Informatiebeveiliging: Een dossier op je bureau is niet slim

In België is al een tijdje commotie over de berichten dat de Staatsveiligheid individuele politici in de gaten houdt. Eerst ging het "alleen" over het volgen van politici die contacten met Scientology onderhouden. Ondertussen is ook duidelijk dat de dienst een "mol" binnen het Vlaams Belang had. Bart Debie gaf jarenlang informatie door over niemand minder dan Filip Dewinter. Allemaal heel spannend, maar dat is niet waarom ik erover schrijf. De directe aanleiding daarvoor is het dossier op het plaatje hierboven. 

Want, wat bleek? 

Toen de Waalse televisiezender RTBF bij Alain Winants, de topman van Staatsveiligheid, langs ging, om te vragen hoe dit zat, ontkende hij "met klem en zei dat het Vlaams Belang-kopstuk niet geschaduwd of gescreend wordt." 

Volgens hem is er ook geen sprake van actief onderzoek naar parlementsleden. Hij gaf wel toe dat de Staatsveiligheid extremistische organisaties in het oog houdt. Maar terwijl hij dit zei, filmde de cameraman een map met daarop de naam van Filip Dewinter. De map van een viertal centimeter dik lag gewoon op het bureau van de topman van de Staatsveiligheid.

Ja maar jongens, dat geloof je toch niet?
Dat journalisten bij het hoofd van de Staatsveiligheid langsgaan - op afspraak neem ik aan - en dat er dan gewoon stapels dossiers op zijn bureau liggen. En dan ook nog eens een dossier dat het tegenovergestelde lijkt aan te tonen van wat de meneer vertelt.
Later verklaarde de Staatsveiligheid dat het om een "oud dossier" ging dat er lag omdat Dewinter inzage gevraagd had in zijn dossier.

De Staatsveiligheid merkt op dat het al jaren niet meer met papieren dossiers werkt.

Tja... Die Amerikaanse generaals waren niet handig, maar ik snap wel waarom er nu gepleit wordt voor de opheffing van Staatsveiligheid.

Gerelateerd
Informatiebeveiliging door bewustwording? Ja natuurlijk!
Het toekomstig toezicht van de Erfgoedinspectie
E-mail en de Amerikaanse generaals

E-mail en de Amerikaanse generaals

Wat is dat toch met Amerikaanse generaals en e-mail?
Dik vijfentwintig jaar geleden struikelde Oliver North over een een-regelige e-mail en deze week gingen de generaals Petraeus en Allen voor de bijl door hun al dan niet verzonden e-mails. WTF WQM...

Petraeus is begin deze week terug getreden als hoogste baas van de CIA omdat hij een affaire had met Paula Broadwell, zijn biografe. Er is nog heel wat onduidelijk, maar één ding is zeker: Gmail speelde een cruciale rol.
Petraeus en Broadwell communiceerden via Gmail met elkaar en ze dacht dat heel slim te doen:

Petraeus and his biographer Paula Broadwell, the AP reported Monday, communicated to each other via his personal Gmail drafts folder. Apparently the director of the CIA thought that conducting an affair in draft format was fine, since the message itself would never actually be sent.

Blijkbaar hadden noch Petraeus noch Broadwell in de gaten dat Google die concepten toch eigenlijk ook wel bewaart. Het ironische is dan ook dat Petraeus de e-mails misschien beter gewoon had kunnen verzenden. De affaire werd nu namelijk ontdekt doordat de FBI er achter kwam dat nog iemand inlogde op het Gmail-account van de hoogte CIA-baas. Want als je CIA-baas bent, dan is een persoonlijk Gmail-adres toch iets minder persoonlijk dat jouw of mijn e-mailadres:

Because when you’re the director of the CIA, very few things are, strictly speaking, personal. Your Gmail account certainly isn’t. Even the most mundane elements of your life can relate in their way to the interests of the nation. “The computer-security investigation, which raised questions about a potential compromise to national security, points to one reason Mr. Petraeus and the White House decided he couldn’t remain in the senior intelligence position,” the Journal explains. And that’s partly because:

an extramarital affair has significant implications for an official in a highly sensitive post, because it can open an official to blackmail. Security officials are sensitive to misuse of personal email accounts — not only official accounts — because there have been multiple instances of foreign hackers targeting personal emails.

