Nieuwsflits

Mijn literatuurstudie is gereed en geaccepteerd!

De resultaten tot nu toe:

• Literatuurstudie gereed
• Afbakening verscherpt: bedrijfseconomische aspecten onderzoek ik niet
• De deelnemers aan het privacy debat leven in hun eigen werkelijkheid
• De politie heeft te veel werk om de Big Brother uit te hangen
• Een commerciële BB is veel waarschijnlijker
• Mijn forensische aspecten richten zich op het “forensisch gereed” zijn van bedrijven
• De integratie van het scriptie hoofdstuk "Juridische omgeving" en het hoofdstuk "Privacy" uit mijn literatuurstudie is nagenoeg afgerond

Wat komt er nog aan?
Het Forensic Zachman model (FORZA) is door de ontwikkelaar Ricci Ieong toegepast in een paar zaken. Dit model is bedoeld om de rollen in een forensisch onderzoek duidelijk te beschrijven, met inachtneming van de juridische aspecten. Het hoofdstuk “Forensische aspecten” bevat weinig nieuwe inzichten op technisch gebied. Mijn originele wens aan het begin van het afstudeertraject was het ontwikkelen van een Forensisch Informatie Systeem (FIS). Door allerlei goede redenen ben ik daarvan afgestapt. Toch zijn de organisatorische kanten van een dergelijk informatiesysteem en de problemen dit met zich meebrengt interessant en relevant. Een van de onderwerpen in het hoofdstuk "Forensische aspecten" zal daarom betrekking hebben op de verankering van de randvoorwaarden die ik op basis van mijn onderzoek opstel.

Externe risico's

Macht corrumpeert
De risico's voor de privacy door RIVEO komen niet uit de lucht vallen, maar door een grote dataverzameling komen zij bij elkaar. Het risico dat grote dataverzamelingen met persoonsgegevens en andere privacy gevoelige informatie in handel van de politiek een gevaar voor de democratische samenleving zijn is niet denkbeeldig. Koops geeft aan in [Versmissen 2002](1) dat als de infrastructuur er ligt het gemakkelijker wordt voor de politiek om, op basis van ad hoc argumenten, besluiten te nemen die diep indringen in de persoonlijke levenssfeer van mensen. Dat hóeft niet maar het kán wel. Lord Acton gaf dat als volgt aan:
"Power tends to corrupt, and absolute power corrupts absolutely. Great men are almost always bad men." (2)

Misinterpretatie
Een ander risico voor de mensen, van wie gegevens over handelen en hun persoonsgegevens worden opgeslagen, wordt gevormd door de kans op fouten en foute conclusies door verkeerde interpretaties of door het gebruik van de gegevens in een verkeerde context. De eis in de Wbp (art. 9 lid 1-3 Wbp) ten aanzien van doelbinding is dan ook terecht. Kardinaal Richelieu combineert het eerste risico (machtsmisbruik) met misinterpretatie:
“Met twee geschreven regels van zijn hand, kan ik zelfs de meest onschuldige veroordelen.” (3)

Gegevensdiefstal
Een totaal andere invalshoek van risicoinschatting komt van Steward Brand. Als informatie zo belangrijk is en de data is van goede kwaliteit, dan valt er veel geld mee te verdienen. Dat wil zeggen dat gegevensverzamelingen kwetsbaar zijn van binnenuit, maar ook voor aanvallen van buitenaf.
“Information wants to be free (1987). Information also wants to be expensive. Information wants to be free because it has become so cheap to distribute, copy, and recombine -- too cheap to meter. It wants to be expensive because it can be immeasurably valuable to the recipient. That tension will not go away. It leads to endless wrenching debate about price, copyright, 'intellectual property', the moral rightness of casual distribution, because each round of new devices makes the tension worse, not better.” (4)

Samengevat
Zo bezien zijn er enkele kernrisico's te bepalen waar bij de invoering van RIVEO rekening mee moet worden gehouden:
• fouten in gegevensverzamelingen en conclusies op basis hiervan;
• gegevensgebruik in een verkeerde context;
• criminelen van binnenuit of van buitenaf die de gegevens in handen krijgen;
• de politieke macht, die uitbreiding van toepassingsmogelijkheden achteraf goedkeuring geeft.

