ik en heeft misschien nog andere puzzelstukjes, die samen het beeld schetsen van een doorgaans voorbeeldige werknemer – of juist niet.

In al die tijd heeft nog nooit iemand het in zijn hoofd gehaald om te vragen: en waar staat dan dat dat niet mag? Nee, ze voelen zich betrapt, zeggen sorry en beloven nooit meer zoiets stoms te doen. Want ik heb gelukkig ook maar zelden meegemaakt dat iemand kwade bedoelingen had. Meestal zijn dat soort incidenten het gevolg van goedbedoelde acties die helaas in strijd zijn met het beleid. Iedereen behoort de wet te kennen, zegt de wet, maar de praktijk zit iets anders in elkaar. We helpen ze graag om weer binnen de lijntjes te kleuren.

Mijn oma had een bijzonder tijdbeleid. Ze zette de klok tien minuten vooruit. Als ze dan ergens heen moest, was er altijd de geruststelling dat ze eigenlijk al weg had moeten zijn, maar dat ze gelukkig nog wat extra tijd had. Ik vond dat altijd net zo raar als klokken die zelf besluiten om een andere dan de juiste tijd weer te geven.

 

En in de grote boze buitenwereld …

 

vrijdag 20 september 2019

Gezond verstand


Dit bord staat in Prien am Chiemsee, in het zuiden van Beieren. Voor wie het Duits niet machtig is, volgt hier de vertaling: Verboden te fietsen. Verstandige mensen fietsen hier niet, voor de rest is het verboden. Het bord staat op een toeristische plek: het vertrekpunt van zowel rondvaartboten (rechtdoor) als de plaatselijke stoomtram (links). Rechts van het bord zijn de loketten. Wij waren daar ’s avonds en toen was het vooral op de terrassen erg druk, maar ik kan me goed voorstellen dat het er op een mooie zomerdag krioelt van de toeristen die een kaartje willen kopen en zich verdringen om een mooi plaatsje op de boot of in een wagon te bemachtigen.

Om te beginnen wil ik even afrekenen met het hardnekkige vooroordeel dat Duitsers geen humor zouden hebben. Dit bord getuigt zelfs van openlijke ambtelijke humor en ik geef toe, dat heeft ook mij een beetje verrast. Dit bord is zonder twijfel grappig, maar is het eigenlijk wel humor? Of is het veel meer een appèl aan het gezond verstand? Het staat er eigenlijk letterlijk hè. De meeste mensen zullen zich graag tot het verstandige deel der bevolking rekenen (al is dat helaas in sommige gevallen net zoiets als dat iedereen vindt dat hij goed kan autorijden). Maar goed: als je verstandig bent, dan fiets je hier niet; ik bén verstandig, ergo: ik stap af. En voor hardleerse mensen die stoer willen doen of de tekst niet begrijpen, is er de stok van het verbod achter de deur, compleet met verkeersbord dat ook niet-Duitssprekenden zouden moeten kunnen snappen. Ik denk dat weinigen het wagen om hier te fietsen.

In mijn vak doe ik ook vaak en graag een beroep op gezond verstand. Bijvoorbeeld als ik over phishing en andere scams praat: als iets te mooi lijkt om waar te zijn, dan is het dat meestal ook. Je wint geen prijs in een loterij waar je geen lot voor hebt, zo simpel is het. Ook die Nigeriaanse prins met zijn vette erfenis is natuurlijk een sprookje. Ook in je professionele doen en laten zie ik graag een flinke dosis boerenverstand aan het werk. “Ik wil dit bestand naar mijn privéadres mailen, maar mag dat wel?” Het antwoord op een dergelijke vraag is meestal te vinden in regelgeving. Het mooie is dat veel regelgeving is gebaseerd op datzelfde gezonde verstand dat jij zelf ook hebt. De meeste mensen zouden immers hun snelheid in een woonerf óók matigen als ze niet zouden weten dat ze zich in een woonerf bevinden, gewoon omdat de omstandigheden duidelijk maken dat je daar niet moet scheuren – al zijn er altijd wel hufters die te laat van huis vertrekken en toch hun kind op tijd op school willen hebben, desnoods, zo lijkt het wel, ten koste van andermans kinderen (sorry, even een privéfrustratie luchten).

Terug naar de combinatie van regelgeving en gezond verstand, en het voorbeeld met wel of niet mailen. Ook zonder regelgeving kun je bedenken dat het prima in orde is om een foldertje naar huis te mailen dat je aan een kennis wilt laten zien om hem ergens mee te helpen. Net zo goed zul je begrijpen dat je geen zakelijke informatie naar buiten moet mailen als je in een organisatie werkt waar de afspraak geldt dat zakelijke informatie zich alleen op zakelijke systemen mag bevinden. Daarbij hoeft het overigens nog niet eens om privacygevoelige gegevens te gaan (de AVG-kaart wordt veel te vaak gespeeld om dingen maar niet te hoeven doen).

