De onderzoeksraad moet de Digitale Ramp Belastingdienst onderzoeken

Na de onthulling bij Zembla over hoe bij de Belastingdienst met gevoelige gegevens wordt omgesprongen komt de vraag op of er sprake is van een datalek. In antwoord op vragen erkent Staatssecretaris Eric Wiebes (VVD) dat 18 mensen de gevoelige gegevens op een USB-stick konden zetten. Tijd voor een onderzoek naar welke bedrijfscultuur kon leiden tot deze digitale ramp.

In de ‘Broedkamer’ brengt de Belastingdienst allerhande gegevens van 11 miljoen mensen en 2 miljoen bedrijven bij elkaar om zo op basis van big data-technieken fraudepatronen op te sporen. Dat klinkt misschien niet leuk, maar het is wel onvermijdelijk. Via vage grensoverschrijdende bedrijfsconstructies en handelsketens vinden transacties plaats die op een belastingaangifte niet meer terug zijn te vinden. Een minder orthodoxe aanpak is in dat licht wel begrijpelijk, maar die raakt wel de vrijheid van iedere Nederlander.
 
Governance

Bij deze aanpak gaat het om nogal wat gegevens: fiscale data, financiële transacties, reisgedrag, telefoongesprekken met de Belastingdienst, parkeergegevens, vastlegging van auto’s die onder camera’s doorrijden en ga zo maar door. Hoe ver de data-analyse gaat geeft de fiscus weer op haar eigen vacaturesite. Eerder waarschuwde de Raad van State dat er nauwelijks een gegeven te bedenken is dat niet verwerkt kan worden. Maatregelen tegen iedere vorm van misbruik zijn dan ook cruciaal. De governance van beveiliging en privacybescherming moet op orde zijn.
Het in januari 2017 verschenen rapport “Onderzoek naar de besluitvormingsprocedures binnen de Belastingdienst” naar de vertrekregeling maakt duidelijk dat juist die governance nog de aandacht verdient:

‘Verbetering van de checks and balances binnen de Belastingdienst en in relatie met het departement is dringend noodzakelijk. De gang van zaken rond de vertrekregeling is geen incident maar vormt een illustratie van een breder probleem.’

18 ontheffingen

Ook bij de problematiek van de ‘Broedkamer’, de afdeling die nu ‘Data & Analytics’ heet, komt dit probleem naar voren, blijkt uit de beantwoording van Kamervragen door Wiebes:

‘In het verleden hebben die ontheffingen in ruimere mate bestaan (maximaal 18 met toegang tot data), veelal aan medewerkers die deze ontheffing hadden verkregen vanuit hun vorige functie binnen de Belastingdienst. Eind 2015 zijn deze ontheffingen stapsgewijs ingetrokken op initiatief van de Broedkamer zelf, zodat ultimo 2015, dus voor de oprichting van D&A, alle ontheffingen waren ingetrokken. Sindsdien is nog eenmaal een tijdelijke ontheffing verleend.’

De bedoelde ontheffingen waren verleend voor het gebruik van een usb-stick. Samengevat waren er 18 mensen die toestemming hadden een usb-stick te gebruiken. Dit recht vloeit voort uit een eerdere job en kennelijk schort het bij het omgaan met deze gegevens aan goede procedures. Later is nog iemand toestemming gegeven binnen de afdeling D&A om met een usb-stick te werken.
 
Niet geschreven

Maar het interessante in de antwoorden zit in wat Wiebes niet opschrijft. Nergens lezen we dat het gebruik van usb-sticks onmogelijk is gemaakt. Anders was het immers geen noemenswaardig beveiligingsrisico. De techniek verhindert het kopiëren van gegevens niet. 18 en zeer waarschijnlijk meer mensen konden in de periode 2013-2016 dus deze zeer gevoelige gegevens kopiëren en meenemen.
Ook lees ik nergens dat mensen die op deze afdeling D&A werken aan fysieke controles worden onderworpen om het stelen van deze gegevens te voorkomen. Bij inlichtingendiensten is zoiets wel gebruikelijk en de gevoeligheid rechtvaardigt dit ook. Nogmaals: we spreken hier over zeer gedetailleerde data van 11 miljoen burgers en 2 miljoen bedrijven. Als het mis is gegaan is dit waarschijnlijk niet meer te bewijzen.
We kunnen er lang en kort over discussiëren, maar dit is volgens de juridische definitie een datalek. Want de vraag is niet of het is misgegaan, maar of het is uit te sluiten. Dat laatste is niet het geval; 18, 19 of misschien wel meer mensen hebben de belastingdata van zo’n beetje iedereen kunnen kopiëren.
 
