Zolang het niet ontaardt in "security by obscurity", kan geheimzinnigheid een nuttige bijdrage zijn aan ICT beveiligingsprocessen, maar in het geval van de Nederlandse IT-managers zijn die in hun geslotenheid te ver doorgeschoten. Dat is de mening van Jan-Hein van der Burg, hij stuurde ons het volgende relaas:

Een zekere geslotenheid van management processen die bij de beveiliging betrokken zijn is min of meer natuurlijk. Bij de Nederlandse overheid en bij bedrijven die van cruciaal belang zijn voor de Nederlandse economie is de geslotenheid echter zover doorgeschoten, dat er onnodig ernstige ongelukken gaan gebeuren. De betrokken managers weten dit, en laten het bewust gebeuren. Daarbij is geld voor de verandering nu eens niet de drijvende kracht.

Als je jezelf verantwoordelijk voelt voor de beveiliging van een ICT infrastructuur, dan is er wat voor te zeggen dat je terughoudend bent met het verstrekken van informatie over die beveiliging. Je kunt jezelf dan een abstracte aanvaller voorstellen waartegen jij jezelf wilt verdedigen. In dat spel bestaat je werk uit het vertragen van de aanvaller, in de hoop dat je op tijd bent met de volgende verbetering van je verdediging. Bij vertragen hoort eerder desinformatie dan volledige transparantie. Dus geheimzinnigheid en misleiding kunnen wel degelijk effectieve hulpmiddelen zijn in het beveiligingsproces.

Security by obscurity
Het grootste probleem van die hulpmiddelen is dat sommige managers ze op den duur gaan verwarren met de concrete verdedigingsmaatregelen, die door de aanvaller min of meer "fysiek" moeten worden overwonnen. Sommigen gaan daarbij zover, dat ze die maatregelen zelfs maar helemaal weglaten, in de hoop en verwachting dat de aanvaller dat toch nooit zal uitvinden.

Dit fenomeen heet "security by obscurity", dat mits het niet verward wordt met het tijdelijk een tactische voorsprong nemen door ieder zinnig mens zal worden verworpen. Het gevaar van obscurity ligt dus voornamelijk in de verkeerde toepassing ervan en dat is een symptoom van incompetentie.

In de praktijk wordt die fout nog verergerd, omdat managers die zo zwaar op beslotenheid leunen geneigd zijn om zich grondig te isoleren van de realiteit. Ze desoriënteren dan niet alleen hun omgeving, maar sluiten zich ook af voor cruciale informatie uit die omgeving.
De motivatie voor dit perverse gedrag is de hoop dat iemand niet afgerekend zal worden op iets dat je niet kon weten. Als we in die situatie terugdenken aan het mogelijke nut van geslotenheid, de vertraging van een aanvaller, dan wordt griezelig duidelijk dat het doorgeschoten is, en in werkelijkheid juist de verdediging vertraagt. Managers met dit type gedrag zijn struisvogels die mogelijk nog gevaarlijker zijn dan de erkende misdadigers die ze denken te bestrijden.

Empirische ondersteuning
Een voorbeeld van dergelijk mismanagement kan de geschetste situatie illustreren:

In de strijd tegen identiteitsfraude is een verdedigingsmethode ontwikkeld, die gebruikersvriendelijker, goedkoper, en veiliger is dan alle huidige alternatieven. De recente problemen bij ABN-Amro zouden er bijvoorbeeld niet mee zijn opgetreden. De oplossing is actief aan diverse organisaties aangeboden, en daarbij werd expliciet aangegeven dat er geen enkele tegenprestatie werd verlangd; de factor geld werd dus uitgesloten.

De reacties van de Nederlandse overheid waren lachwekkend, en die van een bekende Nederlandse bank ronduit schrikwekkend. De overheid zette een paar goed bedoelende mensen aan het werk om het juiste loket te vinden. Tevergeefs, want zelfs ingewijden kunnen letterlijk niemand vinden die dit soort informatie wil bekijken. De bank heeft een nog groter probleem: zijn hebben geen enkele zeggenschap meer over hun eigen beveiliging, want die is uitbesteed bij een partij die helaas anoniem moet blijven.
Zie de correspondentie in de bijlage voor een huiveringwekkende illustratie van de conclusie van dit betoog.