(1) Versmissen, J.A.G., Heij, A.C.M. (2002). Elektronische overheid en privacy. Bescherming van persoonsgegevens in de informatiestructuur van de overheid. A&V25; College bescherming persoonsgegevens, Den Haag 2002.
(2) This arose as a quotation by John Emerich Edward Dalberg Acton, first Baron Acton (1834–1902). The historian and moralist, who was otherwise known simply as Lord Acton, expressed this opinion in a letter to Bishop Mandell Creighton in 1887.
(3) Kardinaal Richelieu (Armand Jean du Plessis de) (1585-1642), eerste minister van Lodewijk XIII (1610-1643) «Avec deux lignes d’écriture d’un homme, on peut faire le procès du plus innocent.» [ Cardinal de Richelieu ] - Cité par Françoise Bertaut dans Mémoires pour servir à l’histoire d’Anne d’Autriche
(4) S. Brand, The Media Lab: Inventing the Future at MIT (New York: Viking Penguin Inc., 1987) at 202.

De laatste risico's

RIVEO kan, maar er zijn wel randvoorwaarden op een hoger niveau die ingevuld moeten zjin. Zoals een overheid die niet bij de gegevens kan van bedrijfsinformatiesystemen die volgens RIVEO zijn ingericht.
Dit is meteen een van de grootste faalkansen. Het hoeft niet per sé zo te zijn dat "de overheid" of "ze" erbij kunnen. Als bij de burger de perceptie bestaat dat het zou kunnen gebeuren, dan is ook RIVEO niet haalbaar.
Een ander probleem ontstaat als de gegevens in handen komen van criminelen of van vreemde mogendheden. Minder grote risico's (maar zeker niet klein!) worden gevormd door fouten in de gegevens die tot verkeerde conclusies leiden, door gelekte gegevens of door gegevens die om wat voor reden dan ook niet meer toegankelijk zijn (verloren, vernietigd of ten onrechte afgeschermd voor de eigenaar).

De laatste risico's zijn relatief eenvoudig te beheersen met technische en andere min of meer normale beveiligingsmaatregelen. Voor de beeldvorming over de overheid bestaat geen andere remedie dan goed communiceren. En zelfs dan moet rekening worden gehouden met samenzwerings- en complottheorieën die de komst van "1984" verkondigen.
Natuurlijk mogen zich geen incidenten voordoen die tot pijnlijk gezichtsverlies leiden. Zoals de constante stroom vermiste dossiers, harde schijven, laptops, usb sticks en backuptapes uit Engeland en de Verenigde Staten.

KDD

KDD

Knowledge discovery in databases (KDD) is een probleem. Niet als je het gewoon in je bedrijfssituatie toepast, maar wel als het op jou wordt toegepast. En dat kan al bij toepassing van ongerichte zoekslagen in grote databases het geval zijn. Dit soort zoekslagen zijn bedoeld om onvermoede verbanden tussen gegevens zichtbaar te maken en zijn - uiteraard - populair bij opsporingsinstanties en veiligheidsdiensten. Vanuit forensisch oogpunt bezien valt er dan ook veel voor deze techniek te zeggen.

Een overheidsorganisatie (of willekeurig welke grote organisatie) zal een stuk minder welwillend staan tegen een verzoek tot ongerichte zoekopdrachten binnen de bedrijfsomgeving. Naast de bedrijfseconomische risico's (het openbaar worden van bedrijfsgeheimen) loopt het bedrijf ook privacy risico's.

Om toch deze weg in te kunnen slaan moeten er op voorhand wel bepaalde eisen worden gesteld en veiligheden zijn ingebouwd. Dit kan van wetgeverzijde, maar bedrijven en organisaties kunnen daar ook een rol in spelen. Eén daarvan is het beperken van registratie. Door slechts data vast te leggen van processen die er toe doen en daarbinnen alleen de relevante gegevens op te slaan, is een beperkte hoeveelheid informatie beschikbaar.

