Security (b)log: integriteit

donderdag 4 mei 2023

Halve betaling

Afbeelding van auteur

Een mooie ring met het welbekende Griekse blauwe oog en een armbandje. Dat was de buit van mijn dochter in dat leuke winkeltje in Neos Marmaras. Bij het pinnen zag de winkeldame dat de betaling niet was geslaagd. Dan maar contant betalen. Even later was het bedrag toch zichtbaar in de app van de bank. Dat was het begin van een merkwaardige reeks van gebeurtenissen.

We waren nog in de buurt en natuurlijk gingen we terug naar de winkel. De winkelierster schrok zichtbaar en ging meteen haar beide pinapparaten raadplegen. Kijk maar, zei ze, niets. Ik zag wat Griekse letters op de displays, die van alles konden betekenen, maar haar woorden en mimiek waren overtuigend. Bovendien, zo zagen we toen pas, stond in de ING-app ‘reservering’ bij het bedrag. We concludeerden dat het dan wel goed zou komen.

Een dag later stond de transactie nog steeds in de app, maar nu zonder te toevoeging ‘reservering’ – het geld was nu echt weg. Oei. Wat nu? Ik heb de bank gebeld en de situatie uitgelegd. De meneer, die mij te woord stond, kon zien wat er allemaal was gebeurd, maar hij kon er niets aan doen. Ik moest maar terug naar de winkel en het daar uitleggen en mijn contanten terugvragen. Ja maar, protesteerde ik, die winkel zit niet bij ons in het dorp, dan moet ik daar weer helemaal naar toe rijden. Bellen dan? De telefoonkosten zouden wel eens hoger kunnen uitvallen dan het bedrag waar het om ging. Hoe dan ook, de ING-meneer kon niets voor mij doen.

Wacht eens even, zei ik; een banktransactie moet óf slagen, óf falen, maar niet iets daartussenin. Het kan toch niet zo zijn dat een pinapparaat zegt dat de betaling is mislukt, en de dat de betaling dan stiekem toch wordt uitgevoerd? Nee, dat was hij wel met mij eens. Maar hij kon nog steeds niets voor mij doen. Ik meldde dat ik daar een klacht over wilde indienen en vroeg hem wat daar vervolgens mee zou gebeuren. Hij kon de klacht alleen noteren en doorgeven, verder was het buiten zijn zicht.

Wat te doen? We hebben het over een bedrag van iets meer dan twee tientjes – geld van mijn tienerdochter, dus relatief veel. Die winkel lag op zo’n twintig minuten rijden van ons verblijf, dat was wel te doen. En zo togen wij ’s avonds andermaal die kant op. Gelukkig stond dezelfde dame in de winkel en ze vroeg meteen bezorgd wat er aan de hand was. Ze haalde haar bazin erbij (uit de winkel aan de overkant), die me foto’s liet maken van de uitdraaien van de pinapparaten, waarop te zien was dat er geen transactie met dat bedrag had plaatsgevonden. Ik mocht ook foto’s maken van haar bank-app, waarop eveneens te zien was dat er geen bijschrijving van mijn dochter was geweest. Ook de houding en de behulpzaamheid van deze dame straalden uit dat zij te goeder trouw was.

Dat was vrijdagavond. Op maandag zou ze meteen haar bank bellen om navraag te doen, en dan zouden we mailen. Maar op zaterdagochtend, toen we alweer op weg naar huis waren, zagen we een merkwaardige boeking op de rekening van mijn dochter: ‘terugboeking betaalautomaat’. Het geld was terug! Maar hoe dan? Heeft zich hier een geautomatiseerd proces voltrokken, waarbij de Griekse bank en onze ING samen constateerden dat er een ‘halve’ transactie was? Of is iemand van onze bank naar aanleiding van mijn klacht aan het werk gegaan? Dat laatste kan ik mij, vooral vanwege het tijdstip (weekend), nauwelijks voorstellen. Maar ik heb ook (nog?) geen terugkoppeling op mijn klacht gehad.

In de informatiebeveiliging praten we veel over het aspect integriteit. In onze context gaat het dan over de juistheid en volledigheid van gegevens en processen. Er mag niets onterecht wijzigen en de boel moet compleet zijn. In bovenstaand relaas is die integriteit geschonden: er was geld van de bankrekening van mijn dochter verdwenen en dat geld was nergens aangekomen. Terwijl zo’n transactie binair hoort te zijn: goed of fout. Half kan niet. Ik hoop dat iemand van de bank mij nog gaat uitleggen hoe dit tóch kon gebeuren. Of anders misschien iemand uit de bancaire hoek van mijn netwerk (lees je mee, Oscar?).

Het blauwe oog, dat op de gekochte sieraden staat, is in Griekenland een symbool om onheil af te wenden. Dat heeft – uiteindelijk – gewerkt. Niet dat ik bijgelovig ben hoor.

