Integriteit volgens Wikipedia is – op gezag van tal van beveiligingskabouters - een ‘kwaliteitskenmerk van gegevens in het kader van de informatiebeveiliging’. Voor normale mensen betekent integriteit iets heel anders: betrouwbaarheid van personen en instellingen. Waarbij de instelling weer gepersonifieerd wordt door de medewerker achter de balie en de bestuurder in de publiciteit. En hoe zichtbaarder de persoon, hoe belangrijker zijn betrouwbaarheid. Er zijn dan ook heel veel managementboeken over dit onderwerp.

Organisaties zijn voor hun overleven uiteindelijk afhankelijk van betrouwbare mensen, niet van betrouwbare informatie. In het kader van beveiliging worden dan ook – als het goed is - de gewenste normen en waarden uitgedragen onder het labeltje ‘awareness’. Nu is awareness altijd een moeilijk verhaal. Als een organisatie hiermee iets wil doen, moet dat wel topdown gebeuren, maar dan worden je daden wel meteen op een goudschaaltje gewogen. Het hoofdstuk awareness wordt dan ook daarom vaak weggemoffeld of op een infantiel niveau afgeraffeld, met voorschriften als ‘gij zult geen virussen verspreiden’ of ‘gij zult alleen betrouwbare berichten openen’. Gelukkig gaan serieuze integriteitscodes veel verder.

Medewerkers van de Belastingdienst dienen zich te houden aan een code die voorschrijft dat iedere schijn van een integriteitsconflict vermeden moet worden. En terecht: een belastingambtenaar die de schijn van sjoemelen wekt, zal voor de directe omgeving niet bijdragen aan het trouw betalen van de penningen. Waarom zou je belasting betalen als het daar door een medewerker achterover wordt gedrukt? Nu dezelfde schijn tegen een bestuurder van de betreffende dienst bestaat en deze publiekelijk gebagatelliseerd wordt, is de omvang van de schade op middellange en lange termijn niet meer te overzien.
Wat er vervolgens gebeurd is dat men de hele Belastingdienst dicht zal spijkeren met dwang, regeltjes en controleurs. Met als risico dat ze geen personeel overhouden om het werk te doen; veel toezicht is nu eenmaal niet zo goed voor de sfeer. Geen man overboord hoor, tegen de tijd dat de startende IT-ers van de detacheerders op zijn, kunnen we de boel nog altijd naar India verschepen, nietwaar? De onwillige klanten van de Belastingsdienst kun je iets moeilijker in het gareel ‘beveiligen’, maar met een samenleving vol camera’s, gedragscodes, controleurs, stadsetiquettes, anonieme meldlijnen, toezichtsorganen en koppelingen tussen alle systemen kom je ook een heel eind.

Zie ook de affaire Herfkens; de reacties laten zien dat de burgers geen vrede hebben met een uitzondering voor een bestuurder. De schade aan de betrouwbaarheid van de overheid is vele malen groter dan die paar ton die Herfkens zo halstarrig weigert te retourneren. Dan bedoel ik niet de impact op de moraal van mensen binnen BuZa zelf, maar op die van de gewone burger. Die wendt zich af van het bestuur en gaat van electoraal zweven naar electoraal rondstuiteren. En wat vervelender is voor ons land, is dat dit gepaard gaat met een afkalving van de belasting- en andere moraal. De koffietafelpraat die vroeger het voorrecht was van de spreekwoordelijke VVD-er wordt zo een landelijke hobby. Het niet controleren van de pasjes van hoogwaardigheidsbekleders aan de poort is anno 2008 de norm. Waarom zou je dan de sjoemelende buurman aangeven? Waarom stoppen voor rood als de flitskast de andere kant opkijkt? Zeg je nee als je aannemer aanbiedt die klus voor minder, maar dan zwart te doen? Tuurlijk niet. Onze leiders doen het immers ook niet. Het zal tientallen jaren duren om deze schade te herstellen, als het al ooit lukt.

Zo werkt het ook in commerciële organisaties. Enige jaren geleden vroeg mijn toenmalige werkgever een loonoffer van 20% om een faillissement te voorkomen. Veel medewerkers stemden – hoewel niet bepaald vrolijk - daarin toe. Toen vervolgens uitlekte dat tijdens dit loonoffer een aantal managers tot 40% loonstijging kregen, vanwege een interne reorganisatie, gingen de meest onkreukbare medewerkers zich ineens te buiten aan ronduit crimineel gedrag. Ik heb met eigen ogen gezien hoe een IT-auditor een laserprinter achteroverdrukte. Over de hele linie werd gesaboteerd: van de boekhouding klopte helemaal niets meer, laptops verdwenen massaal in privé-bezit en offertes kwamen niet voorbij de postkamer. Niet veel later ging het bedrijf ten onder. De enige die verbaasd is, is de curator die niet snapt hoe het kan dat zoveel facturen nooit verstuurd zijn.

