VEILIGHEID - EEN GEVOEL? ICT VERKENNINGEN VOOR HET ONDERWIJS

VEILIGHEID - EEN GEVOEL? IC T VERKENNINGEN VOOR HET ONDERWIJS

VEILIGHEID - EEN GEVOEL?

Veiligheid - Een gevoel? Door een risico te nemen, en een gevaar te trotseren, kan een gewenst doel worden bereikt. Soms moét dat zelfs, en is risico een voorwaarde om doelen binnen handbereik te kunnen brengen. Staatssecretaris Van Geel, (VROM)

© 2006 Kennisnet Ict op School

ISBN 9077-64-7-031 Overname van teksten van deze uitgave is toegestaan, mits voorzien van bronvermelding en copyright Stichting Kennisnet Ict op School.

Veiligheid - Een gevoel? •••••••••••••••••••••••••••••

Voorwoord Voor u ligt alweer de derde publicatie in de reeks Kamer

Het opzetten van een deugdelijk beveiligingsbeleid is

van Morgen. Na eerdere publicaties over de onderwerpen

makkelijker gezegd dan gedaan. Een beveiliging zal

Wireless en Games stond de afgelopen zitting Veiligheid en

alleen adequaat zijn als het rekening houdt met de

ICT centraal.

specifieke kenmerken van de school en haar omgeving. Een centraal opgezette blauwdruk is niet te geven.

En dat is niet verwonderlijk. Het onderwerp kan in toe-

Daarvoor verschillen de scholen te veel. Niet alleen in

nemende mate rekenen op veel belangstelling. Ongemak

grootte, maar zeker ook in de keuze hoe ver het beleid

door virussen, spam en zombienetwerken lijken op dit

doorgevoerd moet worden. Bij elke extra beveiligingsschil

moment onlosmakelijk verbonden met het leven in het

levert men immers een stuk vrijheid in. Een te ver

digitale tijdperk. De samenleving begint deze overlast

doorgevoerde beveiliging creëert zodoende weliswaar

inmiddels aardig zat te worden en realiseert zich steeds

rust en stabiliteit, maar beperkt het doen en laten.

meer dat deze problemen bij het opgroeien van het

Bovendien zijn veel innovatieve toepassingen die het

medium horen. Totdat er structurele oplossingen gevonden

onderwijs zo uitdagend en motiverend kunnen maken,

zijn, rest haar niets anders dan zich zo goed mogelijk te

vaak niet te realiseren in een volledig afgesloten

wapenen tegen de digitale gevaren.

digitale vesting.

Ook in het onderwijs komt het beveiligingsvraagstuk steeds

Met deze publicatie hopen wij u een eerste inzicht te geven

centraler op de agenda te staan. Enkele scholen blijven

in de verschillende facetten van het thema. Hopelijk brengt

zich afvragen of er überhaupt aspecten te vinden zijn die

het u een stap dichterbij de verdere professionalisering van

een uitgebreide beveiliging rechtvaardigen. Als men echter

uw eigen beveiligingsbeleid.

nagaat dat de digitalisering van het onderwijs zich alleen maar zal doorzetten, is het duidelijk dat ook de school niet

Wij wensen u veel leesplezier!

aan een goed beveiligingsbeleid ontkomt. Zo moet men er bijvoorbeeld toch niet aan denken dat het totale netwerk seconden voor de start van een digitaal examen door een infectie van een virus niet meer te bereiken is? En denk ook

Toine Maes, algemeen directeur

aan de grote hoeveelheid persoonlijke informatie die elke

Marianne Mulder, directeur dienstverlening

school tegenwoordig in haar systemen heeft opgeslagen of aan de vele kwetsbare verbindingen met de buitenwereld.

5

6


Inhoudsopgave Voorwoord

1

2

3

4

5

De Kamer van Morgen

7

De technologie van morgen

7

De vierde Kamerzitting

7

5

6

Het onderwijs

49

De rolverdeling in de sectoren

50

Nader bekeken

51

Kennisnet Ict op School

55

Veiligheidsdiensten en -producten

55

Een inleiding

11

Maatschappelijke verantwoordelijkheid

57

Acht seconden

11

Beveiliging van bestaande diensten

59

De praktijk

63

Het ontstaan

13

Onbegrepen veiligheid

14

Een nieuw internet?

16

Computerbeveiliging in een school

65

Leeswijzer

19

Contentfiltering

67

De gevaren

23

De toekomst

71

Virus

23

De komende jaren

72

Spam

25

De jaren erna

74

Phishing

28

Pharming

31

Bijlage A: Literatuurlijst

78

Denial of Service

32

Bijlage B: Risicoanalyse

79

De mens

37

Colofon

86

Van hacker naar cracker

37

De gebruiker

41

De voorzorgcultuur

44

7

8


1

De Kamer van Morgen

Stichting Kennisnet Ict op School is de ICT-onder-

1.1 De technologie van morgen De Kamer biedt een aantrekkelijke context voor deskun-

steuningsorganisatie voor het onderwijs. Het stelt zich digen van verschillende pluimage om over, voor Kennisnet ten doel de mogelijkheden van ICT en internet voor het

Ict op School, relevante ontwikkelingen van gedachten te wisselen. Het is een informeel gezelschap van mensen dat

onderwijs maximaal te benutten. Hierbij wil ze niet de zich betrokken voelt bij de technologische vernieuwing van eerste gebruiker van nieuwe internetapplicaties zijn,

het onderwijs. Zij kunnen zo Kennisnet Ict op School een perspectief voor de langere termijn voorhouden. Het uit-

maar wel een zogenaamde early adopter. Kennisnet Ict gangspunt hierbij is niet de technologie van vandaag, op School wil op dit terrein een gezaghebbende positie

maar die van morgen.

opbouwen en daardoor een belangrijke bijdrage leveren Voor elke Kamerzitting wordt een aantal deskundigen aan het ontwikkelen van gemeenschappelijke standaar-

uitgenodigd. Hun expertisegebieden dekken de facetten horend bij de aan de orde zijnde technologie. Elke

den in het onderwijs. Dat hierbij de wensen van het Kamerzitting worden tevens personen met zogenaamde onderwijsveld leidend zijn, spreekt voor zich.

interdisciplinaire expertise uitgenodigd. Niet alleen om zodoende de brug te slaan met het onderwijs, maar ook omdat veel nieuwe ontwikkelingen juist tussen verschillen-

De bestaande ontwikkelprojecten en de dagelijkse gang

de disciplines ontstaan. De Kamer bestaat zo uit mensen uit het onderwijs, de omroep èn de internet- en tele-

van zaken vergen echter veel aandacht. Het gevaar comwereld. Zij worden allen verbonden door een zekere bestaat dat het belang van bepaalde ontwikkelingen

passie voor technologische ontwikkelingen en zijn zonder uitzondering zeer betrokken bij het onderwijs.

niet tijdig wordt onderkend. Kennisnet Ict op School besloot daarom voor de middellange termijn-

1.2 De vierde Kamerzitting De vierde Kamerzitting vond plaats op 18 oktober 2005 in

ontwikkeling periodiek een bijeenkomst te wijden aan Grand Hotel Karel V te Utrecht. Onder de inmiddels vervoortschrijdende technologische ontwikkelingen. Medio

trouwde leiding van Rob Rapmund (partner Twijnstra Gudde) stond het thema Veiligheid en ICT centraal. Op deze

2003 is deze intentie verwezenlijkt met de oprichting van zitting waren de volgende mensen aanwezig. de Kamer van Morgen.

7

8


Samenstelling Kamer van Morgen zitting vier Naam

Organisatie

De heer Harry Dubois

IT-medewerker Meerwegen Scholengroep

Mevrouw Hedy van der Ende

Programmamanager GOVCERT.NL

De heer Hans van Groningen

Accountmanager Filternet

De heer Jules Pieters

Hoogleraar faculteit Gedragswetenschappen aan de Universiteit Twente

De heer Hans Pronk

Principal consultant Verdonck, Klooster & Associates

De heer Don Stikvoort

Directeur S-cure

De heer Wim Veen

Hoogleraar Educatie en Technologie aan de Technische Universiteit Delft

Internet is uitgegroeid tot een zeer belangrijk gebruiks-

heidsdiensten een herkenbare implementatie van. Al in het

middel in het dagelijkse leven. Zo blijkt uit de CBS publi-

tweede kwartaal na invoering kon toenmalig

1

catie De digitale economie 2005 dat bijna tachtig procent

minister Pechtold van Bestuurlijke vernieuwing en

van de huishoudens in Nederland toegang heeft tot inter-

Koninkrijksrelaties de miljoenste DigiD uitreiken2. Vergeet

net. Van dit totaal heeft ongeveer zeventig procent een

verder de inmiddels succesvolle implementatie van de

breedband aansluiting. Het CBS hanteert een tweedeling in

elektronische belastingaangifte niet. In 2005 is het aantal

typen gebruik: eenvoudig en geavanceerd. De eerste groep

mensen dat elektronisch aangifte doet met ongeveer

gebruikers verstuurt alleen e-mail en surft op het internet.

vijfhonderdduizend gestegen. Dat brengt het totaal op

Deze groep is verreweg in de minderheid. Bijna driekwart

bijna vijf miljoen digitale aangiftes, een enorm aantal,

van de gebruikers doet veel meer. Denk hierbij met name

zeker als men het afzet tegen het resterende aantal van

aan het downloaden van software, chatten en elektronisch

ongeveer één miljoen papieren aangiftes.

winkelen. De verwachting is dat het aantal geavanceerde gebruikers in de komende jaren alleen maar zal toenemen.

Om de activiteiten op het internet zo effectief mogelijk uit te kunnen voeren, maken bijna alle huishoudens gebruik

Ook al omdat het gebruik van internet door de overheid

van anti-virussoftware en firewall applicaties. Ook het

enorm gestimuleerd wordt. Een van de speerpunten hier-

gebruik van authenticatie als pincode, wachtwoord of

van is het kabinetsprogramma Andere overheid dat stelt dat

digitale handtekening komt regelmatig voor. Nederland

in 2007 tweederde van alle dienstverlening ook via internet

loopt op dit vlak, samen met de Scandinavische landen,

beschikbaar moet zijn. Het aan het begin van 2006 inge-

voorop. Dat wil echter niet zeggen dat de Nederlandse

voerde DigiD is hier als centrale toegangssleutel voor over-

gebruiker gevrijwaard is van problemen. Zo geeft ongeveer


de helft van de gebruikers aan veel last te hebben van spam en heeft iets meer dan dertig procent één of meerdere malen schade ondervonden door virussen. Dergelijke cijfers, tezamen met de bijna wekelijkse berichten van phishing, pharming en botnets3ondergraven het vertrouwen dat de samenleving in het internet heeft en staan vooralsnog een volledige digitalisering in de weg. Kortweg kan gesteld worden dat de veiligheid en betrouwbaarheid van het internet inmiddels onvoldoende zijn als het wordt afgezet tegen het belang voor de samenleving4.

Zie hier de aanwezige tegenstelling. Aan de ene kant de volledige vervlechting van internet in het dagelijkse doen en laten met een verwachting dat dit belang zal toenemen. Dwars op dit belang staat de notie dat internet minder fraaie aspecten kent en stilaan uitgroeit tot een apert onveilige omgeving waar gebruikers continu op hun hoede moeten zijn.

Het is dit krachtenveld dat centraal stond op de vierde zitting van de Kamer van Morgen. Deze publicatie is te zien als één van de tastbare resultaten van de vele interessante invalshoeken, meningen en inzichten die tijdens deze zitting de revue hebben gepasseerd.

1) CBS (2006), De digitale economie 2005. 2) Kennisland (2006), Elektronische belastingaangifte en DigiD populair! 3) Een verduidelijking van de genoemde begrippen treft u aan in

hoofdstuk getiteld De gevaren. 4) VKA (2005), Kwetsbaarheid internet is een groot risico.

9

10


2 Een inleiding


2

Een inleiding

Denkend aan internet zullen veel mensen gelijk onveiligheid zien. Het opgeroepen beeld zal in de verste verte

2.1 Acht seconden Een ietwat gedramatiseerd beeld, zoveel is zeker, maar laat er geen misverstand over bestaan, een computer wordt wel

niet zo rustiek zijn als de “brede rivieren, ijle populieren en verzonken boerderijen” als beschreven door Marsman

degelijk geconfronteerd met grote gevaren als het zich op de digitale snelweg begeeft6. Een ieder die durft wordt vroeger of later geconfronteerd met alle gevolgen van dien.

5

in het beroemde gedicht Herinnering aan Holland . Eerder zal men denken aan bakken vol snel vermenig-

En dan eerder vroeger dan later. Het programma Clickonline van de BBC toonde dit in 2005 nog eens aan. In het programma werd een ex-hacker uitgenodigd om met een

vuldigende virussen, aan kuddes briesende Trojaanse

standaard Windows XP machine volledig onbeschermd het

paarden en aan lange rijen tevreden ogende wormen

internet op te gaan om uit vinden wat er zou gebeuren. De uitkomsten waren verontrustend.

die allen proberen stil en in het geniep onschuldige computers te hypnotiseren tot makke schapen op de digitale snelweg. En is het pleit beslecht en is de computer in hun macht, dan is de eerste tijd aan de buitenkant niets vreemds te zien aan het slachtoffer.

Na acht seconden

Helaas, dit is slechts schone schijn. Achter de schermen is de computer zeer druk met het uitvoeren van allerlei vreemde en soms zelfs illegale activiteiten. Om aan het eind van het verhaal gedwongen te worden de ongelijke strijd op te geven en moegestreden ineen te zakken.

Na vijf minuten

5) Marsman, H. (1936), Herinnering aan Holland. 6) Geïnteresseerden kunnen op de website van de Waarschuwingsdienst

(www.waarschuwingsdienst.nl) een treffende animatie bekijken. De Waarschuwingsdienst is overigens een initiatief van het ministerie van Economische Zaken en waarschuwt computergebruikers en het klein bedrijf tegen gevaren van ICT.

Na een half uur

11

12


Al na acht seconden was de computer te grazen genomen

vol is bij een computer die net niet helemaal de laatste

door de beruchte Sasserworm. Nadat deze worm zich

beveiligingsupdates bevat?

behaaglijk in de computer had geïnstalleerd, ging hij vervolgens rustig maar efficiënt aan de slag. In no-time

Echt erg wordt het als een computer eenmaal besmet is.

werden allerlei dubieuze programma's op de computer

Zo blijkt uit recent onderzoek van het kabelbedrijf Telewest

geïnstalleerd die de computer opdracht gaven zelf op het

dat een gemiddelde computergebruiker meer tijd kwijt is

internet op zoek te gaan naar andere computers die net

aan het herstel van een digitaal virus dan van een mense-

zo slecht beveiligd waren. Al vrij snel ontstond zo een

lijke verkoudheid. Bovendien is bij het herstel van een

zombienetwerk. De processor van de computer werd hier-

digitaal virus bijna altijd hulp nodig van een professional.

door overigens volledig belast, let wel, zonder dat het ook

Tel hierbij de in de miljarden lopende kosten van het

maar één van de eigenlijke taken uitvoerde. Deze continue

geheel op, en een ieder zal begrijpen dat een kwart van de

belasting in opdracht van de Sasserworm werd de betref-

respondenten van het onderzoek liever de gehele computer

fende computer uiteindelijk fataal. Na een half uur gooide

vervangt als deze eenmaal besmet is dan om ook maar één

het de handdoek in de ring op en sloot het zichzelf af.

enkele poging te wagen het virus te bestrijden9.

Uiteraard is dit een extreem voorbeeld, gemiddeld duurt

Maar hoe heeft het zover kunnen komen? Om dit te begrij-

het minstens een kwartier tot twintig minuten voor een

pen is enig historisch besef onontbeerlijk. De hedendaagse

onbeschermde computer besmet wordt op het internet7.

veiligheidsrisico's zijn namelijk voor een groot gedeelte

Bovendien, wie is tegenwoordig nog zo naïef om volledig

ontstaan in dit verleden.

onbeschermd het internet op te gaan? Denk in dit licht ook aan de in het vorige hoofdstuk aangehaalde cijfers van het CBS. Anti-virussoftware en firewall applicaties zijn toch gemeengoed geworden? Allemaal waar, maar het gaat voorbij aan het feit dat er diverse stadia zitten tussen een onbeschermde situatie en een volledig beschermde én dat volledig beschermd zijn een voortdurende, lees minimaal dagelijkse, inspanning vraagt. Zo blijkt bijvoorbeeld uit recent onderzoek dat een gemiddelde computer dagelijks zestienhonderd aanvallen moet pareren8. Een volledig beveiligde computer zal dit naar alle waarschijnlijkheid met glans doorstaan. De computer zal kwaadwillende

7) SANS-instituut (2006), Onderzoeksresultaten naar de overlevingstijd

van computers.

applicaties herkennen en passende maatregelen nemen.

8) Webwereld (2005), PC bestookt met 1600 aanvallen per dag.

Maar hoe lang duurt het voor één van de aanvallen succes-

9) Computable (2006), Computervirus is duurder dan verkoudheid.

13

2.2 Het ontstaan Het internet is geboren in de jaren zestig, al zullen de betrokken wetenschappers van de Advanced Research Projects Agency dit zich niet gerealiseerd hebben toen ze in 1969 slaagden de eerste verbinding tussen vier universiteitscomputers tot stand te brengen. Met deze verbinding was het nu zo vermaarde Arpanet een feit. Het lange voortraject om te pogen computers met elkaar te laten communiceren op een zo betrouwbare en continu mogelijke manier, betaalde zich hiermee ruimschoots terug.

Geen kleine prestatie derhalve, maar bij lange na niet het eindpunt. Het Arpanet had een grotere toekomst. Dit bleek

genoemde Arpanet. Het Centrum voor Wiskunde en

vooral na belangrijke doorbraken als het TCP/IP, DNS en het

Informatica en met name haar systeembeheerder Piet

Hypertext Transfer Protocol in de zeventiger en tachtiger

Beertema waren grote spelers in dit kamp. Hij was van

10

jaren . Hierdoor werden de eerste contouren van het

mening dat het netwerk zoals het ministerie dat voorstond,

hedendaagse internet langzaam zichtbaar. Niet alleen werd

gebruik zou maken van een veel zwaarder en duurder

het zo mogelijk om het Arpanet uit te bouwen tot een veel

protocol. Bovendien bood het geen enkele garantie voor

groter netwerk, net zo belangrijk was het gegeven dat

wereldwijde toegang. Het Arpanet had zich op deze vlak-

informatie nu op een zeer gebruikersvriendelijke en toe-

ken allang en breed bewezen11. Uiteindelijk gaven deze

gankelijke manier ontsloten kon worden. Dit proces werd

bewezen prestaties de doorslag en werd het CWI in 1988 als

vervolmaakt door de introductie van de eerste browsers in

eerste Nederlandse instelling verbonden met het door-

het laatste decennium van de twintigste eeuw. Een gebrui-

ontwikkelde Arpanet, NSFnet hetend.

ker kon zich nu simpelweg via muisbewegingen op een visueel aantrekkelijke manier over het internet verplaatsen.

Deze verbinding betekende een volgende stap naar een

Nederland volgde al deze ontwikkelingen in die dagen met

10) Het TCP/IP protocol verzorgt alle communicatie tussen twee computers

interesse, maar was verdeeld in twee kampen. Het ene

en maakt hiermee een betrouwbaar datatransport mogelijk. Het DNS

kamp werd aangevoerd door het ministerie van Economi-

zorgt ervoor dat alle op internet aangesloten domeinen bereikbaar

sche Zaken geholpen door enkele grote telecombedrijven.

zijn. Het vertaalt de symbolische adressen naar IP-adressen. Door

Zij geloofden in een netwerk gebaseerd op officiële stan-

http is het mogelijk geworden op eenvoudige wijze html documenten

daarden. Het andere kamp had een meer pragmatische instelling en wees op de bewezen resultaten van het eerder

over internet te versturen. 11) Extra! (2003), Nederland 15 jaar online.

14


open internet voor iedereen. Andere academische - en

betrokken wetenschappers was om een netwerk op te

onderzoeksinstellingen in Nederland en de rest van Europa

zetten dat continu en zeer efficiënt de communicatie kon

volgden het voorbeeld van het CWI en sloten zich aan. Hier

verzorgen tussen enkele honderden computers. Zij reali-

bleef het bij, want de restrictie dat het netwerk alleen

seerden dit door een systeem op te zetten dat een digitaal

gebruikt mocht worden voor educatieve en wetenschappe-

bericht vooraf slim opdeelt in kleine pakketten, deze

lijke doeleinden bleef bestaan. Commerciële activiteiten

afzonderlijk verstuurt en bij aankomst weer opbouwt tot

waren niet toegestaan. Als reactie hierop kwamen eind

het oorspronkelijke bericht. Om te zorgen dat de commu-

jaren tachtig in Amerika de eerste commerciële internet-

nicatie altijd tot stand kwam, werd het fysieke netwerk zo

providers met een eigen vergelijkbaar netwerk. Zij boden

ingericht dat als één van de onderdelen uit zou vallen de

aan alle bedrijven en huishoudens de mogelijkheid zich

andere onderdelen deze taak eenvoudig konden over-

aan te sluiten. Met de komst van XS4All in 1993 kregen ook

nemen. Vergelijk het met een spinnenweb bestaande uit

Nederlandse gebruikers deze mogelijkheid.

grotere en kleinere draden en verbindingen die tezamen een onverwoestbaar netwerk vormen.

Niet veel later smolten dit commerciële netwerk en het NSFnet samen. Vanaf dat moment was sprake van het

De focus lag hierbij op functionaliteit, niet op veiligheid.

internet zoals we dat nu kennen en kon gewerkt worden

Ook al omdat veiligheid in die dagen helemaal geen issue

aan het volwassen maken van dit medium. Iets meer dan

was. Immers, op het Arpa- en het latere NSFnet werden

een decennium later is het internet uitgegroeid tot hét

alleen niet-commerciële instellingen toegelaten die

medium voor informatie en communicatie. Sterker nog,

bekendheid genoten en vertrouwen uitstraalden. Malafide

internet is feitelijk niet meer weg te denken uit het dage-

partijen kregen simpelweg geen toegang. En mocht het in

lijkse leven en de vraag is dan ook gerechtvaardigd of er

een uitzonderlijk geval misgaan, dan corrigeerden de aan-

leven is zonder de digitale snelweg. Met driehonderdvijftig

gesloten partijen zichzelf wel.

miljoen aangesloten systemen is internet namelijk te zien als het zenuwstelsel van de hedendaagse economie die

Deze gedachte was lang houdbaar. De eerste scheuren

mensen, instellingen en bedrijven onlosmakelijk met

ontstonden toen de academische studenten toegang

elkaar verbindt en laat samenwerken12.

kregen tot dit net. De mores en zeden van deze studenten, zo bleek al snel, was minder puur in vergelijking tot de

2.3 Onbegrepen veiligheid

professoren en onderzoekers. Men kreeg te maken met de

Terug naar het onderwerp van deze publicatie, veiligheid.

eerste problemen en conflicten die veel tijd en aandacht

Wat heeft deze voorgeschiedenis te maken met het onder-

vroegen. Het liep helemaal spaak toen het gesloten en het

werp? Het korte antwoord luidt: alles. De oorzaken van de

commerciële net samengingen tot het grote internet, zoals

hedendaagse problematiek liggen namelijk in de jaren zestig toen het Arpanet werd opgezet. De opdracht aan de

12) Computable (2004), Een nieuw economisch zenuwstelsel.


we dat nu kennen. Vanaf dat moment ontstond één grote

cookie” op het scherm. Indien de gebruiker door wilde

jungle en werden de tekortkomingen van het internet op

werken, moest het woord cookie ingetypt worden.

veiligheidsgebied volop zichtbaar. Het internet met al haar

Weigerde een gebruiker dit, dan werd de tekst met steeds

vertakkingen was door niemand meer te controleren, laat

kortere tussenpozen herhaald, net zolang tot het werken

staan dat het nog mogelijk was elkaar aan te spreken op

feitelijk onmogelijk werd. Hoewel de toenmalige systemen

wangedrag. Kwaadwillenden kregen steeds meer vrij spel.

nog niet via netwerken gekoppeld waren, was dit program-

Al vrij snel konden de eerste hackers verwelkomd worden,

ma een dusdanig gewoon verschijnsel dat het tot en met

die zonder enige schroom inbraken op andermans computer.

de zwaar beveiligde systemen van het Pentagon aan toe actief was. Blijkbaar was er altijd voldoende aandrang om

Toch bleef het in deze beginperiode vooral bij spelen en

het koekkiemonster op het systeem van collega's te instal-

leek het meer op een kat-en-muis spel tussen de hackers

leren. Hoewel het duidelijk is dat de makers geen eigen

en systeembeheerders. Een berucht Nederlands hacker uit

voordeel wilden binnenhalen, en dat de meeste gebruikers

die begintijd, Rop Gonggrijp, vergeleek het hacken in dit

het intypen van het woord cookie na verloop van tijd heel

prille begin met radiopiraterij: “Watching them watching

normaal begonnen te vinden, moet het toch als een eerste

us. Dat maakt het leuk. Als je bij de systeembeheerder

vorm van digitaal vandalisme worden gezien. Alleen al

inbreekt, weet je zeker dat hij de hele dag bezig is jouw

vanwege de kosten voor de eigenaren van de systemen in

13

inbraak op te lossen .''

de vorm van productieverlies en herstelkosten van de omgeving.

