We moeten leren om geen risico’s te nemen op het gebied van beveiliging. Daarom zijn er awareness campagnes. Die vertellen ons dat we moeten patchen, een goeie antivirus installeren, back-ups draaien, niet zomaar attachments openen en niet naar verdachte sites moeten gaan. Raadzame adviezen - voor een thuisgebruiker met een brakke Windows op een Aldi-pc.

Mijn voornaamste probleem met dit soort campagnes is De Verkeerde Toon. We nemen continu volwassen, rationele beslissingen, bijvoorbeeld over investeringen en klantgesprekken, maar als het over computerbeveiliging gaat zijn we kennelijk ineens nooit ouder geworden dan een jaar of zeven. We krijgen leuke screensavers, slogans, posters en massale bijeenkomsten, liefst met rollenspelen en berouwvolle ervaringsdeskundigen die hun lesje geleerd hebben. Zo’n aanpak doet eerder denken aan campagnes uit de DDR dan aan een dynamisch 21ste eeuws bedrijf vol hoogopgeleide, zelfstandige professionals.

SURFnet pakt het nog grondiger aan. Met rolletjes pepermunt en freecards, die de studenten oproepen zich niet te laten pakken. Zijn dit nu de middelen die onze huidige studenten moeten aanspreken? Je zou toch bijna gaan denken aan emigreren.

Dreigen is ook niet slim. Sancties tegen opzettelijke overtredingen, ja, daar is wat voor te zeggen. Maar sancties op fouten en stommiteiten? Misschien handig om van je personeel af te komen, maar voor het personeel zelf leidt het natuurlijk vooral tot onzekerheid over wat wel en niet kan met je primaire gereedschap. En uit onzekerheid gaan we vooral dingen níet doen. Zeg maar dag tegen je productiviteit.

Een ander probleem is dat je voor de meeste awareness-adviezen rechten nodig hebt, die de IT-afdeling eigenlijk niet aan een gebruiker wil geven. Je kunt ze toch moeilijk de rechten geven om hun eigen computer te beveiligen, zoals ze thuis doen. Dat leidt geheid tot misbruik. Althans, dat zal de IT-afdeling zeggen. Dilemma: als ze het niet kunnen stort het bedrijf in, als ze het wel kunnen zit de IT-afdeling zonder werk. En het netwerk vol met illegale beveiligingssoftware.

Gebruikers willen nu eenmaal bediend worden door de stofjassen van de IT-afdeling, die daarvoor overigens ook betaald worden. Ze hebben nooit gevraagd om systemen die niet bestand zijn tegen dagelijks gebruik met een open pijp naar Internet. Als je ze vervolgens het advies geeft dingen te laten, onderstreep je het onvermogen van de IT-afdeling. Zo bevestig je het donkerbruine vermoeden van veel gebruikers, dat die IT-ers over het algemeen maar overbetaalde prutsers zijn.

Systeembeheerders hanteren het motto: gebruikers laten zich niet opvoeden. Ook helpdeskmedewerkers weten al jaren dat uitleggen niet helpt. Waarom zouden beveiligingslessen uit een bedrijfsfilm en op de verpakking van de bedrijfskoekjes dan wel werken?

Het grappige is dat dit allemaal ook helemaal niet hoeft. Je kunt zo’n beetje alles dichtspijkeren en eruit kieperen wat echt niet te redden valt – er is niets mis met een goeie, ouderwetse BOFH die iedereen een thin client geeft (kan ook met windows, hoor) en continu met een bus peur langs alle kieren in het netwerk gaat.

“Ja, maar, thuis hebben we Windows ME en die thin client werkt heel anders, dan moeten we op cursus.” Awareness is ook een cursus. “Ja maar, de beheerders hebben geen verstand van thin clients”. Zij kunnen ook op cursus. En wie het niet wil leren, moet maar de kost gaan verdienen met virussen van thuisPC’s afhalen, of kan zich melden bij de spoelkeuken. De meesten zullen het echter alleen maar leuk vinden. Nieuwe spullen!

Toch modderen we voort met extreem zwakke netwerken. Waarom?

Kennelijk willen we de IT-club niet te veel macht geven, bijvoorbeeld om alles tegen te houden wat niet wenselijk is. Dat herinnert teveel aan vroeger. In de jaren zeventig en tachtig had de gemiddelde IT-afdeling meer te vertellen dan de directie. Ieks! Dat nooit meer. Dan maar liever een netwerk dat af en toe niet werkt.

Eigenlijk is het dus verrotte handig zoals het nu gaat met die awareness-campagnes: de IT-club etaleert haar eigen onmacht en bijt zich vast in zijn frustratie dat er nooit naar ze geluisterd wordt. Dat houdt ze volgzaam.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter