Security (b)log: maatregelen

Posts tonen met het label maatregelen. Alle posts tonen

vrijdag 6 februari 2026

Op glad ijs

Afbeelding via Unsplash

Er was ijzel voorspeld. Op de radar zag je een machtig neerslaggebied vanuit het zuiden opstomen. Net als veel collega’s besloot ik om eerder naar huis te gaan. Ik kwam droog en, belangrijker, zonder glibberpartijen thuis aan en zag de rest van de middag dat het in deze contreien allemaal zo’n vaart niet liep.

Na werktijd zou ik gaan hardlopen. Maar ja, de dreiging van ijzel hing toch nog in de lucht (al had ik van achter mijn veilige ramen niemand op z’n snufferd zien gaan). Daarom besloot ik niet buiten te gaan rennen, maar mijn hardloopband in stelling te brengen. Lekker veilig binnen sporten. Bijkomend voordeel: binnen was het zo’n twintig graden warmer dan buiten. Ik kon volstaan met een korte broek en een luchtig shirtje.

Na twaalf minuten en vijftig seconden kwam mijn sportiviteit abrupt tot een einde. Ik maakte een misstap: mijn rechter voet landde niet op de band, maar op de rand van het toestel. De rechter kant van mijn lichaam stond daardoor plotseling stil, terwijl de volgende stap – met links – al onderweg was. Je kunt je voorstellen dat dat niet goed afliep. Eerst landde mijn linker knie op de band, vervolgens de rechter. Mijn linker voet stond inmiddels op de grond, achter de loopband. Daardoor stond ik stil. Terwijl de band onder mij doordraaide. Met mijn knieën er nog op. Dat schuurde behoorlijk.

Nou heeft zo’n hardloopband een veiligheidskoord. Aan de ene kant zit een klem die je aan je kleding bevestigt, aan de andere kant een plug die je in het bedieningspaneel steekt. Als je valt, dan wordt die plug eruit getrokken, waardoor de band stopt, is het idee. Het koord bleek net iets te lang te zijn voor de positie waarin ik was terechtgekomen – de veiligheidsplug bleef op z’n plek. De band bleef draaien totdat ik met de hand aan het koord trok.

Vrouw en dochter waren snel en bezorgd ter plekke en ietwat beduusd vroeg ik om twee natte washandjes om mijn knieën mee te koelen. Links zie je er drie dagen later al bijna niets meer van, maar rechts mis ik momenteel zo’n vier centimeter vel. Allemaal niet dramatisch hoor, alleen af en toe wat branderig, en de genezende wond trekt een beetje.

Ik heb hier twee dingen van geleerd. Ten eerste: organisatorische maatregelen kunnen zich tegen je keren. Ik besloot om niet naar buiten te gaan omdat ik geen valpartij wilde. En precies dát gebeurde. Uiteraard probeer ik dat op mijn werk te projecteren (dit blijft de Security (b)log hè). Nemen we daar ook soms besluiten waardoor precies datgene gebeurt wat we willen voorkomen? Die besluiten zijn doorgaans weloverwogen, uit en te na bediscussieerd en we hebben er meerdere nachten over geslapen. We zijn momenteel bezig om aan de eisen voor wachtwoorden te sleutelen. Uiteraard met de bedoeling dat de accounts van onze medewerkers veiliger worden. Daarbij moeten we er goed op letten dat we het niet te moeilijk voor jullie maken, waardoor je ‘creatief’ gaat worden. Communicatie en ondersteuning zijn belangrijk bij wijzigingen die iedereen persoonlijk raken.

Ten tweede: als technische beveiligingsmaatregelen niet goed geïmplementeerd worden, dan werken ze niet onder alle omstandigheden. Het noodstoptouwtje werkt ongetwijfeld prima als je recht achteruit van de band kukelt, maar dus niet als je val halverwege stopt. Je moet goed weten met welk doel je een maatregel invoert, en je moet naar alle mogelijke scenario’s kijken. Alleen dan mag je verwachten dat de maatregel doet wat je verwacht. Voorbeeld: we versleutelen onze gegevens en onze communicatie al sinds jaar en dag. Maar als je bij de manier waarop je dat doet tegenwoordig geen rekening houdt met de komst van de quantumcomputer, waarvoor het kraken van die versleuteling een peulenschil is, dan ben je alsnog kwetsbaar. Misschien niet nu al, maar wel als de gegevens van vandaag over een paar jaar alsnog door onbevoegden kunnen worden gelezen.

Onze dochter viert vandaag haar achttiende verjaardag en ze wil graag met de auto naar school. We hebben allerlei maatregelen getroffen: ze heeft haar rijbewijs gehaald, daarna hebben we flink met haar geoefend en we hebben afspraken gemaakt. De auto is onlangs nog nagekeken. En we hebben ons vertrouwen uitgesproken. En toch ben je als ouders opgelucht als ze weer veilig thuis is. Omdat je weet dat maatregelen niet altijd werken.