Niemand dacht in die tijd aan het commercieel uitbuiten van eventuele zwaktes in het systeem. Gonggrijp had begin jaren negentig nog nooit iets op het internet gezien dat hij zou kunnen verkopen: ,,Wie geeft geld voor wachtwoorden? Wat moet je nu met de onderzoeksgegevens van een universiteit? De echt interessante dingen zijn toch goed beschermd. En bij de bedrijven zitten hoogstens de research afdelingen op het net, en dan nog alleen het deel dat voor publiek toegankelijk is. Nieuwe ontwikkelingen schermen ze af met firewalls, zwaar beveiligde computers Het koekkiemonster is een mooi voorbeeld van het niveau

waar je echt niet doorheen komt.''

in die jaren. Dit programma spookte in de jaren zeventig in vele varianten rond. Gebruikers die werkten op besmette computers kregen op gezette tijden de tekst “Give me a

13) NRC (1993), Hacken is de ultieme vorm van radiopiraterij.

15

16


Dit veranderde, niet alleen omdat steeds meer zaken op het internet te vinden waren, ook omdat het aantal naïeve gebruikers sterk toenam. De overheid greep in en introduceerde de Wet op de Computercriminaliteit. Een eerste moedige poging om paal en perk te stellen aan het steeds groter wordende wangedrag. De wet bestaat uit een verzameling artikelen die diverse vormen van computer gerelateerde misdrijven strafbaar stelt. Hierbij moet vooral gedacht worden aan het klassieke hacken waar het doel is binnen te dringen in het systeem. Ook de Wet Bescherming Persoonsgegevens hielp Justitie verder op weg14.

Deze ontwikkeling zorgde voor een eerste schifting. Het gedeelte 'goedwillende' hackers koos eieren voor haar geld

de Amerikaanse overheid, nog niet zolang geleden dat

en besloot dat de gevaren niet opwogen tegen het plezier

cyberciminaliteit in omvang groter is dan de handel in her-

van het spel. Hiertoe behoorde bijvoorbeeld de eerder

oïne en cocaïne15. Nederland is geen uitzondering. Zo werd

geciteerde Gonggrijp die in 1993 samen met Felipe

in 2005 één van de grootste zombienetwerken aller tijden

Rodriquez-Svensson internetprovider XS4All oprichtte. Wat

ontdekt. Door middel van het Trojaanse paard Toxbot

overbleef waren diegenen die bewust doorgingen met hun

waren drie hackers in staat gebleken wereldwijd anderhalf

illegale activiteiten. Feitelijk lag hier een economische

miljoen computers in hun macht te krijgen16.

gedachte aan ten grondslag. Zij gingen ervan uit, of hoopten althans, dat de verwachte opbrengsten veel hoger

2.4 Een nieuw internet?

waren dan de eventuele lasten die men zou moeten

De noodzaak om internet vanuit de kern veiliger te maken,

dragen als men gepakt zou worden. En eerlijk is eerlijk, de

blijft dus wel degelijk aanwezig. Het probleem is dat nie-

kans gepakt te worden was zeker in die beginjaren extreem

mand een passend antwoord heeft op de vraag hoe deze

laag. Gepakt worden én een hoge straf krijgen was hele-

veiligheid is in te bouwen, het gaat om een medium dat al

maal een uitzondering. De baten overstegen de lasten in

jarenlang werkt en inmiddels vele miljoenen gebruikers

bijna alle gevallen, de kwaadwillenden hadden vrij spel.

heeft. Het is of er onder een al jarenlang bewoonde

Deze situatie is tot vandaag de dag gebleven. De aantrek-

14) Voorheen de Wet op de Persoonsregistratie geheten.

kingskracht van internet voor schimmige figuren is onver-

15) Computable (2005), Cybercrime lucratiever dan drugshandel.

minderd hoog. Zo stelde Valerie McNiven, een adviseur van

16) Nu.nl (2005), Computerkrakers hacken 1,5 miljoen computers.


metropool alsnog heipalen geslagen moeten worden.

andere een toename van het gebruik van bots en botnet-

Bovendien kan men niet volstaan met één grote reparatie.

werken voor financieel gewin, een verdere groei van

Iedere keer dat een nieuw beveiligingslek zichtbaar wordt,

kwaadaardige code gericht op mobiele apparaten en het

moet ingegrepen worden. Doet men dit niet, dan kunnen

gewoner worden van client-side aanvallen met wormen en

alle eerdere inspanningen als verloren worden beschouwd.

virussen als transporterende verspreiders.

Eén lek is immers al voldoende voor een kwaadwillende om toe te slaan.

Door alle problemen verliest het meer en meer één van de belangrijkste voedingsbodems, het vertrouwen van de

Een moeilijke uitdaging, maar men heeft geen keuze. Het

gebruiker. De continue stroom berichten over misbruik, de

vele reparatiewerk zorgt er voor dat het oorspronkelijke

niet rooskleurige toekomst en bovenal de eigen negatieve

Arpanet stilaan is uitgegroeid tot een grote blackbox, die

ervaringen zorgen ervoor dat het nog aanwezige vertrouwen

voor bijna niemand meer te begrijpen is, laat staan te

snel slinkt. Dit is zichtbaar bij één van de belangrijkste

beheersen. De hedendaagse mobiele manier van leven,

toepassingen van internet, e-mail. Spam is hier de boos-

met zich alsmaar verplaatsende computers die ook nog

doener. Wisten de eerste spamberichten, met onderwerpen

eens 'always on' zijn, maakt het niet makkelijker. Ze intro-

als penisvergrotingen of potentiële erfenissen van tot nu

duceert door haar eigen specifieke kenmerken een heel

toe nog onbekende familieleden in Afrika, nog wel een

ander soort veiligheidsproblemen. U heeft hier in een

glimlach op het gezicht van de gebruiker te toveren, die

eerdere publicatie van de Kamer van Morgen al het nodige

glimlach is allang verdwenen. Tegenwoordig is de gemid-

17

over kunnen lezen .

delde gebruiker meer tijd kwijt aan het verwijderen van spam dan aan het daadwerkelijk communiceren met

Helaas moet men dan ook concluderen dat ondanks de

medegebruikers. Dit is één van de oorzaken dat steeds

voortdurende inspanning, het internet er nauwelijks veili-

meer gebruikers e-mail vervangen door andere communi-

ger op is geworden. MIT's David D. Clark vergelijkt het

catiekanalen. Dit is vooral bij de jongere generatie te zien.

hedendaagse internet met Times Square in de jaren tachtig.

Het Amerikaanse onderzoeksbureau comScore registreerde

Ontzettend opwindend en uitdagend om te vertoeven,

in 2006 in deze groep een terugval van acht procent ten

maar de willekeurige passant doet er goed aan naar bene-

opzichte van de situatie in 2005, terwijl de tijd die ze

den te blijven kijken en geen oogcontact te maken. Het zou anders maar zo kunnen dat men drugs krijgt aangeboden,

17) Geïnteresseerden in de eerdere publicaties Wireless & Mobile - Always

wordt beroofd of simpelweg mishandeld door één of meer-

on! en Games - Meer dan spelen kunnen deze gratis aanvragen bij

dere krankzinnigen18. De wereldwijde marktleider in infor-

Kennisnet door een e-mail te sturen naar [email protected].

matiebeveiliging Symantec schetst een vergelijkbaar 19

Ook zijn ze in pdf-vorm te downloaden op www.kamervanmorgen.nl.

beeld . Ze voorspelt een groei van alle mogelijke kwaad-

18) Technology Review (2005), The Internet is broken.

aardigheden die nu aanwezig zijn. Zo voorziet ze onder

19) Symantec (2005), Internet Security Threat Report.

17

18


online doorbracht met bijna 12 procent toenam. Deze trend

drastische aanpak. Hoewel genoeg argumenten Clark gelijk

was overigens al in 2004 in Zuid-Korea te zien20.

geven, is het opnieuw opzetten van het internet praktisch onmogelijk. Het vraagt simpelweg teveel tijd, geld en

Een ander nadelig effect van de veiligheidsproblematiek is

toewijding. Bovendien is een snelle reactie noodzakelijk.

de vermindering van het innovatieve vermogen. Elk jaar

Wacht men te lang, dan is de gebruiker het gehele vertrou-

daalt de snelheid waarmee nieuwe toepassingen worden

wen verloren en is er op het moment dat het nieuwe

geïntroduceerd. Partijen zijn voorzichtiger geworden, bang

internet eindelijk gereed is, geen gebruiker meer te vinden

om de goede naam bij de gebruiker te verliezen als men

die er behoefte aan heeft. Voor de komende jaren zit er

een onveilig product introduceert. Neem bijvoorbeeld

dus niets anders op dan door te gaan op de huidige weg,

Microsoft dat jaarlijks een grote som geld besteedt aan

het repareren van het huidige medium, met alle ongemak-

onderzoek en ontwikkeling. Ongeveer éénderde van dit

ken van dien.

budget gaat op aan het onderwerp veiligheid. Bovendien wordt iedere medewerker specifiek getraind, zodat als het

Dit hoeft echter niet te betekenen dat de toekomst er treu-

nodig is de gehele organisatie adequaat kan reageren. Toch

rig uitziet. Een groot deel van de problemen hoort ook bij

zorgt deze grote investering niet dat de producten van

het definitief volwassen worden van het medium. Een

Microsoft honderd procent veilig zijn. Volgens Steve Lipner,

referentie naar het in de jaren zestig gepubliceerde boek

directeur Security Engineering Strategy, komt het zelfs voor

Unsafe at any speed van Ralph Nader ziet men dan ook

dat Microsoft moet besluiten om een introductie van een

veel terug in de hedendaagse literatuur23. In dit boek

nieuwe dienst uit te stellen, omdat deze dienst niet aan de

kaartte de consumentenadvocaat het ontbreken van veilig-

21

eigen geldende standaarden voldoet . En dan nog is er

heid in de Amerikaanse auto's aan. Sterker nog, het boek

geen volledige zekerheid. Al enkele dagen na de introduc-

was in feite een aanklacht tegen de industrie omdat ze het

tie van de nieuwe Windows Live Messenger in juni 2006

probleem totaal negeerden. Met het volgroeien van het

kwamen de eerste berichten dat het product niet veilig

medium zal het veiligheidsaspect automatisch een meer

was. Een openstaande firewall zou het mogelijk maken

centrale rol krijgen.

toegang te krijgen tot identiteiten van andere gebruikers. Dit is overigens al merkbaar, veiligheid heeft nog nooit

Criminele chatters zouden hierdoor gestolen identiteiten 22

kunnen gebruiken om zich voor te doen als een bekende .

zoveel aandacht gekregen als nu. Veel partijen zijn vanuit verschillende invalshoeken initiatieven gestart, ook in

De vraag is hoe het beste gereageerd kan worden. Stoppen met het repareren van een bestaand systeem en helemaal

20) Chigago Tribune (2006), The death of e-mail?

opnieuw beginnen met het ontwerp van een nieuw en in

21) Technology Review (2005), The Internet is broken.

de basis veilig internet is één van de opties.

22) Nu.nl (2006), Windows Live Messenger niet veilig.

De eerder aangehaalde Clark is een voorstander van deze

23) Nader, R. (1965), Unsafe at any speed.


zal worden gebruikt, wordt hier niet gedoeld op het containerbegrip veiligheid. Het onderwerp van deze publicatie is beter te duiden met het begrip beveiliging. De Engelse taal geeft hier meer houvast en spreekt over security ten opzichte van safety. Hoewel de verschillen triviaal lijken, zijn ze dat niet. Het containerbegrip veiligheid gaat veel verder dan hetgeen in deze publicatie genoemd wordt. Het begrip bevat in die zin een rijkere verzameling aan onderwerpen. In deze publicatie wordt dan ook wel ingegaan op de aspecten horend bij virussen en spam, Nederland. Zo richt de Vrije Universiteit van Amsterdam

maar niet op het online pesten. Nogmaals, het gaat om

zich, zoals ze het zelf noemt, op het ontwikkelen van een

security, niet om safety.

medicijn voor het zieke internet. Het door hen ontwikkelde programma Argos vangt wormvirussen af. Het speurt conti-

Wat zijn nu de kenmerken van een goede beveiliging? Al

nu naar vreemd gedrag en als het iets heeft gevonden, dan

eerder bleek dat een honderd procent beveiliging lang niet

ontwikkelt het programma direct een vaccin. Het is zo

zo eenvoudig is te realiseren als het op het eerste gezicht

mogelijk om binnen één minuut een nieuwe worm uit te

lijkt. Ook omdat bij elke situatie moet worden gevraagd

schakelen. Het supersnelle netwerk van SURFnet nam Argos

waar het beveiligingsoptimum ligt. Hoe ver gaat het beleid,

eind 2005 als eerste in gebruik en test nu de geavanceerde

zeker ook indien men zich realiseert dat bij elke extra

mogelijkheden. De eerste resultaten ervan zijn bemoedi-

beveiligingsmaatregel een stuk vrijheid wordt ingeleverd.

gend te noemen. Denk ook aan de verschillende abonne-

Bovendien staan de kosten van de laatste procenten veilig-

mentsvormen die gebruikers kunnen afsluiten om altijd op

heid in geen verhouding met de opbrengsten. Honderd

de hoogte te zijn van de laatste virussen. De SMS-diensten

procent veiligheid zal waarschijnlijk dan ook voor geen

van de Waarschuwingsdienst en het One Care Live concept

enkele situatie haalbaar blijken. Bij het bepalen van het

van Microsoft zijn hier exponenten van. Daarnaast starten

beleid is inzicht in de omgeving van het grootste belang.

steeds meer campagnes om het bewustzijn van gebruikers

Weten welke risico's er zijn en hoe hier mee omgegaan kan

te vergroten. Dit is wellicht cruciaal.

worden, zal een groot hulpmiddel blijken. Het eerstvolgende hoofdstuk begint dan ook met een uitleg van de vijf

2.5 Leeswijzer

grootste gevaren die huizen op de digitale snelweg.

Allereerst wordt opgemerkt dat bij het lezen van deze

Van computervirus tot DoS-aanval. Bij elk van deze gevaren

publicatie het van belang is één onderscheid goed voor

wordt stilgestaan bij de betekenis, hoe groot de impact is

ogen te houden. Hoewel het begrip veiligheid veelvuldig

en welke maatregelen getroffen kunnen worden.

19

20

In hoofdstuk vier wordt ingegaan op de menselijke hand in het geheel. Al worden miljarden geïnvesteerd in een veilige omgeving, één niet oplettende menselijke hand kan alles teniet doen. Naast inzicht in de beweegredenen van de kwaadwillende wordt stilgestaan bij het slachtoffer. Wat beweegt een gebruiker om een e-mail van een volstrekt onbekende te openen simpelweg omdat de titel IloveYou is? Zolang dergelijke personen bestaan, blijft het prijsschieten op het internet. Het is overigens opvallend hoe kwaadwillenden zich steeds professioneler gaan organiseren. Als ware het echte bedrijven zijn ze de hele dag op zoek naar beveiligingslekken en onwetende gebruikers, die overal oog voor hebben, behalve voor de eigen veiligheid.

Maak niet de vergissing dat alleen zeer geavanceerde technieken garant staan voor succes. Één van de meest beruchte hackers aller tijden Kevin Mitnick gebruikte in zijn topjaren bijna altijd gladde praatjes om de menselijke zwakte uit te buiten. Nu de laatste tijd meer wordt geïnvesteerd in het veiliger maken van producten, kan gevreesd worden dat social engineering steeds vaker zal worden toegepast. De samenleving zal zich hiertegen moeten wapenen, het is opletten geblazen, al moet er voor gewaakt worden niet te ver door te schieten.

In hoofdstuk vijf wordt gekeken naar de bijzondere kenmerken van het onderwijs. Niet alleen moet rekening gehouden worden met de grote verschillen tussen de scholen, het onderwijs heeft daarbij een sterk gediversifieerde gebruikersgroep als extra uitdaging. Er ontstaat een steeds groter wordende digitale kloof tussen de leerling en leraar. Op dit moment is deze vooral zichtbaar in het voortgezet onderwijs, maar gelet op het feit dat jongeren steeds

Veiligheid - Een gevoel?

eerder met computers gaan werken, is te verwachten dat

Het afsluitende hoofdstuk in deze publicatie wordt traditie-

deze digitale kloof zich ook door gaat zetten naar het

getrouw gevormd door te kijken naar de toekomst. Klant

primaire onderwijs.

wordt klant, leverancier wordt leverancier, zal het credo voor de komende jaren worden. Waarom werkt het in de

Stichting Kennisnet Ict op School staat centraal in hoofdstuk

ICT-branche zo anders dan in andere sectoren? En waarom

zes. Hoewel de verantwoordelijkheid voor het op een

wordt veiligheid niet tot het basispakket gerekend en met

veilige manier omgaan met ICT en internet bij de school

een gebruiker na aankoop van een nieuwe computer

zelf ligt, voelt Kennisnet zich medeverantwoordelijk om het

veiligheid nog apart inbouwen? Deze werkwijze is ontstaan

onderwijs bewust te maken van de risico's. Dit heeft

in het verleden en is onwerkbaar geworden. Het wordt tijd

geresulteerd in een groot aantal initiatieven en projecten,

dat het geheel doorgroeit en dat de branche uitgaat van

waarvan er in het hoofdstuk een aantal worden belicht.

een totaalgedachte waarin alle partijen de eigen verant-

Daarnaast wordt stilgestaan bij het beveiligingsbeleid dat

woordelijkheid moeten dragen.

Kennisnet de afgelopen periode zelf heeft opgezet en toepast. Met name hulpmiddelen als de risicoanalyse

Wordt het blikveld uitgerekt naar een langere periode, dan

methode met bijbehorende CIA-classificatie en de

is de verdere samensmelting van de fysieke en virtuele

Kennisnet Security Policy staan centraal. Uiteindelijk geldt

wereld van belang. Voor steeds meer mensen wordt het

maar één ding: een gebruiker van een Kennisnet dienst

normaal een of meer virtuele identiteiten te bezitten die

moet blind kunnen vertrouwen dat het gebruik veilig en

men al naar gelang de situatie daar om vraagt inzet. Naast

betrouwbaar is.

het bestrijden van digitale ongemakken als virus en spam, zal het opzetten van een systeem waarin deze virtuele

Al eerder is aangestipt dat het ondoenlijk is één overall

identiteiten beheerd kunnen worden in belangrijke mate

beveiligingsbeleid voor het onderwijs op te stellen. Voor

bijdragen aan het volgroeien van het internet. Dit betekent

elke organisatie zal het beveiligingsoptimum anders liggen.

niet dat er de komende jaren geen uitdagingen zijn die

Dit betekent niet dat het leren van elkaar niet mogelijk is.

aandacht vragen. Ook in het onderwijs. Denk alleen maar

In hoofdstuk zeven wordt daarom door kamergenoot Harry

aan de transformatie van de Nederlandse samenleving naar

Dubois, IT-medewerker bij de Meerwegen scholengroep,

een meer kennis-georiënteerde. Dit heeft grote gevolgen

een praktijkbeschrijving gegeven van het beveiligingsbeleid

voor de individuele leerroute die langer en breder wordt.

op één van de vestigingen. Het perspectief bij deze situatie

Het meer formeel ingestelde onderwijs zal hier een antwoord

wordt geschetst door de security officer van Kennisnet Jerry

op moeten vinden. Een eerste belangrijke stap is echter het

van de Leur. Tot slot wordt kort stilgestaan bij de voor- en

brengen van rust en veiligheid op de digitale snelweg. Als

nadelen van contentfiltering.

angst als belemmerende factor in het denken verdwijnt, zal al gauw blijken dat de mogelijkheden eindeloos zijn.

21

22


3 Gevaren


3

De gevaren

Al eerder is ingegaan op de veiligheidsparadox. Aan de

Hoewel dergelijke virussen enorm hinderlijk waren, kon men niet spreken van geavanceerde varianten. Zo moesten

ene kant herbergt het internet veel kansen en mogelijkdeze virussen nog door een menselijke hand geïnstalleerd heden voor de samenleving en heeft het in zich deze

worden voordat ze actief werden. Deze zogenaamde bootsectorvirussen waren niet meer dan kleine programma's

samenleving verder te brengen. Dwars hierop staat de die zich in de opstartdisk of diskette van een computer notie dat het internet minder fraaie aspecten herbergt.

nestelden. Zodra iemand het systeem startte, werd het virus automatisch actief en ging het op zoek naar andere

Als rekening gehouden wordt met het gegeven dat het nog niet besmette disks in het systeem. Omdat de overnog enige tijd zal duren voordat het internet veiliger is,

dracht via diskettes ging, duurde het vaak maanden voordat het virus over een groot gebied was verspreid.

wordt het duidelijk dat het voor een gebruiker van groot belang is om kennis te hebben van de karakteristieken

Dit veranderde toen het virus in staat was zichzelf aan bestanden te hechten. Hiermee kreeg het de beschikking

van de digitale omgeving. Welke gevaren zijn er, hoe over een nieuw transportmiddel. De virussen konden openbaren ze zich en wellicht het allerbelangrijkste, hoe

hierdoor simpelweg met bestanden via internet of e-mail de computer binnenkomen. Deze hedendaagse virussen

kan een gebruiker zich wapenen tegen dit ongemak? Dit zijn de menselijke hand allang ontgroeid. Zij zijn dusdanig hoofdstuk gaat in op de belangrijkste en meest in het

besmettelijk dat ze zichzelf zonder hulp van buitenaf kunnen installeren, wat zorgt voor een enorme versprei-

oog springende risico's van het medium. Hierbij is er een dingssnelheid. Dit bleek goed in 1999 bij het IloveYou virus, willekeurige volgorde aangehouden.

één van de bekendste virussen ooit. Nadat een gebruiker de bijlage getiteld Love-letter-for-you had geopend, stuur-

3.1 Virus

de het virus zichzelf automatisch door aan het hele adres-

Het computervirus viert in 2006 het vierde lustrum. Het

boek van die betreffende gebruiker waar de hele cyclus

was in 1986 toen de Pakistaanse broers Basit en Amjad

vaak herhaald werd. Omdat het virus bestanden op de

Farooq Alvi het eerste echte PC-virus, genaamd Brain,

computer vernielde, liep de totale economische schade van

loslieten op de wereld. Al snel bleek de kracht van dit

dit wormvirus al snel in de miljarden.

virus. Het verspreidde zich razendsnel over Pakistan en niet veel later over de rest van de wereld. Goed voorbeeld doet snel volgen, het duurde dan ook niet lang voordat opvolgers kwamen van virussen met illustere namen als Jeruzalem, Cascade en Miami.

