De Wet open overheid (Woo), nu nog ter besluitvorming bij de Eerste Kamer, verplicht overheidsorganisaties om nog voor veel meer documenten actief openbaar te gaan maken dan er nu reeds worden gepubliceerd. De risico’s die dat kan inhouden voor de privacy van burgers zijn nauwelijks onderkend en nog lang niet afdoende geadresseerd. Recent onderzoek is een wake-up call voor de gevaren die ons mogelijk bedreigen.
Open grenzen, dat was een belangrijke missie van de EU. Open grenzen om de economische ontwikkeling van de lidstaten te versnellen. En dat heeft de lidstaten geen windeieren gelegd. De economische ontwikkeling maakt onderlinge samenwerking over de grenzen heen veel eenvoudiger door het afschaffen van tariefmuren en door het vrije verkeer van mensen en goederen mogelijk te maken. Als je het geluk hebt om binnen het Schengen-gebied te blijven, dan ben je het concept ‘grens’ eigenlijk allang vergeten. Ook in de virtuele wereld merken we niets van grenzen. Wij versturen vanaf het begin van het internettijdperk pakketjes met data heen en weer en dankzij het TCP-protocol hoeven we ons geen zorgen te maken. Het pakketje komt wel aan.
We weten dat we voor security en privacy niet kunnen vertrouwen op IT-maatregelen alleen, want informatieveiligheid vraagt inzet van ons allemaal. Sterker nog, juist aan de menskant valt er veel te winnen. Dat begint bij informatiebewustzijn, maar kennis en awareness alleen zijn óók niet voldoende. Uiteindelijk gaat het om gedragsverandering; niet alleen beseffen wat de risico’s zijn, maar daar ook naar handelen. Met andere woorden, van “we snappen het belang van veilig werken” naar “veilig werken, ja natuurlijk!”
Recentelijk publiceerde de Internationale Organisatie voor Standaardisatie een nieuwe norm: ISO/IEC 27701:2019, kortweg ISO 27701. ISO 27701 is een uitbreiding op de reeds bekende standaarden voor informatiebeveiliging ISO 27001 en 27002. De nieuwe standaard is erop gericht organisaties een handvat te bieden waarmee zij gemakkelijker kunnen voldoen aan de Algemene Verordening Gegevensbescherming (AVG).
Bij overheden is een stille revolutie gaande op het gebied van softwareontwikkeling. Waar het nieuws al jarenlang gedomineerd wordt door mislukte ict-projecten, miljoenenverspillingen en afhankelijkheid van grote leveranciers, is er nu een hoopgevende ontwikkeling waarbij overheden zelf de regie voeren over de ontwikkeling van software. Daarbij worden de voorwaarden geschapen om software van andere overheden te hergebruiken en op bestaande bouwstenen voort te bouwen.
Een bekende valkuil voor gemeenten is dat de omgang met persoonsgegevens wordt aangevlogen via de juridische route, oftewel: “Dat mag (niet) van de AVG”. Er wordt strikt gekeken aan welke minimale wettelijke vereisten dient te worden voldaan. Op deze wijze wordt het nagenoeg onmogelijk om privacy in het DNA van de organisatie te krijgen. Het blijft immers wéér zo’n wet die in de weg staat van het werk.
Studenten en docenten kunnen soepel en veilig online met eduroam, een Nederlands initiatief dat inmiddels door ruim honderd landen is overgenomen. Voor ambtenaren is er al het even veilige en gebruiksvriendelijke govroam, waarvan opmerkelijk genoeg lang niet elke (semi-)overheidsorganisatie nog gebruikmaakt.
De publieke sector verandert door de opmars van digitale technologieën. De meer dan tweehonderd jaar oude Algemene Rekenkamer speelt daar op in met nieuwe onderzoeksdoelen en -methoden. Daar hoort ook hacken bij.
“Hoe krijg ik in mijn bedrijf de IT-beveiliging op orde, zonder dat ik met dat ISO-gedoe aan de slag moet?” is een veelgestelde vraag. De ISO27001 norm is inderdaad veel gevraagd als waarborg voor het onder controle hebben van informatiebeveiliging. Hoewel er veel is af te dingen op deze norm, biedt hij ook veel voordelen. Ook voor gemeenten.
In het eerste deel van deze blogserie beschreef de auteur waarom informatiemanagement een noodzakelijke basis is voor informatiebeveiliging. In deel twee gaat hij in op de noodzakelijke afstemming tussen informatiemanagement en ICT-beheer.
Bij organisaties die moeite hebben met het op orde krijgen van informatiebeveiliging, is er mogelijk sprake van een eenzijdige benadering van het onderwerp. Er wordt vooral vanuit een technische invalshoek naar gekeken, wat het extra lastig maakt om er aandacht voor te krijgen vanuit de directie.
Overheidswebsites staan er vol mee: PDF-bestanden! Rapporten, verslagen, begrotingen of formulieren, bijna allemaal in PDF. Wordt het niet eens tijd dat overheden het overmatige gebruik van PDF-bestanden indammen?