Onderzoek

Het verhaal van de Broedkamer is ofwel een digitale ramp die zich in stilte heeft voltrokken, of een digitale near miss van enorme proporties. Om lessen te leren hoor je dat goed te onderzoeken als ware het een scheepsramp. Net als bij Diginotar zou de Onderzoeksraad voor Veiligheid een logische keuze zijn.
Dat Wiebes nu met een eigen onderzoek komt waarin de top zichzelf onderzoekt, helpt daarbij onvoldoende. Je wilt juist dat een externe blik hier fris naar kijkt. Ook het onderzoek van de Autoriteit Persoonsgegevens is daarvoor niet geschikt. Die kijken naar de huidige situatie en de vraag of de Belastingdienst nu aan de Wet bescherming persoonsgegevens voldoet. Dat is nuttig, maar onvoldoende.
 
Allemaal belangrijke informatie, maar nog niet antwoord op de vraag: hoe verkeerd is het gegaan, hoe heeft dat zo kunnen komen en waarom zijn de resultaten van eerdere onderzoeken kennelijk onvoldoende opgevolgd?

Een auto stelen door een beveiligingslek

ls je op vakantie gaat vanaf Schiphol kun je kiezen uit tientallen parkeerbedrijfjes die rondom de luchthaven opereren. Het idee is simpel; als je op reis gaat geef je je auto af, en als je terug komt wordt deze weer voorgereden. Je verwacht dat de auto veilig is terwijl jij ergens van de zon aan het genieten bent. Maar dat kan vies tegenvallen…

Beveiligingslek
Kassa kreeg een tip over een lek in de beveiliging van het reserveringssysteem bij de parkeerbedrijven van Airport Parking Solutions. Bij het openen van een reservering bleek het mogelijk om, met het veranderen van het reserveringsnummer in de URL, als buitenstaander door het gehele reserveringssysteem heen te lopen en alle voorgaande en huidige reserveringen te kunnen inzien.

De persoonsgegevens van tienduizenden parkeerders zijn hiermee onbedoeld openbaar geworden. Door het ontbreken van een beveiliging op de website dat buitenstaanders de toegang tot het systeem ‘aan de achterkant’ zou moeten ontzeggen, bleek het nu mogelijk om exact te kunnen zien wie er een reservering heeft gedaan voor welke auto en hoe lang deze persoon op vakantie is.

Brenno de Winter, onderzoeksjournalist en te gast in de studio, reageert op dit lek. Het is ernstig dat er zoveel persoonsgegevens op straat hebben gelegen, waar de mogelijkheid bestaat om kwaad te doen op het moment dat iemand duidelijk van huis is, volgens de Winter.

Vreemde auto ophalen
Vervolgens bleek ook nog dat de controle bij één van deze bedrijven bij het ophalen van een auto onvoldoende was. Enkel het laten zien van een uitgeprinte reservering bleek voldoende om de auto die op de reservering stond aangegeven mee te krijgen. Er werd niet om een legitimatiebewijs gevraagd.

Omdat het via het beveiligingslek mogelijk bleek om een willekeurige reservering uit te printen, besloten we de proef op de som te nemen bij het bedrijf Vip Parking, onderdeel van Airport Parking Solutions, en drie keer met een geprinte reservering uit het systeem een vreemde auto op te gaan halen. Alle drie de pogingen die Kassa deed om een auto op te halen met een geprint reserveringsticket van iemand anders, lukte.

 


Reactie eigenaar
De eigenaar van Airport Parking Solutions reageert geschrokken als wij hem op de hoogte stellen van onze bevindingen. Het lek was bij het bedrijf niet bekend, en volgens de eigenaar zijn de medewerkers van Vip Parking daarnaast ook geïnstrueerd om bij het afgeven van de auto om een identiteitsbewijs te vragen. Dat is in de drie gevallen dat wij een verkeerde auto ophaalden niet gebeurd. De eigenaar van Airport Parking Solutions, Karim Boukhidous, heeft in onze uitzending aangegeven geschrokken te zijn en heeft het lek gelijk gedicht. Daarnaast geeft hij aan de medewerkers extra geïnstrueerd te hebben over het verplicht controleren van de naam op het ticket en op het paspoort. Dit zou ervoor moeten zorgen dat er nooit meer een auto van iemand anders aan de verkeerde persoon meegegeven kan worden.