23

24


The Shockwave Rider

De brede verspreiding van internet aansluitingen in het

De term “worm” komt uit een science fiction verhaal

nieuwe millennium zorgde dat grote aantallen systemen

getiteld The Shockwave Rider van John Brunner (1975).

dag en nacht blootgesteld werden aan aanvallen via het

Het verhaal gaat over een totalitair regime dat zijn

internet. De volgende logische stap in de ontwikkeling van

burgers via een computer netwerk controleert. De

het virus was dan ook de transformatie naar netwerk-

“goeden” maken met een programma genaamd

wormen. Was het bij het IloveYou virus nog zo dat de

“tapeworm” dit netwerk onbruikbaar, waardoor het

eindgebruiker eerst een e-mail moest openen om daarmee

regime uiteindelijk zijn machtsbasis verliest.

het virus te starten, de netwerkwormen besmetten systemen via het internet zonder dat de gebruiker daarvoor een

Een worm is een speciaal soort virus, horend tot de buiten-

bepaalde handeling moet verrichten. Door gebruik te

categorie. Het IloveYou virus was niet de eerste worm. Het

maken van fouten in de systeemsoftware kunnen dergelijke

internet werd er al in 1988 mee geconfronteerd. Het was de

programma's vrij eenvoudig toegang tot de systemen

toenmalige student Robert Morris, tegenwoordig een alom

krijgen. Omdat altijd voldoende onbeschermde computers

gewaardeerd professor op MIT, die een programma schreef

met internet verbonden zijn, is dit een zeer effectieve

dat gebruik maakte van fouten in het besturingssysteem.

manier om in korte tijd veel systemen te besmetten.

Het was zo in staat zichzelf van systeem naar systeem te verspreiden. Binnen een paar uur was het toenmalige

Momenteel zijn meer dan honderdvijftig duizend virussen

internet praktisch onbruikbaar.

actief, een aantal dat nog dagelijks groeit. Wat hierin vooral zorgen baart, is niet het grote aantal of het type virus-

Naast deze kleine ramp, werd pijnlijk duidelijk dat

sen, het is de verandering in motieven van de virusmakers.

behoefte was aan een coördinatiepunt voor dergelijke

Mikko Hypponen van het beveiligingsbedrijf F-secure stelt

incidenten. Eind jaren tachtig werd daarom het eerste

dat de hobbyisten van weleer zich ontwikkeld hebben tot

Computer Emergency Response Team opgericht. Inmiddels

criminele bendes. Hij ziet vooralsnog geen verbetering,

is deze organisatie wereldwijd vertakt. Ook in Nederland

sterker nog, er zijn volgens Hypponen al indicaties dat

zijn enkele van dergelijke CERT's actief, waaronder GOVCERT,

virusschrijvers een nieuw doelwit hebben gekozen: op

die de belangen behartigt van overheidsinstellingen en de

WLAN-netwerken aangesloten notebooks.

onderwijsgerelateerde SURFnet-CERT. Deze laatste onder-

Over de toekomst is Hypponen huiverig. "Wie weet over wat

zoekt en coördineert alle gevallen van beveiligingsinbreuken

voor virussen we binnen twintig jaar spreken? Virussen die

die afkomstig lijken te zijn van de SURFnet klanten of

huizen besmetten, wellicht?”24

waarbij SURFnet klanten het slachtoffer zijn geworden.

24) ZDNet (2006), Het computervirus viert zijn twintigste verjaardag.


Waar is een virus allemaal tot in staat nadat het een

is. Een dergelijke firewall is een op internet aangesloten

systeem besmet heeft? Een schijnbaar eenvoudige vraag,

machine die speciale software draait en aan de hand van

die niet makkelijk te beantwoorden is. Het is sterk afhan-

een lijst met regels bepaalt of het internetverkeer wel of

kelijk van het type virus. Een grote groep virussen doet niet

niet wordt doorgelaten. De firewall kan hiermee één PC,

veel meer dan het infecteren van systemen waardoor deze

maar ook een heel netwerk tegen aanvallen van buitenaf

trager en minder betrouwbaar worden. Ze pesten als het

beschermen.

ware de gebruiker met irritante pop-ups of laten de homepage verwijzen naar gok- of sexsites. De meer kwaad-

Het allerbelangrijkste wat een gebruiker tegen virussen kan

aardige varianten wissen of veranderen ook data op

doen, is het gezonde verstand niet te verliezen. Zo is het

systemen. Daarnaast zijn er virussen die data versleutelen

niet handig e-mails van onbekenden te openen en moet

en op deze wijze informatie gijzelen. Een gebruiker kan

men zich beseffen dat illegale software vaak allerlei

deze dan weer tegen een prijs vrijkopen.

wormen en virussen bevat. Alleen contact onderhouden met vertrouwde partijen is relatief veilig.

Meer en meer hebben de virussen tot doel computercapaciteit en netwerktoegang te stelen. Deze rekenkracht

3.2 Spam

en toegang wordt grootschalig ingezet voor allerlei illegale

Een van de grootste ergernissen van dit moment is spam.

activiteiten. Denk hierbij aan het versturen van spam, het

Op het moment dat de inbox van de e-mail toepassing

aanvallen en afpersen van andere computersystemen en

wordt geopend wordt de gebruiker geconfronteerd met een

het verzamelen van wachtwoorden en creditcardinformatie.

enorme hoeveelheid ongevraagde e-mails met een onzin-

De virussen zijn op deze wijze verworden van een simpel

nige inhoud. Het gebruik van spam heeft zodanige vormen

middel tot pesten tot iets om systemen te rekruteren die

aangenomen dat inmiddels meer dan zeventig procent van

zonder medeweten van de eigenaar voor criminele doel-

de ontvangen e-mail van eindgebruikers spamberichten

einden gebruikt kunnen worden.

zijn25.

Als maatregel tegen dergelijke virussen moet een gebruiker in elk geval een goede virusscanner installeren én deze dagelijks automatisch updaten met informatie over de nieuwste virussen. Daarnaast is het essentieel dat de gewone software van de computer als bijvoorbeeld browsers of mediaspelers ook zeer regelmatig geupdate wordt. Een andere noodzakelijke maatregel bestaat uit de installatie van software op de computer of op het apparaat waarmee de lokale computer met het internet verbonden

25) XS4All (2006), Actuele virus- en spamteller.

25

26


Het eerste spambericht werd in de jaren zeventig over het

Hoe dan ook, spam was geboren, al werd die term toen

toenmalige Arpanet verstuurd. Hoewel commercieel gebruik

nog niet breed gebruikt. Dit gebeurde pas in de jaren

formeel niet toegestaan was, leek het ene Gary Thuerk,

negentig. Het in Phoenix gevestigde advocatenkantoor

marketingmanager bij computerfabrikant DEC, een goed

Canter & Siegel heeft de twijfelachtige eer te boek te staan

idee om in het kader van een productlancering een uitno-

als 's wereld eerste spammer. Dit collectief adverteerde op

diging voor een presentatie te sturen naar alle gebruikers

duizenden nieuwsgroepen26 voor haar Green Card Lottery,

die op het netwerk aanwezig waren. De reacties waren

een loterij voor werkvergunningen. De commotie die deze

overigens direct negatief, het DEC werd erop gewezen dat

spam veroorzaakte, maakte dat het begrip in één keer bij

ze de Acceptable Use Policy met voeten getreden hadden.

alle gebruikers van het internet bekend was.

Monthy Python

Het grote probleem met spam is dat het een relatief goed-

Spam is de naam van het product 'ham uit blik' van de

kope manier is om marketing te bedrijven. De kosten van

Engelse vleesfabrikant Hormel. Het is het best te verge-

het fysieke verzenden zijn vrijwel nul. Een spammer hoeft

lijken met het in Nederland bekende Smac. Een sketch

geen rekening te houden met de eventuele meerkosten van

van Monthy Python heeft gezorgd dat deze product-

e-mailadressen die niet bereikt worden. Het gaat er om

naam gekoppeld werd aan het verschijnsel van het

zoveel mogelijk adressen te gebruiken. Mede hierdoor is

versturen van ongevraagde e-mails.

het uitschakelen van spam zeer moeilijk. De oplossingen om de overlast te verminderen, moeten gezocht worden in

In de sketch wordt de kijker meegenomen naar een

het tegenhouden van verstuurde berichten. Zo bieden veel

restaurant dat alleen producten op het menu heeft

internet service providers al spamfiltering aan, dat een

staan die met het product Spam zijn klaargemaakt.

groot deel van de ongevraagde mail in een vroeg stadium

Een net binnengekomen stel klanten probeert kramp-

probeert te onderscheppen.

achtig een gerecht te bestellen zonder spam. De serveerster op haar beurt probeert uit te leggen dat dit

Deze filteraanpak is ondertussen behoorlijk effectief.

helaas niet mogelijk is. Echter, elke keer dat ze het

Slechts een zeer beperkt deel van de spam wordt niet als

woord spam gebruikt, begint een groep Vikingen in de

zodanig herkent. Alles heeft echter een keerzijde.

hoek van het restaurant “Spam, spam, spam, spam, spam, spam, spam, spam, lovely spam! Wonderful spam!” te zingen en hiermee door elke irritatiegolf

26) Nieuwsgroepen stellen gebruikers op het internet in staat berichten

heen brekend. Net zolang totdat niemand zich meer

uit te wisselen met andere gebruikers over een bepaald onderwerp.

verstaanbaar kan maken in het restaurant en iedereen

Hoewel de artikelen eruit zien als gewone e-mail berichten, werkt

de eigenlijke activiteiten moet stoppen.

het anders. Een gebruiker stuurt het artikel naar de nieuwsgroep, waarna het door iedereen in die groep te lezen is.


Zo blijft altijd het probleem van false-positives aanwezig, de mail die ten onrechte als spam wordt aangemerkt. Veel scholen in Groot Brittannië hebben het met Kerst 2004 zonder een gratis voorstelling moeten doen27. De in het kader van deze voorstelling verstuurde promotionele e-mail werd namelijk door veel van de filtersystemen als gevaarlijk aangemerkt. De mail bevatte verscheidene malen het woord dick, een in de Angelsaksische taal dubieus woord. Slechts twee scholen durfden het aan te reageren op de uitnodiging. Zij bleken het achteraf gezien bij het rechte eind te hebben. Het betrof namelijk een voorstelling waarin het traditionele en kindvriendelijke stuk Dick Whittington werd opgevoerd….. mail. Volgens de Amerikaanse Federal Trade Commission wordt tegenwoordig al 96% van de spam geblokkeerd28.

Nieuwe ontwikkelingen op het gebied van e-mail standaarden maken het versturen van ongevraagde e-mail lastiger, of preciezer, maken de afzender traceerbaar. Hierdoor wordt het mogelijk juridische stappen tegen verzenders te nemen. Eén van deze toepassingen is DKIM29. Daarnaast is zichtbaar dat de aanpak verhard en de straffen hoger worden. Zo werden in 2004 voor het eerst verdachten in de Verenigde Staten schuldig bevonden aan Dit automatisch verwijderen van alle verdachte e-mail zal

het overtreden van anti-spamwetten. En ook de OPTA in

vrijwel altijd leiden tot het ten onrechte verwijderen van

eigen land laat zich niet onbetuigd.

legitieme e-mail. De vraag is of een werkbaar alternatief voor handen is. In het andere uiterste wordt namelijk niets geblokkeerd en moet een gebruiker alle verdachte e-mail handmatig nalopen. De meeste gebruikers zullen dan ook liever het risico lopen om enkele legitieme e-mails te

27) The Register (2004), Smut filter in Dick-pulling outrage.

missen. Zeker nu de internetproviders steeds beter worden

28) Computable (2005), Internetproviders blokkeren spam succesvol.

in het blokkeren van spam en hetdoorlaten van legitieme

29) DomainKeys Identified Mail.

27

28


Het blijft behelpen. Met name het gegeven dat een toe-

Daarnaast is het handig om zelf de bcc-optie bij het

nemend aandeel van de spam wordt verstuurd vanuit

mailen te gebruiken. Op het moment dat men e-mails

Aziatische landen en dat meer en meer niet-Engelstalige

verstuurd aan een grote groep mensen, die de mail moge-

spam wordt verstuurd via zombienetwerken geeft hoofd-

lijk op hun beurt weer door kunnen sturen naar andere

brekens. Het vinden en berechten van spammers in zijn

gebruikers, zorgt dit ervoor dat alle e-mailadressen

algemeenheid wordt hierdoor bemoeilijkt.

verborgen blijven.

Landsoverstijgende wetgeving zal een belangrijke stap zijn.

3.3 Phishing

Volgens het beveiligingsbedrijf Sophos valt Nederland met

In vergelijking tot het virus en spam is phishing een relatief

een elfde plek overigens net buiten de top tien van meest

nieuw fenomeen. Toch is de techniek, waarbij malafide

versturende spamnaties. Slechts twee procent van de spam

personen op allerlei duistere manieren hengelen c.q.

30

wordt verstuurd door computers in Nederland . De lijst

vissen naar persoonlijke informatie, in korte tijd uitge-

wordt aangevoerd door de Verenigde Staten met drieën-

groeid tot een zeer groot probleem. Zo bleek uit onderzoek

twintig procent van het totaal, gevolgd door China en Zuid-

van de Anti-Phishing Working Group dat in november 2005

Korea met respectievelijk tweeëntwintig en tien procent.

vijfenveertighonderd unieke aanvallen geplaatst waren, een nieuw record aantal. Hierbij viel op dat met name

De gebruiker zal nog een tijd te maken blijven houden

grote e-commerce sites het slachtoffer waren31.

met spam. Ook hier geldt dat het vooral op de gebruiker zelf neerkomt. Zo moet hij voorzichtig zijn met het achterlaten

De methodiek die gehanteerd wordt, is even simpel als

van het eigen e-mailadres. En als het adres al ergens wordt

doeltreffend. Via een officieel uitziende e-mail van een

achtergelaten, moet eigenlijk niet het @ teken gebruikt

bank, een creditcardmaatschappij of een online winkel,

worden, maar zou het voluit geschreven kunnen worden.

wordt de gebruiker naar een speciaal voor dit doel

Spammers speuren namelijk het hele internet af naar dit

opgezette website gelokt. De inhoud van de e-mail is

symbool. Indien gevonden, wordt het adres direct opgesla-

speciaal gericht op het verleiden van de naïeve gebruiker

gen als potentieel interessant. Mocht een gebruiker ondanks

om op de opgenomen link te klikken. Denk aan onder-

alle voorzichtigheid geconfronteerd worden met spam, moet

werpen als een upgrade van het beveiligingssysteem,

men nooit reageren! Niet alleen kan dit ervoor zorgen dat

verloren gegane klantgegevens of spaartegoeden die

allerlei virussen actief kunnen worden, een spammer weet

opgeheven worden. Gebruikers die zo naïef zijn op de

direct dat het gaat om een bestaand e-mailadres en zal het

betreffende link in de e-mail te klikken, komen terecht op

adres als zeer waardevol gaan beschouwen en wellicht

een website die er bedrieglijk echt uitziet. De gebruiker

doorverkopen aan andere spammende instanties. Reageren op één spammail kan in zo'n geval resulteren in een explo-

30) Nu.nl (2006), Nederland in top twaalf spamlanden.

sie van binnenkomende spam.

31) APWG (2005), Phishing activity trends report.


wordt op deze website gevraagd persoonlijke gegevens

ste dagen had geboden aan de slachtoffers van de orkaan.

achter te laten. Denk hierbij aan wachtwoorden, credit-

Teneinde nog meer hulp te kunnen bieden werd gevraagd

cardgegevens, sofi-nummers of registratienummers van

om donaties. Via de link kwam de gebruiker terecht op een

paspoorten en rijbewijzen.

website waar men de donatie kon achterlaten, uiteraard met achterlating van alle persoonlijke gegevens.

Eenmaal in het bezit van de persoonlijke informatie, is de meest gangbare strategie zoveel mogelijk te plunderen in

De reden dat het aantal aanvallen van phishing zo explo-

een zo kort mogelijk tijdsbestek, net zolang tot het bekend

sief is gestegen, is vergelijkbaar met spam. Ook hier geldt

is dat het gaat om phishing. Hierna is de kans dat iemand

dat er nagenoeg geen kosten aan verbonden zijn. Met

nog zo onwetend is te reageren op de e-mail immers gere-

genoeg mogelijkheden een gratis website en e-mailadres

duceerd tot nul. Afhankelijk van het type gegevens dat is

aan te vragen, en met de huidige technische middelen is

verkregen, kan de phiser ook genuanceerder te werk gaan.

het zelfs voor een gemiddelde phiser een peulenschil om

Zo kunnen na de doorklik zogenaamde key-loggers op de

een perfecte nep e-mail en -website te maken. Vanaf dat

computer van het slachtoffer geplaatst worden. Deze key-

moment geldt de wet van de grote getallen. Hoe meer

loggers onthouden elke toetsaanslag van de gebruiker. Met

mails worden uitgestuurd, des te groter het aantal mensen

de verkregen informatie kan de phiser na verloop van tijd

dat er in trapt. Vaak worden in één aanval dan ook vele

volledige controle over de computer krijgen door met de

honderdduizenden e-mails uitgestuurd. Op deze manier

verkregen informatie achter gebruikersnamen en wacht-

hoeft een aanval slechts enkele dagen onopgemerkt te

woorden te komen.

blijven om winstgevend te zijn.

Het zijn niet alleen financiële instellingen die het slachtoffer worden van phishing. Zo deelde Websense Security Labs mee dat na de orkaan Katrina de Amerikaanse tak van het Leger des Heils getroffen is door een phishing aanval32. In de e-mail werd uitgelegd welke hulp het Leger de laat-

32) Webwereld (2005), Phisers halen geld binnen als Leger des Heils.

29

30


Zo is bijvoorbeeld op de website van CleanPort, een organisatie gespecialiseerd in e-mail beveiliging, te lezen dat op 4 juni 2005 maar liefst vierentachtigduizend malafide Postbank mailtjes proactief werden tegengehouden. Hoewel uiteraard direct alarm werd geslagen, doet dit het ergste vermoeden over het totaal aantal e-mails dat verstuurd is. In totaal hield CleanPort alleen in de betreffende maand juni op deze manier bijna tien miljoen

als een 'civil violation'. Dit betekent niet dat een overtre-

verdachte e-mails tegen.

ding strafrechtelijk vervolgd kan worden. Indien getroffen, moet een slachtoffer zelf actief een aanklacht indienen bij

De traditionele aanvallen van phishing vinden hun oor-

de rechtbank. De eventuele straf liegt er niet om. Een over-

sprong nog steeds in de Verenigde Staten. Ruim vijfendertig

treder loopt het risico veroordeeld te worden tot betaling

procent heeft dit land als thuisbasis, gevolgd door China en

van alle schade of kan een boete krijgen die kan oplopen

Zuid-Korea beide met ongeveer tien procent. Nederland is

tot vijfhonderdduizend dollar per overtreding.

terug te vinden in de top tien met een aandeel van ruim één procent. In 2006 steeg ons land overigens sterk op de

Voor een gebruiker zijn er een aantal aanknopingspunten.

ranglijst. Volgens het beveiligingsbedrijf ligt dit met name

Zo zal geen bank, internet service provider of creditcard

aan de gerichte aanvallen zoals op de Postbank33. Bij de

maatschappij via een onbeschermde e-mail over persoon-

meer geavanceerde phishing aanvallen liggen de verhou-

lijke zaken met hun klanten communiceren. Let ook op het

dingen anders. Van de phishing aanvallen die persoonlijke

gehanteerde taalgebruik. Lieve klant is misschien een

gegevens automatisch proberen te stelen, heeft vijfenvijftig

plausibele vertaling van Dear customer, maar zeker geen

procent een IP-adres in de Verenigde Staten34.

gebruikelijke aanhef in de correspondentie van een Nederlands bedrijf met haar klanten. Ook een algemene

Hoe kan een gebruiker zich wapenen tegen phishing? Meer

aanhef als Geachte klant of Beste relatie is in dit licht veel-

nog dan bij virus en spam het geval is, komt het op de

zeggend. De vertrouwde relatie kent u persoonlijk en zou

gebruiker zelf neer. De beperkte technische hulpmiddelen

nooit een zodanig onpersoonlijke toon gebruiken. Verder

die aanwezig zijn bij virus- of spambestrijding, zijn er bij

wordt in phishing mailtjes vaak benadrukt dat er weinig

phishing nog niet. Ook de wetgever heeft nog geen

tijd is om te reageren. Als een vertrouwde partij iets van u

afdoende antwoord, al zijn de eerste voorzichtige stappen

gedaan wil krijgen, zou u daarvoor ruim de tijd krijgen.

zichtbaar. Zo ondertekende de Californische gouverneur Schwarzenegger onlangs één van de eerste anti-phishing

33) Nu.nl (2006), Meer phishing-aanvallen vanuit Nederland.

wetten35. Californië werd zo de eerste Amerikaanse staat

34) Automatiseringsgids (2005), Phishing wordt gemener.

die een dergelijke wet invoerde. De wet beschrijft phishing

35) Computable (2005), Schwarzenegger tekent anti-phishing wet.


Daarnaast kan de url een aantal aanwijzingen geven. Zo zal een vertrouwde relatie altijd gebruik maken van de veilige lijn https:/ in plaats van http:/36. Ook is het raadzaam om een gegeven link naar een website altijd handmatig over te typen in het browserscherm. Hiermee wordt voorkomen dat de phiser de gebruiker achter de schermen via allerlei omwegen alsnog bij een nep website kan laten uitkomen. De links die in een dergelijke e-mail zitten verbergen vaak allerlei karakters waardoor de link er weliswaar optisch goed uitziet, maar in feite naar een geheel andere bestemming verwijst.

Als hoofdregel geldt dat bij argwaan direct telefonisch contact met de vertrouwde instelling gezocht moet worden. Zo heeft de gebruiker binnen enkele minuten duidelijkheid over de status van de e-mail.

3.4 Pharming

ken te regelen en op het eerste gezicht lijkt dit gelukt.

Bij phishing is altijd een zekere mate van nalatigheid van

Schijn bedriegt, want hoewel de pagina er echt uitziet,

de gebruiker nodig. Immers, op basis van een e-mail beslist

heeft de pharmer in werkelijkheid de gebruiker omgeleid

de gebruiker al dan niet op een link te klikken. Om deze

naar een zelf opgezette nep website. Omdat de gebruiker

menselijke afhankelijkheid meer uit te sluiten, maken

denkt op de echte site te zijn aangekomen, voert hij niets-

kwaadwillenden steeds meer gebruik van pharming om hun

vermoedend de gevraagde informatie in. Dus, hoewel het

slag te slaan. De kwaadwillende is bij deze manier niet

doel van pharming identiek is aan phishing, werkt phar-

meer van de beslissing van de argeloze gebruiker. Als phar-

ming vele malen geraffineerder. In plaats van eerst te

ming goed wordt uitgevoerd, heeft deze gebruiker absoluut

'vissen' in een grote bak wordt nu direct en heel precies

geen weet dat hij wordt opgelicht.

'geoogst'.

Het merendeel van de activiteit speelt zich hierbij achter de

Bij pharming draait het allemaal om de domain name

schermen af. Het begint bij het intypen van een correcte url

server. Een DNS heeft als taak de gebruikersvriendelijke url's

van een website door een gebruiker, bijvoorbeeld

om te zetten in voor het internet begrijpelijke numerieke

www.postbank.nl. De gebruiker verwacht vervolgens op de authentieke Postbank pagina uit te komen om de bankza-

36) De s staat hier voor secure.

