DRM is misdaad tegen de menselijkheid

Posted on by

Zo kopte de column van Bert Brussen in de Webwereld vandaag. Hierbij moest ik me toch even achter de oren krabben of ik hem daar nu gelijk in moet geven. Ik ga het niet doen. Ik ga een lans breken voor DRM:

DRM is niet een misdaad tegen de menselijkheid,
maar DRM is de redding van de menselijkheid.

Wat is DRM?

NapsterDRM staat voor Digital Rights Management, het op een of andere manier aan films en muziek meegeven van een code zodat illegale downloads getraceerd kunnen worden, een digitaal auteursrecht of intellectueel eigendomskenmerk en in de entertainment industrie is het al een heet hangijzer sinds eind jaren negentig. In die jaren kwam het peer to peer delen van muziek en films op gang door sites als Napster en de gigantische platenindustrie zag miljarden verdampen. Tot op de dag van vandaag jaagt de platenindustrie en Hollywood tevergeefs het verbod op downloaden na.

Wij Nederlanders zijn als vrijgevochten volkje ook sterk tegen inperking van onze downloadvrijheden en deze week sneuvelde dan ook wederom een voorstel downloadverbod voor particulieren in de 2e kamer.

DRM is afzetterij

Dit is de context waarin we over het algemeen tegen DRM aan kijken. En dan kan ik er in mee gaan, want DRM staat hiermee bijna synoniem voor afzetterij. Er zijn vele onderzoeken geweest die aantonen dat de gemiddelde gebruiker best wel wat wil betalen voor een goede film of briljant muziek album. Maar dan niet aan de platenmaatschappijen maar aan de artiest zelf.

Earning Potential: Major Label Artist vs Independent Artist

Zolangzamerhand winnen dan ook betaalde muziekdiensten als de Apple iTunes store en Spotify langzaam terrein.

Een must-read voor iedereen die iets wil lezen over deze hopeloze strijd van de met miljarden smijtende entertainment industrie versus de internet cowboys van Napster en The Pirate Bay moet het boek de “Starfish and the Spider” lezen van Rod Beckstrom.

DRM is je Pensioenfonds.

Zoals gezegd, wil ik een lans breken voor DRM. HJe kunt het namelijk ook van de andere kant bekijken. DRM is je pensioenfonds. De laatste jaren zien we steeds vaker dat ideeën gepersonaliseerd worden. We bedenken niet meer dingen ‘als bedrijf’ en we hebben geen ‘bedrijfsvisie’ meer, maar steeds meer gaan wij als individu op de zeepkist staan en delen we onze ideeën met de wereld via blogs en andere sociale media.

Langzamerhand gaan we ons beseffen dat wij een bijdrage leveren aan het intellectueel eigendom van het bedrijf waar we werken en willen we daar zelf recht op houden. Je wilt zien waar jouw tekening afgedrukt wordt, waar jouw tekst gepubliceerd, en checken of het een nette quote is of een als plagiaat overgeschreven is.

De kennis die wij hebben wordt steeds waardevoller in deze kenniseconomie. Die kennis wordt steeds beter quantificeerbaar, maar steeds minder traceerbaar. De kennis verdwijnt in de grote databanken, de Cloud, Big Data concepten en wij zijn het kwijt. Voor je het weet verdient iemand aan de andere kant van de wereld miljoenen met een filmpitch die jij bedacht hebt en ergens een keer half getweet hebt.

Vooralsnog zijn er nogal wat kanttekeningen te plaatsen bij de veiligheid van Cloud diensten, en veel bedrijven zien er nog van af vanwege allerlei compliancy eisen omdat juist de veiligheid van de gegevens niet gewaarborgd kan worden. Een sleutel tot de definitieve Big Data en Cloudcomputing doorbraak ligt hem nou juist in een vorm van DRM waarin jij controle hebt over jouw kennis. DRM bewaakt dan de waarde van jouw ideeën en daarmee wordt het je pensioen.

‘Cyberaanvallen binnen twee jaar grootste bedrijfsrisico’

Posted on by

AMSTERDAM – Cyberaanvallen zijn binnen twee jaar een groter risico voor bedrijven dan economische onzekerheid.

Dat blijkt althans uit een onderzoek onder ruim 3300 IT-specialisten door een beveiligingsbedrijf. Het is niet de eerste keer dat de risico’s van cyberaanvallen voor bedrijven onder de aandacht worden gebracht.
Bijna de helft (48 procent) geeft aan dat de beveiliging tegen online diefstal van intellectueel eigendom in hun bedrijf te wensen over laat. Bovendien geeft 51 procent toe machteloos te zijn tegen serieuze pogingen van cyberspionage.
Mede daardoor geeft een derde van de IT-specialisten aan dat hij verwacht dat zijn onderneming vroeg of laat slachtoffer wordt van cyberaanvallen.
Opvallend is dat ook een derde van de ondervraagden niet op de hoogte is van de laatste trojaanse paarden en niet weet hoe gerichte aanvallen precies worden uitgevoerd.
Op dit moment wordt de economische onzekerheid door bedrijven als het grootste risico gezien. Cyberaanvallen staan op de tweede positie. Binnen twee jaar zou deze rangschikking dus omgedraaid moeten zijn.

