1. Privacy &
maatschappelijke systemen
Ir.drs. J. (Jurgen) van der Vlugt RE CISA
Noordbeek B.V.
Jurgen@Noordbeek.com
2 september 2009, Enschedé

2. College Privacy & maatschappelijke systemen 2009 09 02 2
Intro; ik =
• Bedrijfseconomie (Rotterdam, finbel)
• Technische Informatica (Delft; KI)
• KPMG EDP Auditors / IRM (WinNT, Y2K)
• Post-grad IT-auditing (VU)
• Sogeti
• ABN AMRO (Group Audit, Group Security; projects++,
outsourcing, security integration)
• Noordbeek
• VU, NOREA (VC, CHBr), ISACA, ISSA (NL, Int’l), PvIB

3. College Privacy & maatschappelijke systemen 2009 09 02 3
Agenda
• Security ↔ privacy
• Risico’s, controls
• ‘Maatschappelijke systemen’
• Wat er te onthouden is

4. College Privacy & maatschappelijke systemen 2009 09 02 4
Security ↔ privacy
• Security: Safeguarding assets / resources
against abuse
while enabling value realisation
• Assets, kwetsbaar:
Mensen, informatie, producten, vastgoed, geld
(en, misschien, ‘Processen’)
• Abuse: Bedreigingen; zelfde categorieën
• (Tegenmaatregelen/controls: Idem)

5. College Privacy & maatschappelijke systemen 2009 09 02 5
Security ↔ privacy
• Privacy: Het recht om anoniem te blijven
• Vage definitie
• Absoluut ↔ relatief
(Voor wat
hoort wat ..?)

6. College Privacy & maatschappelijke systemen 2009 09 02 6
Wie wil privacy
• Maatschappij
• ‘Burgers’
• Hackers, crackers
• Bedrijven, MKB
• Bedrijven, groot
• Overheden
Eigen Andermans
√ +/-
√ +/-
√ --
√ -
√ --
√ --

7. College Privacy & maatschappelijke systemen 2009 09 02 7
Privacy ↔ Informatie
• ‘Information wants to be free’
• Kennis is macht
• Organisatie versus de buitenwereld

8. College Privacy & maatschappelijke systemen 2009 09 02 8
‘Interne’ visie
‘Business’ Information Mgt IT
Strat
Tact
Oper

9. College Privacy & maatschappelijke systemen 2009 09 02 9
Informatiebeveiliging
‘Business’ Information Mgt IT
Strat
Tact
Oper
IT-beveiliging

10. College Privacy & maatschappelijke systemen 2009 09 02 10
Tussenconclusie
• Informatie is macht
• Privacy is het tegendeel
• Alle organisaties willen ‘all take and no give’
• Hoe houden we e.e.a. in de hand?

11. College Privacy & maatschappelijke systemen 2009 09 02 11
Agenda
• Security ↔ privacy
• Risico’s, controls
• ‘Maatschappelijke systemen’
• Wat er te onthouden is

12. College Privacy & maatschappelijke systemen 2009 09 02 12
Risico’s
• Risico ≈ onzekerheid ( + en - )
• Fact of life;
‘niets is zeker, zoveel is zeker’,
etc., etc.
• No guts → no glory
(NB hét model in de financiële wereld)
• No guts ← ‘alles’ dichttimmeren

13. College Privacy & maatschappelijke systemen 2009 09 02 13
Risico = Bedreiging
• Bedreiging van datgene wat iets waard
wordt gevonden
• Niks waard → geen zorg
• Wie vindt het wat waard ..?
• Wat is wat waard ..? Asset-classificatie
• Assets onbekend (?)
• Waarde onbekend (?)