31

32

adressen. Zo zet het www.postbank.nl om in de getallen-

realiseren wat de impact is van deze dienst voor de

reeks http://145.221.53.27. De truc die een pharmer gebruikt

betrouwbaarheid van de eigen dienstverlening en de

is om deze getallenreeks te vervangen door een nieuwe

goede naam.

reeks die verwijst naar de nep website. De correcte url wordt op deze manier door de DNS vertaald naar een ver-

Naast deze fouten, is een nieuwe ontwikkeling gaande

keerde website.

die vele malen ernstiger is. Steeds vaker wordt gebruik gemaakt van specifieke virussen die de aanvragen aan de DNS

Er zijn twee belangrijke oorzaken die de pharmer deze

al op de computer van de eindgebruiker zelf onderscheppen.

ruimte geven. Ten eerste wordt gebruikt gemaakt van fou-

Zo worden in toenemende mate wormen gesignaleerd die tot

ten in de DNS-software. Soms gebruiken kleinere organisa-

doel hebben dergelijke software te installeren. Het grote

ties nog verouderde versies van de software waarmee men

voordeel voor de pharmer bij deze methode is dat deze pro-

enorm kwetsbaar wordt. Dit is niet altijd een bewuste

actief gebruikers kan gaan besmetten.

keuze van deze organisaties, maar meer van de Internet Service Provider die de DNS aanbiedt. Het enige dat een

Op dit moment wordt pharming nog lang niet zoveel

dergelijke organisatie dan rest is een ISP te kiezen die een

gehanteerd als phishing. De verwachting is echter dat het

betere kwaliteit dienstverlening aanbiedt. De kleine groep

aantal gevallen de komende jaren zal stijgen. Het blijft dan

organisaties die wel zelf de DNS inrichten moeten zich goed

ook oppassen. Zodra een website er “anders” uitziet of “anders” werkt, is het raadzaam om contact op te nemen met de betreffende organisatie. Better safe than sorry!

3.5 Denial of Service Als laatste in dit hoofdstuk de Denial of Service, kortweg de DoS-aanval. Met name websites hebben last van deze bedreiging. Door het versturen van grote hoeveelheden verkeer of aanvragen naar een website wordt gepoogd een elektronische verkeersopstopping te creëren die er uiteindelijk voor moet zorgen dat de betreffende website het niet meer kan bolwerken, omvalt en hiermee onbereikbaar wordt voor de buitenwereld. De DoS-aanval is als pesterij begonnen. In de lijn van het willekeurig bestellen van twintig taxi's op één adres om vervolgens te kijken hoe de betreffende huiseigenaar de betrokken chauffeurs probeert uit te leggen dat er toch echt geen taxi, laat staan twintig


taxi's besteld waren, werden bekende websites puur voor

tes voor grote bedragen afgeperst werden. Kort voor een

het vermaak lastig gevallen. Inmiddels is de DoS-aanval

belangrijke sportwedstrijd kreeg de betreffende goksitebe-

uitgegroeid tot een verontrustend fenomeen. Het aantal en

heerder in kwestie een e-mail met het verzoek geld over te

de vorm van de aanvallen nemen exponentieel snel toe.

maken. Weigerde hij dit betalen, dan zou de website sys-

Afhankelijk van de functie van de betreffende website kan

tematisch uitgeschakeld worden39. Een duivels dilemma,

dit digitale “Henny Huisman-effect” grote consequenties

zeker ook als men rekent met het feit dat een betaling

37

hebben .

33

geen enkele garantie biedt dat een andere kwaadwillende niet alsnog een DoS-aanval inzet. Het is in die zin geen

De Soundmixshow Het “Henny Huisman-effect”

beschermgeld volgens de oeroude wetten van de Cosa Nostra.

Soundmixshow-finale 1988. Presentator Henny Huisman roept tegen het einde van het eerste deel van

Inmiddels, zo bleek uit metingen van het beveiligings-

het programma de ruim zes miljoen tv-kijkers op tele-

bedrijf Internet Security Systems, is de DoS-aanval in korte

fonisch te stemmen op één van de kandidaten. Hij

tijd uitgegroeid tot de meest gehanteerde aanvalstechniek

weet dan nog niet dat een “nationale ramp” te wach-

op het internet. Maar liefst een kwart van de aanvallen is

ten staat die zou leiden tot Kamervragen. Er bellen

gerelateerd aan deze techniek40. Hét wapen bij uitstek bij

zoveel mensen dat even later het gehele telefoonnet

een DoS-aanval zijn zogenaamde zombienetwerken of

platligt. Uiteindelijk leidt het ertoe dat zelfs politie,

-botnets41. Grote groepen computers die door een virus of

brandweer en ambulances in sommige delen van het

een worm in de macht staan van de kwaadwillenden, vaak

land onbereikbaar zijn.

zonder dat de betreffende gebruikers zich hiervan bewust

Denk bijvoorbeeld aan de gevolgen van het niet bereikbaar zijn van belangrijke websites van de overheid of het bankwezen. Maar onderschat ook de belangen van de commercie niet. De jaaromzet van de Nederlandse tak van Bol.com over 2005 bedroeg bijvoorbeeld ruim 71 miljoen euro38. Men kan zich voorstellen hoe snel de schadepost oploopt als de website enige tijd onbereikbaar wordt. Dit gegeven maakt dergelijke bedrijven chantabel. Dat dit geen hypothese is, bleek al in 2004 toen verscheidene Engelse goksi39) The Register (2004), Extortionists attack IBetX.com. 37) Website KRO (2006), De geschiedenis van de KRO.

40) Computable (2005), Denial of service is meest gebruikte aanval.

38) NRC (2006), Omzet Nederlandse Bol.com met 40 procent gestegen.

41) In dit geval wordt gesproken over een Distributed Denial of Service aanval.

34

zijn. Dergelijke botnets kunnen enorme proporties bereiken. Door de huidige bandbreedte en het grote aantal computers dat vierentwintig uur per dag via het internet bereikbaar is, is het voor kwaadwillenden zeer eenvoudig om een groot digitaal leger van geïnfecteerde computers op de been te brengen. Denk bijvoorbeeld terug aan het eerder genoemde Nederlandse zombienetwerk dat bestond uit anderhalf miljoen computers.

In praktijk zal de geïnfecteerde software op de computers van dergelijke botnets constant luisteren naar bepaalde chatnetwerken voor commando's. De eigenaar of bevelhebber van het botnet is op deze wijze in staat het totale leger via één centraal commando in te zetten om andere systemen aan te vallen. De kracht zit in de aantallen: honderdduizend keer een beperkte datastroom van honderd Kbps per computer geeft een totale datastroom van tien Gbps, genoeg om de meeste systemen volledig te overstromen. Omdat het hierbij om geografisch verspreide systemen bij gebruikers thuis gaat, is het erg lastig om de bron van de aanval te detecteren, laat staan te stoppen. Ook omdat veel van de zombiesystemen valse afzenderadressen gebruiken.

Een serieus probleem, zeker omdat de maatregelen die een eigenaar van een website kan nemen beperkt zijn. Een goede internet service provider helpt. Daarnaast is een contingentieplan handig. In dit plan worden naast alle mogelijke problemen die kunnen ontstaan, tevens passende maatregelen benoemd. Op het moment dat men wordt aangevallen, kan men gelijk reageren en de verweerstrategie uitvoeren. Hierbij kan gekozen worden om een website alleen voor Europa bereikbaar te maken, om de website voorlopig uit de lucht te halen, om meer band-


breedte op te schakelen of om de website fysiek te verplaatsen.

Als eindgebruiker van een computer geldt weer: zorg dat zombienetwerken geen kans maken. Hierbij geldt hetzelfde als bij de eerdere bedreigingen, zorg voor een goede protectie tegen virussen en wormen, update de software dagelijks, enzovoorts, enzovoorts. De internet service providers tot slot kunnen bij deze aanvallen een belangrijke rol spelen door bijvoorbeeld alle klantverkeer op geldige adressen te controleren. Een goede provider doet dit overigens nu al en sluit klanten af die verdacht verkeer verzenden, het gaat om het aanbieden van zogenaamde 'schone bandbreedte'. Hierbij werken de ISP's overigens steeds nauwer samen. Op het moment dat een bepaalde klant van een andere provider ineens veel verkeer genereert wordt direct contact opgenomen en indien nodig ingegrepen.

35

36


4 De mens


4

De mens

Hoe men het ook wendt of keert, op veiligheidsgebied is

4.1 Van hacker naar cracker Eerder in deze publicatie werd Rop Gonggrijp aangehaald

de mens de zwakste schakel. Er kunnen miljarden euro's die uit de doeken deed hoe het er in de beginjaren van geïnvesteerd worden in een veilige en afgeschermde

het hacken aan toe ging. Hij sprak over een kat-en-muis spel tussen hackers en systeembeheerders en kon zich in

omgeving, één menselijke hand kan alle inspanningen die tijd niet voorstellen dat er ooit enige informatie op het teniet doen. Deze menselijke zwakte valt in twee groepen

internet zou verschijnen die voldoende interessant zou zijn om te verkopen aan derden. Maar weinig hackers waren in

uiteen, aanvallers en slachtoffers. Bij de eerste groep kan die beginjaren uit op eigen financieel gewin. Er werd afgevraagd worden welk type mens in staat is dergelijke

gehackt voor de kick van het spel, om te leren of om het eigen kunnen te laten zien aan de achterban.

criminele activiteiten uit te voeren. Wat zijn hun drijfveren en waartoe zijn ze in staat? Ook al, omdat de laatste jaren

Geleidelijk aan verschoof dit en werd de gemiddelde hacker meer politiek georiënteerd. Het begon vrij onschuldig

de beginnende, meer spelende hacker uitgegroeid is tot en kleinschalig met bijvoorbeeld de protesten tegen het een professioneel georganiseerde cracker. En dit is niet

afschermen van informatie voor het 'gewone' volk. Al vrij snel werden de uitgangspunten breder en de idealen gro-

verwonderlijk. Criminelen volgen immers het geld en slaan ter. Diverse benadeelde groeperingen in de samenleving daar toe waar op een eenvoudige manier veel te halen is.

konden rekenen op warme steun van de hacker. Dit zogenaamde hacktivisme uitte zich in verschillende acties42.

En de uitgangspunten op het internet zijn in het voordeel Denk hierbij aan het platleggen van de officiële “mensenvan deze groep kwaadwillenden. Veel enthousiaste

rechten” website van de Chinese regering, het aanvallen van de computersystemen van het Indiase

gebruikers, die aan veel denken behalve aan de eigen Onderzoekslaboratorium voor Atoomenergie teneinde de veiligheid. Waar de mens in de fysieke wereld inmiddels

nucleaire proeven te stoppen, maar ook het hacken van websites van de Indonesische regering om het volk van

volledig bewust is geworden van alle gevaren die loeren Timor te ondersteunen in hun onafhankelijkheidsstrijd. en eerder te voorzichtig handelt, is dit in de virtuele

Nederland kreeg ook te maken met deze nieuwe beweging. Zo berichtte het inmiddels ter ziele gegane Smallzine in

wereld nog niet het geval. 1998 over een kraak van de computers van Postbus 51. Dit hoofdstuk gaat in op de gespannen relatie tussen mens en veiligheid.

42) NRC (1999), De opmars van het hacktivisme.

37

38


De hacktivisten wilden hiermee waarschuwen tegen de

het opzetten van dergelijke constructies, is er voor hem

dreigende tweedeling tussen digitale haves en have nots in

niets verloren. Divers onderzoek laat zien dat er op het

43

ons land .

internet een levendige handel is in allerhande informatie en diverse gereedschappen voor elke geïnteresseerde. Zo

Hoe gericht deze acties ook waren, de hackerswereld had

kost een uurtje webterreur zaaien met een virtueel leger

in deze beginjaren een schattig karakter. Natuurlijk had

van zo'n twintig - tot dertigduizend computers ongeveer

men last van de acties en kostte het soms veel moeite om

honderd dollar45. Net zo makkelijk kan men aan allerhande

het geheel weer draaiende te krijgen. Blijvende schade

zaken als creditcardgegevens, bankrekeningnummers,

kwam echter bijna nooit voor en bovendien zorgde het

wachtwoorden, e-mailadressen, computervirussen en zelfs

hoge “Robin Hood” gehalte ervoor dat veel mensen een

digitale beeldbestanden van valse bankbiljetten komen.

zekere empathie kregen voor de acties. Zeker als daarbij de vaak jonge leeftijd van de hackers in ogenschouw genomen 44

werd. Uit onderzoek van Sarah Gorden

blijkt dat de

Duidelijk is dat de groep criminelen het internet niet alleen gebruikt om slachtoffers te vinden, maar net zo hard om

gemiddelde hacker in die jaren tussen de veertien en vijf-

handel te drijven en ervaringen uit te wisselen46. Volgens

entwintig jaar oud was. De hacker was goed onderlegd in

Rob van Dalen, teamleider bij de digitale recherche van het

de mogelijkheden van de nieuwe techniek en was zeker

Korps Landelijke Politie Diensten, zijn de meeste computer-

niet te zien als een sociale nitwit of een persoon zonder

criminelen geen tophackers. Hij schat dat ongeveer zeven-

ethisch bewustzijn. De grens tussen goed en kwaad was

tig procent van de DoS-aanvallen wordt gedaan door zoge-

duidelijk en werd veelal geaccepteerd. Hierbij merkte

naamde scriptkiddies. Handige 'gastjes' die met behulp

Gordon overigens op dat er niet één stereotype hacker te

van op internet beschikbaar gereedschap in no-time een

definiëren was. Een ieder had zo z'n eigen beweegredenen

zombienetwerk opzetten. Dergelijke scriptkiddies hebben

en achtergrond.

overigens ook in de eigen gelederen een niet al te beste naam. Ze worden wel omschreven als digitale hangjonge-

In het nieuwe millennium veranderde dit beeld. Samen

ren, gekenmerkt door willekeur en chaos. Zij bedreigen

met de grote toestroom van argeloze nieuwe gebruikers

bijvoorbeeld ook particulieren en kleine ondernemingen,

kwamen de criminelen en masse in het kielzog mee en

doelwitten die crackers als oninteressant beschouwen.

kregen stilaan de overhand. Voor hen was het als prijsschieten op de kermis, kansen te over. Deze winstkansen werden vergroot toen bleek dat het voor een beetje kwaadwillende een peulenschil is om de identiteit te ver-

43) Smallzine (1998), De hacktivisten komen eraan: een nieuwe

generatie hackers?

bergen. Door computers te gijzelen is men in staat in het

44) Gorden, S. (1994), The generic virus writer.

geheim de meest malafide zaken uit te voeren. In het geval

45) Planet Internet (2005), Cybercriminaliteit professionaliseert.

dat de kwaadwillende zelf niet zo technisch bedreven is in

46) Nu.nl (2006), Online fraude kinderlijk eenvoudig.

39

Net als in de fysieke wereld moet de gemiddelde gebruiker de net-niet crimineel vrezen. De crimineel die alles overhoop trekt, veel schade aanricht en met een relatief kleine buit genoegen neemt.

Een verontrustend beeld, zeker als men zich realiseert dat het voor de overheid telkens weer zeer moeilijk blijkt om adequaat te reageren op deze nieuwe digitale werkelijkheid. De rechtsgeleerde Kaspersen

47

stelt dat het gegeven

meer mogelijkheden om een passend antwoord te geven op de verharde computercriminaliteit.

dat veel succesvolle cyberdelicten worden veroorzaakt door nalatigheid van het slachtoffer ervoor zorgt dat de verant-

En dit is nodig. De hackerswereld is een volwassen bedrijf-

woordelijke overheden wel geprikkeld worden tot het

stak geworden waar alles draait om optimalisatie van win-

geven van voorlichting, maar minder tot het geven van

sten. Van de buitenkant lijken deze criminele instellingen op

prioriteiten aan de opsporing. Ook al, omdat de opsporing

doodnormale bedrijven. Maar in het geniep zijn research-

ontzettend bemoeilijkt wordt door de eigen nationale wet-

afdelingen de hele dag bezig met het zoeken op internet

geving. Landsgrenzen bestaan niet in de digitale wereld.

naar kwetsbaarheden. Virusanalist Roel Schouwenberg

Er zal meer internationaal geopereerd moeten worden wil

benadrukt dat dergelijke bedrijven geen aandacht willen

men echt succesvol ingrijpen.

trekken. Door net onder het maaiveld te opereren, hoopt de cybercrimineel zoveel mogelijk computers onder contro-

Hiervoor zijn de eerste stappen inmiddels gezet met de

le te krijgen. Media-aandacht voor een lek in de beveili-

ondertekening van het Cybercrime Verdrag in 2001. Naast

ging dwarsboomt deze plannen48.

een groot aantal Europese landen, waaronder Nederland, tekenden de Verenigde Staten, Canada, Zuid-Afrika en

Zodra het de cracker gelukt is toegang te krijgen, heeft hij

Japan. Bovendien hebben veel landen te kennen gegeven

globaal twee opties. Ten eerste kan hij proberen de verkre-

partij te willen worden of hebben al vrijwillig bepaalde

gen informatie financieel uit te buiten, hetzij door het aan

gedeelten van de verdragstekst in hun nationale wetgeving

anderen te verkopen of door er zelf mee aan de slag te

overgenomen. Het verdrag is hiermee zeer belangrijk

gaan. Een van de meest tot de verbeelding sprekende

geworden. Het initieert een gemeenschappelijk strafrechte-

pogingen speelde in 2005. Een groep crackers probeerde

lijk beleid dat zich richt op de bescherming van de samen-

toen tweehonderdtwintig miljoen Engelse ponden van een

leving tegen strafbare feiten verbonden met elektronische netwerken. Daarnaast heeft de wetgeving tot doel de internationale samenwerking te versterken. Met de ondertekening van dit verdrag krijgen alle justitiële apparaten

47) Kaspersen, H. (2004), Bestrijding van cybercrime en de noodzaak van

internationale regelingen. 48) NRC (2006), Cybermisdaad verhard.

40


Japanse bank te stelen. De daders waren er in een relatief

1990 op de hoogte was van de kwetsbaarheid. Ze hadden

korte periode in geslaagd rekeningnummers, wachtwoor-

dit helaas echter geclassificeerd als verwaarloosbaar klein50.

den en allerlei andere gevoelige informatie te achterhalen. Gelukkig voor de bank in kwestie wist de Londense politie

Een andere vorm van chantage is het dreigen met de in het

in samenwerking met collega's uit Israël op tijd in te grij-

vorige hoofdstuk genoemde DoS aanval. Maar het gaat ver-

pen om zodoende één van de grootste overvallen uit de

der, met name gebruikers van mobiele netwerken moeten

49

geschiedenis te voorkomen . In praktijk gaat het overigens

zich extra zorgen maken, zo bleek begin 2006 uit een

niet altijd om dit soort enorme bedragen. Vele kleintjes

reportage van het actualiteitenprogramma NOVA. Zij toon-

maken ook één grote.

den aan hoe eenvoudig het is om in te breken op een mobiel netwerk. Simpelweg door dicht bij een wegrestau-

Een andere optie voor de cracker is over te gaan tot chanta-

rant of een woonwijk te parkeren, het eigen mobiele station

ge van de oorspronkelijke eigenaar. Allereerst is daar de

aan te sluiten en te wachten. Binnen luttele seconden pikt

meest basale vorm: iets stelen en dan zonder schroom de

de kwaadwillende allerlei verschillende datastromen op.

oorspronkelijke eigenaar de mogelijkheid geven de eigen

Hierna is het door de slechte beveiliging van de mobiele

informatie terug te kopen. Een cracker hoeft hierbij niet

netwerken vervolgens een kleine moeite om toegang te

zaken daadwerkelijk van de computer af te halen. Het

krijgen tot het achterliggende bedrijfsnetwerk van de hard-

geheel versleutelen met een wachtwoord volstaat al. Ook

werkende medewerker in kwestie.

kan besloten worden een volledige computer te gijzelen. Een treffend voorbeeld hiervan is de uitbuiting van het

Een vorig jaar uitgevoerde steekproef van D-Link onder-

Windows Media File lek rond de kerst van 2005. Dit inmid-

streept dit en liet zien dat van de honderdnegentig gevon-

dels beruchte lek ontstond door een probleem in de grafi-

den netwerken in Utrecht, Leidsche Rijn en Nieuwegein

sche motor van de Windows besturingsystemen. Hierdoor

ongeveer tweeënveertig procent niet of onvoldoende bevei-

waren crackers in staat met een aangepast WMF-bestand

ligd bleek51. Daar komt bij dat de gemiddelde gebruiker nog

kwaadaardige software op de computer te installeren. De

steeds geen aandacht besteed aan het eigen wachtwoord.

eerder aangehaalde Schouwenburg: „In feite werd de com-

Verreweg het gros van de gebruikers kiest nog altijd voor de

puter gegijzeld. De boodschap in het bericht luidde dat je

standaardwachtwoorden, voor identieke wachtwoorden

pc aangetast was door het WMF-lek. Daar kon je weer

voor alle applicaties of slaat alle wachtwoorden op in één

vanaf komen door een programma te kopen voor twintig of

document dat men wachtwoord.doc noemt52.

dertig euro. Natuurlijk alleen te betalen met je creditcard, zodat je dat nummer ook meteen prijsgaf.” Dit WMF-lek

49) De Ingenieur (2005), Het dossier: toetsenborden criminaliteit.

groeide in korte tijd uit tot het ernstigste beveiligingspro-

50) Microsoft Security Response Center Blog (2006).

bleem van 2005. Saillant detail hierbij is dat uit een blog

51) Nu.nl (2005), Thuisnetwerken eenvoudig te hacken.

van een Microsoft medewerker bleek dat het bedrijf al sinds

52) Metro (2006), Wachtwoorden zo te achterhalen.


Wachtwoorden

gegevens te achterhalen die men anders niet kan krijgen.

Onderzoek van de Britse online bank Egg in 2002 onder

Phishing is één van de meest bekende methoden, maar

duizend gebruikers genereerde de volgende top acht

het gaat verder. Tegenwoordig gebruiken de enigineers een

van meest gebruikte wachtwoorden:

grote verscheidenheid aan middelen om het slachtoffer

23% namen van kinderen

zover te krijgen dat hij de kostbare informatie prijsgeeft. Al

19% naam van partner

moet men hier niet teveel bij voorstellen. Een simpele

12% verjaardagen

beloning en wat aandacht is vaak al voldoende voor de

9% naam voetbalclub

gemiddelde gebruiker om de meest geheime informatie

9% beroemdheden en bands

aan een wildvreemde te geven. Zo bleek tijdens de

9% favoriete plaats

InfoSecurity-beurs in Londen dat maar liefst zeventig pro-

8% eigen naam

cent van alle ondervraagden zonder enige terughoudend-

8% naam huisdier

heid het wachtwoord van de computer op het werk prijsgaf in ruil voor een chocoladereep. Het wrange hierbij was dat

In ICT-land mag het wachtwoord admin op een grote

dit een flinke verbetering was ten opzichte van de uitkom-

schare fans rekenen.

sten van een vergelijkbaar onderzoek een jaar ervoor. Toen gaf men namelijk het wachtwoord al op voor een simpele

Al met al is het ondanks alle waarschuwingen nog altijd

balpen54.

kinderlijk eenvoudig voor kwaadwillenden om computergebruikers te misleiden. Hoe kan het toch dat de gebruiker

Een van de meest beruchte crackers aller tijden, Kevin

zich op de digitale snelweg nog steeds zo achteloos

Mitnick, onderschrijft dit beeld. Hij geeft aan dat hij in zijn

gedraagt en in de meest voor de hand liggende digitale

gloriedagen eigenlijk nooit technische hulpmiddelen hoef-

vallen trapt? Goeroe Bruce Schneier verwoordde zijn frus-

de te gebruiken. Social engineering volstond keer op keer.

tratie als volgt: “Why are you ruining my beautiful mathe-

Naar eigen zeggen:“Security is too often merely an illusion,

matics by choosing a lousy password?”. Hij stelt dat veilig-

an illusion sometimes made even worse when gullibility,

heid in die zin een proces is van de gebruiker, niet van een

naïveté, or ignorance come into play. Social engineering

product53.

attacks can succeed when people are stupid or, more commonly, simply ignorant about good security practices.”