Daarnaast is een onvoorwaardelijke beperking van de toegang tot deze gegevens noodzakelijk. Overigens is dit al geregeld via de Wpolr, waarbij een datawarehouse als tijdelijk politieregister kan worden ingezet. Hier gelden dan restricties, zoals het handelen onder leiding van de OvJ door de politie bij de gerichte doorzoeking van het datawarehouse. Ongericht doorzoekingen, dat wil zeggen, zonder dat er een duidelijk afgebakende onderzoeksvraag aan ten grondslag ligt zijn een stuk moeilijker uit te voeren.

Met de toestemming van de Tweede Kamer om telecommunicatie verkeersgegevens 1 jaar op te slaan (in plaats van de voorgestelde anderhalf jaar) hebben veiligheidsdiensten volop bestanden beschikbaar voor ongerichte zoekslagen. Zij mogen namelijk wel met datamining technieken zoeken naar onvermoede dwarsverbanden in informatie. Vervelende bijkomstigheid is dat bij grote databases de kans op fouten ook groter wordt. Hierdoor neemt eveneens de kans toe dat op basis van foutieve gegevens de verkeerde conclusies getrokken worden.

Dat noemen we collateral damage.

Writers tools

Vandaag hadden wij de eerste bijeenkomst van de Haagsche Studiekring. Het is heel motiverend om je studiegenoten in dezelfde situatie aan te treffen, en met elkaar studietips uit te wisselen. Tijdens de terugkomdag in Eindhoven hebben we al een paar handige tips gekregen voor het verzamelen en catalogiseren van websites en pdf bestanden (Zotero), maar vandaag kwamen er meer handige tips voorbij.

Zoals het gebruik van Dark Room voor het dóórschrijven van je scriptie nadat je al je literatuur klaar hebt liggen. Dit is een rtf-tekstverwerker met geen andere functionaliteit dan een zelf gedefinieerde achtergrondkleur en kleur van het lettertype (Amber of groen op zwart, doet dat je niet ergens aan denken?). Ideaal om door te werken zonder dat je wordt afgeleid door allerlei handige iconen en pratende paperclips. Of door je mailboxindicator. Het vraagt wel de installatie van .NET, maar dat had je al omdat je Paint.NET hebt geïnstalleerd (de veel betere opvolger van Paint).

Ook kwam de problematiek van de bookmarks ter sprake. Want leuke en interessante sites kom je overal tegen, maar hoe houd je enkele tientallen van die dingen nu uit elkaar? Firefox biedt met zijn bladwijzerbeheerder voldoende mogelijkheden een en ander te sorteren. Maar dat is vaak alleen voor de blijverdjes. Eenmalige of gelijksoortige links kun je snel en handig op onderwerp sorteren door per onderwerp een Firefox venster te openen. Iedere site open je dan op een eigen tabblad. En door alles in één keer te markeren als bookmark (in een eigen map) kun je een index opbouwen. Die bookmarkgroup maak je door met de rechtermuisknop op een tabblad te klikken en de optie "Bladwijzer voor alle tabbladen maken" te selecteren. Je kunt vervolgens nog een passende naam opgeven.

Op speciaal verzoek heb ik dit weblog nog voorzien van een RSS-feed (Atom). Kijk maar onderaan.

Succes met de studie!

Terrorismewetgeving - houdbaar tot 2012?

Onderdeel van de Wet bescherming persoonsgegvens (Wbp) is het artikel 80, waarin staat aangegeven dat deze wet na 5 jaar dient te worden geëvalueerd.

Artikel 80
Onze Ministers van Justitie en van Binnenlandse Zaken en Koninkrijksrelaties zenden binnen vijf jaren na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.

Een dergelijk evaluatiemoment is een uitgelezen gelegenheid om de wet aan te passen, uit te breiden of in te perken of zelfs helemaal op te heffen.

Nu we toch bezig zijn met het invullen van de terrorisme wetgeving en andere inperkingen van de burgerlijke rechten, lijkt het mij een goed idee om ook eens verder de toekomst in te kijken. Want de terrorisme wetgeving is, gelijk aan de oorlogswetten, bedoeld om door inperking van de rechten de door anderen afgenomen rechten weer te herwinnen.

Slechts het afnemen van rechten kan dan ook niet het uiteindelijke beoogde doel zijn. En als het dat wél is in de ogen van een selecte groep, dan is het aan de burger om daar tegenin te gaan.

