De spraakmakende editie Nederland Undercover, waarin journalist Alberto Stegeman ongehinderd een imitatie semtexbom aan boord van een vliegtuig plaatste, toont aan dat compliancy blijkbaar iets heel anders is dan Security, ook al gaat compliant zijn over aan een waslijst beveiligingsvoorschriften.

Minister Hirsch Ballin benadrukt dat de beveiliging van Schiphol voldoet aan de Europese regels "en in zijn algemeenheid goed is". Al met al is er dus op alle fronten adequaat gehandeld, vinden de verantwoordelijken. Bestuurlijk gezien hebben ze gelijk: iedereen heeft zich aan de regels gehouden, is dus 'compliant'. Afgezien dan van die arme kleumende bewaker die in de televisie-uitzending te zien was. Schipholdirecteur Cerfontaine: "Zo iemand moet je gelijk ontslaan." Dat deed hij dan ook. Goed man.

Ook de Nationaal Coördinator Terrorismebestrijding (NCTb) Tjibbe Joustra, wijst "de menselijke factor" aan als zwakke schakel. De irisscan die per 1 juli van dit jaar voor alle medewerkers op de luchthaven gaat gelden, maakt daar volgens Joustra definitief een einde aan.

Al eerder zorgde gerommel met de beveiliging van Schiphol voor gedonder. Donner (CDA) beloofde in zijn vorige functie dat de beveiliging verscherpt zou worden. Hij spendeerde naar verluidt een slordige kwart miljard voor uitbreiding van toegangscontroles, hekjes, stempels, processen, procedures, pasjes, irisscans, vingerafdruksystemen en ook het preventief fouilleren en willekeurig aanhouden van bezoekers en vakantiegangers. Trots verkondigde hij begin 2005 dat Schiphol een van de veiligste luchthavens van Europa was geworden. Kort daarop roofden verklede criminelen op klaarlichte dag diamanten met een waarde van 76 miljoen euro. Een maand later nam een jager zijn dubbelloops geweer met bijbehorende munitie zonder problemen in zijn koffer mee naar Spanje. Vervolgens liet Peter R. de Vries zien hoe eenvoudig het was om met paspoorten van iemand anders van Schiphol te vertrekken en er ook weer mee binnen te komen. Volgens Donner zouden voor het eind van 2005 alle passen van de luchthaven zijn voorzien van biometrische kenmerken. Opvolger Hirsch Ballin belooft nu dat deze irisscan per 1 juli 2008 voor alle medewerkers zal zijn ingevoerd. Drie jaar vertraging maar. Lang niet slecht.

Bovendien zal een terrorist "waarschijnlijk niet zo handelen als de bewuste journalist", volgens operationeel directeur Ad Rutten, verantwoordelijk voor de veiligheid op Schiphol,. Weet Rutten iets wat wij niet weten? Zijn er dan nóg betere manieren om een bom in een vliegtuig te krijgen?

Hoe zit het eigenlijk met de screening van Schipholmedewerkers? Journalist Stegeman maakte gebruik van de toegangspas van een collega, die via een uitzendbureau op Schiphol werkte. Die collega moet gescreend zijn, waarschijnlijk door de Koninklijke Marechaussee. En ondanks het feit dat hij werkt bij Nederland Undercover, kon hij direct aan de slag op Schiphol. Is dat vreemd? Een screening is een controle of iemand een verdacht profiel heeft, en een gevaar voor Nederland of haar bondgenoten kan vormen in de functie waarnaar gesolliciteerd is. Een positieve screening van een journalist op een functie van dokwerker is niet verrassend. Als de screenende medewerker al doorhad dat er een 'Nederland Undercover' actie gaande was, heeft hij dit kennelijk toegestaan. En waarom ook niet? Vrije nieuwsgaring is een existentieel onderdeel van onze samenleving, en het beschermen daarvan is de taak van de AIVD en gedelegeerd gemachtigde KMar. Het dienstverband bij een SBS-productiebedrijf geldt blijkbaar niet als een staatsgevaarlijke activiteit. En als je heel cynisch bent, kun je ook nog veronderstellen dat ophef over onveiligheid rond Schiphol juist gunstig zal zijn voor de KMar, die dan eindelijk het geld krijgt voor de mooie spullenboel die al jaren beloofd wordt. Maar als je dat gelooft ben je wel heel erg cynisch, hoor.

Wat kunnen wij nu met dit alles?

Er zijn een paar interessante observaties te maken. De eerste is dat de ultieme oplossing op dit moment kennelijk de irisscan is. Zo lang deze niet ingevoerd is, mogen we niet nadenken over de restrisico's; de irisscan is een waterdichte oplossing, vindt Joustra. Zo zet je de discussie inderdaad wel stop, ja. Totdat ook dit tovermiddel niet tovert.

Een irisscan is een technische oplossing voor een organisatorisch probleem, namelijk menselijk falen. Als het werkt, kunnen we nooit meer beweren dat technologie geen organisatorische problemen kan oplossen. Ik ben benieuwd. De irisscan op Schiphol houdt ongetwijfeld de undercover journalisten buiten. Maar of een terrorist of een diamantendief er een been in ziet om een uitgerukt oog voor dat apparaat te houden? Of minder bloederig, een laptop met een filmpje van het betreffende oog? Er zijn overigens nog wel meer manieren, maar die krijgt SBS beslist niet gratis van mij.

Tweede observatie: beveiligers gaan minder strikt met de regels om als ze nut en noodzaak niet onderschrijven. Dan zeggen we dat 'de aandacht verslapt'. Als de professionals (de bewakers) de dreiging lager inschatten dan de bestuurders, kan er ook iets anders spelen. Hoe erg vindt de gemiddelde laagbetaalde bewaker het dat een slimme jongen voor een paar miljoen aan spulletjes jat bij een groot en anoniem bedrijf? Hoe waarschijnlijk achten de bewakingsprofessionals een bomaanslag op het vliegveld? Het is niet uit te sluiten dat ze zelf mee de lucht in gaan en dat weten ze. Je kunt ook niet beweren dat de bewakers niet op het belang gewezen worden. Maar het zou maar zo kunnen dat ze niet overtuigd zijn en een aanslag onwaarschijnlijk vinden. Wanneer was de laatste hier ook al weer? Nou, daar helpt geen awareness training meer aan, dan moet je toch eerst een handboek hersenspoelen uit Noord Korea invoeren.

Het kan ook zijn dat er in de risicobepaling niets stond over journalisten. Ze moesten beveiligen tegen dieven en terroristen, niet tegen journalisten. Een aardige illustratie van het toch al vrij hoge stiptheidsactiegehalte van Security.

De belangrijkste les is van het geheel is dat het ruimschoots en voortijdig voldoen aan eisenlijsten vol strenge regels kan samengaan met de lekheid van een mandje. Dat alle losse maatregelen 100% 'geïmplementeerd' zijn, maar het gestelde doel toch niet is bereikt. Dat een strikte pasjescontrole blijkbaar niet overgelaten kan worden aan feilbare mensen. Dat techniek sterker is dan procedures.

Of heeft dit nog steeds niets te maken met ICT-security? Is informatiebeveiliging categorisch anders? Hmm. Bewijs het maar eens.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter