Rotterdams referendum ontsnapt aan ICT-blunder

Als Rotterdam op 30 november 2016 naar de stembus gaat voor een referendum dan is het een zegen dat de burgers niet kunnen stemmen in de cloud. Volgens burgemeester Ahmed Aboutaleb kan dat namelijk veilig met DigiD. Uit stukken blijkt nu dat basale zaken voor het systeem als het voorkomen manipulatie van de stemmen of het bewaren van het stemgeheim niet zijn afgedekt. Voor de gebruikte software is niet eens een ontwerp beschikbaar.

Op 30 november 2016 stemt Rotterdam over de vraag of 20.000 goedkope woningen mogen worden gesloopt. Aboutaleb wil dat, maar er zijn veel burgers tegen. De burgermeester maakte bekend een referendum hierover in de cloud te willen organiseren, waarbij burgers met DigiD kunnen inloggen. Met een beroep op de Wet openbaarheid van bestuur(Wob) heb ik alle documenten over dit stemmen opgevraagd.

Eerlijke verkiezingen

Om een referendum eerlijk te laten verlopen, moet minimaal aan een aantal eisen worden voldaan:

  1. Waarborgen van het stemgeheim;
  2. Stemgerechtigden moeten daadwerkelijk in staat zijn om te stemmen;
  3. Het niet mogelijk is te rommelen met de stemmen door aanvallers of bestuurders;
  4. De burger kan controleren dat de verkiezingen kloppend verlopen;
  5. Het is duidelijk hoe het kiessysteem werkt;

Deze en alle andere eisen horen thuis in specificaties, systeembeschrijvingen en de beschrijving van gebruikte technieken. Dan kunnen we zien wat het systeem doet en of dat overeenkomt met de eisen. De gemeente Rotterdam heeft die documenten in het geheel niet. Wat de bouwplannen zijn van het systeem is voor gemeente en burger niet te toetsen. Hoe het gebruik van niet anonieme DigiD toch het stemgeheim waarborgt is een raadsel.

Dat is problematisch, maar nog niet onoverkomelijk. Bij ieder systeem draait het om wat er nu daadwerkelijk is gebouwd: de software. Uit de broncode, zeg maar de systeemcode die de programmeurs maken en die het echte programma vormen, blijkt pas echt of aan de eisen wordt voldaan. Maar ook die broncode heeft de gemeente niet. Daarmee ontbreekt ook aan de mogelijkheid om daarop gebruikelijke beveiligingscontroles uit te voeren.

Niet toetsbaar

Wat er geleverd wordt door de leverancier is schimmig en niet controleerbaar. De kiezer kan zelfs niet controleren wat de leverancier zegt te gaan bieden. Want die informatie is volgens Rotterdam een bedrijfsgeheim. Het gevolg is dat de verkiezingen niet toetsbaar zijn. Of het bedrijf te vertrouwen is weten we niet, want ook die naam wordt niet gecommuniceerd. Zelfs basale controles naar de organisatie kunnen we niet uitvoeren.

Wel is gekeken naar veiligheid en een zogenaamde penetratietest uitgevoerd. Daarbij kijkt een bedrijf of er zwakheden van de buitenkant te zien zijn en of daar aan een standaard wordt voldaan. Naar het hele systeem, de kwaliteit van de software of achterdeurtjes is niet gekeken. Ook beschikt de gemeente niet over testrapporten dat de leverancier zelf kwaliteit waarborgt.

Bij het testen is iets ontdekt wat zo ernstig was dat het gerepareerd is en daarna opnieuw getest. In de offerte voor die test staat: “Wel is uiteraard de balans tussen investering en risicoreductie in evenwicht gehouden.” Hoe goed is geïnvesteerd op de testen, wat de bevindingen zijn, is weer geheim.

Zwarte doos

Aboutaleb presenteert een zwarte doos waar nooit harde eisen zijn neergelegd voor een eerlijk verkiezingsproces, dat geen systeemontwerp kent en waarvan hij niet weet wat er uiteindelijk gebouwd is. Er is niet het begin van bewijs dat het DigiD-systeem eerlijke verkiezingen waarborgt. Wat getest kon worden, bleek onveilig en veel is niet getest. Dat is geen goede basis voor een gewoon systeem laat staan voor verkiezingen.

