Daantjes Weblog

Wat we goed moeten beseffen is het het lekken van de miljoenen nota, een menselijke fout is. Ook Daan de webmaster heeft in verleden dingen in een open directory geplaatst die daar eigenlijk niet hadden moeten staan. Goed ik zag een paar minuten later dat ik een vergissing had gemaakt. Maar in een paar minuten kan iemand de documenten al gevonden hebben. Dit soort vergissingen kun je moeilijk voorkomen. Wij zijn immers mensen en die maken fouten. Maar het Diginotar incident is geen menselijke fout. Bij Diginotar lijkt de kennis van hoe computers werken en het belang van een goed veiligheids-beleid nagenoeg te ontbreken.

Bij Diginotar waren de essentiële computer systemen keurig in een kluis gezet. Waar je alleen met een vingerafdruk in kwam. Zeer indrukwekkend allemaal. Maar om in te breken op een computer systeem hoef je immers niet fysiek bij de machine zelf te zijn. Je kunt ook via het computer netwerk binnenkomen. Wanneer je die computernetwerkbeveiliging verwaarloost zoals bij Diginotar. Want je kon met 1 login dat een zwak wachtwoord had, bij alle machines komen, Dan kun je wachten dat het een keer fout gaat. Alleen die netwerk beveiliging is duur vanwege de investeringen in software, apparatuur en de configuratie daarvan. en dit soort investeringen zie je bijna niet. Probeer dat maar eens aan een manager uit te leggen. Dat je de dure kluis met vingerafdruk slot beter kunt inwisselen voor een goedkoper exemplaar met een ouderwetse sleutel. En van het geld dat je dan bespaard beter kunt investeren in computerbeveiliging. Maar Diginotar had het zelfs niet in de gaten dat hun eigen webpagina was door onbevoegden was gewijzigd. De betreffende webpagina's stonden 2 jaar later nog steeds online. Dit zegt over Diginotar eigenlijk al genoeg.

Nou maakt een strenge en goede beveiliging het er allemaal niet makkelijker op. Want als je op alle machines moet werken met verschillende logins met verschillende lange wachtwoorden van willekeurige tekens is behoorlijk lastig. Maar combinaties en wachtwoorden met de volgende woorden: "Admin, Root, Administrator, user, ussers, {bedrijfsnaam}, {plaatsnaam}" zijn weer veel te gemakkelijk. Dit zijn de termen die een hacker als eerste gaat proberen.

Kortom de kunst is om verantwoorde balans te vinden tussen gebruiksvriendelijkheid en veiligheid. Een IT'er wordt behoorlijk onder druk gezet om de systemen zo gebruiksvriendelijk te houden. Maar hij moet oppassen dat het niet te 'gebruiksvriendelijk' wordt. Want zodra alle 7 miljard zielen ermee kunnen werken is niet goed.