Probleemstelling masterthesis

Het is zover, ik heb een probleemstelling op papier gekregen! Nu de uitwerking nog...

Probleemstelling:

Welke juridische, bedrijfseconomische en maatschappelijk criteria kunnen in meer algemene zin worden geformuleerd om te kunnen voorzien in een inhoudelijk toetsingskader ten behoeve van een verzameling van informatie en opslag van gegevens. In dat verband zal specifieke inhoudelijke aandacht worden gegeven aan die vastgelegde gegevens die ontstaan zijn uit geautomatiseerde informatieverwerkende processen als gevolg van een normale gegevensverwerking en afwijkend van de standaard zijn.

Toelichting:
In de afgelopen tijd, sinds 11 september 2001, zijn er verschillende wetten aangepast of ingevoerd, die als doel hebben het verzamelen van informatie te vereenvoudigen. Met als gevolg dat eigenlijk niemand exact weet welke informatie waar gedeeld wordt en wat er allemaal gekoppeld kan worden. Daar komt bij dat de gevolgen van dat koppelen nog niet helemaal zijn uitgekristalliseerd. Vooralsnog is er geen wet of regelgeving die vereist dat de overheid zich als voorbeeld opstelt bij het verzamelen van informatie over de eigen interne bedrijfsvoering. Toch kan in de lijn van de ontwikkelingen de verwachting worden uitgesproken dat binnen enkele jaren dergelijke eisen vorm gegeven worden.

Door randvoorwaarden te definiëren aan de wijze waarop en de omstandigheden waaronder de gegevens worden verzameld is het mogelijk om, ook zonder terrorismebestrijding als doel te kiezen, informatie zorgvuldig op te slaan.

Dit leidt tot de vraag aan welke eisen informatie moet voldoen om een bijdrage te kunnen leveren aan IT governance en forensisch onderzoek. Op hoofdlijnen geldt dat de gegevens zonder menselijke tussenkomst worden opgeslagen, op forensisch acceptabele wijze worden verzameld en opgeslagen, juridisch bruikbaar zijn, de toets van de privacy wetgeving kunnen doorstaan en dat de bedrijfsvoering niet ernstig gehinderd mag worden door de inspanningen die gevraagd worden ten behoeve van verzameling en opslag.

In mijn scriptie streef ik ernaar de resultaten van mijn onderzoek naar eisen en randvoorwaarden voor het verzamelen en opslaan van informatie vast te leggen.

Voor de afbakening van het onderzoek breng ik onderscheid aan tussen de volgende vier domeinen, waarbinnen de te verzamelen gegevens kunnen vallen: privacy, juridisch, forensisch en bedrijfseconomisch. Per domein onderzoek ik welke bestaande raamwerken er zijn en hoe die aansluiten bij het onderwerp.

Bedrijven moeten gegevens opslaan....

Als de overheid ze dit verteld krijgt de uitdrukking "met de hakken in het zand" een totaal nieuwe dimensie! Maar wel beschouwd slaan bedrijven al veel gegevens op. Belastinggegevens moeten minstens 7 jaar worden bewaard. Internet en telecommunicatie verkeersgegevens worden 18 maanden opgeslagen. En wat dichter bij huis, de logbestanden op mailservers en fileservers worden net zo lang bewaard tot ze worden overschreven.

Het is meer de schrik dat de bedrijven iets moeten wat ze mogelijk geld gaat kosten als ze het (niet) doen, dan echte onwil. Want de meeste bedrijven en instanties die hun interne processen enigzins op orde hebben doen al aan opslag van gegevens. Volgens het COBIT model hebben ze behoefte aan kwaliteitseisen, financiele eisen en beveiligingseisen. Die zijn te vertalen in een aantal kwaliteitscriteria: effectiviteit, efficiency, vertrouwelijkheid, integriteit, beschikbaarheid, naleving en betrouwbaarheid.

Op basis van deze criteria is het wel mogelijk de eisen op te stellen van de gegevens die bedrijven moeten vastleggen, terwijl dit bedrijfsmatig verantwoord is. Aan de andere kant, waarom zouden ze dat doen? In goed nederlands: "Wat hep ik eran?". Daar hebben ze een punt. Want kosten en baten moeten in verhouding zijn en de bedrijfsvoering gaat voor. Natuurlijk mag het beheer van de opslag (en de gegevens) geen extra inspanning kosten. En de gegevens mogen niet "lekken", omdat dit grote gevolgen kan hebben op forensisch, juridisch en privacy gebied.

Aan de andere kant zitten er ook voordelen aan. Doordat een bedrijf volgens de richtlijnen gegevens vastlegt wordt de kans op een huiszoeking verkleint en wordt slechts een beperkt capaciteitsbeslag gevraagd bij een forensisch onderzoek. Het inrichten van het opslagproces helpt ook bij het nakomen van compliancy wetgeving. En uiteindelijk kan RIVEO gebruikt worden voor de bescherming van de eer en goede naam.

