Het nieuwe Bouwbesluit

Ik had het net over Chris Verhoef. Al surfend kwam ik het opstel tegen dat hij gemaakt heeft voor een rondetafelgesprek in de Tweede Kamer over online bankieren. Ik was trouwens aangenaam verrast dat gesprek georganiseerd is. Ze letten daar toch wel op in Den Haag. Hij zegt daarin een paar aardige dingen, sommige al bekend, andere juist niet.

• Iedereen weet dat banksystemen soms al twintig jaar oud zijn. Volgens Verhoef geldt: hoe ouder hoe beter, want die systemen zijn in het gebruik gerijpt en gehard.

• Minpuntje is dan wel weer dat er ofwel helemaal geen documentatie is ofwel dat de documentatie achter loopt (zijn er nog mensen voor wie dit een verrassing is of is dat beroepsdeformatie bij mij?). Niemand weet dus waarom die oude systemen zo goed werken

• Banken vertellen niks over storingen. Publicitair is dat verstandig, want omstandig excuses aanbieden zorgt ervoor dat mensen zich alle narigheid beter herinneren, maar het draagt natuurlijk niet bij aan een snelle oplossing. Gelukkig is er www.allestoringen.nl.

• Je hebt ook zoiets als een flash crowd. Ik kende alleen de flash mob, maar een flash crowd is een spontane oploop bij bv. een storing in het betalingsverkeer. Er gaan dan zoveel mensen nerveus proberen in te loggen dat dat hetzelfde effect heeft als een DDos-attack.

• Ook interessant: weet je hoe hackers aan al die emailadressen komen waar ze mee uit phishen gaan? Onder andere van kleine webshops die de middelen en/of het benul niet hebben hun administratie goed af te sluiten. Daar schrok ik van, want ik koop regelmatig wat bij kleine, goedkope webwinkeltjes.

Als het over oorzaken gaat wijst Verhoef erop dat banken niet transparant zijn en dat niet hoeven te zijn. Kostenbesparing en outsourcing (werkte Snowden ook niet voor een geoutsourced deel van de NSA?) zijn niet altijd bevorderlijke voor cyber security.

Verhoef komt met een mooie analogie met het Bouwbesluit. Ik heb dat wel eens vervloekt toen ik een WC per se 12 cm moest laten uitbouwen, omdat hij anders niet aan de minimale oppervlakte-eis voldeed, maar zo'n bouwbesluit is natuurlijk volkomen zinnig en gerechtvaardigd. En de controle daarop ook.

Het is helemaal geen gek idee om dat ook voor ICT-systemen in te voeren, zeker niet voor openbare voorzieningen als het betalingsverkeer. Maar dan niet zo bureaucratisch dat er nooit meer iemand een bank kan beginnen.

Nothings sucks like an Electrolux

Chris Verhoef is een interessante (vermoedelijke ook eigenwijze) informaticus uit Amsterdam die graag zijn mening geeft over IT-zaken en ook wel wat te vertellen heeft. Ik kwam hem de afgelopen week twee keer tegen, maar dan wel op papier.

PRISM

De Volkskrant wilde van hem weten hoe erg het nou was dat de Amerikaanse en de Britse geheime dienst van alles over je weten. Zijn antwoord was: Niet zo erg. Tegen de krant zei hij:

Je hebt heel veel machines en intelligente mensen nodig om van die data informatie te maken. En om dat vervolgens weer om te zetten in kennis en wijsheid.

Dat sluit wel aan bij mijn ervaring dat de informatica (en ook de taalkunde, waar ik in ben opgeleid) nog steeds niet erg best uit de voeten kunnen met het fenomeen "betekenis". Er is gewoon geen theorie waarmee je betekenis zo kunt weergeven dat je hem met een machine kunt analyseren.

Probeer Google Translate maar eens. Ik kwam deze lijst van automatische vertaalfouten tegen, waarvan ik de stofzuigerreclame "Nothings sucks like an Electrolux" (rijmt ook nog!) buitengewoon charmant vindt.

Dat is een mooi bruggetje naar het gevaar dat Verhoef wel ziet in PRISM: false positives, waarbij iemand ten onrechte van terrorisme wordt verdacht, kunnen rampzalige gevolgen hebben voor de betrokkene. Voor je het weet kom je op een zwarte lijst en mag je Amerika niet meer binnen (dat kan een ramp zijn) en geheime diensten zijn niet erg geneigd tot transparantie. Er is niet voor niets een Snowden voor nodig om dit aan de grote klok te hangen.