Bron: Nu.nl

Bij Auruncus gaan we een stapje verder. We schrijven er al een tijdje over, en dat blijven we doen. Cyberaanvallen zullen niet over een jaar of twee de een grotere bedreiging zijn voor het bedrijfsleven dan economische onzekerheid, maar binnen een decennium voor een grotere, diepere financiële crisis zorgen dan de huidige economische crisis omdat ze de hele economie kan ontwrichten.

Anonymous start eerste cyberoorlog

Posted on by

Het is een historische dag vandaag. Er word geschiedenis geschreven. Het bijzondere is dat bijna geen enkele nieuwssite of krant er aandacht aan besteed. In Nederland zijn de ontwikkelingen in de zaak Vaatstra het belangrijkste nieuws. Daarnaast krijgen de beschietingen op de Gaza strook een behoorlijke dosis aandacht, maar verder dan de ouderwetse oorlogsvoering wordt er niet gekeken terwijl er los van de raketaanvallen een andere oorlog is begonnen die mogelijk de wereld gaat veranderen.

Gisteren en vannacht zijn we getuige geweest van het begin van de eerste echte Cyberoorlog waarin honderden hackers uit het Anonymous collectief een gezamenlijke aanval op Israelische doelen zijn gestart onder de campagnenaam #OpIsrael. Volgens ABC News zijn er in de loop van de avond en de nacht meer dan 44 miljoen aanvallen gelanceerd op diverse doelen.

CNN meldt dat de schade in geen verhouding staat tot de schade op de grond. Daar hebben ze nog wel gelijk in, want er staat natuurlijk geen prijskaartje op een mensenleven. Aan de andere kant vind ik het wel een onderschatting van wat er gebeurd. Gezien de 44 miljoen aanvallen valt de uiteindelijke schade mee; Er zijn een aantal databases gehackt en gebruikersnamen en wachtwoorden gelekt. Volgens The Next Web zijn er een kleine 700 websites zijn gedurende een korte periode offline geweest als gevolg van de vele DDoS aanvallen waaronder enkele overheidssites en de Israelische Mastercard website. Zolang het bij websites blijft en niet bijvoorbeeld het betalingsverkeer lamgelegd wordt blijft de economische schade beperkt.

Dat die schade mee valt is voor een deel ook te danken aan de preventieve maatregelen die Israel genomen heeft. De Israëli’s zijn constant beducht voor aanvallen en ook cyberaanvallen horen in dit scenario thuis. Een ander land met minder voorbereiding zou volledig lamgelegd kunnen zijn als de hackers ook in de infrastructurele systemen hadden kunnen inbreken zoals de water en energie voorziening.

Hoewel de daadwerkelijke schade, ook in economische zin, mee valt is het belang van deze cyberaanval niet te onderschatten. Diverse instanties waarschuwen al een tijd dat het niet de vraag is of maar wanneer de eerste cyberoorlog zal uitbreken. Ook op dit blog heb ik dat meerdere keren aangestipt. Nu het dan zover is kunnen we een aantal voorzichtige conclusies trekken.

  1. In de eerste plaats valt de schade mee door de goede voorbereidingen van Israel. Een ander doelwit met minder goede beveiligingsmaatregelen had veel harder getroffen kunnen worden.
  2. In de tweede plaats valt de schade mee doordat ze uitgevoerd zijn door een collectief hacktivisten. Hoewel er veel goede hackers zijn binnen het Anonymous collectief is het een te ongecoördineerde actie geweest om echte infrastructurele schade aan te richten. Een militair geleidde aanval zou andere doelen geselecteerd hebben.
  3. In de derde plaats is de massaliteit van de aanvallen verontrustend. Ook met beperkte middelen en huis tuin en keuken hacktivisten is het mogelijk om miljoenen DDoS aanvallen te initiëren. Dat geeft te denken over de mogelijkheden die een militaire operatie in een aanval van land op land zou hebben.
  4. In de vierde plaats vind ik het ook verontrustend dat Anonymous zich nu met politiek en lokale conflicten inlaten. Bij veel mensen kan Anonymous op sympathie rekenen omdat ze digitale misstanden aan de kaak stellen. De aanvallen van gisteren zijn echter wel te kwalificeren als oorlogshandelingen en daarmee is er een grens overschreden. Zal Anonymous verder radicaliseren en professionaliseren?

Er staan veel vragen open voor de toekomst na deze eerste gerichte cyberaanval op een land. Hoeveel schade zou er daadwerkelijk aangericht kunnen worden als het een militaire operatie zou zijn en de aanval een laag dieper doordringt in de infrastructurele systemen? In dat gevolg zou de mogelijke schade enorm kunnen zijn. Een cyberoorlog is in potentie gevaarlijker voor de economie dan de huidige financiële crisis.