4.2 De gebruiker Eén van de meest toegepaste technieken om de menselijke zwakte uit te buiten is social engineering. Door in te spelen op eigenschappen als goedgelovigheid, onwetendheid, hulpvaardigheid, respect voor autoriteit of de wens om

53) Information Security (2000), Q&A with Bruce Schneier.

aardig gevonden te worden, hoopt de social engineer

54) Webwereld (2004), Een wachtwoord in ruil voor een chocoladereep.

41

42


In zijn boek The Art of Deception55stelt hij dat mensen te

zich richten op drie kernaspecten: kennis, houding en

vaak vertrouwen op een misplaatst gevoel van veiligheid

gedrag57. Zij bepalen immers het weten, vinden en hande-

en hierdoor niet meer nadenken. De meeste mensen ver-

len. Deze drie aspecten beïnvloeden elkaar en worden op

trouwen blind op hun firewall en virusscanner. Vergelijk

hun beurt weer beïnvloed door allerlei zaken uit de omge-

het met een persoon die de zwaarste sloten op zijn deuren

ving. Op hoofdlijnen geldt dat het bewustzijn bepaald

plaatst om hiermee vrouw en kinderen te beschermen

wordt door de mate waarin elke persoon weet welke risi-

tegen al het kwaad in de wereld, maar vergeet dat dit

co's er zijn op het gebied van informatiebeveiliging, weet

kwaad net zo makkelijk binnen kan komen via het dak,

welke verantwoordelijkheid zij zelf dragen en weet wat

ramen of de garage.

men moet doen om de risico's tot een minimum te beperken. Als deze kennis aanwezig is, komt wellicht het

Waar het om gaat is dat de gebruiker streetwise wordt en

allerbelangrijkste: de persoon moet naar deze kennis gaan

leert aan te voelen wat slim is om te doen en wat beter

handelen.

nagelaten kan worden. Net zoals het in de fysieke wereld inmiddels algemeen bekend is dat de voordeur niet midden in de nacht voor een wildvreemde wordt open gedaan en dat een ieder weet dat men slecht verlichte paden in de nacht beter kan mijden, moeten dit soort basiswijsheden ook in de virtuele wereld ontstaan. En dit kost tijd. Veel tijd en aandacht, net zoals dit overigens het geval was in de fysieke wereld. Het blijkt voor de mens steeds weer lastig om gevaar tijdig te zien, om deze eigen te maken en om vervolgens in staat te zijn hierop te anticiperen. Zo worden uit de oevers tredende rivieren pas interessant als men zelf met de voeten in het water staat, gaan technologische gevaren pas een rol spelen als men zelf per ongeluk een besmette e-mail met een virus heeft geopend, is een bericht over iemand in Azië die doodgaat aan SARS iets anders dan wanneer het eigen kind ingeënt moet worden tegen meningokokken en maakt legionella pas echt indruk als het wordt aangetroffen in het zwembad in de buurt56. 55) The Art of Deception: Controlling the Human Element of Security.

Hoe kan de mens dan zo efficiënt mogelijk streetwise

56) Roothart, H. (2005), Zien - Trends van vandaag, markten van morgen.

gemaakt worden? Om dit bewustzijn te verhogen moet men

57) Neys, C. (2003), Afstudeerthesis - IT'ers, regels en security awareness.


ISF - Process for effective security awareness (2002)

• Informatiebeveiliging wordt ad hoc ingevoerd

Streetwise wordt men overigens niet zomaar, het vraagt continu tijd en aandacht. Maakte men vroeger nog wel

De technologische ontwikkelingen volgen elkaar snel op.

eens de fout door te veronderstellen dat een snelle actie

Zo snel dat veel mensen niet de tijd hebben zich de

zou volstaan, tegenwoordig weet men dat het leereffect

nieuwe werkwijze eigen te maken. Bovendien kost het

van dergelijke éénmalige acties minimaal is en gaat men

vaak moeite de mens te overtuigen van de noodzaak

uit van een meer herhalende aanpak. Hierbij is een duide-

ervan: ook zonder die nieuwe maatregelen draait alles

lijke rol voor het management en andere sleutelfiguren in

toch? Dit wordt versterkt door het gevoel bij veel mensen

een organisatie weggelegd en worden zowel het doel als

dat de nieuwe maatregelen het eigen werk moeilijker

het resultaat meetbaar gemaakt. Het door het Information

maken.

Security Forum ontwikkelde framework geeft een goed

• Het grotere geheel

beeld van een mogelijke aanpak vanuit deze gedachte. 58

Let wel, ook bij deze aanpak kan er het nodige mis gaan :

Slechts weinigen zien in dat aandacht voor informatiebeveiliging een onderdeel is van de dagelijkse gang van zaken. Het gevaar is dat mensen zich houden aan die voorschriften die verband houden met de eigen activitei-

58) Wouters, E. (2003), Verbeteren van bewustzijn informatiebeveiliging.

ten en niet het grotere geheel zien. Ze gaan hierbij voor-

43

44


bij aan het gegeven dat ze een belangrijke schakel vormen

• Niet praktisch implementeerbaar

in het proces en door hun nalaten eigenlijk de hele voe-

Organisaties hebben de neiging te lang te blijven hangen

dingsbodem onder het nieuwe beleid wordt weggeslagen.

in de analyse- en specificatiefase. Vaak resulteert dit in een grote verzameling beleidsnotities, die waarschijnlijk

• Informatie moeheid

alle facetten raken, maar qua opzet niet leesbaar zijn.

De mens krijgt een enorme hoeveelheid informatie over

Bovendien is al die tijd in praktijk niets gebeurt aan

zich heen gestort. Stuk voor stuk belangrijke zaken die

beveiliging. Ook hier geldt, stilstand is achteruitgang.

alle strijden om de aandacht. In het gunstigste geval

Hoewel het geen kwaad kan na te denken over een

heeft veiligheid een voorname positie in dit rijtje. Hoe

totaalbeleid, kan het zeer zeker geen kwaad daarnaast al

dan ook, steeds meer mensen kunnen het niet meer bij-

kleinere aspecten die men relatief eenvoudig kan imple-

benen. Het is daarom belangrijk dat bij het bepalen van

menteren op te pakken.

de strategie voor het uitvoeren van de campagne wordt nagedacht over de timing van het zenden van berichten.

Samenvattend kan men stellen dat het invoeren van een veiligheidsbeleid een kwetsbaar proces is waar men voor,

• Geen follow-up

tijdens en na zeer zorgvuldig mee moet omgaan. Een orga-

Vaak begint men enthousiast aan de campagne. Er wordt

nisatie moet niet de fout maken door te schieten in de

een projectgroep opgezet die snel begint met allerlei

eigen goede bedoelingen. Zo mag het uitgangspunt nooit

acties. Is de campagne doorlopen, dan heft men de pro-

angst zijn. Dit lijkt in eerste instantie een open deur, maar

jectgroep op. Het gevolg is dat het enthousiasme dat bij

is het niet. Zeker de laatste jaren wordt meer zichtbaar dat

de medewerkers gecreëerd is niet meer wordt gevoed en

de samenleving afstand heeft genomen van de cultuur van

stilaan verdwijnt in het geruis van de dagelijkse werk-

de jaren negentig en de voorzorgcultuur heeft verwelkomt.

zaamheden. Voor blijvende effectiviteit is het noodzake-

In plaats van risico's als onvermijdelijk te beschouwen,

lijk dat de acties niet stoppen na het opheffen van de

worden ze meer en meer gezien als vermijdbaar en moeten

projectgroep.

ze derhalve voorkomen worden. Dit zorgt voor veel acties die zowel positieve als negatieve gevolgen hebben. Als

• Te weinig management ondersteuning Het hebben van principes blijkt vaak makkelijker dan

afronding van dit hoofdstuk wordt daarom kort stilgestaan bij deze nieuwe cultuur.

ernaar te leven. Managers zijn altijd voorstander van een goede informatiebeveiliging als er met hen over gespro-

4.3 De voorzorgcultuur

ken wordt, maar ze zitten in een lastig parket: zij worden

Volgens Roel Pieterman, docent Rechtssociologie aan de

afgerekend op het halen van de doelstellingen. In de

Erasmus Universiteit te Rotterdam, maakt de hedendaagse

strijd om capaciteit en middelen zal informatiebeveiliging

samenleving zich de laatste jaren in toenemende mate

het altijd afleggen tegen deze overall doelstellingen.

zorgen over de meest uiteenlopende risico's59. Zo klinken

45

op het gebied van volksgezondheid en milieu waarschuwingen voor de gevaren van vogelgriep, BSE, overgewicht, bestrijdingsmiddelen en mobiele telefonie. Op het gebied van de openbare veiligheid zijn er zorgen over het (internationaal) terrorisme, georganiseerde misdaad en andere kwalijkheden als bedelaars en zwerfvuil. Kyoto en Katrina hebben zelfs gezorgd dat de door de deltawerken bezworen vrees voor het wassende water weer aan het terugkeren is. De hedendaagse informatiemaatschappij versterkt dit effect en zorgt ervoor dat geen enkele misstand onbelicht blijft. Kleine incidenten worden hierdoor uitvergroot tot buitengewone proporties.

Hans Boutellier, directeur van het Verwey-Jonker Instituut,

geconfronteerd met de mogelijkheid van vernietiging van al

onderschrijft deze toenemende ongerustheid in het boek

het leven op aarde. De welvaartsverdeling is niet meer het

60

De veiligheidutopie . Hij gaat hierbij in op de aanwezige

eerste aandachtspunt, eerder wordt gekeken naar de risico's

spanning in de Westerse cultuur tussen veiligheid en vitali-

die deze wereld met zich meebrengt. En dan met name die

teit. De toename van vitaliteit heeft de behoefte aan vei-

risico's die het gevolg zijn van menselijk handelen. Volgens

ligheid doen groeien. Hierdoor is een 'risicocultuur' ont-

Beck is dit hét belangrijkste verschil met vroeger tijden. Had

staan: een uitbundige, grensoverschrijdende cultuur waarin

men toen de luxe veel risico's af te kunnen schuiven op de

mensen de risico's die ze zelf nemen, niet meer kunnen

natuur of op Gods wil. Tegenwoordig staat de mens zonder

beheersen en op de overheid vertrouwen om haar te

twijfel aan de basis van vele rampen. Of het nu gaat om een

beschermen in de vaak heftige leefstijl. In deze veilig-

nucleaire ramp als Tsjernobyl of in eigen land de vuurwerk-

heidsutopie zit de paradox verscholen van het onhaalbare

ramp in Enschede, het is de mens die schuld heeft. Mensen

verlangen naar maximale vrijheid en maximale bescher-

blokkeren hierdoor, ook al omdat het volgens Beck lijkt of de

ming. Het is volgens Boutellier alsof de burger politiebe-

zintuigen van de mens niet in staat zijn de gevaren van de

scherming vraagt op het moment dat hij besluit volledig los

moderne samenleving te horen, zien of ruiken. De heden-

te gaan.

daagse risico's zijn ongrijpbaar (wie herkent bijvoorbeeld radioactiviteit), gelden voor iedereen (smog is democratisch)

Boutellier bouwt hierbij voort op het werk van de Duitse

en raken het gehele leven (alles kan kapot).

socioloog Ulrich Beck die al in de tachtiger jaren deze risicomaatschappij typeerde. Hij doelde op de vertechnologi-

59) Fiat Justitia - Pieterman, R. (2006), Van risico naar voorzorg.

seerde maatschappij die door haar eigen uitdagingen wordt

60) Boutellier, H. (2002), De veiligheidsutopie.

46

Het is juist deze onmacht die angstig maakt. Zo angstig dat mensen er alles aan doen om de gevaren te vermijden. In een situatie waarin dit uiteindelijk niet lukt en toch schade wordt geleden, is de automatische reactie om allerlei instanties ter verantwoording te roepen en genoegdoening te eisen. Nog nooit zijn zoveel commissies ontstaan om rampen van grote en kleine aard te evalueren en lessen te trekken voor de toekomst dan de afgelopen jaren. Waar echter aan voorbij wordt gegaan, is dat de steeds strenger wordende veiligheidsmaatregelen en de daarbij horende claimcultuur een grote wissel op de samenleving trekken.

En het is de vraag of deze beweging wel nodig is. Immers, de mens heeft nog nooit zo lang en in een dermate goede gezondheid geleefd als nu. Ook op veiligheidsgebied is er nauwelijks een verslechtering waar te nemen. Zo bleek in 2006 uit onderzoek van het Sociaal en Cultureel Planbureau dat de kans in Nederland slachtoffer te worden van een delict de laatste vijfentwintig jaar nauwelijks is toegenomen. In 2004 werden er volgens het SCP ruim viereneenhalf miljoen delicten gepleegd, zeshonderdduizend meer dan in 1980. Als in ogenschouw wordt genomen dat de bevolking in de tussentijd ook sterk is gegroeid, is dit geen grote stijging. De psycholoog Peter Marsh spreekt dan ook over de worried well61. Deze mens wordt gekenmerkt door allerlei veiligheidsmaatregelen. Zo heeft hij een breed scala aan afgesloten verzekeringen, consumeert hij alleen de uiterst gezonde producten en rijdt alleen in vervoersmiddelen die alle denkbare veiligheidstesten met glans doorstaan. En toch blijft deze groep mensen zich meer dan ooit zorgen maken over de eigen toekomst.

61) Zie bijvoorbeeld de lezing die Marsh in 2001 gaf voor het Institute for

Cultural Research at the King's Fund.


De kans is echter groot dat deze mensen voor hun drang

Samenvattend kan men stellen dat het nieuwe risicomij-

naar veiligheid een hoge prijs betalen. Mark Twain ging al

dende denken de samenleving ongetwijfeld voordelen op

in de 19e eeuw op deze spagaat in: "There are people who

zal leveren. Maar het heeft een keerzijde. Het is daarom

strictly deprive themselves of each and every eatable, drin-

van belang een balans te zoeken in het denken en hande-

kable and smokeable which has in any way acquired a

len op dit vlak. Zo zijn er genoeg mensen die als antwoord

shady reputation. They pay this price for health. And health

op de terreuraanslagen van de laatste jaren van onze

is all they get out of it. How strange it is. It is like paying

samenleving een soort onneembare vesting willen maken

62

out your whole fortune for a cow that has gone dry ."

waarin begrippen als privacy volledig uitgebannen worden. Maar is dit wat het meest rendeert? Komen we hiermee

Marsh gaat veel verder in zijn analyse dan Twain. Volgens

een stap vooruit? Denk ook terug aan de quote van staats-

hem lijkt het er sterk op dat de mens niet in staat is te

secretaris Van Geel waarmee deze publicatie geopend is64:

leven in een volledig veilige samenleving. Op het moment dat het de mens gelukt is alle risico's uit te bannen, intro-

Door een risico te nemen,

duceert het zelf nieuwe gevaren. Aan de oppervlakte is dit

en een gevaar te trotseren,

zichtbaar door de opkomst in de laatste jaren van extreme

kan een gewenst doel worden bereikt.

sporten als bungeejumpen, bergbeklimmen en basejumpen. En waarom gaan toch elk jaar meer mensen off-piste

Soms moét dat zelfs,

skiën? Alleen al in Oostenrijk waren in 2005 honderdach-

en is risico een voorwaarde

tenveertig lawines, bijna altijd veroorzaakt door skiërs of

om doelen binnen handbereik te kunnen brengen.

63

snowboarders die off-piste gingen .

Meer verstopt, ligt de achtergrond in de optimalisatie van het eigen leven. Dit is verantwoordelijk voor het gegeven dat de gemiddelde mens meer risico gaat nemen als hij het gevoel krijgt een grotere veiligheid te hebben. Hierdoor ontstaan er vreemde situaties. Zo blijkt dat de veiligheid groter wordt als het aantal verkeerslichten verlaagd wordt. Ook is bekend dat de gemiddelde chauffeur harder en roekelozer gaat rijden als er meer airbags en kreukelzones in een auto geplaatst zijn. 64) Uit een speech van staatssecretaris Van Geel tijdens de publieksbij62) Neider, C. (2000), Autobiography of Mark Twain.

eenkomst “Wie is verantwoordelijk voor veiligheid?” Van het

63) RTL4 (Editie.nl - 2005), Off-piste skiën gevaarlijk.

Nederlands Gesprek Centrum op 22 januari 2005.

47

48


5 Het onderwijs


5

Het onderwijs

Alle maatschappelijke en economische sectoren in

Hoe zeer de oudere generatie ook haar best doet om de nieuwe digitale taal te leren, het is niet te vergelijken met

Nederland moeten een antwoord vinden op de vraag hoe de moerstaal. Een 'accent' blijft bijna altijd hoorbaar. Veel de eigen beveiliging het beste vorm gegeven kan worden.

leraren worden geconfronteerd met digitale taalbarrières tussen henzelf en de leerlingen.

Iedere branche kent daarbij zijn eigen specifieke bijzonderheden die een aanpak op maat voorschrijven. Het

De uitdaging om te komen tot een praktisch en haalbaar beveiligingsbeleid in het onderwijs is dan ook groot, ook al

onderwijs vormt hierop geen uitzondering. De verschillen omdat de jongere generatie ondanks hun kennisvoorsprong tussen de sectoren primair onderwijs, voortgezet onder-

niet altijd in staat is de aanwezige gevaren volledig te overzien. Dit hoofdstuk geeft een eerste inzicht in de situ-

wijs en de beroepsonderwijs en volwasseneneducatie zijn atie in het onderwijs. Te zien is dat de meeste scholen dermate groot dat het een utopie is te denken dat sprake

anno 2006 beveiliging op de agenda hebben staan, maar nog niet altijd doordrongen zijn van de extra of bijzondere

kan zijn van één beveiligingsbeleid. aandacht die het vraagt. Terwijl het beveiligen van computers toch net even anders is dan het beveiligen van papieren persoonsgegevens of een gebouw. Wanneer er immers Denk bijvoorbeeld aan het verschil tussen een kleine een poging gedaan wordt om een deur of raam te forceren, basisschool op de hoek die alle beheeractiviteiten zelf

blijven er braaksporen achter. Wanneer iemand echter illegaal bij computergegevens probeert te komen, worden der-

uitvoert ten opzichte van de grote samenwerkingsverbangelijke braaksporen vaak niet opgemerkt en kan het misden die een professioneel beveiligingsbeleid voeren.

bruik dus veel langer onopgemerkt blijven. Het hoofdstuk is in belangrijke mate tot stand gekomen door de inbreng

Denk ook aan de sterk uiteenlopende gebruikersgroep. van Raoul Teeuwen, programmamanager Techniek & Beheer Aan de ene kant zijn daar de leerlingen en studenten die

bij Kennisnet Ict op School66.

opgegroeid zijn in een wereld vol digitale middelen. Haaks daarop staat het lerarenkorps dat veelal is opgegroeid in een tijdperk voor de digitale revolutie. Mark Prensky duidt dit verschil tussen beide groepen aan met de digital natives versus de digital immigrants65.

65) Prensky, M. (2001), Digital Natives, Digital Immigrants. 66) Teeuwen, R. (2003), School-infrastructuur: beveiliging verdient echt

aandacht!

49

50


5.1 De rolverdeling in de sectoren

In het voortgezet onderwijs is het beeld anders. Dit komt

In het primair onderwijs heeft beveiliging lang onvoldoende

met name doordat de gemiddelde school groter is en hier-

aandacht gekregen. Als er al iets aan gedaan werd, dan

door meer tijd, capaciteit en kennis heeft om het beveili-

gebeurde het vaak door een enthousiaste leerkracht die ICT

gingsbeleid vorm te geven. Bovendien is binnen het voort-

naast de eigenlijke functie uitvoerde. Deze persoon

gezet onderwijs de behoefte aan een overall beleid groter

fungeerde soms als ICT-coördinator, soms als systeem-

dan in het primair onderwijs het geval is. De meeste

beheerder en soms als beiden. Waar de coördinator zich

scholen hebben dan ook één of meer beheerders in loon-

vooral bezighoudt met het bedenken hoe ICT kan bijdragen

dienst die worden aangestuurd door een overkoepelende

aan het slagen van de school en dit vorm geeft door beleid

ICT-coördinator. Indien wordt overgegaan tot uitbesteding

te ontwikkelen, is de beheerder meer verantwoordelijk voor

van het geheel, hebben de grote dienstverleners de beste

de operationele gang van zaken. Hij bouwt netwerkkaarten

papieren. Voor een plaatselijke ICT-leverancier blijkt een

in, zorgt dat de juiste software geïnstalleerd is en controleert

dergelijke school in praktijk toch vaak te groot. Het gegeven

of het geheel virusvrij opereert. Bij de meeste scholen had-

dat het hierbij gaat om meerdere locaties die zelf zeggen-

den handige ouders of vrijwilligers een rol bij de invulling.

schap hebben over de invulling van het ICT-beleid, versterkt dit beeld. Naast deze partijen spelen ook de bestu-

De laatste jaren professionaliseert het primair onderwijs

ren een rol. Meestal wordt gekozen een bestuurslid verant-

zich. In toenemende mate gaan individuele scholen in

woordelijk te maken voor de component ICT. Elk jaar

grotere verbanden samenwerken. Dat kan onder de vlag

initieert deze persoon de inventarisatie van gewenste of

van één bestuur zijn of in clusters met scholen uit meerde-

benodigde investeringen en zoekt in samenwerking met de

67

re besturen . In dit laatste geval is er vaak voor gekozen

eerder genoemde (externe) systeembeheerder, de ICT-

om één of meerdere bovenschoolse ICT-coördinatoren aan

coördinator en de schoolmanager naar ruimte in de

te stellen. Dergelijke verbanden zijn interessant voor exter-

begroting.

ne dienstverleners die de beveiliging op zich willen nemen. De aangesloten scholen regelen zo op een relatief

In het voortgezet onderwijs breekt bij enkele instellingen

goedkope manier de beveiliging en hebben er verder wei-

de wet van de remmende voorsprong op. Liepen dergelijke

nig omkijken naar. Hierbij is het opvallend dat met name

instellingen een aantal jaren geleden voorop en imple-

de lokaal opererende dienstverleners actief zijn in het

menteerden beveiliging als één van de eersten in de eigen

primair onderwijs. Eigenlijk komen alleen de samenwer-

organisatie, tegenwoordig merken ze dat het niet altijd

kingverbanden met een grote geografische spreiding

even makkelijk is om voortdurend tijd en geld te reserveren

terecht bij de landelijk opererende dienstverleners.

om de beveiliging up-to-date te houden. Zeker als dit wordt afgezet tegen de instellingen die het geheel hebben

67) Op www.regiokaart.net treft u een overzicht aan van de samenwer-

kingsverbanden.

uitbesteed aan een externe dienstverlener. Door de regel hebben zij hierdoor op een relatief eenvoudige manier


toegang tot de meest recente expertise en beveiligingsmid-

5.2 Nader bekeken

delen. Eenmaal geïnitieerd beleid blijkt bij de voorlopers

Als meer in detail wordt gekeken naar de situatie op scho-

veelal moeilijk bij te draaien. Een drastische verandering,

len is een eerste aandachtspunt de financiering van het

als bijvoorbeeld het betrekken van nieuwe huisvesting,

beleid. Het mag geen verrassing zijn dat de meeste scholen

biedt in dit soort gevallen vaak een aanknopingspunt.

bijna geheel afhankelijk zijn van de bekostiging door het ministerie van OCW. Tot 2004 werd door het ministerie

In de beroepsonderwijs en volwasseneneducatie is het

aangegeven hoeveel geld voor ICT beschikbaar was. Af en

beeld vergelijkbaar met de situatie bij de grote instellingen

toe kwamen extra gelden vrij, bijvoorbeeld toen de scholen

in het voortgezet onderwijs. Wel valt op dat de ICT-coördi-

na 2003 een eigen internetprovider moesten kiezen. Met de

nator meestal geen functie in het beheer heeft. Er is sprake

invoering van de lumpsum is dit principe echter veranderd.

van een aparte afdeling systeem- en applicatiebeheer,

Scholen ontvangen hierbij één bedrag voor alle activitei-

waarbij de coördinator alleen taken heeft op het gebied

ten. Het ministerie specificeert niet langer hoe dat bedrag

van de ontwikkeling en uitvoering van het ICT-beleid. Dat

is opgebouwd. Dit moet een school meer vrijheid in het

betekent dat hij de docenten stimuleert en ondersteunt en

dagelijkse doen en laten geven. Het is echter maar de

een brugfunctie vervult tussen de technische afdeling en

vraag of de vergoeding voor ICT die deel uitmaakt van dat

de rest van de organisatie. De ICT-coördinator heeft in veel

ene bedrag wel de kosten dekt van het steeds maar groei-

gevallen een voorlichtende functie en is uitgegroeid tot een

ende gebruik en de hieruit voortvloeiende hogere kosten.

cruciaal verbindingsstuk in het gehele beleid. Hij is hier meer te zien als opdrachtgever vanuit de school, waarbij de

Van een andere orde is de discussie die op dit moment in

systeembeheerders, in- of extern, het beleid uitvoeren.

het voortgezet onderwijs wordt gevoerd of men, net zoals nu met de boekenlijst het geval is, de laptop verplicht

Tot slot wordt opgemerkt dat ook in het onderwijs vaak

moet gaan stellen. Indien hiertoe wordt overgegaan, heeft

wordt nagelaten een regelmatige inventarisatie te maken

dit belangrijke implicaties voor het beveiligingsbeleid.

van de waarde van de te beschermen gegevens of bezittin-

Zeker indien de laptops eigendom van de leerling zijn. Hoe

gen. Als men niet weet wat de te beschermen waarde is,

moet een school verantwoordelijkheid dragen over derge-

hoe kan men dan bepalen hoeveel geld de beveiliging mag

lijke apparatuur? Hoe is bijvoorbeeld te controleren dat op

kosten? Het op de agenda zetten van beveiliging is een

dergelijke laptops een goede firewall aanwezig is, dat er

eerste stap, de praktische uitvoering ervan is minimaal net

een deugdelijke virusscanner actief is die regelmatig is

zo belangrijk.

geupdate en dat de laptop niet vol staat met allerlei peer-to-peer-programma's die schadelijk kunnen zijn voor het totale netwerk? De principes van het self-defending network bieden mogelijk een oplossing. Elke keer dat een apparaat in deze situatie het netwerk op wil, vindt er een

51

52

controle plaats. Op het moment dat iets niet klopt, wordt de toegang geweigerd en wordt het betreffende apparaat direct naar een speciaal afgeschermd gedeelte geleid. Hier vind de gebruiker bijvoorbeeld de allerlaatste updates die hij kan downloaden om zodoende alsnog toegang tot het netwerk te krijgen. Het self-defending network staat echter nog in de kinderschoenen, het heeft tijd nodig voordat het op grote schaal in scholen geïmplementeerd kan worden.