Weet je wat, ik schrijf gewoon nog een blog over mijn andere confrontatie met Verhoef.

Lang leve de immigratie!

Sinds vorig jaar volg ik de Internet Trends die Kleiner Perkins enz. ieder half jaar publiceert. Er is weer een nieuwe aflevering uit.

Kleiner Perkins is een groep venture capitalists die akelig rijk zijn geworden dankzij een goede neus voor innovatie en dat ook willen blijven. Daarom maken ze dit soort rapporten.

Leuk om op zaterdagmiddag eens door te bladeren in plaats van de boekenbijlage van de Volkskrant.

Highlights

• Pagina 52 e.v.: wearables: er is al lang een gadget waarmee je je iPhone als bloeddrukmeter kunt gebruiken, er zijn en komen steeds meer gadgets (armbandjes en zo) die bijhouden of je wel goed beweegt en slaapt, er komen brillen met ingebouwde navigatiesoftware (Google Glass) waarmee je ook je mail kunt lezen en films kunt maken, enz. Alle gegevens die zo worden verzameld zijn natuurlijk rond te twitteren en te facebooken
• Pagina 87: 60% van de 25 top tech bedrijven is gesticht door 1^e of 2^e generatie immigranten
• Pagina 99-101: Online education / MOOCS (gratis online hoorcolleges) steeds succesvoller
• Pagina 105: Belangrijkste learning tools
• Pagina 103: Goeie vraag over kosten healthcare
• Pagina 106-107: Mijn favoriet: hoe overbekende dingen als muziek luisteren, schoolboeken gebruiken, mensen inhuren door het internet op hun kop worden gezet.

Altijd leuk blijft het citaat van Ken Olson (oprichter van DEC, een van de belangrijkste computerfabrikanten van de vorige eeuw) uit 1977: There is no reason anyone would want a computer in their home.

Immigranten

Hoewel Steve Jobs niet beantwoordt aan het beeld dat ik heb van tweede-generatie allochtonen, heette zijn vader toch echt Abdulfattah Jandali en kwam hij van Syrië naar Amerika om politicologie te studeren. Ik wil me hier niet verdiepen in een verklaring voor het grote aantal eerste en twee-generatie immigranten onder de oprichters van leidende IT-bedrijven in de VS, maar ik vind het wel leuk dat een bedrijf dat echt een bedrijf is en geen not for profit-stichting fijntjes wijst op het belang van de hoog opgeleide - dat dan weer wel - immigranten voor de economie. Interessante invalshoek.

Cyberdoom

Het is makkelijk om een cyberdoomscenario te schrijven, want onze wereld is nogal kwetsbaar. Als een paar hackers inderdaad het elektriciteitsnet uit kunnen zetten, het waterleidingbedrijf kunnen saboteren en je bankrekening leeghalen, hebben we nogal wat om ons druk over te maken.

Hollywood heeft hier een keer een film over gemaakt: Live Free or Die Hard, alweer in 2007. Hierin beginnen de slechten met alle verkeerslichten in New York op groen te zetten, vervolgens hacken ze alle tv-omroepen en laten ze een film zien van het Capitool dat instort en daarna gaan ze het elektriciteitsnet uitschakelen. Gelukkig is Bruce Willis er op tijd bij, samen met een hacker met een notebook in een schoudertas.

Albert Benschop heeft een iets beter onderbouwd doemscenario ontwikkeld op zijn SocioSite, een monumentaal academisch naslagwerk over de invloed van internet op de samenleving.

Ik vind het best lastig om die scenario's op hun waarde te schatten. Het is duidelijk dat een cyberaanval veel schade kan aanrichten, maar hoe groot is de kans dat dat ook gaat gebeuren, wat gebeurt er dan eigenlijk precies en wat is eigenlijk het effect van doemscenario's op politiek en samenleving?