De Verenigde Staten laten zien dat de presidentsverkiezingen voor de machtigste baan onderwerp van discussie kunnen worden door elektronisch stemmen. Gelukkig heeft de gemeenteraad van Rotterdam een stokje voor stemmen in de cloud gestoken. Aboutaleb heeft namelijk geen flauw idee hoeveel Rotterdammers beschikken over een DigiD en hoeveel burgers kunnen stemmen.

Lees de Wob-stukken hier:

 

Première Find My Phone – Anthony van der Meer

Dit keer in plaats van een reguliere CIPcast de première van een documentaire.

Per week wordt er in Nederland 300 keer aangifte gedaan van smartphone diefstal. Naast het feit dat je een dure telefoon kwijt bent, heeft een onbekende ook toegang tot al je foto’s, video’s, e-mails, contacten en berichten. Maar wat voor persoon steelt een telefoon? En waar komen die telefoons terecht? In de documentaire Find my Phone wordt het tweede leven van een gestolen telefoon gevolgd. Door middel van spyware maak je kennis met de persoon achter de diefstal. Maar hoe goed kun je iemand eigenlijk leren kennen aan de hand van zijn telefoon?

De kern van het probleem

Onder president Trump zal (economische) spionage floreren en privacy te lijden hebben. Volgens Edward Snowden is niet de president, maar de technische mogelijkheid het probleem. De klokkenluider heeft gelijk.

In Oliver Stone’s film Snowden wordt schitterend in beeld gebracht hoe de klokkenluider ertoe kwam om naar buiten te treden met de manier waarop Amerika op de hele wereld spioneert. Langzaam wordt duidelijk hoe diep de inlichtingendienst buiten de wet om in het privéleven van mensen snuffelt. Na de voorstelling beantwoordde de oud-CIA en oud-NSA-medewerker vragen van het verzamelde publiek in Amsterdam.

Toen Trump ter sprake kwam, stelde hij dat niet de presidentskeuze de kern van het probleem is. Bij het wisselen van het regime ligt er een kant en klare technische infrastructuur om te spioneren en om zeer gedetailleerd in het leven van mensen te kijken. Nu er een ander regime zit, kan het probleem groter worden. En – zo stelt hij – in de VS zit een regering er maximaal acht jaar.

Verregaande mogelijkheden

Snowden’s onthullingen maken duidelijk hoe ver de praktijken gaan. Niets is te gek: malware verstopt in hardware verspreiden, drone-aanvallen op basis van de locatie van een mobiel, geautomatiseerd en professioneel inbreken op computers, het lamleggen van infrastructuur, het verzwakken van beveiligingsstandaarden, het afluisteren van regeringsleiders, het verzamelen van gedetailleerde profielen van burgers en ga zo maar door. De NSA doet dat volgens eigen zeggen allemaal met het doel een ‘voordeel in de besluitvorming’ te hebben.

Naar Amerikaanse standaarden blijkt een groot gedeelte van de spionage infrastructuur illegaal te zijn. De Raad van Europa, die toezicht houdt hoe mensenrechten in Europa vorm krijgen, bestempelt de praktijken als enorme mensenrechtenschendingen. Rapporteur Pieter Omtzigt concludeerde dat naast de privacy de VS ook de vrije meningsuiting, het recht op religie, het recht op een eerlijk proces ondermijnen. De organisatie gaat zelfs zover om te stellen dat het onze democratie ondermijnt.

Trump

Toen de onthullingen van Snowden naar buiten kwam, was de Nederlandse reactie relatief lauw. Misschien drong nog niet zo goed door dat als onder Bush en Obama een risicovolle infrastructuur wordt gebouwd deze ooit in handen komt van een nieuwe machthebber kan komen. Want de regering wordt weliswaar vervangen, maar de infrastructuur niet. Dus erft Trump een machtig wapen van Obama.

Nog een andere bevoegdheid valt de nieuwe president ten deel: het zonder aanklacht opsluiten van mensen. Obama beloofde bij het ondertekenen van de NDAA-wet dat hij tijdens zijn presidentschap wetsartikel nooit zal gebruiken. De mogelijkheid is dus gemaakt voor zijn opvolger. Altijd handig voor een toekomstig president die tijdens de campagne dreigde zijn opponent naar de gevangenis te sturen.

