November-beurs over Security in de Jaarbeurs

Deze beurs bezoek ik elk jaar. Aanvankelijk (2008) voor open source en Linux. Maar daarna steeds meer vanwege de groeiende aandacht voor security. De beurs omvat drie gebieden: Storage, Tooling en Security/ open source. Volgens mij is in toenemende mate Security het belangrijkste onderwerp geworden. Er waren door de jaren altijd uitstekende sprekers, die de achtergronden van de bedreiging diepgaand analyseerden. Ik heb daarvan op deze weblog regelmatig verslag gedaan.

Trends die ik dit jaar waarnam: Het bezoekersaantal blijft explosief stijgen. Diverse lezingen, ook in de grote congreszalen, moesten vóór aanvang de deuren sluiten wegens te grote toeloop. Verder zijn er grote groepen jongeren ( mbo- en hbo-scholieren, schat ik in). Daardoor zie je langzamerhand ook een steeds grotere aanwezigheid van allochtone jongeren. Tenslotte zag ik ook diverse Belgische sprekers. Al eerder nam ik op beurzen over The Cloud waar, dat Belgen heel actief zijn op de technische gebieden van internet en cloud.

Als eerste luisterde ik naar de Belgische spreker Jan Guldentops. Hij had als titel van zijn verhaal 'nihil novi sub solem'. Aangenaam verrast concludeer ik daaruit, dat we te maken hebben met een collega-gymnasiast. Ik vind die mannen altijd uitblinken in analytisch vermogen en brede reflectie, altijd een verademing naast de hypegedreven hijgers. Hij is een historicus, die in de ICT verzeild is geraakt (in zijn eigen woorden “in de ICT aan lager wal is geraakt”.) Hij ontwikkelde zich als ICT- security onderzoeker, nadat hij in 1996 enorme kwetsbaarheden in het eerste Belgische internet-banking systeem ontdekte. Uit nieuwsgierigheid probeerde hij het systeem binnen te komen en tot zijn verbazing ging dat heel gemakkelijk, waarbij alle systeemvariabelen en toegangssleutels leesbaar te vinden waren.

Zijn betoog komt erop neer, dat vanaf 1997 tot op heden eigenlijk niets is veranderd. Er zijn veel bedreigingen aangetoond en ook allerlei beveiligingstechnieken ontwikkeld, maar de toepassing daarvan wordt schromelijk verwaarloosd. Zijn opsomming:

-Single sign on en het managen van rollen wordt nog nergens doorgevoerd.

-Ontwikkelaars zetten nog steeds passwords in cleartext in hun toepassingen. (De volgende stap is toepassen van een hasher. De volgende dan een centraal systeem voor beveiliging.)

-E-mail is voor velen het belangrijkste communicatiemiddel, maar nog weinigen gebruiken encryptie.

-SMTP wordt veel gebruikt, maar hij vindt dat oud en simpel. Volgens hem is de ondertekening van mail de oplossing voor spam. -Ipv6 en encryptie blijven achter.

-De Diginotar-case is van dit alles een bevestiging. Notabene bij een instantie die beveiligingscertificaten uitgeeft voor Nederlandse overheidsdiensten.

-Risk assessment wordt niet gedaan.

-Stomme no-brainers worden niet gedaan.

Daar komt bij dat door de wet van Moore hackers steeds meer potentieel hebben, bijvoorbeeld om codes te breken en om DDOS aanvallen uit te voeren. Hij stelt, dat het killerproduct voor beveiliging het gezonde verstand is. Standaarden moet je niet laten verworden tot papieren tijgers en je moet voortdurend investeren in Awareness. Vraag voor de cloud om 'legal, real guarantees'. Maar ik vraag me af, of je die kunt krijgen. (In een andere sessie zie ik iemand de patriotact aanhalen. Volgens hem heeft de Amerikaanse overheid niks te maken met allerlei afgegeven garanties en kan zij alle bestanden inzien, die zich op haar grondgebied bevinden en zelfs bestanden die elders zijn, maar die beheerd worden door een Amerikaans bedrijf.)