Het gebrek aan aandacht in de media voor deze ontwikkelingen is ook een teken aan de wand: Cyber Security is niet in beeld omdat men geen idee heeft van de mogelijke schade. Totdat het straks te laat is…

Voorstel WOZ Openbaar is schending Privacy

Posted on by

In de Metro van 1 maart las ik een artikel waarin de D66 Kamerleden Wassila Hachchi en Kees Verhoeven voorstellen om de WOZ gegevens openbaar te maken.  “Het is voor gemeenten belangrijk transparant te zijn, terwijl het voor woningeigenaren handig is zelf te checken hoe die waarde tot stand is gekomen. Je kunt bijvoorbeeld kijken hoe het bij de buren zit. Nu kom je daar alleen achter door er eens beleefd op een verjaardagsfeestje naar te vragen.” Dit lijkt sympathiek en handig, maar ik vraag me af in hoeverre deze politici de impact van hun voorstel overzien.

Foto WFA/Metro

De WOZ informatie wordt al jaren gebruikt door de belastingdienst, makelaars en banken. Voor potentiële kopers is het natuurlijk handig om zelf even na te kunnen kijken hoeveel hun droomhuis waard is. De site Kadasterdata springt daar al handig op in en biedt deze informatie tegen betaling. Hoewel dit ook al op een glijdende schaal zit, wordt het pas echt gevaarlijk als de WOZ gegevens in de categorie ‘Open Data’ gaan vallen zoals de kamerleden voorstellen. In een eerder artikel schreef ik;

Vanuit de Europese Commissie, De Nederlandse Overheid en de lokale overheden wordt er vol ingezet op Open Data: Gemeenten en overheden moeten hun informatie beschikbaar stellen voor andere partijen. Op deze wijze kan miljarden bespaard worden. Volgens het EPSI Platform zelfs 27 Miljard. Maar om welke informatie gaat het dan? De plek van de lantaarnpalen in uw gemeente, de WOZ waarde van uw woning (zoals in het eerder genoemde voorbeeld van Kadasterdata), demografische gegevens, kwaliteitsmetingen enzovoorts. Dit alles gelukkig wel onder bepaalde voorwaarden. Welke informatie wel en niet? Blijkbaar de informatie uit het basisregister kadaster wel. Gaat de informatie uit het Handelsregister ook openbaar worden?

Financiële gegevens ervaren we vaak toch wel een beetje als privé. Ik heb ook wel eens een collega gevraagd wat hij precies verdiende. Je wordt toch een beetje vreemd aangekeken. Dat vraag je toch niet! Behalve dat het ‘not done’ is om naar de financiële situatie van je buren of collega’s te vragen vraag ik me sterk af of informatie als de WOZ waarde ook niet in de categorie privacy gevoelige gegevens hoort te vallen en het CBP hier toezicht op moet uitoefenen.

Want hoewel sec gezien de WOZ waarde gaat over de waarde van objecten ontstaat er met het openstellen van de WOZ gegevens een nieuwe bron met gegevens die aan personen gekoppeld kunnen worden. En daar wordt het eng! Nu is het zo dat Makelaars en banken deze gegevens kunnen opvragen t.b.v. het verstrekken van een hypotheek. Ook particulieren kunnen dit doen, maar nog wel met een drempel: Betalen voor de gegevens. Bij het volledig openstellen van de data vervalt deze drempel. Een slimme crimineel doet wat aan datamodulatie en legt het bestand naast de telefoongids en weet precies welke persoon eigenaar van het huis is en de waarde daarvan. Met een beetje Funda rekenen we de maandlasten uit. Een beetje verder frunniken weten we via LinkedIn wat voor baan die persoon heeft en via Salarisindicatie hoeveel die ongeveer verdiend. Reken maar uit wat er nog aan besteedbaar maandinkomen is. Is iemand chantabel? Of moet hij wel veel overhouden en is er wat te halen voor het dievengilde?

WOZ Open Data is een eerste bron. Hoeveel zullen er volgen? De crimineel van morgen begint zijn dag achter de PC. Informatiebronnen combineren en modelleren. Hij doet aan profiling. Op basis van de beschikbare datamodellen creëert hij het meest lucratieve slachtoffer profiel en voor het donker wordt heeft hij de route uitgestippeld die hem het meest oplevert!

Aan de andere kant: Wat doet de overheid met deze informatie? Natuurlijk beschikt de gemeente en de belastingdienst al over deze informatie. Ze wordt immers daar bepaald om de gemeente heffingen te waarderen. Maart wanneer bijvoorbeeld de politie aan dezelfde datamodulatie gaat doen als de crimineel zit je met een tikkeltje zware hypotheek misschien direct in het verdachtenbankje als het om fraudezaken gaat.

Om deze redenen valt de waarde van mijn woning voor mij ook in de categorie privacy gevoelige informatie, en dat deze data niet publiek toegankelijk mag worden. Wel kan deze onder bepaalde voorwaarden raadpleegbaar zijn door gespecificeerde afnemers, net als bij bijvoorbeeld de basisregistratie Persoonsgegevens. Daar zijn landelijk zo’n 900 afnemers van de gegevens die aan strikte voorwaarden moeten voldoen om over deze gegevens te kunnen beschikken. Dit alles staat onder toezicht van het CBP. Wat mij betreft dus ook de WOZ gegevens onder dat toezicht.

Elke politieke partij een CTO

Posted on by

“Het wordt allemaal wel heel complex.” Ik hoor dit steeds vaker om mij heen. Voor veel mensen is de technologische ontwikkeling niet meer bij te houden. Hoe groter het bedrijf, hoe complexer de IT infrastructuur wordt. Er is bijna geen beroep meer te bedenken waar de informatie technologie niet zijn intrede gemaakt heeft. Alles digitaliseert.