En als je dan vervolgens het beveiligingsbeleid erop napluist, dan kom je er – hopelijk niet tot je verbazing – achter dat je inderdaad wordt geacht om zakelijke informatie niet naar buiten te mailen, vanwege de consequenties die dat heeft voor de vertrouwelijkheid van die gegevens. Overigens staan veel dingen niet letterlijk in het beleid uitgeschreven, maar moet je de regels voor een bepaalde situatie interpreteren. Daar zijn mensen zoals ik dan weer handig voor.

Wist je trouwens dat je ook bij het gebruik van mobiele apparaten je gezonde verstand mag gebruiken? Een lunchafspraak via WhatsApp regelen? Prima. Zakelijke informatie delen via diezelfde weg? Niet doen. Maar die chats zijn toch versleuteld? Ja, maar wie hebben de sleutel allemaal? Je communicatie gaat via Amerikaanse servers en de Amerikaanse wetgeving is niet kinderachtig als het gaat om het inzien van gegevens door opsporingsdiensten.

Nederlandse fietsers lappen nog wel eens wat verkeersregels aan hun laars, waarschijnlijk omdat hun persoonlijke inschatting op zo’n moment is dat het wel kan (licht staat op rood, maar er is geen ander verkeer). Soms echter ook omdat ze risico’s verkeerd inschatten, en dan gebeuren er ongelukken. Het is verstandig om te beseffen waar je wel en niet verstand van hebt. Daarom is de combinatie van zo’n gezond-verstand-appèl en een verbod zo gek nog niet.

En in de grote boze buitenwereld …


... ontvangt de Autoriteit Persoonsgegevens zo’n tweeduizend meldingen van datalekken per maand. De grootste gaten zitten bij ziekenhuizen en apotheken.

... richten ook Amerikaanse phishers hun pijlen op belastingbetalers.

... lees je hier wat de laatste trends op het gebied van phishing zijn.

... zijn nog steeds veel webcams niet goed beveiligd.

... is een kluis met backup-tapes van een verzekeraar gestolen.

... zou je de Boeing Dreamliner kunnen hacken, maar het is niet heel waarschijnlijk dat dat ook daadwerkelijk gebeurt.

... zijn er grenzen aan wat een camera bij je voordeur allemaal mag doen.

... stuurt je tv gegevens naar onder andere Netflix, Google en Facebook. Ook als hij uitstaat, ook als je geen abonnement hebt.

... betekent ‘weggooien’ bij WhatsApp nog niet dat ook echt alles weg is.


vrijdag 19 april 2019

Oude wetten


Rare jongens, die Britten. Ze houden er eeuwenoude wetten op na die in onze moderne tijd volslagen anachronistisch aandoen, hetgeen voor onze westerburen echter zelden aanleiding is om ze af te schaffen. Zo is het bijvoorbeeld verboden om in het Britse parlementsgebouw te overlijden. Overigens zit hier wel een praktische – want financiële – reden achter: volgens weer andere regels moet iedereen, die daar overlijdt, een staatsbegrafenis krijgen. En dat kost natuurlijk een paar penny’s. Binnen de stadsmuren van York mag je dan wel weer vermoord worden, tenminste, als je een Schot bent én pijl en boog bij je hebt. Mocht je een aanslag op je leven overleefd hebben in veilig in Schotland teruggekeerd zijn, dan moet je vast nodig naar de wc. Geen probleem: iedereen is daar bij wet verplicht om je zijn toilet ter beschikking te stellen. Mocht je willen wildplassen, dan kan dat, mits je bij het achterwiel van je voertuig staat en dat met je rechterhand vasthoudt. Dat je die pijl en boog bij je had, is trouwens geen toeval: alle mannen vanaf veertien jaar waren tot 1960 verplicht om minimaal twee uur per dag te oefenen met boogschieten.

Als je daar bij de belastinginspecteur op het matje moet komen, dan ben je verplicht om hem dingen te vertellen waarvan je eigenlijk niet wilt dat hij ze weet. Dingen die hij gerust mag weten hoef je juist niet te delen. Plak je een postzegel waar de Queen op staat ondersteboven op een brief, dan pleeg je verraad. En mocht je tijdens het uitlaten van je hond diezelfde Queen tegenkomen met háár hond, houd de jouwe dan kort aangelijnd, want die twee mogen niet intiem worden. En zorg ervoor dat je sokken draagt bij zo’n ontmoeting, want dat moet van Edward VI. Vrouwen mogen in Liverpool niet topless rondlopen, behalve als ze in een winkel voor tropische vissen werken. En als je in Londen over de stoep loopt, dan mag je geen plank, ladder, wiel, hoepel en nog een paar dingen bij je dragen. En mocht je de pest hebben, dan is een taxi ook geen optie.

Tot zover deze bloemlezing van Britse wetgeving. Je komt trouwens overal zo’n beetje hetzelfde lijstje tegen, en één (Amerikaanse!) site nam de moeite om te checken of dat lijstje wel klopt. En wat blijkt? Niet álles wat je hierboven hebt gelezen is waar. Maar het blijft natuurlijk wel grappig. En er zit een duidelijke boodschap in: regels verouderen. Soms houdt de wethouder dan rekening mee. In de Nederlandse Wet Computercriminaliteit wordt bijvoorbeeld bewust gesproken van ‘een geautomatiseerd werk’ als een computer wordt bedoeld, zodat de wet ook van toepassing is op apparaten die we doorgaans niet computer noemen, zoals een smartphone.