Is Yahoo! een kat in de zak?

Yahoo! krijgt de grootste hack ooit over zich heen, bespioneert zijn klanten en houdt cruciale informatie onder de pet. Het wordt pijnlijk duidelijk dat Verizon mogelijk een kat in de zak heeft gekocht.

Bij een hack op Yahoo! zijn zo’n 200 miljoen persoonsgegevens buitgemaakt. Het gaat om wachtwoorden, geheime vragen, e-mailgegevens, geboortedata en vooral de toegang tot het platform om identiteitsdiefstal te plegen. Problematisch daarbij is dat niet het bedrijf, maar de media de onthulling brengen.

Dat het bedrijf is gehackt, hoeft niet noodzakelijkerwijs pijnlijk te zijn. Het overkomt vrijwel ieder bedrijf. Wel problematisch is dat nu het bedrijf deze hack toegeeft, blijkt dat het incident al in 2014 plaatsvond. Ook gaat het niet om 200 miljoen slachtoffers, maar 500 miljoen. Het is de grootst bekende hack ooit en het bedrijf nam niet de moeite haar klanten te informeren. Voor Verizon, dat momenteel bezig is Yahoo! te kopen, is dit een enorme tegenslag. Dat bedrijf heeft een tak met veel expertise rond informatiebeveiliging. Met het jaarlijkse Data Breach Investigations Report gaat Verizon er prat op dat het juist transparantie brengt. Dit lek en met name het moedwillig verzwijgen ervan is slecht voor de beeldvorming.

Daarbij is er nog iets anders pijnlijk. Verizon koopt Yahoo! voor 14,8 miljard dollar met als belangrijkste doelstelling het verkrijgen van toegang tot de klanten. Niet alleen ondermijnt de hack en het geheimhouden daarvan de relatie met de klanten, maar ook devalueert de waarde aanzienlijk; het klantenbestand wordt op het darkweb voor zo’n 1800 dollar aangeboden. Verizon krijgt dus een kat in de zak.

Dat kat-in-de-zakgevoel is nog groter door het bekend worden dat in 2015 – dus ver na de onthullingen van Snowden – Yahoo! actief heeft meegewerkt met de NSA. Het bedrijf heeft software gemaakt om e-mails van klanten te scannen, die voor de NSA interessante berichten identificeert. Vervolgens heeft Yahoo! deze mailberichten aan de spionagedienst doorgespeeld. Dit was zo geheim dat zelfs de CISO hier niets van wist. Eerder bleek uit documenten van Snowden al dat de onderneming via de webcam spionage in hun messenger mogelijk maakte.

Die scansoftware en het doorspelen van berichten aan de nationale inlichtingendienst kun je misschien nog vergoelijken in een pre-Snowden-tijdperk, maar het laatste zeker niet. Die spionage ondermijnt volledig het vertrouwen in de maildienst, cloudopslag en kan voor zakelijk gebruik heel schadelijk zijn. Zeker voor de koper Verizon. Tot nu toe gold hun beveiligingstak als een vertrouwde partij, maar met de koop van Yahoo! verbinden ze zich aan een partij die concurrentiegevoelige informatie zonder pardon doorspeelt aan inlichtingendiensten.

Het laatste nieuws is dat Verizon nu een miljard minder wil betalen. Met dat geld willen ze schadeclaims tegen Yahoo! afwikkelen. Maar het is natuurlijk vooral omdat ze nu iets kopen wat ze bij nader inzien helemaal niet willen hebben. Deze kat in de zak kan namelijk gemeen krabben.

Dit artikel verscheen eerder op ICT Magazine.

Leeggeknepen door afhankelijkheid softwareleverancier

Op diverse fora klagen gebruikers van financiële en gemeentelijke software over exorbitante prijsverhogingen. Soms gaat het om 200 procent, soms zelfs om 600 procent. We zijn kwetsbaar, niet wendbaar en dus aan de wolven overgeleverd.

Gemeenteambtenaren klagen over prijsverhogingen voor softwareonderhoud bij softwareleverancier Vicrea. De klagers laten de willekeur goed zien. Een gemeente krijgt een verhoging van 100 procent voor de kiezen, de andere 430 procent, weer een ander ‘slechts’ 40 procent, terwijl een gemeente van nog geen 7.000 euro per jaar naar ruim 49.000 euro gaat. Een stijging van meer dan 600 procent.