En kijk dan eens naar de overheid die in feite honderden producten aan miljoenen klanten verkoopt. Zelfs een lokale overheid als, bijvoorbeeld, de gemeente Ede heeft al bijna 100.000 klanten. Het maakt eigenlijk niet uit of je bij een gemeente digitaal een verhuizing door geeft of bij Bol een boek besteld. Het is een digitale transactie waarbij bijvoorbeeld persoonsgegevens over de lijn gaan. De systemen worden zo complex en we stellen ook nog eens zoveel eisen aan beveiliging en privacy dat de benodigde infrastructuur al snel behoorlijk ingewikkeld wordt. En al helemaal als we complexe nieuwe dingen gaan doen als het EPD of OV Chipkaart en bijvoorbeeld de invoering van de Basisregistraties. We zien zelfs mogelijkheden om nog verder te gaan. Binnen de overheid wordt enthousiast gekeken naar Open Data principes waarin data gedeeld kan worden en door andere (ook commerciële-) partijen gekoppeld en gecombineerd kan worden tot een nieuw product. De vraag is of we met ons allen de impact van Open Data op onze privacy en de ‘beveiligbaarheid’ van onze gegevens kunnen overzien.

Open Data Collage by Reekx

Adjiedj BakasVorige week werd het nieuwste boek van Trendwatcher Adjiedj Bakas over het Einde van de Privacy gepresenteerd. Bij de presentatie stelde de heer Tjin-a-Tsoi, directeur van het NFI dat nu al 50% van alle criminaliteit een Cyber component heeft. In plaats van meer blauw op straat moet er meer blauw op het internet schrijft Bakas in zijn boek. Over de rol van de overheid schrijft Bakas ondermeer;

“Internetveiligheid en privacyschendingen zullen de komende jaren belangrijke kwesties worden voor de overheid. Zij bevindt zich daarbij in een spagaat, want enerzijds verwachten burgers van de overheid dat die hun veiligheid garandeert, ook op het internet, en anderzijds is diezelfde overheid het zwarte schaap wat privacyschendingen betreft. Dat laatste is ook geen wonder, want de overheid beschikt over veel gevoelige informatie van burgers, en de regels omtrent de toegang tot die informatie zullen de komende jaren duidelijk vastgesteld moeten worden.”

De uitspraak in van de Hoge Raad in de Runescape zaak eerder deze week geeft ook te denken. Door gebrekkige wetgeving op het gebied van digitaal eigendom duurt het meer dan 3 jaar voordat er een definitieve uitspraak is in –eigenlijk maar een- klein vergrijp. En dit is maar een eerste voorbeeld van een serie wetten die nog achter lopen op ons digitale tijdperk. Voormalig tweede kamerlid Ed Anker geeft aan dat hij bij de debatten over de beveiligingschips wel eens opgemerkt heeft dat de overheid altijd een paar jaar lijkt achter te lopen. Een rondgang langs verschillende politieke partijen leert dat de meeste partijen echter vinden dat ze er ‘bovenop zitten’ maar dat ze vaak wel twijfels hebben over de deskundigheid op lokaal niveau.

De wet en regelgeving, en zeker het strafrecht is nog niet 2.0 ready. Discussies over de digitale vrijheid als SOPA, PIPA en ACTA (anti piraterij wetgeving) worden nu gekaapt door anarchisten als Anonymous bij gebrek aan visie en kennis in de politiek.

Op allerlei vlak speelt de ICT een grote rol die alleen nog maar groter wordt en in de komende jaren zal ook de politiek belangrijke keuzes moeten maken. En wetten. En het wordt steeds complexer. Mogen wij van de landelijke, provinciale en lokale politici verwachten dat zij de impact van de keuzes kunnen overzien als zelfs de beste IT architecten er al niet uitkomen?

Jawel. Dat mogen wij. In de politiek worden keuzes gemaakt die ons hele leven, onze samenleving beïnvloedden. Juist met het oog op deze aspecten is wordt het steeds belangrijker dat juist de politici de technologie gaan snappen, dat partijen over de IT impact van de voorstellen in hun partijprogramma gaan nadenken. Het is de hoogste tijd dat de politieke partijen een CTO, een Chief Technology Officer gaan aanstellen die dit in het snotje gaat houden.

Uitspraak Hoge Raad in de Runescape zaak

Posted on by

(English Summary Below)

Op dit blog probeer ik zo nu en dan mijn gedachten over privacy, cyber criminaliteit en de toekomst van het internet weer te geven. Dat beperkt zich vaak tot de grote opvallende dingen, maar deze keer wil ik toch een pietepeuterig dingetje er uit lichten, namelijk de uitspraak van de Hoge Raad in de Runescape zaak.

