Verslag dialoog: Security Onder leiding van: Jasper Spanbroek, Chief Legal Officer Jaya Baloo, Chief Information Security Office In onze samenleving groeit de afhankelijkheid van op internet gebaseerde communicatietechnologie. Als grootste telecom- en dienstverlener van Nederland levert KPN daar een essentiële bijdrage aan. Daar zijn we trots op, want met onze diensten en producten zijn we actief in alle onderdelen van Nederland. Dat brengt een grote verantwoordelijkheid met zich mee en vraagt om een evenwichtig maatschappelijk beleid. KPN ziet volop kansen voor de samenleving, maar beseft dat de groeiende afhankelijkheid van communicatietechnologie ook keerzijdes kan hebben. Een goede dialoog met onze stakeholders is daarom essentieel. Ieders mening, ervaring en expertise zijn voor ons bijzonder waardevol. Introductie De rol van KPN als beheerder van haar netwerk in Nederland is groot. Als spin in het web van zeer uiteenlopend instanties, zoals politie, ziekenhuizen, vliegvelden en havens maar vooral ook van consumenten heeft KPN een grote verantwoordelijkheid. Het beheren en ervoor zorgen dat deze netwerken goed werken is een logische klus voor KPN. Er gaat echter zodanig veel gevoelige informatie over de netwerken heen, dat het beveiligen van deze netwerken voor KPN topprioriteit is. De samenhang tussen Security en Privacy is duidelijk Security helpt de Privacy van klanten te beschermen. Maar de belangen kunnen ook strijdig worden, als Security belangen nopen tot een inbreuk op Privacy. Een van de dilemma s waar KPN vandaag de dag mee worstelt, is de vraag of security een hygiëne factor is, of dat KPN zich als bedrijf zich hierin moet onderscheiden en hoe zij dit dan moet doen. Security is bij uitstek een thema waarmee KPN zich moet onderscheiden?! Hoofdconclusies: - Er moet altijd een basisniveau van security zijn in de markt, ook zonder dat daar op wordt geconcurreerd. Competitie moet zich niet primair hierop willen onderscheiden. Het is legitiem en verantwoord om een extra veiligheidsproduct te leveren, boven het basisniveau van veiligheid. - Er is een grote groep mensen die weinig weten van security. De meningen zijn verdeeld over de toegevoegde waarde van voorlichten of opvoeden van deze klanten op het gebied van security. KPN zou hier wel een rol in kunnen nemen. - Ontzorgen van klanten op het gebied van Security kan een goed idee zijn, waarop KPN zich ook zou kunnen onderscheiden. Dat mag echter nooit ten koste gaan van privacy, tenzij klanten
daarin, op basis van een vrije keuze, expliciet voor kiezen. KPN zou echter moeten zoeken naar security dienstverlening die de privacy van de klant niet of zo min mogelijk schaadt. Minimaal basisniveau van security is essentieel Er is een eenduidige visie vanuit de stakeholders dat er op het security thema een minimaal basisniveau wat vrij hoog ligt in Nederland - moet zijn en waarop geen competitie moet worden gevoerd tussen de verschillende partijen op de telecommarkt. KPN mag hier volgens de stakeholders ook het voortouw in nemen en een voorbeeld zijn voor de rest, om te laten zien wat er allemaal mogelijk is op het gebied van security. Echter, security is een zodanig belangrijk onderwerp, dat het niet wenselijk is wanneer partijen kennis hierover niet delen vanuit concurrentieoogpunt. Basis niveau is al vrij hoog in Nederland. Vind je het leuk om er iets bovenop te doen dan moet je dat doen Onderscheiden op bepaalde producten - bijvoorbeeld het extra beveiligen van een serverpark, waarin alle data extra beveiligd kan worden opgeslagen is volgens enkele stakeholders volledig legitiem. Competitie element voor innovatie Echter, een element van competitie is ook essentieel voor innovatie op het gebied van security. Als je geen competitie hebt op een bepaald vakgebied, dan is de kans dat je voldoende aanhaakt heel klein. Als je geen competitie hebt dan ga je niks doen aan ontwikkeling. Het is voor KPN absoluut noodzakelijk dat er ook op security gebied een competitie element aan vastzit. Onderscheiden zonder te concurreren Nederlandse banken hebben afgesproken dat security in principe niet commercieel wordt benut. Gezamenlijk is besloten om meer tegen cybercrime te gaan doen en de handen zijn ineengeslagen om dit probleem aan te pakken. Men is echter vrij om meer aan profilering te doen. Onderscheiden zonder te concurreren is volgens sommige stakeholders