Security (b)log: vertrouwen

vrijdag 16 mei 2025

Bord voor de kop

Foto van auteur

Kijk eens even goed naar de foto en probeer te bedenken waarom ik dit plaatje met maar één doel heb geschoten: er een blog over maken.

We bevinden ons in een hotel. Onder in beeld zie je een trap naar beneden. Daarboven hangt een waarschuwingsbord: “Waarschuwing – kijk uit”. Hoeveel mensen zouden er al van deze trap zijn gekukeld omdat ze naar dit bord keken? Het trekt je aandacht, waardoor je blik niet meer is gericht op de gevaarlijke situatie zelf: de trap. Je loopt met open ogen in de valkuil. Letterlijk.

Soms worden beveiligingsmaatregelen misbruikt om je een veilig gevoel te geven terwijl je je in een gevaarlijke situatie bevindt. Zo zijn er phishing-mailtjes waarin wordt gewaarschuwd voor phishing. Als je op de ‘voor meer informatie’-link klikt, dan kom je netjes op de phishing-informatiepagina van het echte bedrijf terecht. Dat kan je het gevoel geven dat je een legitiem mailtje voor je neus hebt. Want boeven gaan je heus niet op het bestaan van criminaliteit wijzen, toch? Ze gaan je toch niet op het idee brengen dat er iets aan de hand zou kunnen zijn, ze willen toch niet dat je daarover nadenkt?

Cybercrime draait om vertrouwen. Als je het vertrouwen van je slachtoffer weet te winnen, ben je binnen. Je wint het vertrouwen door je als degelijke partij te profileren, die je als extra service waarschuwt voor gevaren. Daarmee sluipen ze jouw wereld binnen en kijken jullie samen naar de grote boze buitenwereld. Dat schept een band. En daarmee vertrouwen.

In datzelfde mailtje staat echter ongetwijfeld ook een link die je naar een valse website brengt. Omdat het mailtje zo betrouwbaar overkomt, ben je eerder geneigd om ook daar op te klikken. Hebbes.

Blijft natuurlijk de vraag: waarom zou je in hemelsnaam zo’n bordje boven een trap aanbrengen? Dat zal wel met de Amerikaanse claimcultuur te maken hebben. “Heel vervelend dat u van de trap bent gevallen, maar ja, we hadden u gewaarschuwd hè, dus u krijgt geen schadevergoeding.” Iedereen weet ook zo wel dat je moet uitkijken met trappen – ook zonder zo’n bord. Bovendien was dit de enige trap in het hotel met een waarschuwing. Er zal wel ooit iemand op die plek de diepte in gestort zijn, waarna deze trap als Gevaarlijke Plek werd aangemerkt.

En in de grote boze buitenwereld …

vrijdag 17 november 2023

Kafka's kasteel

Afbeelding via Pixabay

Weet je nog dat kasteel waar ik vorige week over schreef? Waar ze niemand vertrouwden, omdat ze ervan uitgingen dat de vijand al binnen de muren van het kasteel zat? Ik ben eens in de omgeving gaan rondlopen, en wat blijkt? Een eindje verderop staat nog een kasteel. En daar doen ze het helemaal anders.

Nog niet zo lang geleden hoorde ik op een congres de uitspraak: we moeten van ‘low trust, high tolerance’ naar ‘high trust, low tolerance’. Typisch zo’n uitspraak waarbij de zaal instemmend gromt, zonder nog precies te begrijpen wat dit betekent. Ik schrijf dat soort uitspraken dan op, om er later over na te denken. Het schrijven van een blog is een uitstekende manier om zo’n ei uit te broeden. Riemen vast, beste lezer, want ik weet op dit punt nog niet waar het verhaal heen gaat.

