Disclaimer: dit artikel is een visie door HENZ ICT gebaseerd op onze vakkennis en open bronnen. We hebben geen gebruikgemaakt van niet-publieke informatie.

Criminelen willen politie en justitie graag een stapje voor zijn. Hiervoor proberen ze mensen met toegang tot gevoelige informatie te verleiden tot lekken. Wellicht was het belang van goed toegangsbeheer, inclusief fijnmazige autorisatie, nooit zó duidelijk…

Al sinds de jaren negentig is het de grote nachtmerrie van de overheid: contraspionage door de onderwereld. Een dieptepunt was de inbraak in augustus 1994 bij Officier van Justitie Jo Valente. Er werden vijftig floppydisks met informatie over topcrimineel Charles Z. gestolen. Enerzijds gaf dit criminelen een uniek inkijkje in de werkwijze van de tegenstander; anderzijds werd de informatie via journalisten ingezet om Valente in een kwaad daglicht te stillen.

De stagiair en de politiemol

Gevoelige informatie wordt niet meer vastgelegd op floppy’s. Tegenwoordig zijn het de politiesystemen en andere databanken waar criminelen hun oog op hebben laten vallen. Inbreken in goed beveiligde ICT-infrastructuren is niet zo makkelijk. Reden om op zoek te gaan naar de zwakste schakel, en dat is nog altijd de mens.

Dus worden ambtenaren met toegang tot interessante systemen onder druk gezet of omgekocht om informatie door te geven. Al diverse zaken van zogeheten politiemollen haalden de media. Een bekend geval is dat van Mark M., die in een politiesysteem gegevens over personen en onderzoeken opzocht en die informatie doorverkocht aan criminelen.

Een andere zaak genereerde minder media-aandacht, maar is wel een wake-up call. Een 32-jarige politiestagiair uit Culemborg kon ongehinderd talloze kentekens opvragen. Dat bleek de man juist op zijn vrije dagen vaak te doen. “En waarom trok hij personen uit zijn eigen straat en ook vrienden na?” vroeg het Algemeen Dagblad zich retorisch af. “De zaak kwam aan het rollen toen hij informatie opvroeg van een plaatsgenoot die hem afsneed bij een stoplicht.”

Authenticatie en autorisatie: het wapen tegen rotte appels

Gelukkig zijn de boosdoeners uit deze voorbeelden gesnapt en kunnen ze de maatschappij niet meer schaden. Maar kun je het lekken van gevoelige informatie als overheidsorganisatie helemaal uitsluiten? Helaas is het niet altijd mogelijk om mensen met slechte bedoelingen vooraf af te vangen, zeker niet in een open maatschappij als de onze. Ondanks alle procedures en controles glipt er wel eens een rotte appel door de selectie…

Om je toch te wapenen tegen de zwakke schakel die de mens is, is het cruciaal dat de authenticatie en autorisatie van gevoelige systemen tiptop op orde zijn. Hoe je dat doet? Laten we die vragen eens in tweeën hakken:

1. Wie heeft toegang tot gevoelige data?
2. Wat gebeurt er als de sleutel tot informatie in verkeerde handen valt?

Laten we eerst vraag 1 beantwoorden. Als het gaat om de toegang tot bepaalde informatie, is fijnmazige authenticatie key. Het is nu al zo geregeld dat een zedenrechercheur meer informatie mag opvragen dan zijn politiecollega’s die andere zaken onder hun hoede hebben. Maar in de praktijk blijken er nog verbeterpunten te zijn in overheidsland, zoals we zagen in de zaak van de Culemborgse stagiair.

Bovendien maken overheidsinstanties als politie, justitie en veiligheidsregio’s gebruik van uitzendkrachten, gedetacheerden en ZZP’ers. De vraag kan dan gesteld worden: tot welke informatie hebben die inhuurkrachten eigenlijk toegang?

Onze conclusie: daar waar dit nog niet is geregeld, zou de autorisatie echt fijnmazig moeten worden ingeregeld, waarbij iedereen niet meer toegang krijgt dan voor de werkzaamheden nuttig is. Logging van alle handelingen, gekoppeld aan een intelligente alarmering, completeert deze aanpak.

Relschoppers op het netwerk

Tijd voor onze tweede vraag: wat als een kwaadwillende - ondanks alle voorzorgsmaatregelen - toch toegang krijgt tot gevoelige informatie? Afgezien van alle acties die politie en justitie op zo’n moment moeten zetten, is vanuit ons vakgebied vooral belangrijk dat de autorisatie onmiddellijk wordt ingetrokken.

Neem het – steeds minder denkbeeldige – scenario dat relschoppers de auto van een hulpdienst in handen krijgen – inclusief boordcomputer, met een rijkdom aan informatie. Wanneer de toegangsrechten goed zijn ingericht kan apparatuur van hulpdiensten - van smartphone tot boordcomputer - direct van het netwerk worden losgekoppeld. Op die manier kunnen kwaadwillenden niet nog meer schade aanrichten…

Tweefactorauthenticatie

De huidige trend van hybride werken is een nieuwe uitdaging als het gaat om het beschermen van gevoelige informatie. Ambtenaren moeten ook thuis op het bedrijfsnetwerk kunnen. Microsoft 365 of een soortgelijke oplossing maakt dit mogelijk, inclusief authenticatie, maar ook de VPN-verbinding moet worden geauthenticeerd.

Daarvoor is tweefactorauthenticatie de aangewezen oplossing, maar ook hier zitten haken en ogen aan. Zo kan een hardware token worden gestolen en kan of mag software (zoals een authenticatie-app) niet altijd op privé-devices worden gezet. Als het tóch lukt al deze authenticatiestappen in te richten, bots je op de inflexibiliteit van veel oplossingen - zeker als je ze wilt integreren met al in huis zijnde producten. Vaak werken verschillende authenticatiesystemen niet met elkaar samen.

Tot slot, de strijd tegen ondermijnende criminaliteit wordt elke dag op straat uitgevochten door dappere mannen en vrouwen. Maar het werk dat IT-specialisten achter de schermen doen mag ook niet worden uitgevlakt. Door systemen en data te beschermen leveren ze een belangrijke bijdrage in de strijd tegen de misdaad.