In de uitgevaardigde wetten die dienen om de groei en (toekomstige) activiteiten van terroristen en andere subversieve elementen tegen te gaan, ernstig te verstoren of om deze figuren op te sporen, zou ook rekening moeten worden gehouden met de eindigheid van de situatie waarin deze wetten praktische toepassing hebben. In het kader van de detectie en opsporing van afwijkende communicatiepatronen is de opslag van elektronisch postverkeer en telecommunicatie gegevens heel handig en verklaarbaar.

Maar als alle terroristen zijn opgepakt is het meer dan ongewenst dat deze wetgeving nog steeds van kracht blijft en erger nog, actief toegepast wordt.

IT controls en Compliancy

Voor mijn vrienden en vriendinnen van de MISM/MSIT...

Met dank aan Wessel!

Probleemstelling masterthesis

Het is zover, ik heb een probleemstelling op papier gekregen! Nu de uitwerking nog...

Probleemstelling:

Welke juridische, bedrijfseconomische en maatschappelijk criteria kunnen in meer algemene zin worden geformuleerd om te kunnen voorzien in een inhoudelijk toetsingskader ten behoeve van een verzameling van informatie en opslag van gegevens. In dat verband zal specifieke inhoudelijke aandacht worden gegeven aan die vastgelegde gegevens die ontstaan zijn uit geautomatiseerde informatieverwerkende processen als gevolg van een normale gegevensverwerking en afwijkend van de standaard zijn.

Toelichting:
In de afgelopen tijd, sinds 11 september 2001, zijn er verschillende wetten aangepast of ingevoerd, die als doel hebben het verzamelen van informatie te vereenvoudigen. Met als gevolg dat eigenlijk niemand exact weet welke informatie waar gedeeld wordt en wat er allemaal gekoppeld kan worden. Daar komt bij dat de gevolgen van dat koppelen nog niet helemaal zijn uitgekristalliseerd. Vooralsnog is er geen wet of regelgeving die vereist dat de overheid zich als voorbeeld opstelt bij het verzamelen van informatie over de eigen interne bedrijfsvoering. Toch kan in de lijn van de ontwikkelingen de verwachting worden uitgesproken dat binnen enkele jaren dergelijke eisen vorm gegeven worden.

Door randvoorwaarden te definiëren aan de wijze waarop en de omstandigheden waaronder de gegevens worden verzameld is het mogelijk om, ook zonder terrorismebestrijding als doel te kiezen, informatie zorgvuldig op te slaan.

Dit leidt tot de vraag aan welke eisen informatie moet voldoen om een bijdrage te kunnen leveren aan IT governance en forensisch onderzoek. Op hoofdlijnen geldt dat de gegevens zonder menselijke tussenkomst worden opgeslagen, op forensisch acceptabele wijze worden verzameld en opgeslagen, juridisch bruikbaar zijn, de toets van de privacy wetgeving kunnen doorstaan en dat de bedrijfsvoering niet ernstig gehinderd mag worden door de inspanningen die gevraagd worden ten behoeve van verzameling en opslag.

In mijn scriptie streef ik ernaar de resultaten van mijn onderzoek naar eisen en randvoorwaarden voor het verzamelen en opslaan van informatie vast te leggen.

Voor de afbakening van het onderzoek breng ik onderscheid aan tussen de volgende vier domeinen, waarbinnen de te verzamelen gegevens kunnen vallen: privacy, juridisch, forensisch en bedrijfseconomisch. Per domein onderzoek ik welke bestaande raamwerken er zijn en hoe die aansluiten bij het onderwerp.

OV chipcard, Bluetooth en Big Brother

Voordat ik op het onderwerp van mijn column van vandaag kom, wil ik eerst deze observatie vermelden.

Vanmorgen ontving ik mijn nieuwe OV-chipcard. Netjes op een begeleidend schrijven geplakt, met een toelichting in de bijsluiter. In de brief staat vermeld dat ik deze OV chipcard op termijn overal in het het openbaar vervoer kan gebruiken. Ook staat er dat ik steeds maar één OV chipcard tegelijk bij mij moet dragen, omdat het systeem het anders niet meer snapt. In de toelichting staat aangegeven dat de verschillende OV-aanbieders hun eigen chipkaarten uitdelen. Het wordt mij op het hart gedrukt voorlopig slechts de OV chipcard op de lijn van de aanbieder van de betreffende card te gebruiken.