In de periode 2006-2009 heb ik veel geblogd over virtuele werelden en in 2008 speelde deze zaak, die in de blogosphere nogal wat aandacht trok, waarbij een stel pubers een 13 jarige jongen bedreigden en een aantal virtuele items uit het spel Runescape buitmaakten. Op 21 oktober 2008 deed het gerechtshof in Leeuwarden een uitspraak waar ik op mijn oude blog een artikeltje aan wijdde. Vandaag heeft de Hoge Raad een uitspraak in deze zaak gedaan. De uitspraak is geen verassing, maar een bekrachtiging van de uitspraak in 2008;

“Virtueel amulet en masker in het online spel Runescape kunnen worden aangemerkt als ‘goed’ in de zin van art. 310 Sr en zijn vatbaar voor diefstal. “

De Hoge Raad heeft nu dus bevestigd dat virtuele goederen, zoals die in computerspellen en virtuele werelden hetzelfde bejegend dienen te worden als materiële bezittingen. De uitspraak is nu definitief, maar de interessante discussie begint nu pas. Hieruit volgt dat je dus met een virtuele, digitale identiteit bezit kunt opbouwen en wordt de vraag actueel wat er met deze bezittingen gebeurd na je dood. Kunnen ze onderdeel uitmaken van een erfenis? Aan wie vervalt het eigendom? Gaat de waarde van het virtuele bezit meetellen voor de bepaling van de hoogte van alimentatie? Dezelfde vragen gelden in min of meerdere mate voor blogs, voor Facebook profielen.

Wat zou moeten volgen uit deze uitspraak is dat veel wetgeving herzien moet worden, gemoderniseerd moet worden om bezit en intellectueel eigendom en de bescherming van digitale identiteit. Deze vragen speelden 4 jaar geleden ook al, maar helaas is de wetgeving nog steeds niet klaar voor in toenemende mate digitaal geëngageerde wereld.

English:

Today the Dutch Supreme Court confirmed a 2008 ruling of a lower court in the Runescape Case. Back in 2008 this was quite a controversial trial as it was the first ruling which declared virtual goods as on the same level as material goods. On my old Mindblizzard blog I discussed the 2008 ruling (in English). The case was about two teenagers who coerced a13 year old in order to gain an amulet and talisman in the Runescape game. Now, 3.5 years later the Supreme Court has confirmed this is actual theft.

Almost 4 years ago I was blogging virtual worlds on the MindBlizzard, and now, on this blog it’s about privacy and security. To me, this case has a little bit of both. With this ruling virtual goods will be protected under law, but it raises a whole new discussion. Apparently one can create a virtual identity and acquire posessions with this identity. But what happens after you die? Can someone inherit the goods, or the represented value? Will the value be taken into account for instance in determining the height of alimony? The same counts more or less for blogs and Facebook accounts. 

Today’s ruling is almost 4 years after the original verdict, yet the laws haven’t changed yet and the discussion needs to continue as it asks for a revision of many laws on intellectual  property and the protection of the digital identity. The law still is not ready for today’s world of growing digital engagement.

Het einde van de Privacy

Posted on by

Vrijdag 27 februari werd bij het Nederlands Forensisch Instituut (NFI) het nieuwste boek van Trendwachter Adjiedj Bakas gepresenteerd met de titel “Het Einde van de Privacy”

Adjiedj BakasDat is natuurlijk een onderwerp dat ons aanspreekt. Het boek van Bakas moeten we niet lezen als een roadmap voor IT vernieuwing en voert geen diepgaande analyse uit over de problemen in de IT maar is een lekker vlot lezend boek waarin diverse trends geschetst worden waar we wel iets mee moeten.

Het is geen inhoudelijk boek wat de Security specialisten of het Nationaal Cyber Security Centrum (NCSC) als bijbel gaan hanteren, maar toch denk ik dat het boek in het komende jaar een belangrijke plek kan innemen in de discussie over security omdat het het onderwerp verheft boven het technische geneuzel van de IT afdeling en het van een abstracte academische discussie omlaag haalt naar een praktische discussie die op elke management tafel gevoerd zou moeten worden.

Directeur NFIEr is bijna geen enkel terrein in onze samenleving wat niet door IT geraakt wordt. Steeds meer systemen worden aan elkaar gekoppeld en onze privacy – zoals we het nu kennen – staat op het spel. Bakas stelt dat we het begrip privacy gaan herdefiniëren, wat onderschreven wordt door de heer Tjing a Tjoy, directeur van het NFI. Leo Habers, Reasonnet

Daarnaast zal er niet meer blauw op straat komen, maar blauw op het net. 50% van alle criminaliteit nu heeft al een ‘cyber’ aspect, een digitale component. Directeur Leo Habers van het IT bedrijf ReasonNet zegt na een korte aarzeling dat hij ook de mening toegedaan is dat alles te hacken is.

Hoewel ICT het fundament onder deze veranderingen is gaat het ook om hoe wij met elkaar omgaan en elkaars privacy respecteren. Meerdere columns in het boek van Bakas belichten deze kant van de medaille, waaronder de column van Henk Jan Smits. Bakas beticht hem er van de privacy van vele onschuldige deelnemers van het programma Idols om zeep gebracht te hebben.

Gebruik het boek niet als beleidsdocument voor de IT agenda van de komende 5 jaar, maar ik raad zeker aan het boek wel te gebruiken om de thema’s op de agenda te krijgen.

Het boek zelf is verkrijgbaar bij (oa) Bol.com voor 22,50 EUR.