Brenno de Winter bevestigt dat het lek is gedicht. “De reserveringen zijn niet meer online toegankelijk. De reserveringen worden nu alleen via de mail gestuurd en dus alleen toegankelijk voor de juiste mensen. Het beveiligingslek is opgelost.”


Schiphol  
Rondom de luchthaven Schiphol zijn tientallen parkeerbedrijfjes actief die geen onderdeel zijn van Schiphol Airport, en niet vallen onder de officiële parkeergelegenheid van Schiphol. Lees hieronder de complete reactie van Amsterdam Airport Schiphol:

“Helaas wordt de naam Schiphol vaak gebruikt door allerlei bedrijven die parkeerdiensten aanbieden. Amsterdam Airport Schiphol heeft geen relatie met deze bedrijven en heeft daarmee geen invloed op hun bedrijfsvoering. Wij adviseren reizigers dan ook altijd het parkeren bij Schiphol zélf te boeken. Dit kan via de website van Schiphol (www.schiphol.nl). Dat is veilig en betrouwbaar. Als je daar kiest voor een valet dienst dan zorgen officiële Schiphol medewerkers ervoor dat je auto op een parkeerterrein of in een garage van Schiphol zelf wordt geparkeerd. Wanneer je terugkomt, liggen je sleutels klaar en staat je auto buiten op je te wachten bij vertoon van de bij aflevering getekende beheerovereenkomst en een geldig paspoort. De enige die de auto mee krijgt is gewoon de rechtmatige eigenaar.”

 

Ambtenaren leggen falen ICT-plannen Plasterk bloot

De ambitie van Ronald Plasterk om per 2017 een overheid te krijgen waar je echt digitaal zaken mee kunt doen, is mislukt. Als de cijfers kloppen dan kost allen het inzicht krijgen in de documentenstroom al snel miljarden euro’s per jaar. Nederland ligt mijlenver achter op andere landen.

Dat is het droevige beeld dat ambtenaren (Drs. R.IJ.M. Kuipers, Drs. K. van der Steenhoven en J.B.M. Staal) schetsen in de “Quick scan impact Wet open overheid (Woo)” in opdracht van Plasterk. De centrale vraag bij het kijken naar de opvolger van de Wet openbaarheid van bestuur is wat een register met aanwezige documenten zou gaan kosten.

Alles met informatie (dus ook Facebook-berichten, video’s, foto’s en mails) is een document onder de Wob en ook onder de Woo als deze wet door de Eerste Kamer komt. Dat maakt zo’n register ingewikkeld en duur, stellen de schrijvers. Inmiddels is er al goed onderbouwde kritiek op het rapport die dat in twijfel trekt.

Achterlopen

Nederland loopt achter. Veel overheden hebben nog altijd niet een lijst met welke informatie eigenlijk in huis is. In landen, zoals Noorwegen bijvoorbeeld, worden documenten tot e-mails aan toe in een register opgenomen. Wie informatie wil zoekt die op een website op en krijgt die – tenzij het document niet openbaar mag worden – binnen drie werkdagen. Dat systeem heeft moeite gekost om in te voeren, maar de kosten zijn overzichtelijk gebleken.

In Nederland is dat anders. Het bijhouden van de documenten zouden al snel honderden miljoenen of mogelijk meer dan een miljard euro aan investering vergen. Het veranderen van de cultuur bij ambtenaren zou nogmaals honderden miljoenen gaan kosten. Om vervolgens documenten in het register te verwerken en actief ook documenten openbaar te maken zou nogmaals jaarlijks meer dan een miljard euro kunnen gaan kosten. Daarvoor zouden duizenden ambtenaren extra nodig zijn.

Duurder

Dat lijkt misschien vreemd, omdat we weten dat verschillende soorten informatie bij elkaar brengen niet zo ingewikkeld is. Bijvoorbeeld de NSA doet dat met het PRISM-systeem waar telefoongesprekken, e-mails, chatberichten, Facetime-gesprekken, Skype-gesprekken, Whatsapp-berichten, Facebook-postings, enzovoort opslaat. Die gegevens harkt de organisatie bij elkaar voor alle wereldbewoners waar ze maar bij kunnen komen. De beheerskosten van dat systeem zijn niet meer dan 20 miljoen dollar per jaar. Let wel: wij hebben het alleen over een index.

