Terrorismewetgeving - houdbaar tot 2012?

Onderdeel van de Wet bescherming persoonsgegvens (Wbp) is het artikel 80, waarin staat aangegeven dat deze wet na 5 jaar dient te worden geëvalueerd.

Artikel 80
Onze Ministers van Justitie en van Binnenlandse Zaken en Koninkrijksrelaties zenden binnen vijf jaren na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.

Een dergelijk evaluatiemoment is een uitgelezen gelegenheid om de wet aan te passen, uit te breiden of in te perken of zelfs helemaal op te heffen.

Nu we toch bezig zijn met het invullen van de terrorisme wetgeving en andere inperkingen van de burgerlijke rechten, lijkt het mij een goed idee om ook eens verder de toekomst in te kijken. Want de terrorisme wetgeving is, gelijk aan de oorlogswetten, bedoeld om door inperking van de rechten de door anderen afgenomen rechten weer te herwinnen.

Slechts het afnemen van rechten kan dan ook niet het uiteindelijke beoogde doel zijn. En als het dat wél is in de ogen van een selecte groep, dan is het aan de burger om daar tegenin te gaan.

In de uitgevaardigde wetten die dienen om de groei en (toekomstige) activiteiten van terroristen en andere subversieve elementen tegen te gaan, ernstig te verstoren of om deze figuren op te sporen, zou ook rekening moeten worden gehouden met de eindigheid van de situatie waarin deze wetten praktische toepassing hebben. In het kader van de detectie en opsporing van afwijkende communicatiepatronen is de opslag van elektronisch postverkeer en telecommunicatie gegevens heel handig en verklaarbaar.

Maar als alle terroristen zijn opgepakt is het meer dan ongewenst dat deze wetgeving nog steeds van kracht blijft en erger nog, actief toegepast wordt.

IT controls en Compliancy

Voor mijn vrienden en vriendinnen van de MISM/MSIT...

Met dank aan Wessel!

Probleemstelling masterthesis

Het is zover, ik heb een probleemstelling op papier gekregen! Nu de uitwerking nog...

Probleemstelling:

Welke juridische, bedrijfseconomische en maatschappelijk criteria kunnen in meer algemene zin worden geformuleerd om te kunnen voorzien in een inhoudelijk toetsingskader ten behoeve van een verzameling van informatie en opslag van gegevens. In dat verband zal specifieke inhoudelijke aandacht worden gegeven aan die vastgelegde gegevens die ontstaan zijn uit geautomatiseerde informatieverwerkende processen als gevolg van een normale gegevensverwerking en afwijkend van de standaard zijn.

Toelichting:
In de afgelopen tijd, sinds 11 september 2001, zijn er verschillende wetten aangepast of ingevoerd, die als doel hebben het verzamelen van informatie te vereenvoudigen. Met als gevolg dat eigenlijk niemand exact weet welke informatie waar gedeeld wordt en wat er allemaal gekoppeld kan worden. Daar komt bij dat de gevolgen van dat koppelen nog niet helemaal zijn uitgekristalliseerd. Vooralsnog is er geen wet of regelgeving die vereist dat de overheid zich als voorbeeld opstelt bij het verzamelen van informatie over de eigen interne bedrijfsvoering. Toch kan in de lijn van de ontwikkelingen de verwachting worden uitgesproken dat binnen enkele jaren dergelijke eisen vorm gegeven worden.

Door randvoorwaarden te definiëren aan de wijze waarop en de omstandigheden waaronder de gegevens worden verzameld is het mogelijk om, ook zonder terrorismebestrijding als doel te kiezen, informatie zorgvuldig op te slaan.

Dit leidt tot de vraag aan welke eisen informatie moet voldoen om een bijdrage te kunnen leveren aan IT governance en forensisch onderzoek. Op hoofdlijnen geldt dat de gegevens zonder menselijke tussenkomst worden opgeslagen, op forensisch acceptabele wijze worden verzameld en opgeslagen, juridisch bruikbaar zijn, de toets van de privacy wetgeving kunnen doorstaan en dat de bedrijfsvoering niet ernstig gehinderd mag worden door de inspanningen die gevraagd worden ten behoeve van verzameling en opslag.

In mijn scriptie streef ik ernaar de resultaten van mijn onderzoek naar eisen en randvoorwaarden voor het verzamelen en opslaan van informatie vast te leggen.

Voor de afbakening van het onderzoek breng ik onderscheid aan tussen de volgende vier domeinen, waarbinnen de te verzamelen gegevens kunnen vallen: privacy, juridisch, forensisch en bedrijfseconomisch. Per domein onderzoek ik welke bestaande raamwerken er zijn en hoe die aansluiten bij het onderwerp.

OV chipcard, Bluetooth en Big Brother

Voordat ik op het onderwerp van mijn column van vandaag kom, wil ik eerst deze observatie vermelden.

Vanmorgen ontving ik mijn nieuwe OV-chipcard. Netjes op een begeleidend schrijven geplakt, met een toelichting in de bijsluiter. In de brief staat vermeld dat ik deze OV chipcard op termijn overal in het het openbaar vervoer kan gebruiken. Ook staat er dat ik steeds maar één OV chipcard tegelijk bij mij moet dragen, omdat het systeem het anders niet meer snapt. In de toelichting staat aangegeven dat de verschillende OV-aanbieders hun eigen chipkaarten uitdelen. Het wordt mij op het hart gedrukt voorlopig slechts de OV chipcard op de lijn van de aanbieder van de betreffende card te gebruiken.