Over softwarehuizen

Een oude Cap Gemini theoreticus (Rijsenbrij) schrijft op LinkedIn oktober 2012, dat softwarehuizen niet willen investeren. En dat daarom in systeemonwikkeling alles maar fout blijft gaan. Hierbij een quote van zijn verhalen, gevolgd door een reactie daarop en mijn eigen ervaring daarin.

http://www.blogit.nl/de-opkomst-en-ondergang-van-softwarehuizen

QUOTE

Veel softwarehuizen noemen zich tegenwoordig informaticabureaus, klinkt chiquer. Op zoek naar omzetvergroting en klantenbinding zijn zij tevens consultancywerkzaamheden gaan verrichten. Dat zogenaamde meedenken is vaak een teken dat er niet concurrerend software kan worden geleverd. In feite probeert het softwarehuis dat te compenseren met iets dat de klant niet echt nodig heeft, althans niet van een softwarehuis. Sommige softwarehuizen maken het zo ‘knus’ dat ze spreken over een gezamenlijke businessomgeving. Het is tegenwoordig modern om alles samen te doen. Van vroeger herinner ik mij nog de melodieuze mantra: ‘De NMB denkt met u mee’. Bij een bank leek dat wellicht nuttig, maar bij een softwarehuis zou ik zeggen: ‘laat maar zien wat je echt kunt en meedenken op mijn kosten stel ik niet echt op prijs’. Veel grote softwarehuizen lijken op dinosaurussen die door te veel managementlagen en te veel stafafdelingen, niet meer lenig genoeg zijn om moderne ondernemingen adequaat te dienen op IT-gebied. In een slanke onderneming heb je maar een zeer beperkt aantal businessconsultants, architecten en projectleider(s) nodig om de IT te regelen, de rest kan worden geoutsourced. Dat geldt in feite ook voor softwarehuizen. Er is nog steeds een structureel tekort aan vakbekwame IT’ers, daar helpt geen enkele offshoring iets aan. Het feit dat IT een zeer moeilijk vak is, waarvoor niet iedereen in de wieg is gelegd, wordt helaas nog steeds niet onderkend. In feite heeft de wereld nog steeds behoefte aan vakbekwame IT’ers, niet aan softwarehuizen. IT’ers kunnen zich tegenwoordig zelf aanbieden via websites tegen tarieven die interessanter zijn voor klanten en waarvan zij zelf veel meer kunnen overhouden. Kunnen softwarehuizen zich nog op tijd heruitvinden? Ik ben bang dat het voor de meeste softwarehuizen al te laat is. In de vette jaren vonden zij het zonde van hun geld om zich te professionaliseren; nu in de magere jaren hebben zij het geld niet meer om volwassen te worden.

UNQUOTE

Tolido reageert als vertegenwoordiger van Cap Gemini en stelt o.a., dat klanten ook niet bereid zijn om te investeren in een theoretisch verantwoorde benadering met grote investering in architectuur, maar dat klanten vooral bezig zijn om de tarieven van de leveranciers maximaal uit te knijpen. Inderdaad vind ik Rijsenbrij ook het prototype van de studeerkamergeleerde, de architect die los van de hectiek en dynamiek van business en economie zijn plaatjes tekent. Maar ik ben het met hem eens, dat softwarehuizen vooral geld willen verdienen en dat de echte vakmensen ondersneeuwen onder commercianten, die meer geinteresseerd zijn in omzet dan in goede oplossingen voor de klant. Althans heb ik dat in mijn 9 jaar bij Cap Gemini en rechtsvoorgangers zo ervaren. In een softwarehuis is er een balans tussen de naar binnen gerichte mensen, die de interne hierarchie organiseren en die klanten kunnen beschouwen als melkkoe, en de vakmensen, die buiten spelen en vol overgave proberen om ICT en bedrijfsvoering bij klanten te verbeteren. Die balans is noodzakelijk, maar als de macht doorslaat naar de eerste groep gaat de klant dat merken en afscheid nemen, zeker in een markt waar andere leveranciers en kwalitatief hoogstaande zzp' ers goed werk leveren bij de klant.