Dat wordt wel lastig bij samengestelde reizen, met trein en bus, of met trein en trein naar Noord-Nederland, als je maar één OV chipcard bij je mag hebben!

Vanochtend stond in De Pers (30 oktober 2007, voorpagina) een interessante waarschuwing over ontwikkelingen rond de OV chipcard en bluetooth telefoons. Wat is nu het geval? Het bluetooth protocol valt buiten de reclamebeperkingen die voor spam gelden. En de RFID signalen die een OV chipcard afgeeft zijn goed te detecteren. Door de informatie die deze signalen met zich meebrengen ("hier loopt een OV-gebruiker") te combineren is reclame op maat mogelijk. Bijvoorbeeld een bluetooth bericht op de mobiele telefoongebruikers in het bezit van een OV chipcard op station Bloemendaal, met de boodschap dat de saucijzenbroodjes vandaag half geld zijn.

Je hebt geen Big Brother nodig om gevolgd te worden - we doen het onszelf aan!
Waarom was het ook alweer dat wij de Big Brother Award 2007 hebben gewonnen?

Bedrijven moeten gegevens opslaan....

Als de overheid ze dit verteld krijgt de uitdrukking "met de hakken in het zand" een totaal nieuwe dimensie! Maar wel beschouwd slaan bedrijven al veel gegevens op. Belastinggegevens moeten minstens 7 jaar worden bewaard. Internet en telecommunicatie verkeersgegevens worden 18 maanden opgeslagen. En wat dichter bij huis, de logbestanden op mailservers en fileservers worden net zo lang bewaard tot ze worden overschreven.

Het is meer de schrik dat de bedrijven iets moeten wat ze mogelijk geld gaat kosten als ze het (niet) doen, dan echte onwil. Want de meeste bedrijven en instanties die hun interne processen enigzins op orde hebben doen al aan opslag van gegevens. Volgens het COBIT model hebben ze behoefte aan kwaliteitseisen, financiele eisen en beveiligingseisen. Die zijn te vertalen in een aantal kwaliteitscriteria: effectiviteit, efficiency, vertrouwelijkheid, integriteit, beschikbaarheid, naleving en betrouwbaarheid.

Op basis van deze criteria is het wel mogelijk de eisen op te stellen van de gegevens die bedrijven moeten vastleggen, terwijl dit bedrijfsmatig verantwoord is. Aan de andere kant, waarom zouden ze dat doen? In goed nederlands: "Wat hep ik eran?". Daar hebben ze een punt. Want kosten en baten moeten in verhouding zijn en de bedrijfsvoering gaat voor. Natuurlijk mag het beheer van de opslag (en de gegevens) geen extra inspanning kosten. En de gegevens mogen niet "lekken", omdat dit grote gevolgen kan hebben op forensisch, juridisch en privacy gebied.

Aan de andere kant zitten er ook voordelen aan. Doordat een bedrijf volgens de richtlijnen gegevens vastlegt wordt de kans op een huiszoeking verkleint en wordt slechts een beperkt capaciteitsbeslag gevraagd bij een forensisch onderzoek. Het inrichten van het opslagproces helpt ook bij het nakomen van compliancy wetgeving. En uiteindelijk kan RIVEO gebruikt worden voor de bescherming van de eer en goede naam.

Ze mogen alles van mij weten ... of toch niet?

Je kent ze wel, die mensen die vinden dat ze geen privacy nodig hebben, omdat ze toch geen geheimen hebben. Maar als je vraagt of je een foto van ze mag maken in hun blootje en die dan aan de hele straat uitdelen dan is dat toch anders. Dat zijn ook de mensen die thuis wel gordijnen voor de ramen hebben hangen.

Eigenlijk hebben deze mensen ergens wel gelijk, maar ze drukken zich wat ongelukkig uit. Privacy is een complex begrip, een samenstel van begrippen, definities en gevoelens die op allerlei manieren met elkaar verbonden zijn. Daarom is er eigenlijk nog geen goede beschrijving van opgesteld: het is met privacy steeds afhankelijk van de situatie.
In 1890 kwamen Samuel Warren en Louis Brandeis al tot de conclusie dat privacy iets ongrijpbaars is, dat ongeveer viel te omschrijven als "The right to be let alone".