Benschop verwijst naar een Amerikaanse auteur, Sean Lawson, die er een artikel over heeft geschreven in the Journal of Information Technology & Politics 10 (2013), aflevering 1. Ik heb er online een (gratis) versie van gevonden: Beyond Cyber-Doom. Hij zet doemscenario's aardig in perspectief:

• Doemscenario's bestaan al sinds er onbegrepen technieken zijn. Mensen zijn bang dat die op een gegeven moment niet meer te  beheersen zijn. Een beetje het verhaal van de tovenaarsleerling.
• Er blijkt een wetenschappelijke rampkunde te bestaan die leert dat technologische ontwrichting nog niet hoeft te leiden tot sociale ontwrichting en dat mensen vaak heel goed in staan zijn hiermee om te gaan. Hij geeft de bombardementscampagne tegen nazi-Duitsland als voorbeeld.
• Het is wel gevaarlijk om cyber-aanvallen als oorlog te bestempelen. Meestal gaat het alleen om misdaad en spionage, bij cyberattacks, en door die als oorlogshandelingen te framen, ontstaat het gevaar dat er militaire oplossingen worden gezocht (schieten! maar op wie dan?) en dat er een centrale commandostructuur wordt opgezet, waar decentralisatie van structuren en systemen een land juist minder kwetsbaar maakt

Al met al een mooi pleidooi om niet in paniek te raken, vooral goed te kijken wat een cyberwar nou precies is en meer te vertrouwen op zelforganisatie dan op centralisatie. 

Een argumentatieschema in een mindmap

Ooit, heel, heel lang geleden studeerde ik Nederlands. Behalve aan literatuur en taalkunde deden we ook aan taalbeheersing. Dat was een niet zo wervende verzamelnaam voor debatteren, retorica, presenteren en andere leuke dingen die je met taal kunt doen.

Een van de groten van de taalbeheersing was Arne Naess - niet te verwarren met zijn neef die nog eens met Diana Ross getrouwd is geweest. Oom heeft een boek geschreven over argumentatietheorie en daaruit herinner ik me het argumentatieschema. Een schema waarin je alle argumenten vóór en tegen een stelling op een rijtje zet en vervolgens weer alle argumenten vóór en tegen de hoofdargumenten, en zo voorts.

Arne Naess was behalve filosoof
ook ecosoof, zoals je aan deze foto
wel een beetje kunt zien

Voor Naess was argumenteren een vorm van waarheidsvinding. Een stelling is dan waar als de argumenten vóór niet weerlegd worden. Ik vind dat een mooi idee, al zie ik wat bezwaren.

Maar goed. Ik zit tegenwoordig op debatteerles bij mijn partij (de cursus kost 66 euro, raad zelf welke partij het is) dus ik ben nu ééns in de veertien dagen een gezellig avondje bezig argumenten vóór en tegen stellingen van wisselende maatschappelijke relevantie ("Dolf Jansen moet gedwongen worden 20 kilo af te vallen") te verzinnen.

Niet vreemd dus dat de argumentatieschema's van oom Arne me weer te binnen schoten. En omdat ik ook graag mindmap, vond ik het ineens apeslim om uit te zoeken of je een arugmentatieschema in een mindmap kan stoppen.

En moet je nou eens hier kijken!

Dit is gemaakt met Freemind, een open source-programmaatje om mindmaps te maken. De clou is dat je vóór- en tegenargumenten duidelijk uit elkaar houdt. In Freemind kun je daar icoontjes voor gebruiken. Het werkt stukken makkelijker dan met pen en papier, want Freemind formatteert alles netjes (weer niet zo netjes als bv. MindNode (Mac/iPad), maar ik heb nog niet uitgevonden of dat ook met icoontjes werkt).

Volgende keer dus de notebook mee naar debatteerles!

Eerst aardig, dan competent

Nog maar een berichtje over body language, weer naar aanleiding van een verhaal met Amy Cuddy:

Mensen kijken eerst of iemand aardig is en pas daarna of iemand sterk en competent is. Dat hebben we nog uit onze mensapentijd. Als je een ander wezen tegenkomt moet je eerst weten of het je gaat verscheuren of dat je samen bramen kunt gaan zoeken. Een glimlach, vooral een echte glimlach, is een teken dat er niemand verscheurd gaat worden.

Deze glimlach lijkt me
een beetje nep

Het is nog wel een beetje de kunst om gemeend te glimlachen en op het goeie moment. John McCain, de presidentskandidaat die goddank van Obama verloor heeft er nog wat moeite mee, zie link. Het staat een beetje raar als je eerst vurig betoogt dat je Osama Bin Laden tot aan de poorten van de hel zult achtervolgen en dan afsluit met een brede grijns.