De meeste scholen gebruiken de eigen computers zo lang mogelijk, in praktijk zo'n vier tot vijf jaar, soms zelfs langer. Bij de aanschaf zorgen veel scholen ervoor dat er groepen van identieke computers komen, zelfs in het geval als computers tweedehands worden aangeschaft. Lappendekens van computermerken en -types geven vanuit het beheersoogpunt veel problemen. Qua software leunt men op de relatief goedkope licenties die men respectievelijk via APS IT-diensten of SLB-diensten kan krijgen. Daar valt ook het gebruik van Microsoft besturingssystemen en -Office software onder. Veel scholen kiezen voor bewezen technologie en installeren liever een iets verouderde, maar stabiele en veilige versie. Zekerheid voor alles. Op servergebied wordt veelal WindowsNT en Windows2000 gebruikt, al komt Linux en Novell op de server steeds meer voor. In het primair onderwijs treft men overigens nog steeds stand-alone machines aan, ook al omdat hier vaak nog zeer geliefde oudere educatieve software op staat.

Zoals al eerder vermeld heeft het onderwijs te maken met een zeer bijzondere groep uiteenlopende gebruikers. De eerder genoemde tweedeling in digital natives en -immigrants zorgt er mede voor dat ouders en leraren zoekende zijn naar de manier waarop ze de jongere generatie


gebruikers wordt hierdoor verleid allerlei persoonlijke gegevens bloot te geven tot suggestieve fotoreportages of beelden van een webcam. Het nadenken of dit handig is, wordt achteraf gedaan. Dan is het echter vaak te laat, zeker als men zich realiseert dat eenmaal gepubliceerd materiaal moeilijk te verwijderen is.

het best kunnen begeleiden in de digitale wereld. Voor

Dit alles zorgt ervoor dat het onderwijs voor een moeilijke

veel opvoeders is die wereld een grote blackbox. Een

afweging staat. Aan de ene kant zijn daar de risico's van

onbegrijpelijk geheel van bits en bytes waar proactief

het gebruik van ICT en internet binnen de school.

ingrijpen bijna per definitie onmogelijk lijkt. Voor de leer-

Leerlingen hebben op bepaalde aspecten een grote voor-

ling is deze vrijheid heerlijk. Waarschijnlijk is dit zelfs één

sprong op de begeleiders en zijn zodoende in staat om

van de grote succesfactoren van het medium. Aan de

schoolsystemen te manipuleren ook door al dan niet

andere kant blijkt dat de leerling ook in die digitale wereld

bewust van virussen of spyware binnen te halen. Aan de

begeleiding vraagt. Welke zaken kunnen bijvoorbeeld wel

andere kant kan een school het zich niet veroorloven om

of niet op het internet, wat is illegaal, hoe moet gevonden

zich af te sluiten van het internet wil het de leerlingen

informatie beoordeelt worden en wat zijn de gevaren die

goed voorbereiden op de moderne kennismaatschappij.

loeren. Het zijn slechts enkele aspecten die belangrijk zijn

Niet alleen moeten leerlingen leren omgaan met het leven

in het creëren van een digitaal bewustzijn bij leerlingen.

in deze maatschappij met al haar digitale problemen, het

Dergelijke begeleiding kan bijna elke opvoeder bieden die

gebruik van voor leerlingen zeer motiverende middelen

zich wil verdiepen in de jongere generatie, digitale expert

binnen de les als streaming video, gaming, en videoconfe-

of niet. Denk terug aan de bijzondere relatie tussen Rinus

rencing heeft een zekere openheid als voorwaarde.

Michels en Johan Cruyff. Hoewel Michels lang niet zo goed kon voetballen als Cruyff, is Michels als coach van onschat-

De uitdaging voor elke school is dan ook om een balans te

bare waarde geweest in de ontwikkeling van de meester.

vinden tussen het enerzijds afsluiten van bepaalde gedeel-

Een opvoeder hoeft niet de gehele digitale wereld te kennen

ten van de school in het kader van het beveiligingsbeleid,

voordat hij de leerling kan helpen in zijn ontwikkeling.

terwijl de leerlingen anderzijds wél de kans krijgen om zich voor te bereiden op de uitdagingen van de kennismaat-

Het is belangrijk om de leerlingen te begeleiden in hun

schappij. Een voorwaarde hierbij is dat leraren en ouders

sociale ontwikkeling op dit vlak. Hierbij wordt het online

zich meer gaan verdiepen in de mogelijkheden van inter-

publicatie mechanisme overigens door velen onderschat.

net. Het in overeenstemming brengen van de belevings-

Veel online omgevingen richten zich op jongeren en stellen

wereld van leerlingen, leraren en ouders is een belangrijke

het eigen profiel centraal. Met name de jongere groep

eerste stap voor succes.

53

54


6 Kennisnet Ict op School


6

Kennisnet Ict op School

Een adequate beveiliging van het netwerk op scholen en instellingen is een randvoorwaarde voor het succesvol

6.1 Veiligheidsdiensten en -producten In de praktijk blijkt dat veel gebruikers onvoldoende op de hoogte zijn van onveilige situaties die kunnen ontstaan op

gebruik van internet en innovatieve ICT-diensten. Kennisnet faciliteert en stimuleert het online leren. En

het internet. Het gedrag is hierbij vaak een aandachtspunt. Wat doen leerlingen eigenlijk allemaal op internet en op welke wijze kunnen docenten ze begeleiden? Dit betekent

hoewel de verantwoordelijkheid voor het veilig omgaan

niet dat de techniekcomponent ondergeschikt zou moeten

met ICT en internet, zowel op het gebied van gedrag als

zijn. Om gebruikers te ondersteunen in het veilige gebruik van internet en ICT-toepassingen ontplooit Kennisnet een

techniek, bij de scholen zelf ligt, heeft Kennisnet heeft hier een signalerende rol en voelt het zich verantwoorde-

groot scala aan activiteiten, waar mogelijk met samenwerkingspartners. In deze paragraaf wordt een aantal van deze initiatieven belicht.

lijk om het onderwijs bewust te maken van de aanwezige veiligheidsrisico's en de maatregelen die mogelijk zijn.

• Bewustwordingscampagnes Om verschillende groepen gebruikers in het onderwijs

Het belang hiervan zal in de toekomst alleen nog maar toenemen. ICT is geen ondersteunende technologie, maar valt samen met het primaire proces. Het raakt in die zin

bewust te maken van het belang van een veilig gebruik van internet, zijn in samenwerking met SURFnet verschillende campagnes gestart. Zo worden in de campagne Laat je niet pakken! studenten van het middelbaar

het hart van het onderwijs68. De educatieve internetdiensten die Kennisnet biedt en die door het onderwijs

beroepsonderwijs en het hoger onderwijs bewust gemaakt van de maatregelen die zij zelf kunnen nemen om computers beter te beveiligen. In de campagne De

worden gebruikt, dienen veilig in het gebruik te zijn.

wereld ligt open. Wijst u ze de grenzen? worden leraren

Aan de ene kant gaat het hierbij om beveiliging op het

en ouders op de eigen verantwoordelijkheid bij het surfen, chatten en downloaden gewezen.

gebied van de techniek. Hoe blijft bijvoorbeeld gewaarborgd dat ongeautoriseerde gebruikers de toegang tot een dienst geweigerd wordt? Aan de andere kant moet de inhoud, van hetgeen aangeboden wordt, veilig zijn. Dit hoofdstuk beschrijft wat Kennisnet Ict op School biedt en onderneemt op het veiligheidsvlak.

68) Jacobs, F/Veen, W. (2005), Leren van jongeren.

55

56


• Portal veilig.kennisnet.nl

matie over nieuwe technieken die in de toekomst een rol

Leraren, maar ook ouders kunnen veel negatieve zaken

gaan spelen.

voorkomen door betrokken te zijn bij hetgeen kinderen op internet doen. Door regelmatig op internet te surfen

• Diploma Veilig Internet

blijven zij op de hoogte van de belangrijkste ontwikke-

Het Diploma Veilig Internetten is een lespakket om kinde-

lingen in de digitale wereld. Om dit eenvoudiger te

ren uit de groepen zes tot en met acht van het primair

maken is in het najaar van 2005 de website

onderwijs te leren veilig om te gaan met internet71. Het

veilig.kennisnet.nl gelanceerd69.

Diploma bestaat uit een lespakket voor leerlingen in de bovenbouw van het basisonderwijs en maakt kinderen

Deze website vat alles samen wat met het digitale veilig-

bewust van de risico's en het eigen handelen op internet.

heidsaspect verband houdt. Gebruikers uit alle sectoren kunnen hier terecht voor informatie, handreikingen en

In acht hoofdstukken worden diverse thema's behandeld.

links naar gepubliceerd materiaal. De website biedt zowel

Zoals het verstrekken van privé-gegevens, chatten, e-mail-

informatie over de technische kant van beveiliging als over

en, downloaden en digitaal pesten. Daarnaast wordt ook

het gedragsaspect. De komende tijd zal de website verder

aandacht besteed aan de houding achter de computer. Het

worden uitgebreid.

lespakket wordt afgesloten met een examen waarmee kinderen het Diploma Veilig Internetgebruik kunnen behalen.

• Workshopprogramma

De ervaring van de eerste twee jaren leert dat naast de pri-

Om gebruikers bekend te maken met veiligheid en bevei-

maire doelgroep (de leerlingen) ook de docenten veel leren

ligingsvraagstukken is in samenwerking met SURFnet een

over het onderwerp en hoe om te gaan met de materie in

70

workshopprogramma samengesteld . De workshops en

de klas. Daarnaast wordt het als waardevol ervaren, dat

cursussen zijn voor een brede doelgroep: denk aan lera-

door deel te nemen aan het Diploma, het onderwerp

ren, ICT-coördinatoren, leerlingen en studenten uit de

bespreekbaar is geworden in de klas.

diverse sectoren, maar ook aan ouders van leerlingen uit het primair - en voortgezet onderwijs.

Het diploma is ontwikkeld vanuit een samenwerking tussen de eigen stichting, het ministerie van Economische Zaken,

Het workshopprogramma gaat in op het aspect gedrag bij

de Stichting Technika 10 Nederland en de stichting

beveiliging en op de technische mogelijkheden om risico's

Kinderconsument.

te beperken. Leerkrachten en ouders ontvangen informatie over hoe leerlingen verstandig kunnen omgaan met internet en computers en de mogelijkheden en de gevaren

69) Zie www.veilig.kennisnet.nl

worden belicht. ICT-coördinatoren leren wat er komt kijken

70) Zie: www.surfnetkennisnetproject.nl/cursussenenworkshops.

bij het inrichten van een veilig netwerk en krijgen infor-

71) Zie: www.diplomaveiliginternet.nl.


6.2 Maatschappelijke verantwoordelijkheid

Een WARP heeft de vorm van een community en wordt

Naast de bovengenoemde beveiligde diensten en prakti-

geleid door leden die afkomstig zijn uit de sector waarvoor

sche ondersteuning voor een veilig gebruik van internet,

de WARP is opgericht. De leden zijn onder meer verant-

voelt Kennisnet als publieke organisatie de verantwoorde-

woordelijk voor het selecteren en aanboren van informa-

lijkheid bij te dragen aan het bewustzijn over beveiliging

tiebronnen. De WARP's zijn verbonden met andere security

en veiligheidsrisico's buiten de eigen diensten en organi-

teams zoals de CERT of Waarschuwingsdienst. Maar ze kun-

satie. Ook dit heeft geleid tot een aantal initiatieven,

nen hun informatiebronnen ook bij bepaalde softwarele-

waarvan in deze paragraaf enkele de revue passeren.

veranciers vandaan halen. De rol van een WARP is het maken van threat asessments, het uitwisselen van kennis

• Onderwijs WARP

en ervaringen en het identificeren van trends en lekken.

Al eerder in deze publicatie is ingegaan op de zogenaamde Computer Emergency Response Teams (CERT) en

In de loop van 2006 voert Kennisnet een inventarisatie

Waarschuwingsdiensten. Deze diensten waarschuwen

uit naar voorbeelden van WARP's in binnen- en

overheidsorganisaties en individuele burgers tegen com-

buitenland. In samenwerking met GOVCERT.NL en de

putervirussen en lekken in software. Voor maatschappelij-

Waarschuwingsdienst.nl, het NICC en SURFnet wordt vervol-

ke organisaties waren tot nu toe nog geen voorzieningen

gens een pilot gestart met een groep scholen72. Scholen

op dit gebied beschikbaar. In navolging van succesvolle

vormen voor een WARP namelijk een interessante doel-

initiatieven in Groot-Brittannië wordt nu ook in Nederland

groep, ze hebben dezelfde kenmerken en lopen immers

een WARP opgezet. Een dergelijke Warning, Advice &

tegen dezelfde soort problemen aan. Onderwijsinstellingen

Reporting Point bestaat uit een groep van organisaties die

kennen grote aantallen gebruikers, die veelal minderjarig

op een overeenkomstige wijze hun processen en systemen

zijn. Daarnaast bestaat er binnen de instellingen een sterke

ingericht hebben en biedt een netwerk voor het delen van

behoefte aan specialistische kennis over beveiliging op het

informatie. Dit moet de aangesloten instellingen helpen

gebied van ICT en het gebruik van internet.

bij het verbeteren van hun veiligheidsmaatregelen. Door de grote hoeveelheid beschikbare informatie over vele ver-

De pilot wordt In het schooljaar 2006/2007 gestart, in eerste

schillende beveiligingsonderwerpen, is het voor gebruikers

instantie bij instellingen voor voortgezet onderwijs en

niet altijd eenvoudig belangrijke boodschappen van min-

beroepsonderwijs en volwasseneneducatie voor de duur

der belangrijke zaken te onderscheiden. Een WARP filtert

van één jaar. De pilot richt zich op ICT-coördinatoren en

de informatie en zorgt ervoor dat de leden alleen die

systeembeheerders en heeft als doel het onderzoeken van

informatie krijgen die voor hun situatie relevant is. Op deze manier kan een ICT-coördinator of systeembeheerder

72) Achtereenvolgens bereikbaar onder: www.govcert.nl,

die is aangesloten bij een WARP gerichter aandacht geven

www.waarschuwingsdienst.nl, Programma Nationale Infrastructuur

aan beveiligingszaken in een onderwijssetting.

Cybercrime en www.surfnet.nl.

57

58


de toegevoegde waarde van het WARP concept in

kennismaken met de positieve en negatieve aspecten van

Nederland. Op basis van de resultaten zal een haalbaar-

de digitale wereld en ze spelenderwijs leren hoe ze zich in

heidsstudie voor een mogelijke verdere uitrol van WARP's

die wereld het best kunnen gedragen. Bij het maken van

buiten het onderwijsveld worden opgesteld.

de DigiQuest zijn veel marktpartijen en jongerenmedia betrokken die bekendheid zullen geven aan de online

• Campagne Digibewust Nederlanders moeten zich bewust worden van de geva-

speurtocht. Vooraf wordt de DigiQuest uitgebreid getest en beoordeeld door de DigiRaad.

ren die kleven aan het gebruik van digitale middelen. Dat vinden meerdere organisaties in Nederland en om hier uiting aan te geven hebben een groot aantal partijen een intentieverklaring getekend om het digibewustzijn in Nederland te bevorderen. Naast de eigen stichting zijn dat de ANWB, de Consumentenbond, het ministerie van Economische Zaken, ECP.NL, KPN, Microsoft, TPG Post, VNO-NCW en de Waarschuwingsdienst. In de komende periode zal naar verwachting het aantal partijen dat zich bij het initiatief aansluit toenemen.

De Digibewust publiekscampagne is een belangrijk onderdeel van het driejarige programma Digibewust73. Eén van de activiteiten binnen de campagne Digibewust is de DigiRaad, een initiatief voor en door jongeren van 12 tot 18 jaar. De DigiRaad gaat de minister van Economische Zaken adviseren over hoe hij het internet voor jongeren veiliger kan maken. Ook toetst zij nieuwe ideeën zoals filmpjes, quizzen, games en websites. Zo wordt geborgd dat de jongere generatie betrokken blijft en dat de aansluiting behouden wordt bij de belevingswereld en informatiebehoefte van jongeren.

Een andere activiteit van Digibewust is de DigiQuest. Dit is een professioneel opgezette digitale speurtocht voor jongeren op internet, waardoor zij op een interactieve manier

73) Zie: www.digibewust.nl.


6.3 Beveiliging van bestaande diensten

analyse) bijgesloten. Deze kunt u gebruiken om in uw

Voor het aanbieden van haar innovatieve internetdiensten

eigen situatie een eerste inventarisatie uit te voeren.

aan het onderwijs maakt Kennisnet gebruik van nieuwe en complexe technologie. Dit mag geen invloed hebben op de

Een tweede hulpmiddel is de Kennisnet Security Policy.

betrouwbaarheid van de dienstverlening. Zo moeten deze

Dit document bevat de organisatorische en technische

diensten bestand zijn tegen hackpogingen. In deze

eisen waar Kennisnet diensten aan moeten voldoen. Het

paragraaf wordt inzicht geboden in het eigen veiligheids-

document is gebaseerd op de internationale ISO17799 Code

beleid van Kennisnet, beginnend bij de risicoanalyse.

voor Informatiebeveiliging. De Security Policy heeft twee doelgroepen, projectteams en beheerleveranciers. De eerste

De analyse van risico's

groep gebruikt het document bij het ontwikkelen van

In het in 2004 opgestelde beveiligingsbeleid wordt op

nieuwe diensten. Met beheerleveranciers worden op basis

beleidsniveau gedefinieerd hoe de organisatie omgaat met

van dit beleid afspraken gemaakt over het beheer van

beveiliging en wat wel en niet wordt geaccepteerd. Een

diensten.

belangrijk uitgangspunt is dat binnen Kennisnet de eigenaar van de informatie of van het systeem zelf

Continu proces

verantwoordelijk is voor de beveiliging ervan.

Beveiliging is geen eenmalige actie, maar een continuproces. Daarom is het nodig dat voortdurend wordt

Om te bepalen wat een afdoende beveiliging is, is

gecontroleerd of de diensten nog voldoen aan de vast-

een aantal hulpmiddelen ontwikkeld waaronder de

gestelde classificatie. Daarvoor zijn binnen Kennisnet

risicoanalyse methode en de Kennisnet Security Policy.

diverse processen geïmplementeerd:

Met behulp van de risicoanalyse wordt het risicoprofiel

• Tijdens de ontwikkeling van een dienst bespreekt de

van een specifieke dienst bepaald. Dit wordt gedaan aan

Security Officer met de eigenaar van de dienst en het

de hand van vragenlijsten die worden ingevuld door de

projectteam de te nemen beveiligingsmaatregelen.

eigenaar van de dienst, in Kennisnet context vaak de

• Afhankelijk van de classificatie wordt bij oplevering een

productmanager. Het doel van de vragenlijsten is te

lichte of zware beveiligingsaudit uitgevoerd. Dit kan

bepalen welke risico's Kennisnet loopt als er iets met de

intern worden uitgevoerd, maar er kan ook een externe

dienst gebeurt. Denk bijvoorbeeld aan financiële schade

auditor worden ingehuurd.

op het moment dat gegevens in verkeerde handen vallen.

• Periodiek worden checklists afgelopen om te controleren

Het resultaat is een zogenaamde CIA-classificatie voor de

of de diensten nog steeds voldoen aan de beveiliging-

dienst. De term CIA is afgeleid van de drie pijlers van

seisen.

beveiliging: Confidentiality (vertrouwelijkheid), Integrity (integriteit) en Availability (beschikbaarheid). Een exemplaar van deze risicoanalyse is als bijlage (bijlage B: Risico-

• Ad hoc worden door de Security Officer onaangekondigd controles uitgevoerd.

59

60

Afhankelijk van de ernst van een eventueel geconstateerd probleem wordt besloten welke oplossing vereist is.

Afhandeling van incidenten Kennisnet heeft maandelijks gelukkig te maken met een relatief klein aantal beveiligingsincidenten. Negentig procent van deze incidenten heeft betrekking op klachten over content die door gebruikers geplaatst is en beschermd wordt door het copyright. Met name bij de dienst Websitemaker waarin gebruikers worden uitgedaagd een eigen website te maken komt dit veelvuldig voor. Daarnaast zijn er klachten over pesten, bijvoorbeeld in gastenboeken of op het forum. De overige incidenten zijn ernstiger en hebben te maken met beveiligingslekken die met spoed moeten worden opgelost.