Voor een deel zit er een in verschil in de onbekendheid in het goed bijhouden wat je in huis hebt en stellen de makers van het rapport dat er miljarden nodig zijn om te lezen of documenten actief openbaar mogen worden. Maar dat verklaart nog niet waarom het maken van een index zoveel meer werk is. Ook fouten in het rapport met betrekking wat er moet gebeuren aan actieve openbaarmaking of het niet inzetten van kunstmatige intelligentie of big data kunnen dit allemaal niet verklaren.

Slecht geregeld

Terecht wijzen de ambtenaren op de excessief hoge kosten van de afhandeling van een Wob-verzoek. Waar dat in andere landen (soms binnen minuten) heel weinig kost, stelt de overheid al snel 5.000 euro per verzoek kwijt te zijn. De toegang tot documenten, het klaar maken om ze vrij te geven en het realiseren van de transparantie is dan ook veel duurder. Voor een goed gedigitaliseerd land als Nederland blijft de overheid kennelijk ernstig steken.

Dat is slecht voor het bestuur. Want volgens de opstellers van de quick scan zou met de introductie van de Woo een zee van 2,5 miljard documenten openbaar worden gemaakt. Documenten die u en ik nu niet zien ondanks al het actief openbaren en het wobben.

Het rapport – met alle tekortkomingen zoals het ontbreken aan harde onderbouwing – is een duidelijk nekschot voor de Wet open overheid. Maar pijnlijker is de snoeiharde beschuldiging dat fatsoenlijk grip krijgen op je documentenstroom als overheid en de inhoud ervan in tegenstelling tot veel andere landen miljarden kost. Plasterk’s erfenis van een overheid die geschikt is voor digitale communicatie is met het gegeven dat we niets een lijst van documenten kunnen maken volledig mislukt. Natuurlijk onder voorbehoud dat dit rapport klopt. Hopelijk gaat een volgende minister orde op zaken stellen.

Rotterdams referendum ontsnapt aan ICT-blunder

Als Rotterdam op 30 november 2016 naar de stembus gaat voor een referendum dan is het een zegen dat de burgers niet kunnen stemmen in de cloud. Volgens burgemeester Ahmed Aboutaleb kan dat namelijk veilig met DigiD. Uit stukken blijkt nu dat basale zaken voor het systeem als het voorkomen manipulatie van de stemmen of het bewaren van het stemgeheim niet zijn afgedekt. Voor de gebruikte software is niet eens een ontwerp beschikbaar.

Op 30 november 2016 stemt Rotterdam over de vraag of 20.000 goedkope woningen mogen worden gesloopt. Aboutaleb wil dat, maar er zijn veel burgers tegen. De burgermeester maakte bekend een referendum hierover in de cloud te willen organiseren, waarbij burgers met DigiD kunnen inloggen. Met een beroep op de Wet openbaarheid van bestuur(Wob) heb ik alle documenten over dit stemmen opgevraagd.

Eerlijke verkiezingen

Om een referendum eerlijk te laten verlopen, moet minimaal aan een aantal eisen worden voldaan:

  1. Waarborgen van het stemgeheim;
  2. Stemgerechtigden moeten daadwerkelijk in staat zijn om te stemmen;
  3. Het niet mogelijk is te rommelen met de stemmen door aanvallers of bestuurders;
  4. De burger kan controleren dat de verkiezingen kloppend verlopen;
  5. Het is duidelijk hoe het kiessysteem werkt;

Deze en alle andere eisen horen thuis in specificaties, systeembeschrijvingen en de beschrijving van gebruikte technieken. Dan kunnen we zien wat het systeem doet en of dat overeenkomt met de eisen. De gemeente Rotterdam heeft die documenten in het geheel niet. Wat de bouwplannen zijn van het systeem is voor gemeente en burger niet te toetsen. Hoe het gebruik van niet anonieme DigiD toch het stemgeheim waarborgt is een raadsel.

Dat is problematisch, maar nog niet onoverkomelijk. Bij ieder systeem draait het om wat er nu daadwerkelijk is gebouwd: de software. Uit de broncode, zeg maar de systeemcode die de programmeurs maken en die het echte programma vormen, blijkt pas echt of aan de eisen wordt voldaan. Maar ook die broncode heeft de gemeente niet. Daarmee ontbreekt ook aan de mogelijkheid om daarop gebruikelijke beveiligingscontroles uit te voeren.