En in de grote boze buitenwereld …

vrijdag 8 december 2017

Afrekening

Sinterklaas was dit jaar weer gul, meldde de radio. “De goedheiligman heeft dit jaar zeshonderd miljoen euro meer besteed dan vorig jaar. Dat is zeven procent extra”, aldus de nieuwslezer. Zo, dat is veel, mompelde ik voor mij uit, maar omdat ik aan het autorijden was luisterde ik met hooguit een half oor.

Het bericht bleef echter hangen. Toch maar eens even wat aan rekenen. Zeshonderd miljoen gedeeld door de Nederlandse bevolking, dat is vijfendertig euro per persoon – van zuigeling tot grijsaard. En die zeven procent, dat zou betekenen dat de totale uitgaven per persoon gemiddeld vijfhonderd euro bedragen. Omdat de allerkleinsten zelden cadeaus kopen, heb ik hetzelfde rekensommetje gemaakt voor mensen vanaf tien jaar. Dan bedraagt de stijging een kleine veertig euro en het totale bedrag is dan vijfhonderdzestig euro per persoon.

Dat lijkt inderdaad veel hè? Eind november schreef het FD dat het doorsnee huishouden dat dit jaar Sinterklaas viert voor gemiddeld zevenenzeventig euro aan cadeaus koopt. Dat gaat dus over een heel huishouden, dat volgens deze krant een kleine veertien procent uitgeeft van wat het radiobericht ons per persoon wil laten uitgeven.

Integriteit van gegevens is één van de aspecten van informatiebeveiliging. Het betekent dat de gegevens juist en volledig moeten zijn. Vooral als het om geld gaat is dat erg belangrijk: het maakt nogal uit of de bank een tientje overmaakt of een miljoen, doordat iemands vinger op de nul bleef hangen. Nou valt zo’n verschil snel genoeg op: jij bent niet gewend aan dergelijke bedragen op je rekening en ik vermoed dat bij de bank ook ergens een belletje gaat rinkelen, nog voordat de boeking daadwerkelijk heeft plaatsgevonden.

Bij nieuwsvoorziening is dat anders. Kijk, als ze melden dat de bevolking dit jaar met een miljoen is gegroeid, dan ga je al snel vermoeden dat daar een nulletje teveel in staat. Je krijgt echter ook veel getallen voorgeschoteld waarbij je lang niet altijd een eigen referentiekader hebt, waardoor je moeilijk kunt beoordelen of het wel klopt. Maken we nu de sprong van een nieuwsbericht naar een database met daarin miljoenen getallen en andere gegevens, dan moge duidelijk zijn dat een mens niet in staat is om de integriteit van de database te bewaken.

Gelukkig zijn er wat mogelijkheden om dat technisch op te vangen. In programmatuur kun je waarschijnlijkheids-controles opnemen, die fouten eruit halen die veroorzaakt worden door op je toetsenbord te leunen. Het databasesysteem zelf beschikt over mechanismen die ‘omgevallen bitjes’ onderscheppen en deze fouten – tot op zekere hoogte – zelfs automatisch kunnen corrigeren. Dat is gewoon een kwestie van wiskunde.

Waar we ons veel moeilijker tegen kunnen beveiligen zijn opzettelijke fouten. Dan is niet alleen de technische integriteit in het geding, maar ook de persoonlijke. Maar er zijn wel wat mogelijkheden. Je kunt dat bijvoorbeeld voorkomen door voor belangrijke transacties het vierogenprincipe te hanteren, zodat nooit één persoon alleen zijn gang kan gaan. Je kunt sancties in het vooruitzicht stellen – strafontslag bijvoorbeeld, plus juridische stappen. Maar tegen medewerkers die kleine manipulaties plegen doe je denk ik niet zoveel. Ja, je hebt ze bij indiensttreding gescreend. Dat is een groot woord voor een VOG die bovendien tien jaar geleden werd afgegeven. Mensen veranderen, worden beïnvloed, misschien wel buiten hun wil om. Als je het motto ‘vertrouwen is goed, controle is beter’ serieus wilt toepassen, dan schiet zo’n eenmalige verklaring omtrent het gedrag te kort. Betrokken collega’s en managers zijn de eerste en misschien wel de belangrijkste verdediging tegen medewerkers die de fout in (dreigen) te gaan.

Deze blog heb je te danken aan mijn zoon, een havist met een kritisch gehoor. Hij was erbij toen dat bericht over de portemonnee van de Sint in het radionieuws zat en ook toen het de dag erna nog een keer te horen was. Beide keren riep hij spontaan dat die cijfers niet konden kloppen. En dat ik daar maar eens over moest bloggen. Ik beticht hem wel eens van pitbullgedrag, maar zijn vasthoudendheid heeft ook positieve kanten. Goed gedaan jongen.