En in de grote boze buitenwereld …

vrijdag 4 april 2025

Dovemansoren

Afbeelding via Pixabay

“Heb jij al eens een blog geschreven over het spanningsveld tussen security en gebruiksgemak?”, vroeg een collega. “Vast wel”, antwoordde ik, “maar wat is jouw aanleiding om daarnaar te vragen?” “Mijn vrouw.”

Ik snapte meteen wat hij bedoelde. Niet dat mijn gezin het allemaal niet begrijpt hoor. Maar we hadden laatst wat mensen over de vloer, waaronder een stel dat bij elkaar opgeteld ongeveer mijn leeftijd heeft. Zij vroeg om het wifi-wachtwoord, en ik noemde het wachtwoord van ons gastennetwerk. Dat is gemakkelijk te onthouden en daarom niet erg ingewikkeld (iets als fiets3oven) – het is toch maar het gastennetwerk en daarmee kun je niet bij onze gegevens. Zij reageerde tot mijn verrassing echter met: “Poh, wat een moeilijk wachtwoord!” En ze noemde spontaan hun eigen wifi-wachtwoord, dat ik zou inschalen in de categorie “20^e eeuw”.

Een afkeurende blik kon ik niet vermijden, maar vervolgens deed ik een voorzichtige, uiterst vriendelijke poging om uit te leggen dat een dergelijk wachtwoord geen goede keus is. En het is bepaald niet zo dat ik onervaren of onhandig ben in het uitleggen van dat soort dingen. Maar in dit geval was mijn uitleg aan dovemansoren gericht. “Ach, bij ons gebeurt toch nooit iets”, zei de jongedame. Het was echter vooral haar blik die boekdelen sprak: waar maakt die man zich druk om? Ik nam nog een nieuw aanloopje en begon over wachtwoorden van andere, misschien belangrijkere accounts – vanuit de wetenschap dat mensen die links onverstandig handelen, dat meestal rechts ook doen. De muur van onbegrip was echter dermate hoog dat ik haar, ondanks alle ervaring, niet wist te slechten. En ik besefte dat ik het hierbij moest laten; die mensen waren hier voor de gezelligheid, niet om de les gelezen te krijgen.

Mijn vrouw en dochter, die dit allemaal hadden meegekregen, waren inmiddels al ruimschoots door de vloer gezakt. Los van het feit dat tieners er slecht tegen kunnen als hun vader zoiets doet, hadden de beide dames veel sneller dan ik in de gaten dat ik aan een mission impossible was begonnen. Hun opluchting was dan ook groot toen ik het onderwerp liet varen en we overgingen op koetjes en kalfjes.

Beveiliging en gebruiksgemak staan op gespannen voet met elkaar. Ga maar na: als je je huis op slot hebt gedaan, dan sta je net iets langer in de regen als je weer thuis komt. Iedereen begrijpt echter dat deze maatregel is bedoeld om buitenstaanders buiten te houden – die heten niet voor niets zo. Bij informatiebeveiliging werkt het net zo: legitieme gebruikers wil je eigenlijk geen strobreed in de weg leggen, maar omdat de meeste systemen nu eenmaal niet voor iedereen zijn bedoeld, moet er een slot op deur.

Sommige van die sloten zijn hinderlijker dan andere, en soms kunnen ze ronduit vervelend zijn, bijvoorbeeld om ze vaak op slot gaan. Als het vervelend wordt, dan zijn mensen geneigd om beveiligingsmaatregelen te omzeilen. Het moge duidelijk zijn dat de organisatie dergelijke creativiteit niet op prijs stelt. Daarom vind ik het altijd belangrijk dat je kunt begrijpen waarom een bepaalde maatregel van kracht is. En dus heb ik voor een tweetal maatregelen, waarbij ikzelf vaak denk: “Waarom werkt dit toch zo”?, navraag gedaan.

In beide gevallen kwam het antwoord neer op: dat zou niet zo moeten zijn. Gevolgd door technische uitleg waaruit valt op te maken dat er helemaal geen beveiligingsmaatregel in het spel is, althans: geen maatregel die verklaart wat ik beleef. Er is waarschijnlijk gewoon iets niet goed. Dat kan dus ook: dat je denkt dat iets een kromme beveiligingsmaatregel is, maar dat er iets anders aan de hand is.

Hopelijk kan die collega zijn vrouw ervan overtuigen dat sommige maatregelen belangrijk zijn. En hopelijk herkent hij situaties waarin er gewoon iets stuk is en het gedrag niet de schuld van de beveiliging is.

En in de grote boze buitenwereld …

donderdag 5 maart 2020

Mondkapjes

Militairen en mondkapjes. Dat zijn wel de beide elementen die vorige week het meest opvielen in het Romeinse straatbeeld. In beide gevallen ging het om beveiligingsmaatregelen, maar wel tegen heel verschillende dreigingen. De initiatiefnemers waren ook verschillend.