14. College Privacy & maatschappelijke systemen 2009 09 02 14
Risico-benadering
• Bedreigingen: Inbreuken op
• Vertrouwelijkheid (C)
• Integriteit (I)
• Beschikbaarheid (A)
• Extern, intern (!)
• Kwetsbaarheden
• Primaire componenten
• Controls

15. College Privacy & maatschappelijke systemen 2009 09 02 15
Bedreigingen
… Sorry!
Overstroming
Windhoos
Aardbeving
Grieppandemie
Zonder opzet
Crackers
Fraudeurs
Actiegroepen
Tegenzin / Geen tijd
?Met opzet
Acts of Man
Acts of nature
(‘Acts of God’)

16. College Privacy & maatschappelijke systemen 2009 09 02 16
Bedreigingen
• Enkelvoudig te eenvoudig
• Paniekvoetbal
• Aanval / verdediging
• Klein maar fijn
• Groot maar …?
• Verschillende doelen,
verschillende middelen

17. College Privacy & maatschappelijke systemen 2009 09 02 17

18. College Privacy & maatschappelijke systemen 2009 09 02 18
En dan: Controls
= Maatregelen, bijsturingsmiddelen
• Organisatorisch (functiescheiding)
• Procedureel (afvinken rapporten)
• Fysiek (toegang)
• IT (…)
• Geld (verzekering)
• In combinatie (Er is geen silver bullet!)

19. College Privacy & maatschappelijke systemen 2009 09 02 19
Controls (bescherming)
• Afschrikkende
• Preventieve,
• Detectieve,
• Repressieve,
• Beperkende en opvangende,
• Corrigerende en terugwinnende
• Hoe eerder hoe beter
• Net beter dan de buren

20. College Privacy & maatschappelijke systemen 2009 09 02 20
Controls (vervolg)
• Accountantshobby,
maar niet alleen t.b.v. jaarrekeningcontrole
• Taalprobleem:
Operationeel doen ↔
Op managementniveau uitleggen
• Modes
• RBAC
• Classificatie
• Architectuur

21. College Privacy & maatschappelijke systemen 2009 09 02 21
Controls: kosten, baten
• Schade ↔ kosten van controls
(direct, indirect, reputatie?)
• Vantevoren cijfers nodig!
• Frequentie / kans
• Impact, schade (2x)
• Kosten → continu → rapporteren (niks merkbaar?)
• Effectiviteit
• FUD werkt misschien toch beter

22. College Privacy & maatschappelijke systemen 2009 09 02 22
Niks nieuws
• Alleen de techniek is
veranderd …?
• … Maar oplossingen
complexer

23. College Privacy & maatschappelijke systemen 2009 09 02 23
Privacy-controls
• All of the above, om privacygevoelige info te
beschermen
• “100% security”
• Hoe minder privacygevoelige info,
hoe minder imperfect te beschermen
• Maar zonder, gaat niet (?)
• (Informatie- en andere) architectuur to the rescue

24. College Privacy & maatschappelijke systemen 2009 09 02 24
Controls ontwerpen

25. College Privacy & maatschappelijke systemen 2009 09 02 25
Tussenconclusie
• Mo’ money, mo’ problems
• Nog niet eens een goed model
• Roeien met de riemen die we hebben
• Structureel slimmere oplossingen nodig

26. College Privacy & maatschappelijke systemen 2009 09 02 26
Agenda
• Security ↔ privacy
• Risico’s, controls
• ‘Maatschappelijke systemen’
• Wat er te onthouden is

27. College Privacy & maatschappelijke systemen 2009 09 02 27
Maatschappelijke systemen
• IB Groep
• UWV / Belastingdienst
• EPD
• OV-chipkaart / NDW … rekeningrijden
• Stemcomputers
• Justitiële systemen/bestanden (camera’s!)
• Kenmerk: Overheid beschikt over databases
Risico’s: False positives, false negatives
• Kenmerk: Complex, niemand weet alles
Risico’s: Niemand beheerst, niemand verantwoordelijk

28. College Privacy & maatschappelijke systemen 2009 09 02 28
Overheid
• Algemeen nut (?)
• Politiek, toezicht, verantwoordelijkheden ..?
• Beperkte middelen (?)
• Macht
• Vooraf: Altijd beter weten
• Achteraf: Altijd gelijk krijgen

29. College Privacy & maatschappelijke systemen 2009 09 02 29
(Overheid)
• Rijksoverheid
• Provincies
• Gemeenten
• Zelfstandige Bestuursorganen
• 1600 instellingen, 956.000 ambtenaren
• Maatschappelijk Middenveld