Dat wordt wel lastig bij samengestelde reizen, met trein en bus, of met trein en trein naar Noord-Nederland, als je maar één OV chipcard bij je mag hebben!

Vanochtend stond in De Pers (30 oktober 2007, voorpagina) een interessante waarschuwing over ontwikkelingen rond de OV chipcard en bluetooth telefoons. Wat is nu het geval? Het bluetooth protocol valt buiten de reclamebeperkingen die voor spam gelden. En de RFID signalen die een OV chipcard afgeeft zijn goed te detecteren. Door de informatie die deze signalen met zich meebrengen ("hier loopt een OV-gebruiker") te combineren is reclame op maat mogelijk. Bijvoorbeeld een bluetooth bericht op de mobiele telefoongebruikers in het bezit van een OV chipcard op station Bloemendaal, met de boodschap dat de saucijzenbroodjes vandaag half geld zijn.

Je hebt geen Big Brother nodig om gevolgd te worden - we doen het onszelf aan!
Waarom was het ook alweer dat wij de Big Brother Award 2007 hebben gewonnen?

Bedrijven moeten gegevens opslaan....

Als de overheid ze dit verteld krijgt de uitdrukking "met de hakken in het zand" een totaal nieuwe dimensie! Maar wel beschouwd slaan bedrijven al veel gegevens op. Belastinggegevens moeten minstens 7 jaar worden bewaard. Internet en telecommunicatie verkeersgegevens worden 18 maanden opgeslagen. En wat dichter bij huis, de logbestanden op mailservers en fileservers worden net zo lang bewaard tot ze worden overschreven.

Het is meer de schrik dat de bedrijven iets moeten wat ze mogelijk geld gaat kosten als ze het (niet) doen, dan echte onwil. Want de meeste bedrijven en instanties die hun interne processen enigzins op orde hebben doen al aan opslag van gegevens. Volgens het COBIT model hebben ze behoefte aan kwaliteitseisen, financiele eisen en beveiligingseisen. Die zijn te vertalen in een aantal kwaliteitscriteria: effectiviteit, efficiency, vertrouwelijkheid, integriteit, beschikbaarheid, naleving en betrouwbaarheid.

Op basis van deze criteria is het wel mogelijk de eisen op te stellen van de gegevens die bedrijven moeten vastleggen, terwijl dit bedrijfsmatig verantwoord is. Aan de andere kant, waarom zouden ze dat doen? In goed nederlands: "Wat hep ik eran?". Daar hebben ze een punt. Want kosten en baten moeten in verhouding zijn en de bedrijfsvoering gaat voor. Natuurlijk mag het beheer van de opslag (en de gegevens) geen extra inspanning kosten. En de gegevens mogen niet "lekken", omdat dit grote gevolgen kan hebben op forensisch, juridisch en privacy gebied.

Aan de andere kant zitten er ook voordelen aan. Doordat een bedrijf volgens de richtlijnen gegevens vastlegt wordt de kans op een huiszoeking verkleint en wordt slechts een beperkt capaciteitsbeslag gevraagd bij een forensisch onderzoek. Het inrichten van het opslagproces helpt ook bij het nakomen van compliancy wetgeving. En uiteindelijk kan RIVEO gebruikt worden voor de bescherming van de eer en goede naam.

Ze mogen alles van mij weten ... of toch niet?

Je kent ze wel, die mensen die vinden dat ze geen privacy nodig hebben, omdat ze toch geen geheimen hebben. Maar als je vraagt of je een foto van ze mag maken in hun blootje en die dan aan de hele straat uitdelen dan is dat toch anders. Dat zijn ook de mensen die thuis wel gordijnen voor de ramen hebben hangen.

Eigenlijk hebben deze mensen ergens wel gelijk, maar ze drukken zich wat ongelukkig uit. Privacy is een complex begrip, een samenstel van begrippen, definities en gevoelens die op allerlei manieren met elkaar verbonden zijn. Daarom is er eigenlijk nog geen goede beschrijving van opgesteld: het is met privacy steeds afhankelijk van de situatie.
In 1890 kwamen Samuel Warren en Louis Brandeis al tot de conclusie dat privacy iets ongrijpbaars is, dat ongeveer viel te omschrijven als "The right to be let alone".

Bij de meeste discussies waar privacy onderwerp van gesprek is wordt vaak langs elkaar heen gesproken. Door te focussen op de aan privacy gerelateerde problemen is het mogelijk ze te bespreken in plaats van te vermijden of te vereenvoudigen. Uiteindelijk blijkt dan dat het argument "Ik heb niets te verbergen" geen geheimen heeft.

Een normale afwijking?

Wat is normaal en wat een afwijking? Dat is de vraag die ik mijzelf stel bij mijn onderzoek. Want niet alle gegevens hoeven altijd te worden opgeslagen. Maar er zijn situaties denkbaar dat gegevens die normaal niet worden bewaard, opeens afwijkend zijn van normaal en toch moeten worden opgeslagen. De kunst is te definiëren wanneer gegevens normaal zijn en wanneer zij deel uitmaken van een afwijking.

Normaal is dat niet zo moeilijk te bepalen, de normaal is de weergave van geconsolideerd standaard niet afwijkend gedrag. Zo wordt de referentiestandaard bepaald. En een afwijking is ongelijk aan die normaal.

Moet nu al het afwijkende van de normaal worden opgeslagen? Dat lijkt mij een onderwerp voor een andere column.