De Nederlandse overheid en cruciale delen van het Nederlandse bedrijfsleven laten ICT beveiliging over aan managers die ernstig zijn doorgeschoten in hun geslotenheid. Noodzakelijke verbeteringen worden daardoor zodanig vertraagd, dat ongelukken zijn gegarandeerd.

Hieronder de conversatie tussen "De bank" en "Piet". De e-mailwisseling heeft daadwerkelijk plaatsgevonden, de namen zijn gefingeerd.

30-05-2005; Piet > De bank:

Piet: Het blijkt mogelijk te zijn om een PC "over te nemen" zonder dat de rechtmatige eigenaar dat merkt. Dat wordt onder andere gebruikt om spam te versturen. Volgens mij is het dan ook mogelijk om alle beveiligingen te omzeilen bij elektronisch betalen. Kan ik daarover op een veilige manier (dus niet deze manier) een vraag aan een deskundige stellen?

30-05-2005; De bank > Piet:

Geachte heer Piet,

Het is begrijpelijk dat u, na de recente berichten, vragen heeft over de veiligheid van bankieren via het internet. We geven u graag de tekst en uitleg om duidelijk te maken dat u zich op zich desondanks geen zorgen hoeft te maken. De bank stelt hoge eisen aan de veiligheid. Daarom past de bank diverse beveiligingsmethodes en -technieken toe.

Wanneer u toch liever telefonisch te woord wordt gestaan over de werking en veiligheid van bank.nl kunt u contact opnemen met onze helpdesk. U kan hen bereiken op het telefoonnummer *** (0,10 euro per minuut) van maandag tot en met vrijdag van 08.00 tot 21.00 uur en op zaterdag van 09.00 tot 17.00 uur.

bank.nl is zonder codes van buitenaf niet te benaderen. Uw gegevens zijn beveiligd tegen ongewenst gebruik via een gebruikersnaam en een wachtwoord. Elke combinatie van gebruikersnaam en wachtwoord is uniek.

Op het moment dat u inlogt, wordt gecontroleerd of u bestaande codes heeft gebruikt. Bovendien is de internetomgeving zelf ook beveiligd. U kunt dit herkennen aan de letters ‘https' aan het begin van het webadres. Daarnaast ziet u onder in het venster van de browser een slotje. U kunt controleren of u veilig contact hebt met de bank. Wanneer u dubbelklikt op het slotje ziet u dat deze afkomstig is van www.bank.nl.

De bank laat de systemen regelmatig testen door onafhankelijke, professionele hackers. Eventuele veiligheidslekken worden onmiddellijk gedicht.

Zelf kunt u ook een aantal maatregelen nemen om de veiligheid van uw computer en de verzonden informatie te verhogen. De volgende stappen kunt u ondernemen:

- accepteer geen onveilige items in uw beveiligde omgeving. U kunt het bestand '***' wel accepteren. Deze wordt u aangeboden bij de eerste inlogsessie door de bank. Andere bestanden kunt u weigeren door op 'nee' of 'no' te klikken;
- controleer altijd of u zich in een beveiligde omgeving bevindt (u ziet een slotje onderin uw scherm);
- controleer 'HTTPS' in het webadres. Deze ziet u bijna boven in het scherm van uw browser. De S staat voor 'secure', dit betekent 'beveiligd';
- wijzig regelmatig uw wachtwoord en/of gebruikersnaam;
- maak nooit het wachtwoord en/of de gebruikersnaam aan anderen bekend;
- bewaar gebruikersnaam en wachtwoord altijd gescheiden ;
- noteer nooit uw gebruikersnaam en/of wachtwoord in bijvoorbeeld uw agenda;
- voorkom het gebruik van onveilige wachtwoorden, zoals een geboortedatum,
rekeningnummer, voor- of achternaam;
- maakt u gebruik van de TAN code via sms dan neemt de bank extra veiligheidsmaatregelen. Bij het versturen van een verzameling transacties boven een bepaald bedrag stuurt de bank een sms met het totaalbedrag van uw transacties.