Veel voorkomend

Het bizarre van het verhaal is dat Vicrea bekend staat als een uitdager van de gevestigde orde op de gemeentelijke softwaremarkt. Maar tijden veranderen en sinds juni is het bedrijf eigendom van hetzelfde moederbedrijf als dat van een grote jongen op de gemeentelijke softwaremarkt: PinkRoccade. En dat bedrijf flikte die truc met het verhogen van de onderhoudstarieven al in 2014.
Op een ander forum klaagt een accountant over een leverancier van administratieve software, Unit4. Die partij stuurde hem een rekening voor onderhoud, waarbij de prijs met 200 procent is gestegen. Diverse accountants herkennen het beeld en bespreken mogelijkheden om over te stappen.

Vendor lock-in

Maar overstappen naar een andere marktpartij is heel erg duur en enorm veel gedoe. Dus weten de marktpartijen dat binnen een zeer royale bandbreedte je daadwerkelijk alles met de prijzen kan doen. De klanten zitten zowel technisch als contractueel muurvast. Zolang migreren ingewikkeld is, hoef je je niet betrouwbaar op te stellen.
Maar je kunt je als klant wél ontworstelen aan de vendor lock-in. De marktpartijen hebben vaak een gezamenlijk kenmerk als ze in de modus ‘zakken openhouden en vullen’ zitten: ze innoveren niet of nauwelijks. Veel software wordt door de tijd ingehaald en kan prima herschreven worden.

Zelf doen

Het is dan ook wachten op de eerste gemeente die zelf de functionaliteit van Vicrea gaat vervangen door een open-sourcevariant en die aan de medeoverheden beschikbaar stelt. Ook accountants gaan vroeg of laat doorkrijgen dat een boekhouding in de kern al meer dan een eeuw hetzelfde is en dat ook dit proces prima opnieuw in software is over te zetten.
Als een paar partijen zich kwaad maken om de door de software gegijzelde data te kunnen verwerken, is migratie opeens wel een optie. Dat is door een zure appel heen bijten om de overheden over langere tijd geld te besparen.

Ondertussen is dan de boodschap helder: leveranciers kunnen niet alles maar flikken over de rug van de belastingbetaler, want dan maak je jezelf overbodig. Dat zou ook een fijn signaal zijn naar de ambtenaren, die niet op fora gehoord moeten worden, maar in bestuurskamers.

Hoe een vertragingstactiek het mislukken van Digitaal 2017 bloot legt

De opvolger van de Wet openbaarheid van bestuur (Wob) legt tijdens de behandeling in de Eerste Kamer een pijnlijk probleem bloot: overheden blijken massaal niet hun wettelijke verplichtingen te kunnen nakomen. Ook is het twijfelachtig of de ICT-ambities voor het tot 2019 vertraagde Digitaal 2017 ooit nog wel goed op de rit krijgt.

Voor het zomerreces keurde de Tweede Kamer de Wet open overheid (Woo) goed. Groot pijnpunt volgens de Ministers Plasterk en Blok is het maken van een register met de bij de overheid aanwezige documenten. In zo’n lijst staat welke documenten er bij een bestuursorgaan zijn. Een nogal cruciaal onderdeel wil je ooit nog stukken terugvinden.

Nu de wet bij de senaat ligt en wel eens realiteit zou kunnen worden, laat minister Blok spontaan onderzoek uitvoeren naar de kosten van de invoering van de wet. Het is een beetje laat in het proces en een doorzichtige truc om de nieuwe wet te frustreren, maar ook een helder signaal: de digitaliseringsslag is heel zwak rond de toegankelijkheid van de informatie. Het is een nogal cruciaal detail.

Lezen en begrijpen

Wat de situatie extra pijnlijk maakt, is dat de lijst nu al een verplichting is. De Archiefwet eist dat er een besluit komt of een document nou wel of niet in het archief hoort en hoe openbaar het document mag zijn. Het grote verschil is alleen met de nieuwe wet is dat dat de administratie niet na twintig jaar in orde wordt gemaakt, maar nu al. Je zou verwachten dat dit een logische stap is voor een overheid die uitsluitend nog digitaal wil communiceren met de burger.