zeker mogelijk. Een stuk hygiëne/ een minimaal niveau van security is evident. Echter is het speelveld enorm breed door de vele keuzes. Een eigen keuze maken voor bepaalde technologieën of leidend zijn door een standaard of een norm in de markt zetten, is een goede manier om je als bedrijf te profileren. Zichtbaarheid van KPN Op de vraag of KPN hier voldoende zichtbaar in is, wordt geantwoord dat dit duidelijk is veranderd sinds het hack incident. Security is zichtbaar belangrijk geworden en KPN is een voortrekker op dit gebied met nieuwe initiatieven. KPN is een levend voorbeeld dat er iets extra s kan worden gedaan op het gebied van security en privacy. De burger heeft er minder kaas van gegeten Er is consensus over het feit dat de aanwezigen in de zaal veel weten over het onderwerp security en privacy, maar dat de gemiddelde burger of de MKB er er,door de bank genomen, minder kaas van
heeft gegeten. KPN kan een voorloper zijn om de klant goed voor te lichten met betrekking tot de beveiliging van hun informatie. Mensen snappen het niet. Ik zou het erg fijn vinden, als een ISP je een seintje geeft als je naar verkeerde websites gaat of als er iets ergs gebeurt met je PC. Er is een enorme behoefte bij klanten aan deze hulp. Het enige struikelblok is hierbij dat als je dit gaat aanbieden je impliciet zegt dat wat je nu aanbiedt nog niet goed genoeg is. Opvoeden of ontzorgen Moet KPN opvoeden of ontzorgen? De meningen zijn verdeeld over het antwoord op die vraag. Er is sprake van een rechtstreekse lijn met je ISP. Misschien moeten we daar als klanten meer privacy neerleggen zodat hij ons kan beschermen Wat is het nut als de helft van de Nederlanders wijzer is geworden? Hierdoor zal inderdaad het verder verspreiden van rommel minder zijn, maar het probleem is niet weg. Helpt het wel als je aware bent? Ik ben aware, maar ik kijk niet naar alle voorwaarden die ik accepteer en heb allemaal apps die ik niet controleer etc. Bij banken is het van belang dat je een imago hebt, dat je als bedrijf in control bent en dat iedere vorm van fraude wordt tegengaan. Bij KPN zit het vooral aan de privacy kant. Het vertrouwen moet worden gegeven aan klanten, dat wat hij doet op online gebied, veilig is. Ik pleit ervoor om dat meer zichtbaar te maken. Elke maand is er weer iets nieuws. Awareness creëren en mensen bang maken lukt wel. Maar om ze iets te leren is heel moeilijk. Je moet mensen wel bewust maken, maar je kan beter investeren in bouwblokken, waarbij het heel transparant is wat er gebeurt en wat je doet en dus niet investeren in alleen maar het opvoeden van klanten Er wordt vervolgens een voorbeeld genoemd waarbij iemand werd geholpen door op afstand iemand met verstand van zaken mee te laten kijken met de problemen met zijn PC. Het struikelblok blijft een vorm van angst bij de consument, die zich bekeken voelt. Er wordt kritiek geleverd op de aanname dat privacy ten koste zou gaan van veiligheid. Wat mij irriteert is dat het altijd ten koste moet gaan van privacy van mensen. Nee, dat hoeft niet het gaat om mensen die het willen. Er is een hele grote groep mensen, die er zelf voor kiest. Maar we moeten niet doen alsof het een wisselvat is. Je kan ook veilig zijn zonder dat je privacy inlevert. Het idee is slimmer als je het anders brengt. Privacy inleveren zie ik niet als essentieel. Er zit ruimte om dingen te verzinnen, zonder dat de burger zijn privacy moet inleveren wanneer hij beveiliging wil krijgen. De meerwaarde zit erin dat je iemand bij de hand neemt, zonder daarbij zijn privacy in het geding te laten komen. De verantwoordelijkheid ligt bij KPN om alles zo te maken dat alles gewaarborgd blijft
De Terughack wet biedt een effectief instrument om Cybercrime aan te pakken Hoofdconclusies: - De terughack -wet is niet perse de beste oplossing om cybercriminaliteit aan te pakken. Het is volgens een meerderheid van de stakeholders een aanvallende manier die een aantal grote nadelen met zich meebrengt. Echter, er is ook een gebrek aan goede alternatieven om cybercriminaliteit tegen te gaan. - KPN kan veel doen om overheden te helpen cybercriminaliteit aan te pakken. Deze maatregelen moeten echter zeer secuur zijn en de privacy van de maatschappij moet goed gewaarborgd blijven. Cybercriminaliteit is een groot probleem en moet worden aangepakt Iedereen (h)erkent het probleem en vindt dat er een oplossing moet