Niet toetsbaar

Wat er geleverd wordt door de leverancier is schimmig en niet controleerbaar. De kiezer kan zelfs niet controleren wat de leverancier zegt te gaan bieden. Want die informatie is volgens Rotterdam een bedrijfsgeheim. Het gevolg is dat de verkiezingen niet toetsbaar zijn. Of het bedrijf te vertrouwen is weten we niet, want ook die naam wordt niet gecommuniceerd. Zelfs basale controles naar de organisatie kunnen we niet uitvoeren.

Wel is gekeken naar veiligheid en een zogenaamde penetratietest uitgevoerd. Daarbij kijkt een bedrijf of er zwakheden van de buitenkant te zien zijn en of daar aan een standaard wordt voldaan. Naar het hele systeem, de kwaliteit van de software of achterdeurtjes is niet gekeken. Ook beschikt de gemeente niet over testrapporten dat de leverancier zelf kwaliteit waarborgt.

Bij het testen is iets ontdekt wat zo ernstig was dat het gerepareerd is en daarna opnieuw getest. In de offerte voor die test staat: “Wel is uiteraard de balans tussen investering en risicoreductie in evenwicht gehouden.” Hoe goed is geïnvesteerd op de testen, wat de bevindingen zijn, is weer geheim.

Zwarte doos

Aboutaleb presenteert een zwarte doos waar nooit harde eisen zijn neergelegd voor een eerlijk verkiezingsproces, dat geen systeemontwerp kent en waarvan hij niet weet wat er uiteindelijk gebouwd is. Er is niet het begin van bewijs dat het DigiD-systeem eerlijke verkiezingen waarborgt. Wat getest kon worden, bleek onveilig en veel is niet getest. Dat is geen goede basis voor een gewoon systeem laat staan voor verkiezingen.

De Verenigde Staten laten zien dat de presidentsverkiezingen voor de machtigste baan onderwerp van discussie kunnen worden door elektronisch stemmen. Gelukkig heeft de gemeenteraad van Rotterdam een stokje voor stemmen in de cloud gestoken. Aboutaleb heeft namelijk geen flauw idee hoeveel Rotterdammers beschikken over een DigiD en hoeveel burgers kunnen stemmen.

Lees de Wob-stukken hier:

 

Première Find My Phone – Anthony van der Meer

Dit keer in plaats van een reguliere CIPcast de première van een documentaire.

Per week wordt er in Nederland 300 keer aangifte gedaan van smartphone diefstal. Naast het feit dat je een dure telefoon kwijt bent, heeft een onbekende ook toegang tot al je foto’s, video’s, e-mails, contacten en berichten. Maar wat voor persoon steelt een telefoon? En waar komen die telefoons terecht? In de documentaire Find my Phone wordt het tweede leven van een gestolen telefoon gevolgd. Door middel van spyware maak je kennis met de persoon achter de diefstal. Maar hoe goed kun je iemand eigenlijk leren kennen aan de hand van zijn telefoon?

De kern van het probleem

Onder president Trump zal (economische) spionage floreren en privacy te lijden hebben. Volgens Edward Snowden is niet de president, maar de technische mogelijkheid het probleem. De klokkenluider heeft gelijk.

In Oliver Stone’s film Snowden wordt schitterend in beeld gebracht hoe de klokkenluider ertoe kwam om naar buiten te treden met de manier waarop Amerika op de hele wereld spioneert. Langzaam wordt duidelijk hoe diep de inlichtingendienst buiten de wet om in het privéleven van mensen snuffelt. Na de voorstelling beantwoordde de oud-CIA en oud-NSA-medewerker vragen van het verzamelde publiek in Amsterdam.

Toen Trump ter sprake kwam, stelde hij dat niet de presidentskeuze de kern van het probleem is. Bij het wisselen van het regime ligt er een kant en klare technische infrastructuur om te spioneren en om zeer gedetailleerd in het leven van mensen te kijken. Nu er een ander regime zit, kan het probleem groter worden. En – zo stelt hij – in de VS zit een regering er maximaal acht jaar.

Verregaande mogelijkheden

Snowden’s onthullingen maken duidelijk hoe ver de praktijken gaan. Niets is te gek: malware verstopt in hardware verspreiden, drone-aanvallen op basis van de locatie van een mobiel, geautomatiseerd en professioneel inbreken op computers, het lamleggen van infrastructuur, het verzwakken van beveiligingsstandaarden, het afluisteren van regeringsleiders, het verzamelen van gedetailleerde profielen van burgers en ga zo maar door. De NSA doet dat volgens eigen zeggen allemaal met het doel een ‘voordeel in de besluitvorming’ te hebben.