Met vriendelijke groet,
De bank

Mw. drs. ****
Hoofd E-commerce en E-mail

01-07-2005; Piet > De bank:

Geachte mevrouw ***,

Dank U voor deze toelichting, maar ik heb een erg gespecialiseerde vraag. Ik wil langs deze weg niet veel informatie geven, maar ik vermoed dat de beveiligingen relatief eenvoudig door een aanvaller zijn te omzijlen. Ik heb daar een scenario voor in gedachten, dat ik niet zelf zal gebruiken (of zelfs maar testen) en ook niet wereldkundig wil maken. Eigenlijk hoop ik dat ik volstrekt ongelijk heb, maar dan zou ik van een deskundige graag willen weten welke van de beveiligingen afdoende bescherming tegen "mijn" scenario biedt.

Met vriendelijke groet,
Piet

01-07-2005; De bank > Piet:

Geachte heer Piet,

Wij begrijpen uw voorzichtigheid. De ontwikkeling en beveiliging van bank.nl hebben wij uitbesteed aan externe bedrijven. Het is niet mogelijk om om met de medewekers hiervan te spreken.

Het beheer en de bewaking van bank.nl verzorgen wij uiteraard wel zelf. U kunt met uw vragen altijd terecht op de technische helpdesk ***. Houdt u er rekening mee dat juist om redenen van veiligheid en preventie van misbruik veel vragen door ons niet beantwoord kunnen en mogen worden.

Met vriendelijke groet,
De bank

Mw. drs. ***
Hoofd E-commerce en E-mail

02-07-2005; Piet > De bank:

Geachte mevrouw ***,

Ik kan dus met mijn vraag bij een helpdesk terecht waar ze het antwoord niet kennen of niet mogen geven, en De bank wil niet eens weten welk risico ik vermoed dat ze lopen?
Dat is een zeer onbevredigend antwoord.

04-07-2005: De bank > Piet:

Geachte heer Piet,

Uit veiligheidsoverwegingen hebben wij besloten niet te corresponderen over de technische aspecten van het beveiligingssysteem. Eventuele fouten of kwetsbaarheden hierin kunnen wij ook niet met u bespreken. Wij vragen hiervoor uw begrip.

U bent nog altijd welkom om de helpdesk te bellen met vragen over deze of andere kwesties.

Met vriendelijke groet,
De bank

Mw. drs. ***
Hoofd E-commerce en E-mail

20-08-2007: Piet > De bank:

Geachte De bank,

Naar aanleiding van de recente problemen met de beveiliging van het elektronisch bankieren bij ABN-Amro, wil ik terugkomen op mijn vraag van 2 jaar geleden. Ik voorzag toen de huidige problemen, en kan zonder kwade bedoelingen voorspellen dat de bank binnenkort ook getroffen zal worden.

Het verschil met 2 jaar geleden, is dat ik nu de oplossing heb, en bereid ben om die gratis aan U ter beschikking te stellen. Ik hoef daarvoor geen enkele informatie te hebben over de huidige beveiligingsmaatregelen, en zal daarover ook geen enkele vraag meer stellen.

De oplossing is zeer klantvriendelijk, veel goedkoper in het gebruik dan Uw huidige systeem, en veiliger dan elk huidig alternatief. Ik kan het concept in een gesprek van een half uur afdoende toelichten als ik met een deskundige kan spreken. Die deskundige hoeft mij geen enkele informatie over de bank te geven, maar moet wel diepgaande kennis van beveiliging van Internet transacties hebben om het concept te begrijpen.

Indien gewenst ben ik op korte termijn beschikbaar voor zo'n gesprek.

Met vriendelijke groet,
Piet

21-08-2007: De bank > Piet:

Geachte meneer Piet,

Wij sturen u hierbij graag alsnog het antwoord op uw vraag.

Wij begrijpen uw voorzichtigheid. De ontwikkeling en beveiliging van bank.nl hebben wij uitbesteed aan externe bedrijven. Het is niet mogelijk om om met de medewekers hiervan te spreken.

Onze excuses voor het ongemak.

Met vriendelijke groet,
De bank

Mw. drs. ***
Hoofd E-commerce en E-mail

Update: typo verholpen