Die uitspraak bevat de veronderstelling dat veel organisaties werken vanuit een soort niet-vertrouwen (dat is iets anders dan wantrouwen), zo’n beetje als in het kasteel van vorige week. Daarom gelden er veel regels waar je je aan moet houden, want uit jezelf doe je waarschijnlijk niet het goede, zo is de gedachte. Niet omdat je het niet wilt, maar omdat je het allemaal niet kunt weten. Omdat er zoveel regels zijn, is het erg moeilijk om je overal aan te houden. Alleen al omdat je niet alle regels kent, maar ook omdat sommige regels niet werkbaar zijn, of omdat het soms niet uitkomt. Je weet wel, dat woordje ‘eigenlijk’. Als dat valt, dan weet je al dat er om een regel heen gewerkt gaat worden. De kasteelheer weet dat ook, en ziet daarom veel door de vingers: hij is erg tolerant, zolang de regels maar niet doelbewust en met kwade bedoelingen worden overtreden.

De uitspraak uit de tweede alinea impliceert dat die houding niet goed is, want tja, we ‘moeten’ immers naar dat andere model: veel vertrouwen, lage tolerantie. Deze kasteelheer gaat ervan uit dat iedereen die voor hem werkt zelf heel goed snapt wat wel en niet kan, omdat veel dingen nou eenmaal voor de hand liggen. Als je ergens naar binnen gaat, dan sluit je de deur achter je. Niet alleen omdat het anders tocht, maar ook omdat er anders misschien iemand naar binnen glipt die daar niet hoort te zijn. Als je de juwelen van de kasteelvrouwe beheert, dan snap je vast wel dat het niet de bedoeling is om ze voor een avondje aan je vriendin uit te lenen. Er zijn dus veel minder formele regels, maar wee je gebeente als je het vertrouwen beschaamt en ze erachter komen. Dan zit je binnen de kortste keren op water en brood in de kerker. Er is maar weinig tolerantie.

Ken je de roman Der Prozess van Franz Kafka? Dat verhaal draait om Josef K., die gearresteerd en uiteindelijk veroordeeld wordt zonder ooit geweten te hebben waarom. Kennelijk heeft hij gezondigd tegen regels, die hij niet kende – niet kon kennen. In zo’n kafkaëske situatie zou je wel eens gemakkelijk terecht kunnen komen als we op basis van ‘high trust, low tolerance’ werken. Geen fijne plek om te wonen, dat kasteel.

Wat te denken van een middenweg? Ik noem het ‘some trust, some tolerance’. Het zal vast wel zo zijn dat we wat teveel regels hebben, die toch niemand kent. Iedere burger wordt geacht de wet te kennen, zo heet het. Maar hoe realistisch is dat, als je het letterlijk neemt? Je weet toch ook zonder kennis van wetboeken dat je geen autobanden mag leksteken? Net zo zijn er tal van beveiligingsregels waar je je toch wel aan houdt. Of waar wat meer tolerantie geen kwaad kan. Ik erger me er steeds weer aan als de app, waarin ik het lesrooster van mijn dochter kan zien, me eruit gooit als ik eens een paar weken niet in die app heb gekeken. Dan moet ik opnieuw inloggen, en dan is het altijd even zoeken hoe dat ook alweer werkt, want het gaat anders dan elders (voor collega-ouders: ik heb het over Somtoday). Hoe spannend is nou helemaal wat er in die app staat? Laat hem toch lekker meeliften op de beveiliging van mijn telefoon. Zelfs de app van mijn bank is makkelijker (na een eerste strenge toelatingsprocedure).

We kunnen dus waarschijnlijk toe met wat minder regels, maar we moeten ook leren om minder tolerant te zijn. Het gebeurt nog te vaak dat iemand iets doet op een manier waarvan hij donders goed weet dat het zo niet hoort, maar het – uiteraard met de beste bedoelingen, daar twijfel ik niet aan – toch op die wijze voor elkaar bokst. Het werkt weliswaar, maar er kleven te grote risico’s aan, die mogelijk over het hoofd zijn gezien. Tolerantie moet je dan ook niet nemen, die moet je krijgen. Van degene die de verantwoordelijkheid draagt.

Een nieuw kasteel dus, op gepaste afstand van dat van Kafka. Met bewoners die zich in alle redelijkheid houden aan regels die vooral regelen wat niet voor iedereen voor de hand ligt. Dat werkt overigens alleen voor mensen. Voor systemen houden we toch maar liever vast aan zero trust.

Volgende week verschijnt er geen Security (b)log.