Naar Amerikaanse standaarden blijkt een groot gedeelte van de spionage infrastructuur illegaal te zijn. De Raad van Europa, die toezicht houdt hoe mensenrechten in Europa vorm krijgen, bestempelt de praktijken als enorme mensenrechtenschendingen. Rapporteur Pieter Omtzigt concludeerde dat naast de privacy de VS ook de vrije meningsuiting, het recht op religie, het recht op een eerlijk proces ondermijnen. De organisatie gaat zelfs zover om te stellen dat het onze democratie ondermijnt.

Trump

Toen de onthullingen van Snowden naar buiten kwam, was de Nederlandse reactie relatief lauw. Misschien drong nog niet zo goed door dat als onder Bush en Obama een risicovolle infrastructuur wordt gebouwd deze ooit in handen komt van een nieuwe machthebber kan komen. Want de regering wordt weliswaar vervangen, maar de infrastructuur niet. Dus erft Trump een machtig wapen van Obama.

Nog een andere bevoegdheid valt de nieuwe president ten deel: het zonder aanklacht opsluiten van mensen. Obama beloofde bij het ondertekenen van de NDAA-wet dat hij tijdens zijn presidentschap wetsartikel nooit zal gebruiken. De mogelijkheid is dus gemaakt voor zijn opvolger. Altijd handig voor een toekomstig president die tijdens de campagne dreigde zijn opponent naar de gevangenis te sturen.

Is Yahoo! een kat in de zak?

Yahoo! krijgt de grootste hack ooit over zich heen, bespioneert zijn klanten en houdt cruciale informatie onder de pet. Het wordt pijnlijk duidelijk dat Verizon mogelijk een kat in de zak heeft gekocht.

Bij een hack op Yahoo! zijn zo’n 200 miljoen persoonsgegevens buitgemaakt. Het gaat om wachtwoorden, geheime vragen, e-mailgegevens, geboortedata en vooral de toegang tot het platform om identiteitsdiefstal te plegen. Problematisch daarbij is dat niet het bedrijf, maar de media de onthulling brengen.

Dat het bedrijf is gehackt, hoeft niet noodzakelijkerwijs pijnlijk te zijn. Het overkomt vrijwel ieder bedrijf. Wel problematisch is dat nu het bedrijf deze hack toegeeft, blijkt dat het incident al in 2014 plaatsvond. Ook gaat het niet om 200 miljoen slachtoffers, maar 500 miljoen. Het is de grootst bekende hack ooit en het bedrijf nam niet de moeite haar klanten te informeren. Voor Verizon, dat momenteel bezig is Yahoo! te kopen, is dit een enorme tegenslag. Dat bedrijf heeft een tak met veel expertise rond informatiebeveiliging. Met het jaarlijkse Data Breach Investigations Report gaat Verizon er prat op dat het juist transparantie brengt. Dit lek en met name het moedwillig verzwijgen ervan is slecht voor de beeldvorming.

Daarbij is er nog iets anders pijnlijk. Verizon koopt Yahoo! voor 14,8 miljard dollar met als belangrijkste doelstelling het verkrijgen van toegang tot de klanten. Niet alleen ondermijnt de hack en het geheimhouden daarvan de relatie met de klanten, maar ook devalueert de waarde aanzienlijk; het klantenbestand wordt op het darkweb voor zo’n 1800 dollar aangeboden. Verizon krijgt dus een kat in de zak.

Dat kat-in-de-zakgevoel is nog groter door het bekend worden dat in 2015 – dus ver na de onthullingen van Snowden – Yahoo! actief heeft meegewerkt met de NSA. Het bedrijf heeft software gemaakt om e-mails van klanten te scannen, die voor de NSA interessante berichten identificeert. Vervolgens heeft Yahoo! deze mailberichten aan de spionagedienst doorgespeeld. Dit was zo geheim dat zelfs de CISO hier niets van wist. Eerder bleek uit documenten van Snowden al dat de onderneming via de webcam spionage in hun messenger mogelijk maakte.

Die scansoftware en het doorspelen van berichten aan de nationale inlichtingendienst kun je misschien nog vergoelijken in een pre-Snowden-tijdperk, maar het laatste zeker niet. Die spionage ondermijnt volledig het vertrouwen in de maildienst, cloudopslag en kan voor zakelijk gebruik heel schadelijk zijn. Zeker voor de koper Verizon. Tot nu toe gold hun beveiligingstak als een vertrouwde partij, maar met de koop van Yahoo! verbinden ze zich aan een partij die concurrentiegevoelige informatie zonder pardon doorspeelt aan inlichtingendiensten.