Bij de meeste discussies waar privacy onderwerp van gesprek is wordt vaak langs elkaar heen gesproken. Door te focussen op de aan privacy gerelateerde problemen is het mogelijk ze te bespreken in plaats van te vermijden of te vereenvoudigen. Uiteindelijk blijkt dan dat het argument "Ik heb niets te verbergen" geen geheimen heeft.

Een normale afwijking?

Wat is normaal en wat een afwijking? Dat is de vraag die ik mijzelf stel bij mijn onderzoek. Want niet alle gegevens hoeven altijd te worden opgeslagen. Maar er zijn situaties denkbaar dat gegevens die normaal niet worden bewaard, opeens afwijkend zijn van normaal en toch moeten worden opgeslagen. De kunst is te definiëren wanneer gegevens normaal zijn en wanneer zij deel uitmaken van een afwijking.

Normaal is dat niet zo moeilijk te bepalen, de normaal is de weergave van geconsolideerd standaard niet afwijkend gedrag. Zo wordt de referentiestandaard bepaald. En een afwijking is ongelijk aan die normaal.

Moet nu al het afwijkende van de normaal worden opgeslagen? Dat lijkt mij een onderwerp voor een andere column.

Wat slaan wij op?

De huidige trend bij registratiesystemen is gewoon álles te registreren en op te slaan. Dat gaat goed, zolang je die gegevens niet al te lang hoeft te bewaren. Nu hoeft dat niet bij video-opnames, die mogen meestal maar 24 uur worden bewaard. Maar er zijn ook systemen waar de gegevens 18 maanden of maximaal 2 jaar moeten worden bewaard, zoals de verkeersgegevens van ISP's.

Voor bedrijven die van Internet niet hun core business hebben gemaakt, maar wel iets willen of moeten vastleggen over hun verkeersgegevens (of dat nu intern of extern verkeer betreft) is het een ander verhaal. Waar de ISP's verplicht worden de verkeersgegevens te registreren en te bewaren, hebben andere bedrijven een verschillend belang. Misschien moeten ze het vanwege internationale of nationale regelgeving, zoals HIPAA, SOX, Code Tabaksblatt. Of misschien willen ze het zelf, zoals banken doen.

Toch lopen ze allemaal tegen hetzelfde probleem aan: wat moeten ze registreren om, als er zich een incident voordoet, bruikbare gegevens te kunnen overhandigen aan de opsporingsinstanties. Want ze kunnen niet zomaar van alles registreren en oneindig bewaren. Dit kost teveel opslagruimte en indien de data niet logisch worden opgeborgen is het als zoeken naar een naald in een hooiberg om de gewenste gegevens terug te kunnen vinden. Daar komt bij dat er allerlei regels en wetten zijn die het willekeurig opslaan van gegevens inperken.

Om nu toch in staat te zijn een goede gegevensregistratie op te zetten moeten er wat afwegingen worden gemaakt. Zoals het vaststellen of het juridisch acceptabel is dat de gegevens worden opgeslagen, of de opslag bedrijfskundig voordelen (of in ieder geval geen directe nadelen) heeft, of het privacy-technisch mogelijk is de gegevens op te slaan en niet als minste, of de gegevens een meerwaarde bieden bij het forensisch onderzoek.

Hiertoe zullen wat filters moeten worden gedefineerd, waaraan de te registreren gegevens moeten voldoen om voor opslag in aanmerking te komen. Dat is het startpunt voor een van mijn volgende artikelen.

Bigbrother is er in 2017

Althans, dat lijkt zo te gebeuren op het technische vlak. Lees daarvoor dit artikel. Hier wordt beschreven hoe men over 10 jaar verwacht in staat te zijn op 5 meter afstand alle vingerafdrukken te lezen. En een irisscan uit te voeren.
Dan is de voorgaande discussie over privacy die ik op dit weblog beschreef ook wel overbodig ;-(

Camera's en Privacy

Vanmiddag tijdens een presentatie over geavanceerd gebruik van zoekmachines was ik deelnemer in een interessante discussie over privacy, technische hulpmiddelen en waarom dit niet samengaat.

