Slimme stick

Een kapitein van de landmacht liet zijn usb-stick met geheime gegevens over de missie naar Afghanistan in een huurauto liggen. Ook een medewerker van de militaire inlichtingen- en veiligheidsdienst raakte op deze manier gevoelige informatie kwijt. Hoog tijd voor een met vingerafdruk- of codebeveiligde usb-stick, vinden de politie en het leger. Is het verbazingwekkend dat dit zo lang heeft geduurd?

“Nee, bij beveiliging gaat het niet om technische kunstjes”, zegt universitair docent ir. Wouter de Jong van de faculteit Elektrotechniek, Wiskunde en Informatica desgevraagd. Hij geeft het vak informatiebeveiliging. “Het wordt met veel bombarie aangekondigd, maar technisch gezien is dit niet nieuw. Het probleem met deze beveiliging ligt in de organisatie. Vaak maken oude mensen het beleid en die hebben geen idee van wat technisch mogelijk is.”

Door deze maatregel is dit probleem niet uit de wereld, benadrukt De Jong. “Human stupidity is de grootste bedreiging. Je kunt een stick of computer bijzonder goed beveiligen, bijvoorbeeld met een lang, ingewikkeld wachtwoord. Maar dat is zo moeilijk te onthouden, dat mensen het opschrijven en bewaren in hun portemonnee.”

Naast gecodeerde usb-sticks, krijgen politie en militairen binnenkort sticks met vingerafdrukherkenning. “Maar wat als je een wondje op je vinger hebt? Of dat je huid rafelig is en de afdruk niet wordt herkend? Dan pakken mensen snel een niet beveiligde stick, dat is wel zo makkelijk. Er zit een spanningsveld tussen gebruiksvriendelijkheid en beveiliging. Hoe beter iets is beveiligd, des te minder gebruiksvriendelijk het is.”

Volgens De Jong gaat het om de vraag hoeveel gebruikersgemak mensen willen opgeven. “En welke sancties op overtredingen staan. Als je veiligheid wilt afdwingen, moet je heel streng zijn. Denk aan Schiphol: als daar iemand zijn beveiligingspas kwijtraakt, wordt hij ontslagen. Dus raakt bijna nooit iemand zijn pas kwijt, maar als het toch gebeurt kan iemand die er al dertig jaar werkt de zak krijgen. Wil je zo streng zijn?”

Ook aan de TU Delft wordt met veel gevoelige informatie gewerkt. Treft de TU speciale maatregelen? “Nee, al zouden die er misschien wel moeten zijn. Het gaat niet alleen om de verantwoordelijkheid van de onderzoekers, maar ook van de TU”, zegt ict-security manager ing. Alf Moens. “Wij adviseren mensen daarom om usb-sticks te versleutelen. Maar als iemand ons vraagt om dat voor ze te doen, kunnen we daar helaas niet mee helpen. Wel raden we een programma aan, zodat ze mensen het thuis zelf kunnen doen. Onze beste tip is dan ook: gebruik die sticks zo min mogelijk en haal belangrijke informatie er snel weer af.” (RV)

Een kapitein van de landmacht liet zijn usb-stick met geheime gegevens over de missie naar Afghanistan in een huurauto liggen. Ook een medewerker van de militaire inlichtingen- en veiligheidsdienst raakte op deze manier gevoelige informatie kwijt. Hoog tijd voor een met vingerafdruk- of codebeveiligde usb-stick, vinden de politie en het leger. Is het verbazingwekkend dat dit zo lang heeft geduurd?

“Nee, bij beveiliging gaat het niet om technische kunstjes”, zegt universitair docent ir. Wouter de Jong van de faculteit Elektrotechniek, Wiskunde en Informatica desgevraagd. Hij geeft het vak informatiebeveiliging. “Het wordt met veel bombarie aangekondigd, maar technisch gezien is dit niet nieuw. Het probleem met deze beveiliging ligt in de organisatie. Vaak maken oude mensen het beleid en die hebben geen idee van wat technisch mogelijk is.”

Door deze maatregel is dit probleem niet uit de wereld, benadrukt De Jong. “Human stupidity is de grootste bedreiging. Je kunt een stick of computer bijzonder goed beveiligen, bijvoorbeeld met een lang, ingewikkeld wachtwoord. Maar dat is zo moeilijk te onthouden, dat mensen het opschrijven en bewaren in hun portemonnee.”

Naast gecodeerde usb-sticks, krijgen politie en militairen binnenkort sticks met vingerafdrukherkenning. “Maar wat als je een wondje op je vinger hebt? Of dat je huid rafelig is en de afdruk niet wordt herkend? Dan pakken mensen snel een niet beveiligde stick, dat is wel zo makkelijk. Er zit een spanningsveld tussen gebruiksvriendelijkheid en beveiliging. Hoe beter iets is beveiligd, des te minder gebruiksvriendelijk het is.”

Volgens De Jong gaat het om de vraag hoeveel gebruikersgemak mensen willen opgeven. “En welke sancties op overtredingen staan. Als je veiligheid wilt afdwingen, moet je heel streng zijn. Denk aan Schiphol: als daar iemand zijn beveiligingspas kwijtraakt, wordt hij ontslagen. Dus raakt bijna nooit iemand zijn pas kwijt, maar als het toch gebeurt kan iemand die er al dertig jaar werkt de zak krijgen. Wil je zo streng zijn?”

Ook aan de TU Delft wordt met veel gevoelige informatie gewerkt. Treft de TU speciale maatregelen? “Nee, al zouden die er misschien wel moeten zijn. Het gaat niet alleen om de verantwoordelijkheid van de onderzoekers, maar ook van de TU”, zegt ict-security manager ing. Alf Moens. “Wij adviseren mensen daarom om usb-sticks te versleutelen. Maar als iemand ons vraagt om dat voor ze te doen, kunnen we daar helaas niet mee helpen. Wel raden we een programma aan, zodat ze mensen het thuis zelf kunnen doen. Onze beste tip is dan ook: gebruik die sticks zo min mogelijk en haal belangrijke informatie er snel weer af.” (RV)