Foto’s M. Oosterbaan, HeerO

Opening NCSC, een Cyber Delta Plan

Posted on by

Vorige week donderdag opende minister Ivo Opstelten met een spectaculaire lasershow het nieuwe Nationaal Cyber Security Centrum, het NCSC. De opening vondt plaats in het World Forum in Den Haag met een aantal plenaire sessies en diverse workshops.

Vlak voor de lunch sloot Melissa Hathaway het ochtendeel af met een verassend techniekloze lezing. Ondanks dat ze haar speech op handgeschreven kladjes voor zich had en geen gebruik maakte van de beamer wist ze de aandacht goed vast te houden, wat natuurlijk een prestatie an sich is.

Melissa Hathaway was security adviseur bij zowel de regering Bush als de regering Obama en gaf een korte overview van de geschiedenis van het internet. Met de opening van het NCSC ziet ze dat Nederland weer een leidende positie in Europa kan gaan innemen. En dat is nodig. Er komt een golf van cyberterrorisme op ons af. Er zijn nu al meer dan 67.000 nieuwe malware bedreigingen per dag. En het zal alleen maar erger worden.

20120116-100208.jpg

Met een verwijzing naar de Watersnoodramp in 1953 en het daaropvolgende Delta Plan riep ze op om ook tot een Delta Plan te komen voor de bestrijding van Cybercrime. Hierin moeten we al onze kennis en kunde bundelen. Om dit goed te doen geeft ze het advies om Disney in te huren. Eén van de belangrijkste must do’s is het creeëren van Awareness. De boodschap moet gecommuniceerd worden, en wie kan dit beter doen dan deze filmstudio. Naast Awareness moeten we ook onze strategie durven aanpassen onderweg. Cyberterroristen zijn inventief. De aanvalsstrategie moet dan ook voortduren evolueren. Een derde aandachtspunt is de resourcing van de strategie. Zorg dat er voldoende middelen zijn om die strategie daadkrachtig uit te voeren.. Een vierde aadachtspunt volgens Hathaway is wendbaarheid. ‘Remain Agile’ en tenslotte is het nodig dat we onze ‘stem vinden’ Lange tijd hebben we in Nederland een beetje achter de rest aan gehobbeld, maar met het NCSC hebben we de kans om weer een lichtend voorbeeld te worden in Europa. We moeten onze kennis uitdragen en Europa voorgaan.

Cyberoorlog – Gaaaap!

Posted on by

In mijn vorige artikel over het einde van de email refereerde ik aan het trendrapport van McAfee. Een bepaalde zinsnede uit het rapport viel me op:

Will this be the Year of Cyberwar, or merely a showcase of offensive cyberweapons and their potential? While we certainly hope it’s only the latter, the situation’s growth during recent years makes an eventual cyberwar nearly inevitable

Een snelle tweet leverde wel wat verschillende reacties op, variërend van “Gaaaaaaaaap” tot “Ik hoop dat ze dan genoeg professionals hebben om het op te lossen” Ik schrok zelf nogal van de eerste reactie want de impact kan immens zijn.

De impact van een cyberoorlog
Vooropgesteld dat alles te hacken is de kans groot dat een cyberoorlog verwoestend is. In een samenleving waarin steeds meer systemen aan elkaar gekoppeld worden én aan het internet kan de impact van een georganiseerde cyberaanval catastrofaal zijn, wereldomvattend.

In de afgelopen jaren hebben we genoeg voorbeelden gezien om – als we impact op ons laten inwerken – de dag van de cyberoorlog met vrees en beven tegemoet te zien. In de afgelopen jaren waren het gerichte, individuele aanvallen die aangetoond hebben dat de veiligheid niet alleen bij onwetende particuliere pc eigenaren ligt maar dat inderdaad alles te hacken is. Deze week berichtte NU nog over een nieuwe hack waarmee via printers op netwerken ingebroken kon worden. Maar ook gevangenisdeuren , banken , beurzen , logistieke systemen, waterkrachtcentrales, kerncentrales, wapenfabrikanten , watervoorziening en verwarmingssystemen zijn niet veilig, om maar een paar voorbeelden te noemen.

Bijna alle netwerken zijn op één of andere wijze gekoppeld aan het internet; omdat wij graag online verzekeringen willen afsluiten of onze bankzaken willen regelen, of omdat de werknemers ook graag thuis willen werken. Maar al te vaak zijn de bedrijfswerken nog één grote verzamelbak. Kun je bij één ding, dan kun je vaak bij alles. Netwerkzonering kan een heleboel schade voorkomen, maar zeker niet alles.

De genoemde aanvallen tonen aan dat het kan. Wanneer de aanvallen gecoördineerd worden kan de infrastructuur van een land lamgelegd worden. Een grote gecoördineerde aanval op bedrijven waarbij massaal de bedrijfsgeheimen wordt gelekt kan rampzalige gevolgen hebben voor de economie, want in feite is onze economie op geheimen gebaseerd: Ik kan iets, of ik weet is wat jij niet weet en daarom huur je mij in. Met die kennis maken we de producten die we verkopen.