Een normale afwijking?

Wat is normaal en wat een afwijking? Dat is de vraag die ik mijzelf stel bij mijn onderzoek. Want niet alle gegevens hoeven altijd te worden opgeslagen. Maar er zijn situaties denkbaar dat gegevens die normaal niet worden bewaard, opeens afwijkend zijn van normaal en toch moeten worden opgeslagen. De kunst is te definiëren wanneer gegevens normaal zijn en wanneer zij deel uitmaken van een afwijking.

Normaal is dat niet zo moeilijk te bepalen, de normaal is de weergave van geconsolideerd standaard niet afwijkend gedrag. Zo wordt de referentiestandaard bepaald. En een afwijking is ongelijk aan die normaal.

Moet nu al het afwijkende van de normaal worden opgeslagen? Dat lijkt mij een onderwerp voor een andere column.

Wat slaan wij op?

De huidige trend bij registratiesystemen is gewoon álles te registreren en op te slaan. Dat gaat goed, zolang je die gegevens niet al te lang hoeft te bewaren. Nu hoeft dat niet bij video-opnames, die mogen meestal maar 24 uur worden bewaard. Maar er zijn ook systemen waar de gegevens 18 maanden of maximaal 2 jaar moeten worden bewaard, zoals de verkeersgegevens van ISP's.

Voor bedrijven die van Internet niet hun core business hebben gemaakt, maar wel iets willen of moeten vastleggen over hun verkeersgegevens (of dat nu intern of extern verkeer betreft) is het een ander verhaal. Waar de ISP's verplicht worden de verkeersgegevens te registreren en te bewaren, hebben andere bedrijven een verschillend belang. Misschien moeten ze het vanwege internationale of nationale regelgeving, zoals HIPAA, SOX, Code Tabaksblatt. Of misschien willen ze het zelf, zoals banken doen.

Toch lopen ze allemaal tegen hetzelfde probleem aan: wat moeten ze registreren om, als er zich een incident voordoet, bruikbare gegevens te kunnen overhandigen aan de opsporingsinstanties. Want ze kunnen niet zomaar van alles registreren en oneindig bewaren. Dit kost teveel opslagruimte en indien de data niet logisch worden opgeborgen is het als zoeken naar een naald in een hooiberg om de gewenste gegevens terug te kunnen vinden. Daar komt bij dat er allerlei regels en wetten zijn die het willekeurig opslaan van gegevens inperken.

Om nu toch in staat te zijn een goede gegevensregistratie op te zetten moeten er wat afwegingen worden gemaakt. Zoals het vaststellen of het juridisch acceptabel is dat de gegevens worden opgeslagen, of de opslag bedrijfskundig voordelen (of in ieder geval geen directe nadelen) heeft, of het privacy-technisch mogelijk is de gegevens op te slaan en niet als minste, of de gegevens een meerwaarde bieden bij het forensisch onderzoek.

Hiertoe zullen wat filters moeten worden gedefineerd, waaraan de te registreren gegevens moeten voldoen om voor opslag in aanmerking te komen. Dat is het startpunt voor een van mijn volgende artikelen.

Bewaarplicht

Ik verwacht dat binnen afzienbare tijd – enkele jaren – er voor de rijksoverheid een IT governance eis komt. Daarbij komt de politieke druk of eis van het vastleggen van “alle” gegevens. Niet alleen over burgers maar ook van ambtenaren. Of dit nu in het kader van IT governance of uit angst voor een terreurdreiging zal plaatsvinden maakt voor het resultaat niet uit – er zal ongecontroleerd veel informatie worden vastgelegd.

Voor een deel bestaat de eis van het vastleggen van alle gegevens al, zoals de 18 maanden bewaarplicht van telecom gegevens en de bewaarplicht van surfgegevens voor ISP's.

Met de overheid als het goede voorbeeld is het niet ondenkbeeldig dat een informatieverzamelend systeem als eerste bij de rijksoverheid wordt ingezet.

De eisen om verkeersgegevens te registreren en langdurig te bewaren nemen steeds verder toe. Samen met de steeds verdergaande automatisering van bedrijfsprocessen, kun je al snel tot de conclusie komen dat ondanks de grote hoeveelheid opgeslagen data er geen informatie uit te halen valt – er is gewoon teveel opgeslagen data.

Door het opstellen van een regelset of een setje voorwaarden waaraan gegevens en situaties moeten voldoen om wel of niet opgeslagen te worden, kan aan een aantal eisen en wensen tegemoet worden gekomen.