Een goeie glimlach doe je niet alleen met je mond, maar ook met je ogen, trouwens, althans met de spiertjes aan de zijkant. Kraaiepootjes zijn een teken dat je veel geglimlacht hebt en makkelijk toegankelijk bent. Handig om even bij stil te staan voordat je gaat Botoxen.

Als je aardig blijkt te zijn, is de volgende stap om respectabel te zijn: sterk en/of compentent. Daar heb je weer andere gebaren voor, bijvoorbeeld een stevige handdruk. Niet te stevig, want dan schrik je mensen af en moet je eerst weer aardig gevonden worden.

Een DDOS-attack in 2004 en een in 2013

Toen ik bij ICTU werkte in 2004 ("vroeger") werd onze site, overheid.nl, een keer getroffen door een DDOS-attack. Waardoor we een dag of vijf niet bereikbaar waren.  De ING had deze week een stuk minder tijd nodig om zijn site weer tot leven te brengen.

Wat is een DDOS-attack?

Bij een DDOS-attack wordt je website trouwens lamgelegd doordat er zoveel pagina's tegelijk worden opgevraagd dat hij het niet meer aankan. Er wordt niet ingebroken, dus er worden geen gegevens gestolen of veranderd.

De eerste D van DDOS staat voor "distributed": de aanval wordt vanaf (veel) verschillende computers uitgevoerd. Dat kan de PC van je oude moedertje zijn als ze geen virus checker heeft en er ooit eens kwaadaardige software op terecht is gekomen waarmee de PC voor een DDOS-attack kan worden gebruikt. Anders gezegd: je kunt zonder te weten medeschuldig zijn aan een DDOS-attack.

Saillant detail: de ABNAMRO veronderstelt dat je als je bij hun Internetbankiert, je een bijgewerkte virusscanner op je computer hebt. Anders moet je meebetalen als je rekening gehackt wordt. We mogen dus veilig aannemen dat er geen rekeninghouders van de ABNAMRO (onwetend) betrokken waren bij de aanval op de ING.

Script kiddies

Er zijn me in 2004 twee dingen opgevallen:

• Het is niet zo moeilijk om zo'n DDOS-attack te organiseren.
• Als je de overheid achter je aan krijgt ben je nog niet jarig.

De politicologen van de ICTU (er liepen daar toen relatief weinig ICT'ers rond, die werden allemaal ingehuurd) hadden het neerbuigend over "script kiddies", toen de daders van de attack opgespoord waren. Dat is een neerbuigende term die echte hackers gebruiken voor mensen die zonder al te veel ICT-kennis ook wat gaan hacken. De software om een DDOS-attack uit te voeren haal je namelijk zo van het Internet en DDOS-attacks blijven populair.

Straf

De daders  - in de leeftijd van 15 tot 18 jaar - van de ICTU-attack werden vrij snel opgepakt - letterlijk:  de hoofdverdachte zat zijn hoofdstraf, 38 dagen, uit in voorarrest. Daarnaast had hij nog een taakstraf van 240 uur. Dat was de eerste keer dat cybercrime in Nederland tot een veroordeling leidde.

De overheid liet het daar niet bij zitten en heeft ook nog een schadevergoeding van 5 ton gevorderd. De rechter vonniste in 2008 dat 44.000 euro wel genoeg was.

Ik vind de straf en de schadevergoedingseis (niet de opgelegde eis) behoorlijk hoog. Speelt hier angst voor het onbekende mee, bij de overheid?

Had de ING dit niet kunnen voorkomen?

DDOS-attacks kun je wel voorkomen, met ingewikkelde software en dure apparatuur. Het punt is dat ze weinig voorkomen, hoewel ieder script kiddie er een kan uitvoeren. De ING-bank heeft:

• òfwel de afweging gemaakt dat de investering in beveiligingsmaatregelen niet opwoog tegen de moeite. Ik neem aan dat de bestelling voor een betere firewall inmiddels de deur uit is (voor de zekerheid op de post en niet met de mail)
• òfwel ze hebben de afweging niet gemaakt. In dat geval verstaan de ICT'ers hun vak niet bij de ING of - en dat lijkt me waarschijnlijker - begrijpen de managers de ICT'ers niet.