komen. Een slogan die je vaak hoort, is dat we proberen in te zetten op een safe place to do business. Er is echter veel kritiek op de voorstellen. Maar het probleem is er wel, hoe gaan we er dan wel mee om? Hoe aantrekkelijk is Nederland om je als crimineel te vestigen? Zolang je zorgt voor goede checks en er transparant over bent, kan je veel meer doen dan nu al gebeurt. Een meerderheid van de deelnemers geeft aan dat terughacken niet de beste oplossing is voor het cybercriminaliteit probleem. Hoe onderscheiden we de Goodware ten opzichte van het slechte? Terughacken : you kill me, i kill you back. Maar de schaal van het probleem wordt straks heel groot. Dat is een zorg. Als de politie dat terughacken doet, zal alles getoetst worden. Er zal altijd een rechter commissaris moeten zijn, die daar toestemming voor geeft. Buitenland Als het verkeerd gaat, dan gaan we het later fixen. Daar heb ik moeite mee. Als wij dit mogen doen, dan mogen andere landen ook terughacken. Dat is een groot probleem In het wetsvoorstel staat dat het wel kan. Het is een precedent om het dan ook te kunnen doen richting Nederland. Rol van KPN Hoewel er consensus is bij de stakeholders dat KPN een zekere rol moet spelen in het faciliteren van de overheid om cybercriminaliteit tegen te gaan, zijn ze verdeeld over het antwoord op de vraag op welke wijze dit moet gebeuren. Wel vindt iedereen dat KPN een positie moet kiezen. Wat zou KPN moeten doen? Goede terroristen pak je toch niet zomaar. Het liefst wil je het bij een club beleggen, die dat kan. De vraag is of de politie het kan. Je wil een mogelijkheid hebben om op te kunnen treden, maar ik weet niet of terughacken door de politie het middel is.
KPN is bij uitstek een club die op IT gebied een enorme bak expertise heeft. KPN heeft een fors netwerk, maar heeft ook te maken met kanalen waar criminelen zitten. Ook zijn er mogelijkheden voor KPN om dingen te doen in haar netwerk, zodat de politie toch de data kan bekijken. Er zijn natuurlijk protocollen. Er zijn meerdere opties om de politie te kunnen helpen en die discussie moet gevoerd worden om te kijken wat er kan. Mocht KPN het doen dan kan KPN het beste de impact meten. Encryptie is iets dat plaatsvindt tussen gebruikers. KPN ziet dit encryptieverkeer langskomen. Maar moet KPN die politieman zijn op internet? Heeft KPN een signaleringsfunctie? Er blijft sprake van een dilemma bij de afweging van effectievere middelen voor de overheden en politie enerzijds en anderzijds de privacy van individuen. Er is al jaren discussie over Notice and Takedown. Je hebt het hier namelijk over een technisch probleem. Ook al zou je het juridisch regelen, dan nog lukt het vaak niet. Het wetsvoorstel moet hier een oplossing voor bieden. De politie valt nu vaak terug op klassieke opsporingsmethodes. Je kan effectiever optreden door infiltratie van de systemen Adviezen voor KPN - Knap van KPN dat ze 2,5 jaar geleden begonnen is met security als thema en daar aan vast hebben gehouden, waardoor het nu een kracht is geworden. Het kan beter ingeregeld worden, maar het is een compliment dat jullie het gewoon doen. Zorg dat de oplossingen simpel blijven. - Ik hoop dat het niet een KPN-only onderwerp is. Hopelijk slaat dit ook over naar andere branches. Deel informatie met andere bedrijven om het internet in het algemeen veiliger te maken - Communiceer heel erg eerlijk en helder over wat KPN doet. Bijvoorbeeld als het gaat om digitale televisie. Vertel eerlijk wat je allemaal wel en niet doet met de informatie. Wees daar helder in. Dat geeft de klanten een veiligheidsbeleving, zodat ze weten waar ze aan toe zijn - Het hackincident, het is goed dat het is gebeurd. Vanaf 2012 zie je bij KPN meer aandacht ontstaan voor security. Probeer de voordelen die je hebt gehaald, ten volle te benutten. De overheid wil er graag over meedenken hoe dit succes breder te delen binnen de sector. Daar valt echt nog een slag te maken. - Ik zou als KPN nog beter zichtbaar worden voor consumenten en bedrijven en laten zien wat de voordelen zijn van security. Daarbij is het belangrijk om de hele sector mee te nemen. Dan krijg je de beweging in gang die noodzakelijk is. - KPN neemt de sector mee. De sector is zo intiem met elkaar verbonden. Er is concurrentie ja, maar ook superveel samenwerking, bijvoorbeeld om D-DOS aanvallen tegen te gaan. Samenwerking is cruciaal en essentieel.