KDD

KDD

Knowledge discovery in databases (KDD) is een probleem. Niet als je het gewoon in je bedrijfssituatie toepast, maar wel als het op jou wordt toegepast. En dat kan al bij toepassing van ongerichte zoekslagen in grote databases het geval zijn. Dit soort zoekslagen zijn bedoeld om onvermoede verbanden tussen gegevens zichtbaar te maken en zijn - uiteraard - populair bij opsporingsinstanties en veiligheidsdiensten. Vanuit forensisch oogpunt bezien valt er dan ook veel voor deze techniek te zeggen.

Een overheidsorganisatie (of willekeurig welke grote organisatie) zal een stuk minder welwillend staan tegen een verzoek tot ongerichte zoekopdrachten binnen de bedrijfsomgeving. Naast de bedrijfseconomische risico's (het openbaar worden van bedrijfsgeheimen) loopt het bedrijf ook privacy risico's.

Om toch deze weg in te kunnen slaan moeten er op voorhand wel bepaalde eisen worden gesteld en veiligheden zijn ingebouwd. Dit kan van wetgeverzijde, maar bedrijven en organisaties kunnen daar ook een rol in spelen. Eén daarvan is het beperken van registratie. Door slechts data vast te leggen van processen die er toe doen en daarbinnen alleen de relevante gegevens op te slaan, is een beperkte hoeveelheid informatie beschikbaar.

Daarnaast is een onvoorwaardelijke beperking van de toegang tot deze gegevens noodzakelijk. Overigens is dit al geregeld via de Wpolr, waarbij een datawarehouse als tijdelijk politieregister kan worden ingezet. Hier gelden dan restricties, zoals het handelen onder leiding van de OvJ door de politie bij de gerichte doorzoeking van het datawarehouse. Ongericht doorzoekingen, dat wil zeggen, zonder dat er een duidelijk afgebakende onderzoeksvraag aan ten grondslag ligt zijn een stuk moeilijker uit te voeren.

Met de toestemming van de Tweede Kamer om telecommunicatie verkeersgegevens 1 jaar op te slaan (in plaats van de voorgestelde anderhalf jaar) hebben veiligheidsdiensten volop bestanden beschikbaar voor ongerichte zoekslagen. Zij mogen namelijk wel met datamining technieken zoeken naar onvermoede dwarsverbanden in informatie. Vervelende bijkomstigheid is dat bij grote databases de kans op fouten ook groter wordt. Hierdoor neemt eveneens de kans toe dat op basis van foutieve gegevens de verkeerde conclusies getrokken worden.

Dat noemen we collateral damage.

Probleemstelling masterthesis

Het is zover, ik heb een probleemstelling op papier gekregen! Nu de uitwerking nog...

Probleemstelling:

Welke juridische, bedrijfseconomische en maatschappelijk criteria kunnen in meer algemene zin worden geformuleerd om te kunnen voorzien in een inhoudelijk toetsingskader ten behoeve van een verzameling van informatie en opslag van gegevens. In dat verband zal specifieke inhoudelijke aandacht worden gegeven aan die vastgelegde gegevens die ontstaan zijn uit geautomatiseerde informatieverwerkende processen als gevolg van een normale gegevensverwerking en afwijkend van de standaard zijn.

Toelichting:
In de afgelopen tijd, sinds 11 september 2001, zijn er verschillende wetten aangepast of ingevoerd, die als doel hebben het verzamelen van informatie te vereenvoudigen. Met als gevolg dat eigenlijk niemand exact weet welke informatie waar gedeeld wordt en wat er allemaal gekoppeld kan worden. Daar komt bij dat de gevolgen van dat koppelen nog niet helemaal zijn uitgekristalliseerd. Vooralsnog is er geen wet of regelgeving die vereist dat de overheid zich als voorbeeld opstelt bij het verzamelen van informatie over de eigen interne bedrijfsvoering. Toch kan in de lijn van de ontwikkelingen de verwachting worden uitgesproken dat binnen enkele jaren dergelijke eisen vorm gegeven worden.