Camera's (de technische hulpmiddelen) worden niet als effectief ervaren, omdat bijvoorbeeld de criminaliteit niet omlaag gaat in de gebieden waar de camera's hangen. Je kunt je natuurlijk afvragen waarom die camera's er dan hangen, of ze wel goed hangen, wat er gebeurt zou zijn als ze er niet zouden hangen, en nog zo het een en ander.

Ironisch genoeg hangen die camera's er zonder dat er echt iets mee gedaan wordt. De gewone burger wordt geregistreerd (privacyschending) terwijl de doelgroep gewoon een petje opzet, de capuchon over zijn hoofd trekt en doorgaat waar hij mee bezig was. Omdat de camera's zo hoog hangen (hufterproof, zoals dat heet) leveren ze geen bruikbare beelden op. Filmen van onderen mag ook niet, ondanks de intrekking van de rechtzaak tegen geenstijl.

Sociale controle werkt toch beter. Projecten met wijkagenten, buurtvaders en stadswachten (vroeger had je ook nog Melkertbanen) werpen wel echte resultaten af. Je kunt je afvragen of de op de stadswachten geprojecteerde rol wel de juiste is, ze hebben geen andere bevoegdheden dan een burger. Maar hulpverlening en sociale controle zijn wel belangrijke factoren in het handhaven van een rustig straatbeeld. Natuurlijk zijn er situaties genoeg denkbaar waarin de min of meer toevallige aanwezigheid van een stel controleurs niet voldoende is. Denk aan treinstations. Hier kan de inzet van surveillancecamera's met intelligente beeldherkenningstechnologie veel betekenen. Dat er iemand "hangt" op een station is, gegeven de storingsgevoeligheid van de NS, redelijk normaal. Maar de software achter de camera kan ook herkennen dat er iemand over een hek klimt, of dat een tas wel erg onbewaakt is achtergelaten.

Gezamenlijk concludeerden wij dat technische hulpmiddelen alleen niet zaligmakend zijn. Samen met de inzet van sociale controle op verschillende handhavingsniveaus wordt het allemaal een stuk leuker.

Bewaarplicht

Ik verwacht dat binnen afzienbare tijd – enkele jaren – er voor de rijksoverheid een IT governance eis komt. Daarbij komt de politieke druk of eis van het vastleggen van “alle” gegevens. Niet alleen over burgers maar ook van ambtenaren. Of dit nu in het kader van IT governance of uit angst voor een terreurdreiging zal plaatsvinden maakt voor het resultaat niet uit – er zal ongecontroleerd veel informatie worden vastgelegd.

Voor een deel bestaat de eis van het vastleggen van alle gegevens al, zoals de 18 maanden bewaarplicht van telecom gegevens en de bewaarplicht van surfgegevens voor ISP's.

Met de overheid als het goede voorbeeld is het niet ondenkbeeldig dat een informatieverzamelend systeem als eerste bij de rijksoverheid wordt ingezet.

De eisen om verkeersgegevens te registreren en langdurig te bewaren nemen steeds verder toe. Samen met de steeds verdergaande automatisering van bedrijfsprocessen, kun je al snel tot de conclusie komen dat ondanks de grote hoeveelheid opgeslagen data er geen informatie uit te halen valt – er is gewoon teveel opgeslagen data.

Door het opstellen van een regelset of een setje voorwaarden waaraan gegevens en situaties moeten voldoen om wel of niet opgeslagen te worden, kan aan een aantal eisen en wensen tegemoet worden gekomen.

Eerste Posting

Voor mijn afstudeeropdracht aan de TIAS Business School Eindhoven, de opleiding tot Master of Information Security Management (MISM), doe ik onderzoek naar regels en richtlijnen voor opslag van gegevens. Dit is een vervolg op het onderzoek naar een Forensisch Informatiesysteem (FIS), zoals is vastgelegd op de blog http://coengertjanmartin.wordpress.com

Ik streef ernaar mijn bevindingen - voor zover mogelijk en praktisch - op dit blog neer te zetten.

Reageren is mogelijk en gewenst.

Gertjan