Plasterk wat de Woo zou kosten aan … de Belastingdienst. Hoe toevallig zij verwachten dat zij in ieder geval 55 miljoen per jaar kwijt zijn aan het bijhouden van de administratie. De dienst verwacht geautomatiseerd de informatie aan de lijst te kunnen toevoegen, maar niet andere zaken. Het gaat dan om verwerken van de 16.000 klachten, 420.000 bezwaarschriften, twee miljoen notities van de Belastingtelefoon en 76 miljoen aangiften.

Het rubriceren zou 1-4 minuten duren en daarmee kost het ondoenlijk veel geld is de redenering. “Maar bijvoorbeeld een klacht moet gelezen, begrepen en geanonimiseerd worden. En de beleidsdocumenten zijn hier nog niet bijgeteld”, stelt een zegsvrouw.

Duurder

Dat dit slimmer kan, is evident want rubriceren mag gewoon heel algemeen gebeuren. Een klacht is een categorie op zichzelf net als een vraag. Maar belangrijker is de vraag: hoeveel kost het rubriceren als je 20 jaar later een wettelijk verplicht besluit over de stukken neemt?

Volgens Marens Engelhart van het Nationaal Archief stelt tijdens een hoorzitting over de Woo in de senaat dat achteraf behandelen het veel duurder is:

De Wet open overheid brengt eigenlijk de noodzaak naar voren om voor al die organen ook elementen met betrekking tot de openbaarheid in te regelen. Zodra organisaties namelijk archieven overbrengen naar een archiefinstelling, moet aangegeven worden wat het openbaarheidsregime is en of er beperkingen zijn. Als je dat pas doet op het moment van overbrenging, is dat heel veel werk en het is ook kostbaar om dit achteraf te doen. In het wetsvoorstel open overheid wordt dat moment naar voren gebracht. Er zijn dus twee elementen. Het gaat in de eerste plaats om meer organisaties en in de tweede plaats wordt het moment van openbaarheidsbeperkingen naar voren gebracht. Dat is effectiever.

Slechte archivering

Daarnaast wordt iets anders duidelijk: als er nu nieuwe kosten dreigen te ontstaan dan deugt de archivering dus niet. Volgens Blok moet nu worden uitgezocht wat het rubriceren van documenten kost. Al is het nu al een verplichting toch is dit kennelijk een grote onbekende.

Dus als de minister in 2019 überhaupt zijn digitaliseringsambities (Digitaal 2017) al weet waar te maken dan voldoet de overheid nog altijd niet aan de Archiefwet. Een conclusie die wel vaker wordt getrokken. Het parlement vraagt om goede archivering, maar krijgt dat niet.

Informatie verdwijnt dus in systemen waar het niet makkelijk is meer te vinden. Dat verklaart meteen waarom de huidige Wob-verzoeken zoveelk gedoe zijn. De informatie is er wel, maar zo goed verborgen dat zelfs de ambtenaren er maanden aan moeten werken om die ooit nog boven tafel te krijgen.

Jij-bak

Via een goedkope jij-bak schrijven ministers Plasterk (ooit als minister in het verleden verantwoordelijk voor de archieven) en Blok dat problemen nu toe aan de Wet open overheid.

De brief van Blok over het onderzoek naar de invoering van de Woo maakt iets heel duidelijk: Het echte probleem is niet de nogal doorzichtige vertragingstactiek om transparantie tegen te gaan, maar de onkunde de digitale archieven goed op orde te krijgen en het stelselmatig negeren van signalen. Dat probleem materialiseert zich ze met de huidige Archiefwet pas over een jaartje of 20.

 

Een vrij beschikbare bewustwordingstraining

Ieder bedrijf hoort aan bewustwording binnen de organisatie te doen. Dat is niet alleen een onderdeel van beveiligingsnormen, maar ook noodzakelijk om ieder beleid kansrijk te maken. Personeel zal dus moeten worden getraind. Radically Open Security ontwikkelt producten die vrij beschikbaar zijn om te gebruiken en ontwikkelden een bewustwordingstraining in opdracht van een van hun klanten.

De training is kosteloos en herbruikbaar beschikbaar. Hoe dat werkt vertelt Melanie Rieback, de oprichter van het bedrijf, aan Ad Reuijl van het CIP.