Toch hebben we ook in de nog zo jonge computerwereld ook al achterhaalde regels. Ik noem twee voorbeelden. Het was een tijd lang gebruikelijk om te adviseren om enkele letters in je w@chtw0oRd te vervangen door cijfers en ‘rare tekens’. Dat trucje is inmiddels achterhaald, gewoon omdat het soort mensen dat je wachtwoord zou willen kraken het ook kent. Dat betekent overigens niet dat je dergelijke tekens niet meer moet gebruiken: hoe groter de gebruikte tekenset, hoe groter het aantal verschillende wachtwoorden dat je kunt maken – en dus hoe moeilijker te raden (ook voor computers: het doorrekenen van alle mogelijkheden duurt gewoon langer). De grootte van de gebruikte tekenset zet echter niet zoveel zoden aan de dijk. Wat vooral telt is lengte. Meestal wordt een minimale lengte van acht tekens geëist, maar je komt ook zes, vier of zelfs één (bij Wikipedia) tegen. Onderzoekers geven echter steeds vaker aan dat de minimale lengte twaalf zou moeten zijn om voldoende bestand te zijn tegen kraakpogingen. Als je slechts één wachtwoord hoeft te onthouden, omdat je een password manager gebruikt, dan is zo’n lang wachtwoord met kleine letters, hoofdletters, cijfers en tekens best te doen. Verzin een ezelsbruggetje, zoiets als: “Ik zag twee beren broodjes smeren”. Dat mag je voluit gebruiken, dan heb je een heuse pass phrase (wachtzin?). Omdat helaas nog lang niet overal zo’n lang wachtwoord wordt ondersteund, kun je dit ook verbouwen tot iets als: “iZ2be3rBr()()dS!” Wel belangrijk om te onthouden, dat wachtwoord van je password manager. Want als je dat kwijt bent, dan zul je alle wachtwoorden handmatig moeten resetten.

Ook het tweede voorbeeld van achterhaalde regels heeft met wachtwoorden te maken. Zo’n zestien jaar geleden bedacht het Amerikaanse National Institute of Standards and Technology dat wachtwoorden periodiek moeten worden gewijzigd. Twee jaar geleden kwamen ze tot het inzicht dat dit juist averechts werkt, omdat mensen dan al gauw met tellers gaan werken: wachtwoord01, wachtwoord02 enzovoorts. Of lente2019, zomer2019 – je kent ze wel. Het NIST adviseert nu juist het tegenovergestelde: geen periodieke wachtwoordwijzigingen meer afdwingen. Wachtwoorden hoor je voortaan alleen nog te wijzigen als je denkt of weet dat ze zijn uitgelekt. En naar verluidt heeft de NIST-medewerker, die destijds de oude regel verzon, daar nu spijt van.

Nieuwe regels en adviezen hebben tijd nodig om in te dalen. Verwacht dus niet dat je binnen afzienbare tijd af bent van dit periodieke ritueel. Sommige organisaties zullen er sowieso star aan willen vasthouden. Als je dan je password manager niet alleen gebruikt voor het onthouden van je wachtwoorden, maar ook voor het genereren ervan, dan voorkom je dat je jezelf kwetsbaar maakt door wachtwoorden met volgnummers.

De komende twee weken verschijnt er geen Security (b)log.

En in de grote boze buitenwereld …


... vind je hier een vrij uitgebreid onderzoek naar wat mensen met wachtwoorden doen. Ook leuk: de wachtwoorden van belangrijke mensen bij belangrijke bedrijven.

... legt de rechter de term ‘computervredebreuk’ erg breed uit.

... waren niet alleen Facebook-wachtwoorden onversleuteld opgeslagen, maar ook miljoenen Instagram-wachtwoorden.

... neemt het kabinet maatregelen tegen de dreiging die uitgaat van statelijke actoren. In het kader van afschrikking gaat Nederland onder andere vaker over tot publieke attributie van cyberaanvallen.
Security (b)log over attributie van 09-02-2018: https://securityblogpatrick.blogspot.com/2018/02/attributie.html

... zit de Belastingdienst met oude persoonsgegevens in z’n maag.

... heeft een student tientallen computers van een Amerikaanse universiteit kapotgemaakt met een speciale USB-stick.

... kun je een malware-besmetting oplopen door het downloaden van tv-series.

... faalt uiteindelijk elke beveiligingstool wel een keer.

... wil een Amerikaanse presidentskandidaat een Ministerie van Cybersecurity.

... zijn de maildiensten van Microsoft (Hotmail, MSN, Outlook) gehackt.

... moet je je niets aantrekken van afpersmailtjes.

... gaat er heel wat geld om in ransomware.

... is er ook deze week weer een issue met een verlopen internetdomein. Deze keer bij Microsoft.

... heeft de Europese Commissie geen gekke dingen aangetroffen in de software van Kaspersky.