Eerst maar even die militairen. Die staan, in het kader van Berlusconi’s operatie Strade Sicure (veilige straten), al sinds 2008 zwaarbewapend op alle plekken waar veel mensen komen, zoals bij het Colosseum, het Vaticaan en de Piazza Navona, en ook elders in Italië. Om bijvoorbeeld bij een grote basiliek of het Colosseum binnen te komen, moet je tas door een scanner en jijzelf door een poortje. Dat zorgt voor lange rijen, waar de gidsen weer hun voordeel mee doen: ze vertellen je dat je urenlang in de rij staat, tenzij je je bij een gids aansluit, want daar zijn aparte ingangen met bijbehorende controlepoortjes voor. Daar zit natuurlijk een flinke dosis FUD in verwerkt (Fear, Uncertainty and Doubt). Zo bleek de op het oog lange rij bij het Vaticaan slechts twintig minuten te duren, terwijl gidsen graag bereid waren om ons – tegen een ruime vergoeding – te behoeden voor ‘urenlang’ in de rij staan.

Dan de mondkapjes. Die waren nadrukkelijk in het straatbeeld aanwezig, maar toch schat ik het percentage dragers op ruim onder de tien. De meeste kapjes waren van het type ‘bouwmarkt’ of ‘operatiekamer’, en die zijn niet geschikt om je tegen het coronavirus te beschermen. Bij verkeerd gebruik kunnen ze zelfs averechts werken. Ach, ik begrijp die mensen wel: het nieuws staat bol van de uitbraak in Noord-Italië, Rome ligt op slechts een uur vliegen van Milaan en dan wil je toch íets doen. Ik vermoed dat de mondkapjes ook in Italië schaars zijn, want ik heb slechts twee straatventers zien leuren met een paar exemplaren uit de bouwmarkt.

Zo’n maatregel gaat kennelijk ook snel vervelen, getuige de vele mensen die hun mondkapje niet voor neus en mond droegen, maar onder hun kin. Daar helpen ze dus écht niet. Maar ik zag ik ook nog een tweede maatregel: latex handschoenen. In de bus naar het vliegveld opende iemand met zo’n handschoen het luchtrooster boven z’n hoofd. Die heeft dus niet begrepen dat het virus zich via de lucht verspreidt en het daarom misschien minder slim is om in een gesloten ruimte met veel mensen de lucht rechtstreeks in je gezicht te laten blazen. Overigens las ik ergens dat nog niet onderzocht is of het virus de reis door zo’n beluchtingssysteem overleeft. Ik bedoel maar, op het gebied van mensenvirussen ben ik ook maar een leek (maar wel eentje met gezond verstand).

De vraag is altijd: waar wil je je tegen beschermen, en heb je daar eigenlijk wel goed over nagedacht? Ik heb me laten vertellen dat Japanners (los van de coronacrisis) met een mondkapje lopen als ze zélf verkouden of zo zijn, om anderen niet te besmetten. Ik wil best geloven dat ook de mindere mondkapjes in enige mate beschermen tegen het rondsproeien van virussen tijdens een hoest- of niesbui. Ik heb op het vliegveld van Rome één persoon gezien die z’n mondkapje even voordeed als hij een hoestprikkel voelde opkomen. Voor het overige zullen al die mondkapjes toch goedbedoelde pogingen zijn om de drager ervan te beschermen.

En die soldaten dan, waartegen beschermen die ons? Ze zien er wel stoer uit, maar met een mannetje of twee, drie kun je amper iets uitrichten tegen een professionele aanval. Dat zal hun doelgroep dus niet zijn, maar tegen een gewapende gek zijn ze, in combinatie met een dubbele rij dranghekken, ongetwijfeld behoorlijk effectief. Detectiepoortjes zijn ook maar zo sterk als de man of vrouw die erachter staat. Bij een kerk waar het niet druk was zat de beveiliger bellend achter het apparaat. Het poortje piepte, ik wees de gesp van mijn broekriem als vermoedelijke schuldige aan, hij gebaarde vragend naar z’n telefoon, ik liet zien dat ik er inderdaad ook eentje had en liep door. Ach ja, het was vast een heel belangrijk telefoongesprek.

Nieuwe computervirussen verspreiden zich sneller dan de antivirusindustrie kan bijhouden, waardoor de scanners de nieuwste virussen nog niet kennen als die zich bij jou aandienen. Is dat een reden om geen virusscanner te gebruiken? Nee! De meeste virussen worden gewoon herkend, en bovendien werken scanners al lang niet meer alleen op basis van informatie over de bekende virussen; ze kijken bijvoorbeeld ook of een programma zich ‘redelijk’ gedraagt en geen verdachte dingen van plan is. Er zijn veel maatregelen die in hun eentje geen volledige bescherming bieden, maar wel hun steentje bijdragen. Security by obscurity is daar een berucht voorbeeld van. Hopen dat iets veilig is uitsluitend door er geen ruchtbaarheid aan te geven is naïef, maar het hélpt wel. Maar we willen liever geen mondkapjes die schijnveiligheid bieden.