De kans op een cyberoorlog
Als ik zo het rapport van McAfee lees dan is een cyberoorlog bijna onvermijdelijk. Ik onderschrijf die mening. De vraag is niet meer of, maar wanneer en door wie. In het rapport schrijft MacAfee:

“According to reports, the use of cyberweapons in the revolution in Libya was considered but didn’t happen because no one wanted to be the first to open Pandora’s box”

Als we naar de ‘wie’ kijken dan beseffen landen vaak wel dat de wereld tegenwoordig zo verbonden is met elkaar dat de kans op oorlogen wel afneemt. Kijk maar naar de Eurocrisis: We kunnen een land als Griekenland niet zomaar afschrijven want de gevolgen werken wereldwijd door. De grootste dreiging voor een cyberoorlog komt uit kleinere groeperingen.

We hebben het dan niet over de Nigerianen die met een door ons zelf gesponsorde “Iedereen een (100 dollar) PC” ons oplichten, ons de bankrekening nummers ontfutselen en de rekeningen leeghalen maar gerichte guerrilla aanvallen.

McAfee beschrijft ondermeer een scenario waarin Hacktivism (het hacken door activistische groeperingen als Anonymous) meer georganiseerd wordt. Veel mensen hebben toch wel sympathie voor Wikileaks en voor Anonymous maar hun methoden zijn verwoestend en anarchistisch. Het meest donkere scenario is het einde van het internet en een wereldwijde economische crisis die erger is dan de huidige schuldencrisis.

De oplossing
Op een eerder artikel kwam de reactie dat het makkelijker is om aan te geven wat er mis gaat dan om antwoorden te geven. Als ik de antwoorden al zou hebben, dan zat ik hier niet meer en was ik permanent op vakantie.

De bron van het probleem is de verouderde infrastructuur. In eerdere blogartikelen heb ik al geschreven dat deze in de jaren 80 ontworpen is door en voor academici en niet berekend is op de huidige wereld. Hier ligt dan mijns inziens ook de sleutel voor de oplossing van het probleem: Redesign the web. Maar dat is omvangrijk. Het gaat dan om een end to end oplossing. Niet alleen software, maar ook hardware en communicatieprotocollen moeten meer tracking en tracing opties krijgen.

Wordt er aan gewerkt? Nou nee. Er zijn initiatieven, maar vooralsnog wordt er gewoon grof geld verdiend aan het misbruik van de huidige infrastructuur. Een internet waarin persoonsgegevens veilig zijn is dodelijk voor de beurswaarde van bijvoorbeeld sociale netwerksites als Facebook.

Het einde van de Email

Posted on by

Begin deze week kwam ik een blogartikel van Eelco van der Wal tegen over het einde van de email. In dit artikel verwees hij naar artikelen van ABC News en Business Insider die begin deze maand meldden dat een grote ICT Dienstverlener, Atos, een verbod heeft ingesteld op het intern gebruik van email. De Business Insider schreef onder meer:

In case big email providers like Microsoft, Google, and Yahoo hadn’t already been scared stiff by recent online communication trends, this news should wake them up.

In de jaren 90 is het gebruik van email geëxplodeerd en liep het gebruik van email destijds ver voor op het gebruik van internet. Al jaren zet email de traditionele postmarkt, de ‘slakkenpost’ onder druk maar de laatste tijd zien we inderdaad dat email als medium zelf onder druk staat. In een survey van Sillicon Alley Insider zien we dat vooral onder jongeren het email gebruik over het laatste jaar gedaald is:

Gaat die trend zich doorzetten? Hoe komt dit en leidt dit tot het einde van email als communicatie medium?

Email is irritant
Email is eigenlijk altijd al een irritant medium geweest. Dit komt in de eerste plaats natuurlijk door de enorme hoeveelheid spam. Volgens de laatste statistieken van antivirusbedrijf Symantech zakt de hoeveelheid spam vorige maand naar het laagste niveau in 3 jaar. Toch is spam nog steeds goed voor een dikke 70% van alle emailverkeer.

Een tweede aspect waar we ons aan ergeren zijn die kennissen van ons die bij ieder mailtje om leesbevestiging vragen of al binnen een dag er achter aan mailen waarom we nog niet geantwoord hebben.

Nog zo iets irritants: Hebt u ook van die collega’s die bij het minste of geringste de neiging hebben om iedereen op de Cc te zetten?
Email is inefficiënt
Naast alle irritaties die email opwekt maken we ook nog eens onhandig gebruik van het medium. Niet alleen zetten we collega’s nodeloos op de Cc (want dan hebben we ze toch geïnformeerd, of hebben we ons zelf in ieder geval ingedekt) maar we voeren hele discussies op de email.

En zo kunnen we de discussie nog even doorvoeren. In deze korte emailwisseling staan er echter 8 versies van de regel “Hoe laat ben jij vanmiddag vrij” op de mailservers. Nu gaat het maar om één regeltje, maar we doen hetzelfde met beleidsdocumenten. Lijvige rapporten van meerdere MB’s vliegen heen en weer tussen collega’s met de vraag of ze het willen reviewen. We sturen het document naar 10 collega’s. Er zijn nu 11 kopieën. Maar liefst drie collega’s reviewen, mailen hun versie rond en er zijn nu al 44 kopieën in omloop.

Email is duur
Voor bedrijven kost het onderhouden en updaten van spamfilters een aardige duit Naast het werk aan de spamfilters zorgt ons inefficiënte rondmailen van documenten er voor dat ook de opslag van email flink in de papieren gaat lopen. Het afschaffen van email kan dan ook vanuit een kostenaspect toegejuicht worden door uw bedrijf.