Door randvoorwaarden te definiëren aan de wijze waarop en de omstandigheden waaronder de gegevens worden verzameld is het mogelijk om, ook zonder terrorismebestrijding als doel te kiezen, informatie zorgvuldig op te slaan.

Dit leidt tot de vraag aan welke eisen informatie moet voldoen om een bijdrage te kunnen leveren aan IT governance en forensisch onderzoek. Op hoofdlijnen geldt dat de gegevens zonder menselijke tussenkomst worden opgeslagen, op forensisch acceptabele wijze worden verzameld en opgeslagen, juridisch bruikbaar zijn, de toets van de privacy wetgeving kunnen doorstaan en dat de bedrijfsvoering niet ernstig gehinderd mag worden door de inspanningen die gevraagd worden ten behoeve van verzameling en opslag.

In mijn scriptie streef ik ernaar de resultaten van mijn onderzoek naar eisen en randvoorwaarden voor het verzamelen en opslaan van informatie vast te leggen.

Voor de afbakening van het onderzoek breng ik onderscheid aan tussen de volgende vier domeinen, waarbinnen de te verzamelen gegevens kunnen vallen: privacy, juridisch, forensisch en bedrijfseconomisch. Per domein onderzoek ik welke bestaande raamwerken er zijn en hoe die aansluiten bij het onderwerp.

Bedrijven moeten gegevens opslaan....

Als de overheid ze dit verteld krijgt de uitdrukking "met de hakken in het zand" een totaal nieuwe dimensie! Maar wel beschouwd slaan bedrijven al veel gegevens op. Belastinggegevens moeten minstens 7 jaar worden bewaard. Internet en telecommunicatie verkeersgegevens worden 18 maanden opgeslagen. En wat dichter bij huis, de logbestanden op mailservers en fileservers worden net zo lang bewaard tot ze worden overschreven.

Het is meer de schrik dat de bedrijven iets moeten wat ze mogelijk geld gaat kosten als ze het (niet) doen, dan echte onwil. Want de meeste bedrijven en instanties die hun interne processen enigzins op orde hebben doen al aan opslag van gegevens. Volgens het COBIT model hebben ze behoefte aan kwaliteitseisen, financiele eisen en beveiligingseisen. Die zijn te vertalen in een aantal kwaliteitscriteria: effectiviteit, efficiency, vertrouwelijkheid, integriteit, beschikbaarheid, naleving en betrouwbaarheid.

Op basis van deze criteria is het wel mogelijk de eisen op te stellen van de gegevens die bedrijven moeten vastleggen, terwijl dit bedrijfsmatig verantwoord is. Aan de andere kant, waarom zouden ze dat doen? In goed nederlands: "Wat hep ik eran?". Daar hebben ze een punt. Want kosten en baten moeten in verhouding zijn en de bedrijfsvoering gaat voor. Natuurlijk mag het beheer van de opslag (en de gegevens) geen extra inspanning kosten. En de gegevens mogen niet "lekken", omdat dit grote gevolgen kan hebben op forensisch, juridisch en privacy gebied.

Aan de andere kant zitten er ook voordelen aan. Doordat een bedrijf volgens de richtlijnen gegevens vastlegt wordt de kans op een huiszoeking verkleint en wordt slechts een beperkt capaciteitsbeslag gevraagd bij een forensisch onderzoek. Het inrichten van het opslagproces helpt ook bij het nakomen van compliancy wetgeving. En uiteindelijk kan RIVEO gebruikt worden voor de bescherming van de eer en goede naam.

Eerste Posting

Voor mijn afstudeeropdracht aan de TIAS Business School Eindhoven, de opleiding tot Master of Information Security Management (MISM), doe ik onderzoek naar regels en richtlijnen voor opslag van gegevens. Dit is een vervolg op het onderzoek naar een Forensisch Informatiesysteem (FIS), zoals is vastgelegd op de blog http://coengertjanmartin.wordpress.com

Ik streef ernaar mijn bevindingen - voor zover mogelijk en praktisch - op dit blog neer te zetten.

Reageren is mogelijk en gewenst.

Gertjan