Het laatste nieuws is dat Verizon nu een miljard minder wil betalen. Met dat geld willen ze schadeclaims tegen Yahoo! afwikkelen. Maar het is natuurlijk vooral omdat ze nu iets kopen wat ze bij nader inzien helemaal niet willen hebben. Deze kat in de zak kan namelijk gemeen krabben.

Dit artikel verscheen eerder op ICT Magazine.

Leeggeknepen door afhankelijkheid softwareleverancier

Op diverse fora klagen gebruikers van financiële en gemeentelijke software over exorbitante prijsverhogingen. Soms gaat het om 200 procent, soms zelfs om 600 procent. We zijn kwetsbaar, niet wendbaar en dus aan de wolven overgeleverd.

Gemeenteambtenaren klagen over prijsverhogingen voor softwareonderhoud bij softwareleverancier Vicrea. De klagers laten de willekeur goed zien. Een gemeente krijgt een verhoging van 100 procent voor de kiezen, de andere 430 procent, weer een ander ‘slechts’ 40 procent, terwijl een gemeente van nog geen 7.000 euro per jaar naar ruim 49.000 euro gaat. Een stijging van meer dan 600 procent.

Veel voorkomend

Het bizarre van het verhaal is dat Vicrea bekend staat als een uitdager van de gevestigde orde op de gemeentelijke softwaremarkt. Maar tijden veranderen en sinds juni is het bedrijf eigendom van hetzelfde moederbedrijf als dat van een grote jongen op de gemeentelijke softwaremarkt: PinkRoccade. En dat bedrijf flikte die truc met het verhogen van de onderhoudstarieven al in 2014.
Op een ander forum klaagt een accountant over een leverancier van administratieve software, Unit4. Die partij stuurde hem een rekening voor onderhoud, waarbij de prijs met 200 procent is gestegen. Diverse accountants herkennen het beeld en bespreken mogelijkheden om over te stappen.

Vendor lock-in

Maar overstappen naar een andere marktpartij is heel erg duur en enorm veel gedoe. Dus weten de marktpartijen dat binnen een zeer royale bandbreedte je daadwerkelijk alles met de prijzen kan doen. De klanten zitten zowel technisch als contractueel muurvast. Zolang migreren ingewikkeld is, hoef je je niet betrouwbaar op te stellen.
Maar je kunt je als klant wél ontworstelen aan de vendor lock-in. De marktpartijen hebben vaak een gezamenlijk kenmerk als ze in de modus ‘zakken openhouden en vullen’ zitten: ze innoveren niet of nauwelijks. Veel software wordt door de tijd ingehaald en kan prima herschreven worden.

Zelf doen

Het is dan ook wachten op de eerste gemeente die zelf de functionaliteit van Vicrea gaat vervangen door een open-sourcevariant en die aan de medeoverheden beschikbaar stelt. Ook accountants gaan vroeg of laat doorkrijgen dat een boekhouding in de kern al meer dan een eeuw hetzelfde is en dat ook dit proces prima opnieuw in software is over te zetten.
Als een paar partijen zich kwaad maken om de door de software gegijzelde data te kunnen verwerken, is migratie opeens wel een optie. Dat is door een zure appel heen bijten om de overheden over langere tijd geld te besparen.

Ondertussen is dan de boodschap helder: leveranciers kunnen niet alles maar flikken over de rug van de belastingbetaler, want dan maak je jezelf overbodig. Dat zou ook een fijn signaal zijn naar de ambtenaren, die niet op fora gehoord moeten worden, maar in bestuurskamers.

Hoe een vertragingstactiek het mislukken van Digitaal 2017 bloot legt

De opvolger van de Wet openbaarheid van bestuur (Wob) legt tijdens de behandeling in de Eerste Kamer een pijnlijk probleem bloot: overheden blijken massaal niet hun wettelijke verplichtingen te kunnen nakomen. Ook is het twijfelachtig of de ICT-ambities voor het tot 2019 vertraagde Digitaal 2017 ooit nog wel goed op de rit krijgt.

Voor het zomerreces keurde de Tweede Kamer de Wet open overheid (Woo) goed. Groot pijnpunt volgens de Ministers Plasterk en Blok is het maken van een register met de bij de overheid aanwezige documenten. In zo’n lijst staat welke documenten er bij een bestuursorgaan zijn. Een nogal cruciaal onderdeel wil je ooit nog stukken terugvinden.