Het verwarren van het begrip integriteit met informatie-integriteit in het beveiligingswoordenboek, toont hoe wij op het allerbelangrijkste issue geen grip krijgen en gevlucht zijn naar een relatief klein technisch vraagstuk. Daarbij richten we ons feitelijk op het nóg kleinere issue van de integriteit van bestanden, omdat we nog steeds niet kunnen bepalen wat data en wat informatie is. Of voor wie. Maar omdat we tooltjes hebben voor CRC checks en MD5 hashes richten we ons maar op bestandsintegriteit. Deze parade van trivialiteit toont onze onmacht in haar volle glorie. Integriteit gaat over mensen. Dat weten wij wel maar daar willen wij ons niet aan branden.

Het leggen van nadruk op persoonlijke normen en waarden in de omgang met informatie en computersystemen gaat alleen werken als de organisatie al een daadwerkelijke cultuur van integriteit heeft. Een cultuur is zeer afhankelijk van wat de meest zichtbare mensen doen: als de top legaal ‘graait’, zal de rest dat ook doen en als het niet legaal kan, dan maar illegaal. Hierbij is graaien breder dan alleen hoge salarissen en bonussen: het verplaatsen van een hoofdkantoor vanwege een privé-verhuizing of beslommeringen met belastingen geven hetzelfde signaal af. Ook binnen het beveiligingsdomein treedt overdrachtelijk graaien op: als een innovatief project het standbeeld moet worden van een bestuurder, is de neiging groot om beveiligingseisen en financiële goede gebruiken overboord te kieperen of ‘niet bindend’ te verklaren. Zie de Betuwelijn een paar jaar terug. De OV-kaart nu. De Belle van Zuylen toren over een paar jaar. Hetzelfde zie je ook in bedrijven, maar op wat kleinere schaal. Mensen zien hun eigen organisatie of omgeving niet meer als waardevol, en handelen daarnaar. Het resultaat is vernietigend.

Het enige dat de situatie bij falende integriteit in de top enigszins binnen de perken lijkt te houden is een oneindige reeks controlemiddelen en een ongelimiteerd budget voor beveiliging. Deze aanpak wordt ook toegepast op de hele samenleving, zoals we de laatste jaren zien. Wat dus wel weer prettig is voor ons: kom in de Security werken – er komt steeds meer werk bij. Maar de aanpak van beveiliging ter compensatie van bestuurlijke misstanden werkt niet, dus je moet niet al te resultaatgericht zijn. Een beetje cynisme helpt je wel de dag door te komen.

We realiseren ons als IT-beveiligers onvoldoende dat interne incidenten zich niet kaderen langs de lijnen van de bevoegdheden en afdelingen: het doorspelen van de gehele klantenlijst aan de concurrentie om te narren is voor de dader van vergelijkbare aard als maandverband proppen in het directietoilet. Daarom past het integriteitvraagstuk niet onder de kaasstolp van het IT-feestje. Nemen we ons werk serieus, dan moeten we ons hierdoor niet laten weerhouden. Veiligheid is een integraal verhaal en integriteit is ondeelbaar. Zo moeten we het ook aanpakken. Zo lang we echter de aanstichters van de problemen buiten schot laten als ze toevallig bestuursvoorzitter of business unit manager zijn en de oorzaak zich buiten het IT domein afspeelt, moeten we onszelf niet zo serieus nemen. De doofpot van de één is de vrijbrief voor de rest. De regels aantrekken om te compenseren dat de top faalt, werkt niet. Integriteit kun je niet afdwingen, dat moet je vóór doen. Tegen een slecht voorbeeld is geen beveiligingsmiddel gewassen.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter

• Leuke speledingetjes
  
• Security volgens WC-Eend
  
• Een triviaal bureautje in de periferie
  
• Koud onderzoek
  
• Wie Zwijgt Stemt Toe
  
• Een Lesje in Beveiliging
  
• Voortschrijdend Inzicht Mag Niet
  
• De Chinezen Komen Niet - Ze Zijn Er Al!
  
• Het anti-terrorismehoesje
  
• Niemand is de Baas
  
• Zin en Onzin
  
• This is Me
  
• Wat niet meet, wat niet deert
  
• De Chinezen komen, of niet natuurlijk (deel 2)
  
• Afscheid van het netwerk
  
• De Chinezen komen! Of niet, natuurlijk.
  
• Een kwakkelend dossier
  
• "Nederland is goed voorbereid"
  
• Headhunter incident
  
• Ethiek en Security
  
• De kleren van de keizer zijn dood, leve de nieuwe kleren van de keizer
  
• Over Security Architectuur
  
• Best Practices bestaan niet
  
• Unified Threat Management: dure mensen, goeie spullen?
  
• Security maturity
  
• Komt het nog wel goed
  
• Geen nieuws is goed nieuws
  
• Awareness best belangrijk
  
• Een papieren tijger in een zilveren lijstje
  
• Een goed idee is niet goed genoeg
  
• Uit de loopgraven
  
• Waarom beveiligingsbeleid faalt
  
• Groot slaat dood