Security in de vitale infrastructuur

In november 2012 was weer de beurs Information Security/ Tooling Event/ Storage Expo. Ik nam een aantal periodieken mee van het Platform voor Informatiebeveiliging. Daarin las ik een artikel van consultant Luijf van de afdeling Bescherming Vitale Infrastructuur bij TNO.

Er komt steeds meer aandacht voor de Procesindustrie: Energie- en drinkwatervoorziening, wissels en seinen van metro en trein, raffinaderijen, containeroverslag, bagageafhandeling, nucleaire centrales, haveninstallaties, chemische fabrieken. Minder gauw wordt gedacht aan zaken die niet worden gezien als kernprocessen: besturing van riolering, straatverlichting, pompen/ sluizen/ bruggen, gebouwbeheersing, luchtbehandeling, liften en toegangsbeveiliging.

In mijn eigen ervaring herinner ik mij, dat het Facilitair Bedrijf als ondergeschikt wordt gezien aan de automatisering van de primaire processen in financiele instellingen en andere bedrijven en instellingen. De schrijver van het artikel stelt, dat de bewustwording nog steeds uitermate laag is. De verhalen zijn bekend, dat outsiders bijvoorbeeld de besturing van pompen en sluizen van lagere overheden konden overnemen. En met de overname van vitale infrastructuur van bedrijven en landen kan natuurlijk wel het functioneren daarvan worden lamgelegd. In Amerika werd er al over geschreven hoe het land via deze cyberwar (oorlogsvoering via het internet) ernstig kan worden bedreigd.

Aanvankelijk waren er proprietary systemen voor procesbesturing; bedrijven als Siemens ontwikkelden daarvoor specifieke hardware en software. Dat kan kosten-ineffectief worden genoemd, maar het voordeel is, dat de drempel voor inbraak hoger is. Echter wordt er steeds meer generiek gewerkt, windows, gsm en internet. Efficient en effectief, maar door het generieke karakter ook blootgesteld aan risico. Incidenten die zijn gemeld van inbraken: regeling verwarming Leger des Heils, systemen gemeente Veere, pompen van een zwemparadijs. De toegang was heel simpel, omdat er simpele passwords waren (password 'Veere').

De genoemde auteur en ook andere auteurs in Platform Informatiebeveiliging stellen, dat bewustwording de eerste prioriteit is. De bewustwording van cybercriminaliteit is al gegroeid bij specialistische ICT-afdelingen, maar helaas hebben deze geen notie van kleppen, pompen, motoren, 24/7 operaties. Het beheer daarvan zit bij het Facilitair bedrijf en bij een ver weggestopte technische dienst. Vaak is het beheer uitbesteed bij een externe technische onderhoudsfirma.

Ik citeer een treffende observatie van John Grüter: Awareness is geen rationele maar een emotionele toestand. IT systemen hebben nog steeds een grote afstand tot ons gevoel. Het vervelende is, dat ze wel grote gevolgen kunnen hebben. Deze afstand tussen gevoel en gevolgen is typisch voor veel van de techniek en de organisaties in onze hoog ontwikkelde samenleving. Het is duidelijk dat je lang haar in een knotje moet doen, als je met een cirkelzaag werkt, maar dat je regelmatig je password moet veranderen, is minder logisch voor ons gevoel.

Het falen van grote projecten

Momenteel staat het nieuws bol van de berichten over problemen met de hogesnelheidstrein Fyra. Een voorbeeld van falende grote projecten zoals we vaker hebben gezien in de ICT en bij grote infrastructuurprojecten (Betuwelijn, tunnels). Het falen van grote projecten in de ICT wordt volgens mij in de loop der jaren minder. Want klanten en leveranciers leren en worden steeds meer competent om dergelijke grote initiatieven te beheersen.