30. College Privacy & maatschappelijke systemen 2009 09 02 30
(Partijen en )

31. College Privacy & maatschappelijke systemen 2009 09 02 31
Overheid (II)
• Onbeheerste groei van data / koppelingen
• ‘Lokale’ optimalisatie / afwegingen
• Werking
• Privacy
• NORA, MARIJ, GEMMA

32. College Privacy & maatschappelijke systemen 2009 09 02 32
Druk op overheden
• Bezuinigen
• Andere Overheid
• Minder papier
• Meer e-diensten
• Complexere
maatschappij
• Meer eisen
(Wie wil privacy?)
Minder macht (?)

33. College Privacy & maatschappelijke systemen 2009 09 02 33
Oplossing: NORA
• Nederlandse
OverheidsReferentieArchitectuur
• Bottom-up ontwikkeld
• Vrijblijvend
• Hopelijk sterker
• Afdwingen of Trust but Verify ?
• Principes
• Wie wint, wie verliest ?

34. College Privacy & maatschappelijke systemen 2009 09 02 34
Plaatje

35. College Privacy & maatschappelijke systemen 2009 09 02 35
Plaatje II

36. College Privacy & maatschappelijke systemen 2009 09 02 36
‘Externe’ visie
‘Business’ Information Mgt IT‘Overheid’Burger

37. College Privacy & maatschappelijke systemen 2009 09 02 37
Principes

38. College Privacy & maatschappelijke systemen 2009 09 02 38
DigiD
• DigiD = pseudo-identiteit
• ID-theft / verlies
• Front-end
• Back-end …?

39. College Privacy & maatschappelijke systemen 2009 09 02 39
Oh ja
• Digital natives, migrants, ignorants
• Ignorants: Te oud om mee te moeten
• Al met pensioen
• Kan e-mail niet lezen
• Migrants: Geleerd te
• William B. Gates, Steve Jobs, Woz, etc.
• Grote massa
• Natives: Geboren met
• Te stom om meer dan 1 knop te gebruiken
• Te slim om tool normaal te gebruiken

40. College Privacy & maatschappelijke systemen 2009 09 02 40
Oh ja - impact
• Ontwerp en bouw altijd
• Zo simpel bedienbaar mogelijk,
• Zo bugfree mogelijk,
• Zo transparant mogelijk,
• Zo vervangbaar mogelijk
• Fool-proofing
• Veronderstel nul inzicht
• No tool can be fool proof because fools are so ingenious
• Het simpelste is het moeilijkste,
Maak dingen zo simpel mogelijk, maar niet simpeler!
(Beide: © A. Einstein)
• Business case-fantasieën

41. College Privacy & maatschappelijke systemen 2009 09 02 41
Wat is er te doen
(Maatschappelijke systemen)
• Vrijblijvend → verplicht?
• Bouwen ↔ legacy
(Organisaties, processen, systemen)
• Openheid ↔ geheimhouding
• Betere technologie
• Beter (slimmer) toezicht

42. College Privacy & maatschappelijke systemen 2009 09 02 42
Agenda
• Security ↔ privacy
• Risico’s, controls
• ‘Maatschappelijke systemen’
• Wat er te onthouden is

43. College Privacy & maatschappelijke systemen 2009 09 02 43
Wat er te onthouden is
• Risico-benadering en architectuur
• Ken uw technologie
• Rekening houden met alternatieven
• Weet te kiezen en genoeg is genoeg
• Ken de context
• Klein, directe omgeving
• Groot, stakeholders

44. College Privacy & maatschappelijke systemen 2009 09 02 44
Wat er te onthouden is (II)
• Er is nog veel te doen
• Ken de, uw beperkingen
• Neem verantwoordelijkheid

45. College Privacy & maatschappelijke systemen 2009 09 02 45
Stellingen ..?

46. College Privacy & maatschappelijke systemen 2009 09 02 46
Vragen …?

47. College Privacy & maatschappelijke systemen 2009 09 02 47
The End
Meer info:
• www.schneier.com
• www.security.nl
• www.pvib.nl
• www.norea.nl
• www.jbisa.nl
• www.e-overheid.nl
• Etc. etc.