Genoeg alternatieven
Voor de jongere generatie groeit vooral het gebruik van andere media. Met de smartphone zijn we niet meer gebonden aan SMS-jes van 160 tekens. Bovendien kunnen we allerlei media meesturen met onze berichten en zijn er voor korte berichten alternatieven als Whatsapp om ook gratis berichten te sturen. Voor iets langere berichten gebruiken we tegenwoordig al snel Facebook.

Voor de zakelijke markt komen de alternatieven echter maar langzaam van de grond. Bij diverse bedrijven zijn IM clients als Sametime (IBM) of OCS (Microsoft) beschikbaar, maar wordt er nog maar weinig gebruik van gemaakt. Oplossingen voor het samenwerken aan documenten zijn haast nog minder beschikbaar. De werknemers die het dan efficiënt willen oplossen wijken dan vaak uit naar een publieke service als Google Docs.

Email is gevaarlijk
Door het achterblijven van collaboration mogelijkheden in bedrijven zien we steeds meer documenten naar publieke providers verhuizen, maar ook de zakelijke email verdwijnt steeds vaker naar het publieke domein. In een poging om de kosten voor email zoveel mogelijk te drukken heeft de zakelijke gebruiker vaak maar een krappe 250MB aan opslagruimte en kunnen we geen email ontvangen groter dan 10 MB. En dus wijken we uit naar GMail.

En daarmee komen we bij de grootste bedreiging voor de zakelijke markt: Email wordt vooral onveilig gebruikt! Met name de grote publieke aanbieders als Microsoft, Yahoo en Google zijn regelmatig doelwit van hackers.

James Fallows schreef een artikel over het gehackte GMail account van zijn vrouw. Op de vraag aan Google hoe vaak dit nu voorkomt antwoordde Bryant Gehring, Account Recovery Stratagist van Google, dat het ‘slechts’ om ongeveer 1,000 gehackte emailaccounts per dag gaat. In 9 van de 10 gevallen is het alleen maar lastig voor de gebruiker die zijn mail kwijt is, maar spannender wordt het als het gerichte aanvallen betreft. Eerder dit jaar schreef de Washington Post :

Google said Wednesday a hacker in China obtained access to hundreds of Gmail accounts, including those of senior U.S. government officials, military personnel, Chinese political activists and journalists.
The company said it recently detected the security breach and stopped what it described as “a campaign to take users’ passwords and monitor their emails, with the perpetrators apparently using stolen passwords to change peoples’ forwarding and delegating settings.”

Email Trends voor 2012
Zo aan het einde van het jaar is het altijd goed om vooruit te kijken. Hoewel de laatste spam offensieven hun vruchten lijken af te werpen voorspelt McAfee in hun 2012 trendrapport een andere golf van spam via legitieme reclame bureaus:

In this environment, we can expect to see “legal” spam continue to grow at an alarming rate. It is cheaper and less risky to spam individuals from advertising companies than it is to use botnet-infected hosts. This sort of activity, known as snowshoe spamming, has grown so much that at the time of this writing the top 10 most common email subjects include one delivery status notification, one botnetrelated fake-Rolex spam, one confidence scam, and seven subjects associated with snowshoe spam. This sort of traffic will continue to grow at a faster rate than phishing and confidence scams, while botnetrelated spam will continue to decrease as botmasters find better and safer ways to wring money out of their armies of infected computers. It is only a matter of time before most global spam volume comes from badly behaving but “legal” entities.

Is dit dan het einde?
Er zijn maar weinig dingen die voor de eeuwigheid bestemd zijn en ik geloof zeker dat email daar niet bij hoort. We hebben de auto nog als vervoersmiddel, maar de stoomvariant hebben we allang niet meer. Vroeger hadden we naast de gewone post nog het telegram als snel communicatiemiddel, maar tegenwoordig lijkt het alsof dit alleen nog maar door de koningin en ministers gebruikt wordt uit piëteit met tradities. Zo zal email ook een tijdelijke variant zijn.

In 2012 zullen jongeren steeds meer gebruik maken van alternatieve media voor hun conversaties en zullen de bedrijven meer en meer collaboration software inzetten. De neerwaartse trend die Sillicon Alley Insider liet zien zal zich doorzetten.

Uiteindelijk zullen niet de alternatieve media de doodsteek leveren voor de email als communicatiemedium. Hoe hip het ook is om nu te zeggen dat je geen email gebruikt en best zonder kunt zal het uiteindelijk neerkomen op bedrijfseconomisch risicomanagement: Er komt een dag dat de limiet van gekraakte email adressen en gelekte informatie overschreden wordt en het te gevaarlijk wordt om zakelijk email te gebruiken.

In mijn vorige artikel schreef ik dat het internet niet voorbereid is op de huidige web 2.0 functionaliteit omdat het nog op een jaren 80 infrastructuur draait die ontworpen is door en voor academici, een ons kent ons gemeenschap. Voor email geldt hetzelfde: Door deze naïeve ontwerpfout bevat het email als medium te weinig veiligheidskleppen om het onder controle te houden.