Nu de wet bij de senaat ligt en wel eens realiteit zou kunnen worden, laat minister Blok spontaan onderzoek uitvoeren naar de kosten van de invoering van de wet. Het is een beetje laat in het proces en een doorzichtige truc om de nieuwe wet te frustreren, maar ook een helder signaal: de digitaliseringsslag is heel zwak rond de toegankelijkheid van de informatie. Het is een nogal cruciaal detail.

Lezen en begrijpen

Wat de situatie extra pijnlijk maakt, is dat de lijst nu al een verplichting is. De Archiefwet eist dat er een besluit komt of een document nou wel of niet in het archief hoort en hoe openbaar het document mag zijn. Het grote verschil is alleen met de nieuwe wet is dat dat de administratie niet na twintig jaar in orde wordt gemaakt, maar nu al. Je zou verwachten dat dit een logische stap is voor een overheid die uitsluitend nog digitaal wil communiceren met de burger.

Plasterk wat de Woo zou kosten aan … de Belastingdienst. Hoe toevallig zij verwachten dat zij in ieder geval 55 miljoen per jaar kwijt zijn aan het bijhouden van de administratie. De dienst verwacht geautomatiseerd de informatie aan de lijst te kunnen toevoegen, maar niet andere zaken. Het gaat dan om verwerken van de 16.000 klachten, 420.000 bezwaarschriften, twee miljoen notities van de Belastingtelefoon en 76 miljoen aangiften.

Het rubriceren zou 1-4 minuten duren en daarmee kost het ondoenlijk veel geld is de redenering. “Maar bijvoorbeeld een klacht moet gelezen, begrepen en geanonimiseerd worden. En de beleidsdocumenten zijn hier nog niet bijgeteld”, stelt een zegsvrouw.

Duurder

Dat dit slimmer kan, is evident want rubriceren mag gewoon heel algemeen gebeuren. Een klacht is een categorie op zichzelf net als een vraag. Maar belangrijker is de vraag: hoeveel kost het rubriceren als je 20 jaar later een wettelijk verplicht besluit over de stukken neemt?

Volgens Marens Engelhart van het Nationaal Archief stelt tijdens een hoorzitting over de Woo in de senaat dat achteraf behandelen het veel duurder is:

De Wet open overheid brengt eigenlijk de noodzaak naar voren om voor al die organen ook elementen met betrekking tot de openbaarheid in te regelen. Zodra organisaties namelijk archieven overbrengen naar een archiefinstelling, moet aangegeven worden wat het openbaarheidsregime is en of er beperkingen zijn. Als je dat pas doet op het moment van overbrenging, is dat heel veel werk en het is ook kostbaar om dit achteraf te doen. In het wetsvoorstel open overheid wordt dat moment naar voren gebracht. Er zijn dus twee elementen. Het gaat in de eerste plaats om meer organisaties en in de tweede plaats wordt het moment van openbaarheidsbeperkingen naar voren gebracht. Dat is effectiever.

Slechte archivering

Daarnaast wordt iets anders duidelijk: als er nu nieuwe kosten dreigen te ontstaan dan deugt de archivering dus niet. Volgens Blok moet nu worden uitgezocht wat het rubriceren van documenten kost. Al is het nu al een verplichting toch is dit kennelijk een grote onbekende.

Dus als de minister in 2019 überhaupt zijn digitaliseringsambities (Digitaal 2017) al weet waar te maken dan voldoet de overheid nog altijd niet aan de Archiefwet. Een conclusie die wel vaker wordt getrokken. Het parlement vraagt om goede archivering, maar krijgt dat niet.

Informatie verdwijnt dus in systemen waar het niet makkelijk is meer te vinden. Dat verklaart meteen waarom de huidige Wob-verzoeken zoveelk gedoe zijn. De informatie is er wel, maar zo goed verborgen dat zelfs de ambtenaren er maanden aan moeten werken om die ooit nog boven tafel te krijgen.

Jij-bak

Via een goedkope jij-bak schrijven ministers Plasterk (ooit als minister in het verleden verantwoordelijk voor de archieven) en Blok dat problemen nu toe aan de Wet open overheid.

De brief van Blok over het onderzoek naar de invoering van de Woo maakt iets heel duidelijk: Het echte probleem is niet de nogal doorzichtige vertragingstactiek om transparantie tegen te gaan, maar de onkunde de digitale archieven goed op orde te krijgen en het stelselmatig negeren van signalen. Dat probleem materialiseert zich ze met de huidige Archiefwet pas over een jaartje of 20.