 

De documenten van de training zijn hier beschikbaar:

 

 

 

NZa: Niet lullen, maar poetsen!

De Nederlandse Zorgautoriteit bewierookt in een ronkend persbericht zorgverzekeraar CZ voor het openbaar maken van ziekenhuistarieven. Maar die verklaring is hypocriet. De NZa zit namelijk zelf op deze gegevens en houdt ze angstvallig geheim.

Zorgverleners betalen voor veel behandelingen via een standaard codering. Zo is te zien wat bijvoorbeeld het behandelen van een bepaalde beenbreuk kost. De prijs verschilt per ziekenhuis en contract. Het kan zijn dat jouw zorgverzekeraar meer betaalt dan een andere. En ben je niet verzekerd dan betaal je weer een ander tarief.

Database

Dankzij de codering moeten wij als patiënten gaan shoppen en de NZa, de marktmeester in de zorg, moet de transparantie bevorderen. De zorgautoriteit beschikt namelijk over een grote database met daarin alle behandelingen, die zijn gedeclareerd. Je kunt dus heel precies zien wat behandelingen kosten en het zou patiënten enorm helpen als die gegevens controleerbaar zijn.

Dus vroeg de Stichting Open State Foundation in 2014 met een beroep op de Wet openbaarheid van bestuur om die database geheel of gedeeltelijk openbaar te maken. Vervolgens zette de zorgautoriteit alles op alles om juist deze gegevens onder de pet te houden. Er viel nergensover te praten en voor tussenvormen van openbaarmaking stonden ze ook niet open.

Niet transparant

Toen ik voor de stichting naar de rechter stapte, zette de NZa de landsadvocaat in om juist transparantie te blokkeren. Flink investeren in schimmigheid om de zorgkosten geheim te houden. Dat dit betaald wordt van ons belastinggeld en onze zorgpremies laat deze overheid koud.

Inmiddels ligt de zaak bij de Raad van State waar NZa hun ‘no can do’-evangelie blijft verkondigen. Een belangrijke lijn van redenering is de angst dat zorgverzekeraars de kosten van zorgverleners zouden drukken. Zorgverleners zouden dat niet willen. Maar in het hoger beroep hebben we een verklaring van de MC Groep die namens vier ziekenhuizen zegt geen enkel bezwaar voor openbaarmaking te zien.

Hypocriet

Hoe hypocriet is het dat zodra CZ deze tarieven openbaar maakt  NZa in een persbericht de loftrompet gaat steken over transparantie?

De NZa hoopt dat deze stap een versnelling betekent in het beschikbaar stellen van informatie over kwaliteit en kosten van zorg; en dat andere zorgverzekeraars het voorbeeld van CZ volgen.

Of met statements als:

René Jansen, lid van de Raad van Bestuur van de NZa: “Een volgende stap is dat ook andere zorgverzekeraars aan de slag gaan met het inzichtelijk maken van de kosten van ziekenhuisbehandelingen. En uiteindelijk zouden verzekeraars ook meer informatie moeten gaan geven over de kwaliteit van de zorg; patiënten willen graag weten waar je het beste terecht kunt voor een bepaalde behandeling. Dat betekent dat verzekeraars bij de inkoop ook afspraken gaan maken over de kwaliteit van zorg.”

Het cynische van het verhaal is dat de sleutel voor een groot deel bij de NZa ligt. Zij kunnen vandaag nog dit probleem oplossen. In juli wezen we de NZa nog publiekelijk op wettelijke mogelijkheden hiervan. Maar dan moet je wel willen

De oplossing is simpel: maak vandaag nog zorgkosten openbaar

of anders gezegd: niet lullen maar poetsen!

Marieke van der Klaauw: Verstandig omgaan met sociale media

Sociale media zijn voor veel mensen zowel privé als zakelijke een vast onderdeel van het dagelijks leven. We wisselen informatie uit, hebben een mening en soms werk dat het net ingewikkeld maakt om daar goed mee om te gaan. Waar moet je allemaal rekening mee houden? En ooit komt de onvermijdelijke dag dat je het niet goed doet. Hoe ga je daarmee om? Dat vertelt Marieke van der Klaauw, van het Openbaar Ministerie.