Wat mij opvalt bij de case Fyra zijn de volgende herkenbare zaken:

-Journalisten en politici storten zich massaal op de problematiek. Op televisie zie je elke dag woordvoerders van zo'n 6 partijen hun mening verkondigen en eisen stellen.

-Uiteraard zijn het atechnische figuren, die geen enkel benul hebben van de complexiteit van grote technische uitdagingen. Zij eisen, dat het probleem binnen een week moet worden opgelost, terwijl ze zouden moeten weten, dat andere hogesnelheidstreinen als Thalys en ICE ook jaren nodig hebben gehad om stabiel te worden.

-Sommigen eisen ook doodleuk, dat gestopt moet worden met Fyra en dat er maar een andere trein moet worden gekocht. Een Belgische journalist merkte terecht op, dat je niet zo makkelijk van trein kan wisselen als dat je van auto wisselt. (Belgen zijn toch vaak bedachtzamer dat hun schreeuwende noorderburen.)

-Uiteraard wordt er geëist, dat er een parlementaire enquete moet komen. Gelukkig is de meerderheid in de kamer daar niet voor, want ze kunnen hun tijd beter gebruiken.

-Een arme staatssecretaris die net een maand is aangetreden, mag al deze onbenullen te woord staan. Ze schreeuwen om directe actie die ze natuurlijk niet kan toezeggen: Het enige dat moet gebeuren is, dat competente techneuten zich erop storten, de problemen analyseren en oplossen.

-Ik zag een Italiaanse directeur vertellen, dat ze momenteel bij hun testen geen problemen vinden en dat de trein mechanisch en elektrisch in orde is. Ik denk, dat hij gelijk heeft, maar als techneut onderschat, dat het tijd kost en dat er nog andere zaken zijn die het functioneren verhinderen. De competente techneuten moeten dus ter plekke op het traject naar Brussel uitzoeken wat er dan mis gaat: weersinvloeden of andere factoren op het traject.

Hopelijk wordt de ruimte gecreëerd voor ter zake kundige lieden om hun werk te doen en de problemen op te lossen. Zelf heb ik bij grote projecten ervaren, dat bij grote problemen atechnische bedrijfsdirecties gemakkelijk prooi worden van gladpraters, die indrukwekkende stappenplannen schetsen om het probleem in kaart te brengen en op te lossen. 'Plateauplanning' noemde een groot managementconsultancy-bureau dat. Meestal slepen zij er veel geld uit voor zichzelf zonder het probleem op te lossen. Maar zij verstaan de kunst om directies, journalisten en politici een rad voor ogen te draaien.

In mei 2010 schreef ik over de Gateway-methode om grote projecten vooraf en tijdens de uitvoering te monitoren. De methode komt uit Engeland en is op advies van de Algemene Rekenkamer ingevoerd bij de rijksoverheid in Den Haag. Volgens mij wordt die daar succesvol toegepast, want de Gateway-review op het NUP-programma (beschreven in mijn blog van mei 2010) heeft dat programma in beheersbare banen gehouden. Ik wed, dat zo'n instrument niet is ingepland in het al jaren lopende Fyra-project. Waarschijnlijk is men daar gewoon op de ouderwetse optimistische manier begonnen, want in het begin met alleen grote lijnen ziet alles er prachtig uit. Maar “the devil is in the details” en bij de uiteindelijke implementatie ontmoet je dan de problemen, die daarvoor gemakshalve waren genegeerd.

Laatste nieuws is, dat ook in Denemarken de Fyra-leverancier AnsaldoBreda grote problemen had (jaren vertraging en mankementen in de treinen). De Denen stopten na 40 treinen de verdere levering, maar intussen zijn deze 40 treinen storingsvrij gemaakt. De Nederlandse politici en journalisten hebben intussen hun aandacht verlegd naar het jongste debakel van de SNS-bank.