Digitaal Vertrouwen?

Begin jaren 80 kwam de PC op en dat was me toch een handig apparaat. Je had ineens een professionele tekstverwerker tot je beschikking, je kon ingewikkelde berekeningen maken en lijstjes opslaan en bijhouden. In de jaren 90 kwam het internet erbij waarmee het grote publiek kon gaan mailen en bestanden uitwisselen. De rest van deze geschiedenis is duidelijk. Het IP-tijdperk was aangebroken. Aanvankelijk met desktops, later met laptops en nu hoe langer hoe meer met tablets en smartphones. De apparaten werden kleiner, de capaciteiten groter: een successtory. Maar zoals altijd zijn er lieden, groepen of regimes die misbruik willen maken van de onschuld van mensen. Het in gebruik genomen internet bleek al gauw ten prooi te vallen aan criminelen. Zeker toen het ook mogelijk werd om te gaan betalen via de digitale snelweg kwamen de eerste serieuze bedreigingen, maar ook beveiligingen.

Het beveiligen begon met een gebruikersnaam en wachtwoord voor een toepassing. Door de gebruikersnaam en password voor elke toepassing werd het op enig moment een doolhof. Bijna iedereen gebruikte heel voorspelbare wachtwoorden, zodat je als gebruiker nog kon onthouden hoe je in de toepassingen moesten komen. Vaak waren dat dezelfde. Al snel werd het gebruik van één password afgeraden, want eenmaal een wachtwoord gekraakt, dat men overal toepast, zet de deur van je digitale wereld wagenwijd open. Je mag dus niet overal inloggen met hetzelfde password.

Om toch orde te scheppen zijn er passwordmanagers op je smartphone, tablet en laptop om je te helpen bij het inloggen. Veel van deze managers hebben ook de mogelijkheid om zelf zogenaamde sterke wachtwoorden te genereren. Het voordeel is dat ze erg lang zijn en zeer divers, de nadelen zijn dat ze niet te onthouden zijn en je ze altijd in combinatie met een passwordmanager moet inzetten. Zit je toevallig op een vreemd apparaat te werken dan kun je eigenlijk nergens in, zonder op je eigen apparaat het niet-over-te-tikken sterke wachtwoord op te zoeken.

Met de komst van internet werd privacy belangrijkers. Sprak men in het begin nog over een personal computer, een PC; inmiddels is er door ‘always online’ te zijn weinig persoonlijks meer aan, zonder adequate beveiliging. Wat is dan zo’n adequate beveiliging? Belangrijk is om zoveel mogelijk een twee factor authenticatie toe te voegen in het benaderen van je toepassingen. Dus niet alleen een gebruikersnaam en een password. Via een authenticatieapp van bijvoorbeeld Microsoft of Google krijg je per toepassing een code gegenereerd die gedurende een aantal seconden beschikbaar is. Je zoekt dat in deze app op. Typ je de gevonden code naast je gebruikersnaam en password in dan krijg je toegang tot de toepassing. Doordat deze sleutel een extra tijdelijk te gebruiken slot faciliteert geeft het hackers minder tijd om binnen te glippen. Nog steeds is het niet veilig. De berichten die je verstuurt en de sites die je opent waren vaak niet encrypted, oftewel versleuteld. Een paar jaar geleden zijn providers actief hun klanten gaan benaderen om de berichten te beveiligen meet een SSL-certificaat. SSL staat letterlijk voor Secure Sockets Layer wat betekent dat er een beveiligde laag geplaatst wordt tussen een server en een internet browser waardoor de gegevens beveiligd worden. Dus weer werd het hackers moeilijker gemaakt om berichten te ondervangen.

Ondertussen bleek het ook nodig om je apparaten zelf te beveiligen tegen datadieven en gijzelnemers. Van allerlei varianten van bedreigingen komen op ons af en met goede beveiligingssoftware, die je ook nog eens bij moet houden ben je redelijk beschermd. Er zijn twee situaties waarbij de beveiliging tekort schiet. Eén: beveiliging is altijd reactief. Komt een dief of gijzelnemers met een nieuwe truck om een datalek te forceren dan kan men achteraf pas het lek dichten en toevoegen aan de beveiligingssoftware. Twee: de mens zelf. Veel hackers of gijzelnemers nestelen zich in jouw omgeving doordat jezelf hier -onbedoeld- toestemming voor hebt gegeven. Met ogenschijnlijk onschuldige berichten verleiden ze je om op bepaalde linkjes te drukken, waarmee ze toegang krijgen tot jouw systeem. De manieren waarop de cybercriminelen dit aanpakken wordt hoe langer hoe geraffineerder. De crimineel is vooral op zoek naar de toegang tot je banksysteem. Banken zullen zelf nooit zoiets aan je vragen. Die gebruiken toegangsportalen met certificaten, zoals scanners om jouw belangrijke berichten te verschaffen.

Digitale handtekeningen zorgen er ook voor dat je veilig in een omgeving kan werken. Neem nu DigID, de digitale handtekening die je kunt gebruiken voor toegang tot overheidsdiensten en medische portalen. Hoe langer hoe meer bedrijven bedienen zich van digitale handtekeningen. Dit is momenteel de veiligste manier om data uit te wisselen. Ook weer niet helemaal waar, want één van de belangrijkste uitgevers van digitale handtekeningen DigiNotar, kwam een paar jaar geleden onder vuur te liggen toen er door menselijke fouten datalekken waren ontstaan. Gelukkig was dit een uitzondering.

In het bedrijfsleven wordt het er ook niet gemakkelijker op. Een mailtje sturen met persoonsgegevens erin is er niet meer bij. Ook die moeten via een speciaal programma encrypted worden verstuurd. En als je een document maakt moet je bepalen welke vertrouwelijkheidsfactor het heeft. Is het publiek, algemeen, vertrouwelijk of geheim. En de plek waar het wordt opgeslagen is afhankelijk van deze factor. Zorgeloos werken is er niet meer bij. Je moet je hoe langer hoe meer bewust van zijn wat de risico’s zijn van de inhoud van documenten en dus de verspreiding ervan.

En ik zal je wat zeggen. Al deze maatregelen om veilig te werken is nog maar het begin.