Beveiligingsincidenten worden binnen Kennisnet apart geregistreerd en met voorrang behandeld. Afhankelijk van de omvang en de ernst van het incident wordt het geheel afgehandeld door de Servicedesk, doorgezet aan de applicatiebeheerders en gemeld aan de Security Officer. De betrokken partijen bepalen vervolgens samen met de beheerleveranciers van Kennisnet welke actie nodig is. Dit kan variëren van het 'patchen' van een server tot, in uiterste gevallen, het tijdelijk uitzetten van een dienst totdat er een oplossing is. Bij ernstige incidenten, zoals hackpogingen of herhaaldelijk pesten van andere gebruikers, kan besloten worden om via de logfiles van de dienst informatie op te zoeken over de dader, zoals het IP-adres, de datum en het tijdstip. Met deze informatie kan contact worden opgenomen met de Internet provider van de dader om samen te bepalen welke maatregelen getroffen kunnen worden. In deze gevallen wordt vaak de hulp van SURFnet


CERT ingeroepen omdat deze beschikt over speciale experti-

hing websites gemaakt om gebruikersnamen en wacht-

se en contacten met Internet providers.

woorden van niet oplettende medegebruikers te ontfutselen. In de Websitemaker context gaat het dan met

• Het Platform Content en Diensten

name om phishing websites die zich richten op grote

Kennisnet beschikt met het Platform Content en Diensten

online games als Runescape of op bekende diensten als

(PCD) over een geavanceerd en grootschalig internet

het Habbo hotel. Een andere vorm van misbruik is het

dienstenplatform. In dit platform zijn diverse beveili-

volgooien van het gastenboek van een andere

gingsmaatregelen genomen. Een belangrijk uitgangspunt

Websitemaker gebruiker met pesterij of laster.

in de beveiliging is hierbij dat de diensten zoveel mogelijk van elkaar worden gescheiden. Daardoor wordt het

Kennisnet heeft in de nieuwste versie van de Websitemaker

moeilijker voor een hacker om, als een zwakke plek is

dan ook diverse maatregelen getroffen om dit soort inci-

gevonden, via die plek ook andere diensten te hacken.

denten te voorkomen. Ook al omdat het heel moeilijk is om proactief alle vele tienduizenden websites te bekijken.

Een tweede belangrijk uitgangspunt is dat de dienst zelf zo

Zo is uitgebreid getest of het mogelijk is om iemands web-

goed mogelijk is beveiligd. Dat betekent dat tijdens het

site over te nemen zonder wachtwoord, worden uitgebrei-

ontwikkelen van de dienst rekening wordt gehouden met

de logfiles bijgehouden zodat 'pesters' makkelijk zijn te

beveiligingseisen, via het beveiligingsbeleid. Maatregelen

achterhalen en is een gebruikersvriendelijke beheerinter-

zijn bijvoorbeeld dat alle gebruikersinvoer wordt gecontro-

face gemaakt waarmee het eenvoudig is om illegale websi-

leerd en dat servers goed worden beveiligd. Ook wordt het

tes te blokkeren na klachten. Ook heeft Kennisnet afspra-

gebruik van de dienst geregistreerd in de eerder genoemde

ken gemaakt met de eerder genoemde aanbieders die last

logfiles die zorgen dat achteraf altijd kan worden geanaly-

ondervinden van de phishing websites. In de toekomst

seerd wat er is gebeurd en wie dat heeft gedaan.

zullen zij klachten over illegale websites en copyrighted content direct doorsturen naar Kennisnet zodat Kennisnet

• Websitemaker Met de Websitemaker kunnen leerlingen zonder enige html-kennis in zeer korte tijd eigen websites maken74. Dit laagdrempelige karakter heeft een zeer grote aantrekkingskracht op de veelal jongere gebruikers. Inmiddels hebben al vele tienduizenden gebruikers een eigen website gemaakt en live gezet. Helaas wordt de Websitemaker dienst ook veel gebruikt door mensen met minder goede bedoelingen. Zo worden relatief veel phis-

74) Zie www.websitemaker.nl.

snel actie kan ondernemen tegen het misbruik.

61

62


7 De praktijk


7

De praktijk

Nu in de voorgaande hoofdstukken het totale palet van

In bijna alle gevallen zullen de kosten voor de laatste procenten veiligheid niet in verhouding staan met de mogelij-

het thema is verduidelijkt, is het interessant om te kijken ke schade. Toch blijft het een complexe materie, die per hoe het geheel in de onderwijspraktijk gebracht zou

situatie sterk zal verschillen. Het is dan ook niet mogelijk om één overall blauwdruk te geven van het beveiligings-

kunnen worden. Al eerder is gemeld dat veel scholen vraagstuk in de onderwijspraktijk. Elke beveiliging zal op onterecht denken dat er niets belangrijks te beveiligen

basis van de specifieke kenmerken ter plaatse moeten worden opgezet. Om toch een eerste inzicht te geven in moge-

valt. Denk alleen maar aan situaties waarin de onvollijk beleid, wordt in dit hoofdstuk gekeken naar de invuldoende voor Engels plotseling is veranderd in een vol-

ling die de Meerwegen scholengroep aan beveiliging heeft gegeven. Daarnaast wordt kort stilgestaan bij de mogelijk-

doende. Of erger nog, opeens heeft iedere medewerker heden die contentfiltering een school zou kunnen bieden. inzage in het complete personeelsdossier inclusief beoordelingen en berispingen75. Denk echter ook aan de

Dit hoofdstuk is in belangrijke mate tot stand gekomen door de inbreng van kamergenoot Harry Dubois die als IT-

mogelijkheid dat kwaadwillenden systeemuitval forceren

medewerker werkzaam is bij de Meerwegen Scholengroep en Jerry van de Leur, de Security Officer van Kennisnet die

tijdens belangrijke momenten zoals tests of examens of gereageerd heeft op de keuzes van de scholengroep. aan de vele kwetsbare verbindingen van de school met de buitenwereld.

Het mag duidelijk zijn, ook het onderwijs heeft behoefte aan een goed doordacht en opgezet beveiligingsbeleid. Bij het opstellen en uitvoeren van dit beleid gaat het om het terugbrengen van risico's tot een aanvaardbaar niveau. Honderd procent veilig is bijna niet mogelijk en vaak ook niet nodig.

75) Onderwijsmagazine (2005), Pas op: hackers!

63

64


7.1 Computerbeveiliging in een school

Hier is het 'verdeel-en-heers' principe toegepast. Door

De Meerwegen scholengroep verzorgt voortgezet onderwijs

gebruikers te scheiden in aparte netwerksegmenten en sys-

in Amersfoort, Bunschoten en Nijkerk. Het aanbod bestaat

temen kunnen deze op basis van de eigen individuele ken-

uit gymnasium, atheneum, havo, vmbo en praktijkonder-

merken op maat beveiligd worden. Tegelijkertijd wordt

wijs. Daarnaast is de Centrale Opvangvoorziening voor

hierdoor het beheer vereenvoudigd. Als alle gebruikers in

anderstaligen verbonden aan de school. In de onderstaan-

één omgeving zitten, ontstaan na verloop van tijd vaak

de kenschets wordt gekeken naar de situatie zoals deze op

uitzonderingen. Zoals gebruikers die tijdelijk toegang heb-

één van de vestigingen, het Corderius College, aanwezig is.

ben gekregen tot bepaalde informatie, maar waarbij men vergeten is deze rechten weer aan te passen naar de

In de school is een honderd Mb netwerk aangelegd,

beginsituatie. Het 'verdeel-en-heers' principe is een goed

met een duizend Mb backbone van glas. De school

uitgangspunt bij het ontwerp van netwerken en systemen.

bezit ongeveer driehonderdtwintig pc's en zeven

Door gebruikers geen toegang te geven tot bepaalde delen

servers. Het netwerk draait op één Windows2003-

van het netwerk en bepaalde servers, bijvoorbeeld die van

domeinstructuur. Leerlingen en zakelijke gebruikers

de leerlingenadministratie, wordt een extra barrière voor

zitten in een aparte zogenaamde organisational unit.

potentiële hackers opgeworpen.

Het zakelijk en leerlingennetwerk is fysiek van elkaar gescheiden. Beide netwerken gebruiken een eigen IP-

Wel is het van belang dit principe volledig en zorgvuldig

range, gescheiden door switches. Daarnaast is er een

door te voeren. Eén klein gaatje kan er verantwoordelijk

aparte fileserver voor de leerlingen en de zakelijke

voor zijn dat hackers toch toegang krijgen tot het gehele

gebruikers. Voor de leerlingen is er nog een aparte

systeem of netwerk. Denk hierbij ook aan draadloze net-

server voor de opslag van hun eigen bestanden in de

werken die toegang geven tot het docentennetwerk of aan

vorm van een persoonlijke gebruikersmap.

een webinterface op de schooladministratie server waarop leerlingen de roosters kunnen bekijken via internet. Het is noodzakelijk de systemen in het 'veilige' netwerk goed te beveiligen en regelmatig te controleren of de beveiliging nog op orde is.

De maximale opslagcapaciteit is tien Mb. Deze mappen worden regelmatig gecontroleerd op 'verdachte bestanden', zoals bestanden met een *.exe extensie. Denk hierbij aan games, maar ook aan bestanden die gebruikt kunnen worden bij netwerkhacking.


Het beperken van de diskquota is met name effectief bij

Naast het hebben van een eigen, persoonlijke map,

het voorkomen van het opslaan van grote bestanden

beschikken zowel leerlingen als personeelsleden over

gevuld met illegale content als MP3-, video en games. Door

een eigen login naam. De wachtwoorden voor de

het scannen van bestanden kunnen snel en effectief virus-

nieuwe leerlingen worden willekeurig gegenereerd en

sen en andere verdachte bestanden onderschept en

aan het begin van het schoolseizoen aan hen kenbaar

behandeld worden.

gemaakt. Na succesvol inloggen, vraagt het systeem om het ingegeven wachtwoord direct te wijzigen. Twee

De servers staan in een aparte, afgesloten en gekoelde

keer per jaar zijn gebruikers verplicht het wachtwoord

ruimte, centraal gelegen in het gebouw.

te wijzigen.

Internet komt binnen via de ADSL/SDSL verbindingen. Aan de routers van deze breedbandverbinding zitten Linux firewalls. Deze draaien op Clarkconnect, een kant en klare firewalldistributie die eenvoudig te beheren is met behulp van een browser. Op de firewall is een contentfilter actief. Aan actieve black- en of whitefiltering wordt niet gedaan.

Intern is een webserver aanwezig (IIS). Deze staat achter een tweede firewall in de DMZ. Een DMZ, of demilitarized zone, is een netwerksegment dat zich tussen het interne en externe netwerk bevindt. Op de webserver draait de server die via de firewall een 'onzichtbare' koppeling heeft met de schooladministratie.

Met firewalls is het mogelijk te bepalen welk netwerkverkeer mogelijk is tussen de verschillende netwerksegmenten en welke rechten gebruikers wel of niet hebben voor het verkeer tussen de netwerksegmenten.

65

66


Het regelmatig aanpassen van wachtwoorden verkleint de kans dat deze bekend worden bij anderen. Er is veel gezegd en geschreven over veilige wachtwoorden en het is iedereen nu wel duidelijk dat de naam van zoon of dochter geen goede keuze is. Maar wat is wel een goed wachtwoord? In het algemeen geldt dat een goed wachtwoord moeilijk te raden is door mens en machine. Kwaadwillenden proberen wachtwoorden vaak te raden door slim na te denken en zoveel mogelijk informatie te vergaren over de betreffende persoon: hoe heten man/vrouw, kinderen, huisdieren, kenteken van de auto of geboortedata. Machines daarentegen gebruiken vaak brute kracht en schromen niet om een volledig woordenboek uit te proberen. Combinaties van hoofdletters, letters, cijfers en leestekens maken een wachtwoord moeilijker te achterhalen. Tot slot zou in principe het wachtwoord iedere paar maanden veranderd moeten worden.

De werkstations draaien op Windows (2000, XP-SP2). Het werkstation bezit de laatste security updates en virusscanners. Additionele beveiliging wordt door middel van group policies uitgevoerd. Zo ontbreekt de mogelijkheid om via Start de optie Uitvoeren programma's te starten. Verder loggen de computers automatisch om 18.00 uur uit en kunnen de leerlingen niet na dit tijdstip inloggen door een tijdsblokkering. Nog een belangrijk detail: de biosinstellingen zijn beveiligd met van een wachtwoord.


Door het instellen van een tijdsblokkering wordt voorko-

7.2 Contentfiltering

men dat leerlingen of anderen buiten schooltijden van

Contentfiltering is een reactie op het steeds meer vervuilde

buitenaf via een hack toegang krijgen tot systemen op

internet en wordt vaak toegepast om het gebruik van

momenten dat het toezicht ontbreekt. Het beveiligen van

internet te beperken tot de absolute noodzaak. Het filter

de biosinstellingen zorgt ervoor dat leerlingen geen

wordt zo als aanvulling op de firewall gebruikt waardoor

mogelijkheid krijgen om het systeem zelf of de standaard

ongewenste zaken tegengehouden kunnen worden. Hoewel

Windows omgeving aan te passen.

filtering ook kan worden toegepast in de strijd tegen diverse vervelende scripts en Java programma's, wordt in deze

In de school is een draadloos netwerk aanwezig. De

onderwijsinhoudelijke context met name gedoeld op de

accesspoints in het leerlingengedeelte gebruiken WEP-

filtering van tekst en websites. Het doel hierbij is om een

encryptie. Gebruikers van de zakelijke accesspoints

veilige omgeving voor alle gebruikers te garanderen.

moeten op deze punten aangemeld zijn via een Macadres. Er zal in de toekomst een apart draadloos net-

Het aan de EO gelieerde Filternet is één van de Nederlandse

werk komen, het zogenaamde derde netwerksegment.

aanbieders van content filtering76. Gestart in 2000 biedt het

Gebruikers hebben dan alleen de mogelijkheid tot het

in abonnementsvorm filtering aan. Naast de aansluiting die

benaderen van internet. Voor opslag van documenten

Filternet zoekt bij bestaande technologie, ontwikkelt ze ook

en het aanbieden van toetsen zal een elektronische

zelf technologie om het geheel te optimaliseren. Op basis

leeromgeving gebruikt worden.

van een aantal categorieën die uiteenlopen van obsceen en smakeloos tot anarchistisch wordt als volgt gefilterd:

Een draadloos netwerk moet altijd beveiligd worden, omdat het anders erg eenvoudig is van buitenaf, bijvoor-

• Stap 1 Centrale database

beeld vanaf de parkeerplaats naast de school, toegang te

Speciale software speurt ongewenste sites op en plaatst

krijgen tot het netwerk. Opgemerkt wordt dat het netwerk

deze in een centrale database. Hierin zijn inmiddels mil-

ook hier weer slim wordt opgedeeld in segmenten.

joenen websites geplaatst en dit aantal groeit dagelijks.

76) Zie ook: www.eo.nl/portals/filternethome.jsp.

67

68

Dit om te borgen dat de filtering actueel en de kwaliteit zo hoog mogelijk blijft. Tijdens het verblijf op internet wordt de database elke milliseconde geraadpleegd. Meer dan 95% van de content die in het algemeen als ongewenst beschouwd wordt, bevindt zich in deze database.

• Stap 2 Online check Als de website of url die gezocht wordt niet in de centrale database voorkomt, volgt een extra controle. Dit wordt gedaan door een techniek die razendsnel de inhoud van de gezochte pagina beoordeelt op een groot aantal criteria. Er wordt hierbij gebruik gemaakt van 'neurale netwerktechnologie'.

Het werken met contentfiltering heeft uiteraard voordelen. Niet alleen wordt de argeloze gebruiker beschermd tegen allerlei ongewenste content, door gebruik te maken van het filter wordt tevens geborgd dat de gebruiker geen tijd verspilt met het bezoeken van onzinnige websites. Niets is hinderlijker dan na een zoekopdracht eerst allerlei onbedoelde websites weg te moeten klikken. Contentfiltering heeft echter ook gevaren. Zoals al eerder bleek in het voorbeeld van Dick Whittington kan een te strak ingesteld filter er verantwoordelijk voor zijn dat belangrijke informatie ten onrechte wordt geblokkeerd. Hoewel dit probleem deels wordt opgelost door vrijheid te geven aan gebruikers bij het instellen van het filter, blijft het instellen van de strakheid van het filter een moeilijke aangelegenheid.

Het gebruik van een filter ontslaat dan ook niemand van de verantwoordelijkheid zelf op te blijven letten. Honderd procent veiligheid wordt ook door contentfiltering niet geboden. Dit werd onlangs onderstreept door toenmalig staatssecretaris Van der Laan die het verzoek om het ver-


plicht stellen van filtering op scholen afwees. Van der Laan zag het als betutteling en vond dat wie een computer had aanschaft best in staat was daar desgewenst zelf een filter bij te kopen. In eerste instantie is het aan de ouders om grenzen te stellen wat kinderen op de computer doen, niet aan het filter77.

In het algemeen kan worden gesteld dat contentfiltering een waardevolle component kan zijn in het gehele beveiligingsplan. Alle gebruikers, de student, de leraar of de ouder, moeten zich echter wel blijven realiseren dat er gevaren aan verbonden zijn én dat het falen of slagen van het totale beleid ook met een filter sterk afhankelijk is van het eigen gedrag. Het blijft belangrijk de eigen verantwoordelijkheid bespreekbaar te maken78.

77) Nu.nl (2006), Staatssecretaris voelt niets voor verplicht filter. 78) Meer achtergrondinformatie over contentfiltering is te vinden op:

www.ictopschool.net/snel/filter.

69

70


8 De toekomst


8

De toekomst

Al eerder is in deze publicatie uiteengezet welke ongemakken een gemiddelde gebruiker moet overwinnen om op de digitale snelweg te overleven. Virussen, wormen, Trojaanse paarden en wat al niet meer bedreigen elke gebruiker die niet voldoende oplet. Hoewel veel van de problemen een logisch gevolg zijn van de fase in het proces naar volgroeiing, moet toch worden afgevraagd hoeveel tijd het medium in de huidige vorm krijgt, zenuwstelsel van de samenleving of niet. Kijk bijvoorbeeld naar een belangrijke toepassing als e-mail. Gebruikers zijn het zat om elke dag overspoeld te worden met bergen spam en stappen steeds meer over op andere Ook al omdat technische vooruitgang de mogelijkheden vormen van communicatie.

voor de kwaadwillenden evenredig vergroot. Het is minstens zo belangrijk de blik te richten op de mens in zijn doen en laten. Het gaat hierbij met name om het gegeven

De komende periode zal van doorslaggevend belang zijn.

een ieder bewust te laten worden van zijn eigen positie in de omgeving en zich hiernaar te laten gedragen.

Het zullen de jaren worden waarin het medium zich zal zich moeten bewijzen en zal moeten aantonen dat het in

Op de langere termijn is de vervlechting van de fysieke en virtuele wereld zeer interessant. Kijkend naar de jongere

staat snel genoeg te volgroeien om de centrale functie in generatie wordt al een klein tipje van de nieuwe mogelijkde samenleving te blijven vervullen. Uiteraard is het hier-

heden opgelicht. Deze generatie heeft beide werelden geïntegreerd in het dagelijkse doen en laten en ervaart

bij van belang om technisch te innoveren. Echter, al eerbeide als even kostbaar en diepgaand. Over een aantal jaar der bleek dat een te eenzijdige focus op de techniek niet

zal het de gewoonste zaak van de wereld om naast de fysieke identiteit één of meerdere virtuele identiteiten te

voldoende rendeert. bezitten. Dit zal vele gevolgen hebben, ook op veiligheids-

71

72


gebied. Hoe beheert men deze verschillende identiteiten en voorkomt men dat specifieke persoonlijke gegevens bij verkeerde partijen in handen komt? Goed identiteitsmanagement zal bijdragen aan het volwassen maken van het internet.

8.1 De komende jaren Aan het begin van 2006 bood de Consumentenbond aan de Tweede Kamer een petitie aan vergezeld van duizenden handtekeningen. Onder het mom van 'wij vinden dat

De Consumentenbond snijdt een zeer interessant punt aan.

beveiliging standaard bij digitale producten en diensten

Waarom is de gang van zaken in de ICT-branche nog zoveel

'in moet zitten', net als autogordels in een auto' deed de

anders in vergelijking tot andere branches? En waarom

bond een dringend verzoek aan de politiek om mee te

maakt het aspect veiligheid niet gewoon een standaard

denken aan een oplossing rond de veiligheidsproblematiek

onderdeel van het pakket uit? Net zoals de burger mag ver-

op de digitale snelweg.

trouwen dat een pas aangeschafte auto goed werkende gordels, kreukelzones en remmen heeft, lijkt het vrij

Volgens de Consumentenbond ligt de verantwoordelijkheid

logisch dat een gebruiker dit vertrouwen ook moet kunnen

voor de veiligheid tegenwoordig nagenoeg volledig bij de

hebben bij een net aangeschafte computer.

gebruiker en die kan hier niet mee omgaan. Hij verdwaalt in het grote aanbod van producten en voelt zich meer en

Al eerder is aangestipt dat de hedendaagse problemen te

meer verloren. En in het uitzonderlijke geval dat de gebrui-

maken hebben met de mate van volwassenheid van het

ker toch de juiste beveiligingssoftware heeft gevonden en

medium. Denk hierbij terug aan de verwijzing naar de

kan installeren, betekent dit helaas nog lang niet het einde

situatie in de auto-industrie in de jaren zestig en het boek

van de problemen. Het onderhouden van een goede bevei-

Unsafe at any speed van Ralph Nader. Daarbij geldt ook

liging geeft net zoveel problemen als het opzetten ervan.

hier dat de werkelijke oorzaak van het denken in compo-

Dat de kwaliteit van de aangeboden beveiligingsproducten

nenten in het verleden ligt. Tot ver in de jaren negentig

per jaar sterk kan verschillen helpt hierbij niet. Uit onder-

was het zeer begrijpelijk en houdbaar dat de ICT-branche

zoek van de bond blijkt dat het kwaliteitsniveau van bevei-

dacht vanuit deze gedachte. Het bediende een groep

ligingsproducten sterk over de jaren heen kan verschillen.

gebruikers met een hoog kennisniveau die zeer diverse

Een product dat het ene jaar als beste getest wordt, kan het

wensen hadden. Service op maat was de succesvolle

daaropvolgende jaar ver onder de maat scoren. Hoe dan

benadering. Zo ontstonden er verschillende partijen voor

ook, de gebruiker moet continu volledig gericht zijn op de

componenten als hardware, kantoortoepassingen, data

eigen beveiliging, want zelfs de kleinste verslapping van de

opslag en beveiliging. De gebruiker was in staat om dat

aandacht kan tot gevolg hebben dat de eigen hard- en

pakket samen te stellen dat het beste recht deed aan de

software volledig onbruikbaar raken.

eigen wensen.


Met de grote doorbraak van het internet in de laatste jaren

Leveranciers zullen dit, voor zover dit nog niet de normale

is de situatie veranderd. Er zijn steeds meer gebruikers

gang van zaken is, in de operationele gang van zaken

bijgekomen die in een steeds kleiner wordend aantal

moeten integreren. Zij hebben daarin geen keuze. De

klantsegmenten onder te verdelen zijn. Bovendien is het

steeds mondiger wordende gebruiker zal deze houding

kennisniveau van de gebruiker drastisch verlaagd. De

simpelweg opeisen. Leveranciers die blijven werken vanuit

gebruiker is niet meer de systeembeheerder die zich moei-

de oude componentengedachte zullen afgerekend worden

teloos voortbeweegt in de ICT-wereld. Voor veel gebruikers

op deze reactieve houding. Het is echter een misverstand

is het geheel één grote blackbox. De componentengedachte

te veronderstellen dat alles op de leverancier afgeschoven

is dan ook sterk gedateerd en niet langer houdbaar. De

kan worden. De gebruiker zelf blijft een belangrijke rol in

huidige gebruiker wil bediend worden door één loket voor

het geheel houden. Rustig achteroverleunen en volledig

alle ICT-zaken en wenst een product dat even gebruikers-

vertrouwen op de kennis en kunde van de leverancier is er

vriendelijk als intuïtief is.

ook in deze benadering niet bij. Een leverancier kan de zaken nog zo goed op orde hebben, zolang gebruikers

Hierbij zal het gaan om eenvoud. Philips zit wat dat betreft

blijven die volharden in het openen van onbekende

op het goede pad met de introductie van de Sense &

e-mails, blijft het water naar de zee dragen. Geen enkele

Simplicity campagne. Volgens Andrea Ragnetti, Chief

beveiliging is bestand tegen dergelijk ondoordacht gedrag.

Marketing Officer bij Philips was de aanleiding van deze

Wat van belang is dat de gebruiker zich bewust wordt van

complete omvorming een ontdekking van de eigen

zijn omgeving en doorkrijgt wat wel en niet raadzaam is op

strategieafdeling die inzag dat een grote winst te behalen

de digitale snelweg. Wel is het zo dat de gebruiker gehol-

was door organisaties die in staat waren vooruitstrevende

pen moet worden. Er zal gewerkt moeten worden aan het

technologie te brengen zonder verdere rompslomp. Just

kennisniveau van de gebruiker voordat veiligheid op de

79

enough is more . Paul Boutin onderschrijft dit door het

digitale snelweg een tweede natuur wordt. Campagnes

succes van nieuwe applicaties als YouTube en MySpace te

gericht op het vergroten van het bewustzijn van de gebrui-

verklaren80. “The secret to success is to make everything

ker blijven ook de komende jaren nodig.

one-button easy, then get out of the way, don't tell users what to do. The easier it gets to use, the less geeky the Net

Ofwel, op dit moment kan de gebruiker geen verantwoorde-

becomes, and the more it starts to look like real life.”

lijk nemen. Het ontbreekt hem aan de kennis, middelen en coöperatieve houding van de leverancier. Beide groepen zullen moeten veranderen. Op de kamerzitting werd dit treffend geduid met: klant wordt klant, leverancier wordt leverancier. Op het moment dat deze gedragsverandering is doorgevoerd, zal de ICT-omgeving een vergelijkbaar beeld kunnen laten zien als welke andere branche dan ook. Een gebruiker die de

79) Nu.nl (2006), Virtuele handelsmissie naar Zweden.

eindverantwoordelijkheid kan nemen, ook al omdat hij zich

80) Slate (2006), A grand unified theory of YouTube and MySpace.

gesteund weet door een leverancier die proactief reageert.

73

74


8.2 De jaren erna In de afgelopen periode zijn de mogelijkheden om te communiceren op de digitale snelweg enorm toegenomen. Niet alleen zijn de verbeteringen op het vlak van beeld en geluid noemenswaardig, de betere verbindingen zorgen dat een groter aantal communicatiemiddelen in staat is een kritische massa gebruikers voor zich te winnen. De grens tussen de fysieke en virtuele wereld verdwijnt hierdoor. Zo organiseerde het ministerie van Economische Zaken in 2006 voor de eerste keer een virtuele handelsmissie naar

naast de fysieke identiteit, één of meer virtuele identitei-

Zweden. In plaats van een fysieke verplaatsing naar het

ten bezitten. Elke identiteit is hierbij gekoppeld aan een

betreffende land, werden Nederlandse organisaties uitge-

activiteit of toepassing, net zoals tegenwoordig het geval is

nodigd om een aantal dagen lang via computer, webcam

met e-mailadressen. Zo zal een gemiddelde gebruiker een

en internet contacten te leggen met mogelijke Zweedse

identiteit hebben voor privédoeleinden, voor zakelijke

81

handelspartners . Deze samensmelting is goed te zien bij

doeleinden, voor het contact met de overheid. Door een

de jongere generatie. Zij switcht schijnbaar moeiteloos tus-

verzameling aan te leggen creëert de gebruiker de vrijheid

sen beide werelden. Een face-to-face contact gaat bij hen

om te bepalen hoe hij zich presenteert aan de buitenwe-

eenvoudig over in een virtuele vorm en weer terug, al naar

reld en welke informatie hij op welk moment prijsgeeft. Er

gelang het onderwerp, de plaats en het tijdstip. Beide vor-

ontstaat als het ware een rangorde, variërend van identi-

men van contact worden door deze groep gebruikers als

teiten waar men achteloos mee kan omspringen tot een

82

even intens en diep ervaren . De aan de Universiteit van

selecte groep waarbij grote voorzichtigheid betracht moet

Amsterdam verbonden internetsocioloog Benschop verklaart

worden. Immers, één moment van onoplettendheid kan

dit door te stellen dat voor directe sociale interactie slechts

betekenen dat de betreffende identiteit waardeloos wordt.

twee elementen van essentieel belang zijn: stem en

Als dit verlies al bij één identiteit blijft. Vaak verliest een

gelaatsuitdrukking. Deze elementen zijn bepalend voor het

gebruiker in één keer meerdere identiteiten. Ten einde de

gevoel van sociale aanwezigheid van de ander èn van het

beheerslast zo laag mogelijk te houden, gebruiken gebrui-

omgekeerde gevoel door de ander geaccepteerd te worden.

kers vaak gedeelde sets van gebruikersnamen en wacht-

Alle andere elementen kunnen weliswaar nuttig zijn, maar

woorden. Dit zorgt voor een wankel evenwicht. Zo was een

83

zijn van ondergeschikt belang . 81) Nu.nl (2006), Virtuele handelsmissie naar Zweden.

In de komende jaren zullen de mogelijkheden op commu-

82) Veen, W./Jacobs, F. (2005), Leren van jongeren.

nicatievlak toenemen. Een steeds groter wordende groep

83) Benschop, A. (2006), Eigenaardigheden van cyberspace

zal het fysieke en virtuele als één gaan ervaren en zal

(www.sociosite.org).


trouwen dat de meeste gebruikers de laatste jaren hebben verloren, moet zo snel mogelijk teruggewonnen worden. Op het moment dat het internet heeft aangetoond voldoende volgroeid te zijn en in staat is een veilige omgeving aan te bieden, kunnen de ware grenzen worden opgezocht. Deze grenzen zullen verder liggen dan een ieder zich op dit moment kan voorstellen. Zijn de afgelopen jaren vooral bestaande processen gedigitaliseerd, de komende ontdekkingstocht zal daadwerkelijk nieuwe inzichten gaan ex-medewerker van Bol.com in 2005 in staat met behulp

opleveren. Dit betekent overigens niet dat een ieder moet

van bij Bol.com bekende klantgegevens in te breken op

wachten tot het internet volgroeid is. Er zijn nu al vol-

84

een groot aantal mailboxen van deze klanten .

doende uitdagingen die opgepakt kunnen worden, ook in het onderwijs. Denk bijvoorbeeld aan de veranderende

Naast het oplossen van de in deze publicatie geschetste

leerroute die ontstaat door de transformatie van de

problematiek als virussen, spam en DoS-aanvallen, is één

samenleving:

van de grootste uitdagingen op veiligheidsgebied voor de komende periode dan ook de realisatie van een deugdelijk

“De Nederlandse samenleving ontwikkelt zich van een

systeem voor identiteitsmanagement. De eerste aanzetten

industriële naar een meer dienstverlenende, kennisinten-

hiervoor zijn inmiddels gezet. In 2005 is op initiatief van

sieve en technologisch georiënteerde samenleving. Dat

Dick Hardt en Kirk Cameron een wereldwijde discussie

betekent dat aan de “nieuwe” werknemer en “nieuwe” 85

gestart over de mogelijkheden van een dergelijk systeem .

ondernemer andere eisen worden gesteld. Het is niet meer

Dit heeft uiteindelijk geleid tot de Laws of Identity, een

voldoende om eenmaal een vak geleerd te hebben en daar

zevental grondbeginselen die het hart van het toekomstig

bekwaam in te zijn. Bovendien wordt een aanzienlijke

86

systeem moet vormen . Hierbij staat de gebruiker uiter-

stijging van de eisen aan het opleidingsniveau van de

aard centraal. Hij houdt in alle gevallen de controle als het

“nieuwe” werknemer verwacht.

gaat om het type identiteit dat wordt gebruikt en de informatie die wordt prijsgegeven. Er gebeurt niets in het systeem zonder zijn toestemming. Het systeem moet hierbij niet alleen gemak en eenvoud uitstralen, maar moet

84) Webwereld (2005), Bol.com in verlegenheid gebracht na misbruik

klantdata. 85) Dick Hardt is oprichter en CEO van Sxip Identity, een open source sys-

bovenal in staat zijn om het vertrouwen van de gebruiker

teem voor identiteitmanagement. Kirk Cameron is identiteitsarchitect

te winnen.

bij Microsoft en (mede)verantwoordelijk voor de realisatie van het

Vertrouwen is namelijk de sleutel, niet alleen in het identiteitsdenken, maar op de hele digitale snelweg. Het ver-

nieuwe Microsoft Passport. 86) Cameron, K. (2005), The laws of identity

75

76

Dat betekent dat startkwalificaties nog belangrijker worden dan dat ze al zijn, een sterkere doorstroom naar hogere niveaus in het onderwijs nodig is en dat een leven lang leren de levenshouding van elke Nederlandse burger moet worden87

De komende jaren zal de individuele leerroute langer en breder worden. Bovendien wordt in een bredere context geleerd dan alleen op school. Het informele leren op stageplaatsen, in vakantiebaantjes en in de eigen sociale netwerken vormt een belangrijk deel van de kennis en vaardigheden die een individu opdoet. Het meer formele onderwijssysteem moet hier de komende jaren naar toegroeien en zorgen dat het inspeelt op deze behoefte. Als de jongere generatie de afgelopen periode iets heeft bewezen is dat het internet hierbij een belangrijke bouwsteen vormt. Niet in de minste plaats omdat het leren plaats- en tijdsonafhankelijk maakt. De sleutel tot succes ligt in het veilig aanbieden van ongelimiteerde toegang tot inhoud, kennis en begeleiding bij het leren.

Hierbij zal de technologie uiteindelijk uit het zicht verdwijnen. Dit is nu al zichtbaar. Zo is in 2006 een aantal initiatieven gestart die zorgen dat de vertrouwde spiegel “slimmer” wordt. Het Nederlandse bedrijf M3WAN is begonnen met de installatie van zogenaamde MediaMirrors in onder andere grand cafés, discotheken, voetbalstadions en recreatieparken. Achter deze spiegel zijn een TFT-scherm en sensor geplaatst. Zodra iemand voor de spiegel gaat staan, wordt het scherm door de sensor geactiveerd. Terwijl

87) Ministerie van OCW (2005), Leren & werken.

Plan van aanpak 2005 - 2007.


de persoon in de spiegel kijkt, krijgt deze de reclameboodschap te zien. Wat nieuw is aan het concept is dat deze spiegel direct de effectiviteit van de campagne meet. De spiegel slaat een set gegevens op. Bijvoorbeeld hoe lang iemand voor de spiegel staat, hoe lang deze persoon naar de uiting kijkt, wat de afstand tot de spiegel is en of de betreffende persoon een SMS heeft gezonden88. In Hong Kong gaat men een stap verder. Onderzoekers van de Hong Kong Polytechnic University hebben een intelligente spiegel ontwikkeld die de gebruiker voorziet van kledingadvies. Wanneer de kledingsstukken in het pashokje voor de spiegel worden gehouden, wordt de aan de kleding bevestigde RFID-tag geactiveerd. De gebruiker krijgt via een touchscreen advies over mogelijke combinaties en accessoires. Deze keuzes worden direct aan het winkelpersoneel doorgegeven, wat positief werkt op verkoop van het eigen assortiment, cross selling en service89.

Dit zijn slechts twee voorbeelden uit een hele reeks. Het is evident dat de komende periode genoeg ideeën zijn die het leven op de digitale snelweg zullen veraangenamen. Een eerste belangrijke stap is echter het brengen van rust en veiligheid. Het is zaak het verloren gegane vertrouwen zo snel mogelijk terug te winnen. Denkend aan ICT-veiligheid moet de gemiddelde gebruiker zo snel mogelijk gaan mijmeren over de “brede rivieren, ijle populieren en verzonken boerderijen” zoals de eerder geciteerde Marsman beschreef. Als angst als belemmerende factor in het denken verdwijnt, zullen de mogelijkheden al vrij snel eindeloos blijken.

88) Zie voor meer informatie: www.mediamirror.nl. 89) Narrowcasting (2006), Nog meer slimme spiegels.

77

78


Bijlage A: Literatuurlijst Cameron, K., 2005, The laws of identity. CBS, 2006, De digitale economie 2005. De Ingenieur (Terbruggen, S.), 2005, Het dossier: Toetsenbordcriminaliteit. Dubois, H., 2006, Computerbeveiliging in een school; een praktijkbeschrijving. Jacobs, F./Veen, W., 2005, Leren van jongeren. Hardt, D., 2005, OSCON 2005 - Keynote Identity 2.0. Kennisnet Ict op School (Leur, J. van de), 2005, Kennisnet risk assessment checklist. Kennisnet Ict op School (Strotkamp, S.), 2006, Alles over veilig op één plek. Kennisnet Ict op School (Teeuwen, R.), 2003, School infrastructuur: beveiliging verdient echt aandacht! KU Leuven (Schuermans, H.), 2004, Syllabus cybercrime v20.4. Roothart, H., 2005, Zien - Trends van vandaag, markten van morgen. Technology Review (Talbot, D.), 2005, The Internet is broken. VKA (Bemmel, B.W.), 2005, Kwetsbaarheid internet groot risico voor dienstverlening. Wouters, E., 2003, Verbeteren van bewustzijn informatiebeveiliging.


Bijlage B: Risicoanalyse Disclaimer: Kennisnet geeft geen enkele garantie, met betrekking tot de geschiktheid voor een specifiek gebruiksdoel, functionaliteit en/of bruikbaarheid van de gepubliceerde informatie. De gepubliceerde documenten zijn ontwikkeld voor de specifieke situatie van Kennisnet als internetorganisatie. Kennisnet aanvaardt geen aansprakelijkheid voor schade ontstaan door het gebruik van deze informatie

De Kennisnet risk assessment checklist is onderdeel van het beveiligingsbeleid van stichting Kennisnet Ict op School. Met behulp van deze checklist wordt een risicoanalyse uitgevoerd van een dienst. Het doel hiervan is het vaststellen van het aanvaardbare risiconiveau voor een dienst. Uitgangspunt voor deze risicoanalyse is de 'beveiligingsdriehoek': Confidentiality, Integrity en Availability, of CIA.

Het resultaat is de CIA-classificatie van een dienst. De bijbehorende beveiligingsmaatregelen worden gedefinieerd in de Kennisnet Security Policy.

De risicoanalyse methode is gebaseerd op de SPRINT methode. Er wordt een kwalitatieve analyse gedaan op basis van vragenlijsten. Elke vraag behandelt de impact van een bedrijfsrisico. De impact varieert van 0 tot 3 en wordt bepaalt aan de hand van een tabel, waarin de schade (in euro's) wordt uitgezet ten opzichte van de kans dat het risico optreedt.

De checklist bestaat uit twee stappen: 1. Identificeer de componenten met een mogelijk verhoogd beveiligingsrisico. Voorbeelden zijn beheer- en elektronische interfaces, databases waarin gevoelige informatie wordt opgeslagen en login-gegevens. 2. Vul de C, I, en A tabellen in de rating (0 tot en met 3) in voor elke gebeurtenis bij elke componenten die in de vorige stap is geïdentificeerd. Op basis van deze ratings worden de classificaties berekend.

79

80


Stap 1: Identificatie van de kritieke onderdelen Geef in onderstaande tabel de kritieke onderdelen van de dienst op, met een motivatie waarom dit een kritiek onderdeel is. Onder 'kritiek' wordt hier verstaan een verhoogd veiligheidsrisico.

Typische voorbeelden zijn onderdelen die toegang geven tot gevoelige informatie, onderdelen waarmee content kan worden gewijzigd of onderdelen die gegarandeerd beschikbaar moeten zijn.

Nummer

Onderdeel en omschrijving

Motivatie


Stap 2: Bepalen ernst van elk van de componenten De onderstaande tabel wordt gebruikt voor het vaststellen van de impact van een gebeurtenis, aan de hand van de kans dat de gebeurtenis optreedt en het bedrijfsrisico bij het optreden van de gebeurtenis. Aan de impact van een gebeurtenis wordt een 'rating' toegekend tussen 0 en 3 volgens onderstaande tabel.

Schade

Zeer groot

1 (major disaster)

2

2

3

3 (abandon ship!!!)

Groot

1

1

2

2

2

Gemiddeld

0

1

1

2

2

Klein

0

0

1

1

1

0 (who cares?)

0

0

1

1 (‘blip’)

Zeer klein

Zeer klein (max. 1 keer in 10 jaar)

Klein (max. 1 keer in 5 jaar)

Gemiddeld (max. 1 keer per jaar)

Groot Zeer groot (max. 6 keer per (> 6 keer per jaar) jaar)

Kans dat dit optreedt Verduidelijking: • Zeer klein = • Klein = • Gemiddeld = • Groot = • Zeer groot =

Verwaarloosbaar Lichte schade Aanzienlijke schade Zware schade Zeer zware schade, bedrijfscontinuïteit mogelijk in gevaar

Stel met behulp van bovenstaande tabel de impact vast voor de gebeurtenissen die genoemd worden in de vragenlijsten op de volgende pagina's. Er zijn 3 vragenlijsten, voor gebeurtenissen die betrekking hebben op C (confidentiality), I (integrity) en A (availability).

Vul de vragenlijst in voor elk kritiek onderdeel van de dienst die in stap 1 is geïdentificeerd. Op basis van deze impacts wordt de CIA-classificatie bepaald voor elk kritiek onderdeel van de dienst.

De vragenlijsten zijn gebaseerd op de MAPGOOD risico's (Mensen, Apparatuur, Programmatuur, Gegevens, Organisatie, Omgeving, Diensten). Hiermee wordt een compleet beeld verkregen van de verschillende gebeurtenissen die een risico kunnen opleveren.

81

82


Confidentiality Business impact Oorzaken van inbreuk Mensen: Het slordig omgaan met toegangsprivileges als het kiezen van te makkelijke wachtwoorden of het toegang verlenen aan ongeautoriseerde personen. Mensen: Het bewust onthullen van gevoelige informatie. Denk aan het ongeautoriseerd kopiëren van gegevens. Mensen: Het onbedoeld onthullen van gevoelige informatie als het per ongeluk kopiëren van gegevens of het per ongeluk toekennen van onjuiste autorisaties. Mensen: Fraude als bijvoorbeeld de verkoop van persoonsgegevens. Apparatuur: Diefstal van gegevensdragers. Programmatuur: Hacking, als in het inbreken in een computersysteem om gegevens te kopiëren. Gegevens: Het onderscheppen van informatie bij datacommunicatie, bijvoorbeeld door spyware op de computers van de klant of door het afluisteren van netwerkverkeer. Gegevens: De onbeveiligde opslag van gevoelige gegevens. Denk aan het achterhalen van gevoelige gegevens of wachtwoorden uit een database of door het gebruik van unencrypted cookies die gekopieerd kunnen worden door spyware. Overall rating, dit is gelijk aan het gemiddelde van de drie hoogste ratings.

Rating

Opmerkingen


Integrity Business impact Oorzaken van inbreuk Mensen: De integriteit van medewerkers, maken ze bijvoorbeeld accounts aan voor vrienden en bekenden of geven ze deze extra privileges. Mensen: De manipulatie van invoerdocumenten. Denk aan het invullen van verkeerde namen. Mensen: De ongeautoriseerde manipulatie van gegevens onder andere door het resetten van ongeautoriseerde wachtwoorden. Mensen: Operator fouten in bijvoorbeeld het herstel van gegevens. Zo wordt de back-up van een verkeerde dag teruggezet of wordt de gehele back-up op een openbaar toegankelijke server teruggezet. Apparatuur: De manipulatie van apparatuur, onder andere door het aftappen van het netwerkverkeer. Programmatuur: De manipulatie van programmatuur door bijvoorbeeld backdoors te installeren. Programmatuur: Fouten in de programma's die leiden tot onjuiste of onvolledige verwerking of opslag van gegevens. Gegevens: De opzettelijke manipulatie van gegevens door bijvoorbeeld gebruikers die opzettelijk verkeerde gegevens invullen waardoor de gegevensverzameling wordt vervuild. Gegevens: De onopzettelijke manipulatie van gegevens, bijvoorbeeld door fouten bij de invoer of door onvolledige input. Overall rating, dit is gelijk aan het gemiddelde van de drie hoogste ratings.

Rating

Opmerkingen

83

84


Availability Verschillende periodes in het niet beschikbaar zijn kunnen een andere impact hebben. Het niet beschikbaar zijn van een week levert over het algemeen een hogere impact op dan die van een uur. Bepaal daarom de impacts voor de verschillende periodes van het niet beschikbaar zijn. Als meerdere periodes dezelfde impact hebben, dan hoeft er uiteraard maar één van deze periodes te worden ingevuld. Bovendien gaat het alleen om de ter zake doende periodes.

Business impact Oorzaken van inbreuk

Rating 1 dag

Mensen: Het niet beschikbaar zijn van het management indien er beslissingen noodzakelijk zijn. Mensen: Het niet beschikbaar zijn van interne medewerkers. Mensen: Het niet beschikbaar zijn van een externe partij als de beheerpartij. Mensen: Uitval door het verlies van sleutelmedewerkers binnen of buiten de organisatie. Apparatuur: Uitval door het verlies van apparatuur bijvoorbeeld door diefstal. Apparatuur: Uitval als gevolg van een hardware storing. Apparatuur: Uitval door brand, waterschade of sabotage. Apparatuur: Uitval door een storing aan de netwerkverbindingen. Apparatuur: Uitval door onvoldoende capaciteit. Programmatuur: Uitval door storing.

1 week

Opmerkingen 1 maand


Oorzaken van inbreuk

Rating 1 dag

1 week

Gegevens: Uitval door het niet beschikbaar zijn van gegevens, bijvoorbeeld door de uitval van de database of beheerwachtwoorden om problemen op te lossen. Organisatie: Uitval door een verstoring van de bedrijfsprocessen. Denk aan het niet leveren van reserveonderdelen door het niet beschikbaar zijn van een financiële afdeling. Diensten: Uitvoor door een storing in de nutsvoorzieningen. Overall rating, dit is gelijk aan het gemiddelde van de drie hoogste ratings.

Aanvullende vragen Oorzaken van inbreuk Zijn er periodes waarin de beschikbaarheid extra, of minder belangrijk is? Bijvoorbeeld 9.00 - 17.00, avonduren of de examenperiode.

Wat is de gewenste tijdsduur voor het herstel van uitval van de dienst?

Wat is de kritische tijdsduur voor herstel? Dit is de maximale tijdsduur waarop het component niet beschikbaar mag zijn.

Wat is de maximale acceptabele periode voor het verlies van data?

Welke gedeelten worden niet beschikbaar wanneer dit component uitvalt?

Opmerkingen

Opmerkingen 1 maand

85

86


Colofon

Auteur

Deze zover Voor publicatie achterhaald is de tweede kon worden, in een reeks is er publicaties gebruik gemaakt

Jetse Beeksma

‘Kamer van rechtenvrij van Morgen’. beeldmateriaal. In deze reeks Hetverkent grootstestichting gedeelte is

Patricia Peet - van der Linden

Kennisnet hierbij gevonden samen op metwww.yotophoto.com. externe deskundigen de toepassings-

Hans Pronk

mogelijkheden van internettechnologie voor het onderwijs. Indien u vragen heeft, kunt u contact opnemen met

Redactie

Chris van Hall Marianne Mulder

Stichting Kennisnet Ict op School, te bereiken op telefoonnummer 079 - 323 03 96 of schriftelijk via:

Hans Pronk Joni Wagner

Stichting Kennisnet Ict op School Postbus 778

Eindredactie

Jetse Beeksma

Vormgeving

Vanderburgvanderzijden Visuele Communicatie

Druk

Drukkerij Koninklijke de Swart, Den Haag

Realisatie

Afdeling Communicatie Stichting Kennisnet Ict op School

ISBN

9077-64-7-031

2700 AT Zoetermeer

VEILIGHEID - EEN GEVOEL? ICT VERKENNINGEN VOOR HET ONDERWIJS

Recommend Documents