En (toevallig of niet) het IP-adres van die ander, Broadwell, was ook al opgedoken in een andere affaire. Iemand verstuurde anoniem dreigachtige e-mails naar ene Jill Kelley. Zij had contact met een FBI-agent die ervoor zorgde dat de herkomst van die e-mails uitgezocht werd:

Broadwell probably thought she was being clever. The emails were from an anonymous Gmail account. They contained no overt threats. Still, all it took to uncover her as the sender was one FBI subpoena. Legal pro tip: if the Feds wait 180 days after the emails are sent, they don’t need a warrant. With Gmail, the content is always there, accessible from anywhere — that’s kind of the idea.

En daarna bleek dat Kelley ook nogal vreemde e-mails ontving. Die FBI-agent stuurde haar foto's van zichzelf in ondergoed en, nog saillanter, zij bleek een hele trits "flirtatious" e-mails te hebben ontvangen van Generaal Allen. Trits is misschien een understatement:

General Allen, head of US forces in Afghanistan, has also learned to his chagrin just how easy it is for law enforcement to get hold of your email. He and Kelley exchanged some 20,000 pages worth of them in a two-year period, the Feds learned.
(...)
To put the amount of emails they shared in context, that private Hotmail account former Alaska Governor Sarah Palin was forced to turn over to her investigators ran 24,000 pages in total. And Palin was effectively (or ineffectively, depending on your point of view) running a state for two years on that account.
Allen is supposed to be running an entire war. And he had time to trade tons of flirtatious missives with a liaison back home, to an extent that makes Lord of the Rings look like a pamphlet? 

Als dit in As the world turns gebeurde, geloofde je er niets van...

Gerelateerd
Much ado about email
Twitter, privacy en context

Plaatje: Daily cartoon in The New Yorker van David Sipress

Deel jij teveel?

Via Dutch Cowboys

Gerelateerd
Privacy op je telefoon

Het vereiste van goede organisatie

Interessante klacht die begin dit jaar bij de Nationale Ombudsman was ingediend en waar hij 2 augustus een rapport over uitbracht.
Iemand vraagt bij de gemeente Halderberge een bouwvergunning voor een schuur aan en moet daar in verband met een benodigd advies van de Adviescommissie Agrarische Bouwaanvragen (dat dat bestaat!) een bedrijfsplan bij indienen. Uit enkele bezwaarschriften - die al worden ingediend voordat de vergunning verleend is (!) blijkt dat de bezwaarders de inhoud van dit vertrouwelijke bedrijfsplan kennen. Eentje heeft het zelfs als bijlage bij zijn bezwaar meegezonden.
De vergunningaanvrager dient hierover een klacht in bij de gemeente en krijgt te horen dat:

[d]e bezwaarmaker verklaarde dat hij/zij een kopie van het bedrijfsplan tussen kerst en oud-en-nieuw 2009 van een ambtenaar had gekregen. De bezwaarmaker verklaarde verder dat hij/zij niet meer wist welke ambtenaar dat was en of de ambtenaar een man of vrouw was.

Omdat de toedracht niet meer te achterhalen is, verklaart het college van B&W de klacht ongegrond. De vergunningaanvrager laat het hier niet bij zitten en dient een klacht in bij de Nationale Ombudsman. Die concludeert onder andere het volgende:

De Nationale ombudsman toetst onderhavige gedraging aan het vereiste van een goede organisatie. Dit houdt in dat de overheid ervoor zorgt dat haar administratie de dienstverlening aan de burger ten goede komt. Zij werkt secuur en vermijdt slordigheden.
Eventuele fouten worden zo snel mogelijk hersteld.
Dit betekent dat de overheid aangeleverde documenten zorgvuldig bewaart.
Dat na onderzoek niet is komen vast te staan wanneer en wie bij de gemeente het bedrijfsplan aan de bezwaarmaker(s) heeft overhandigd, doet niets af aan het feit dat de gemeente verantwoordelijk is voor het zorgvuldig beheer van de aan haar toevertrouwde stukken. Dit vloeit voort uit het vereiste van een goede organisatie. Dit geldt des temeer voor vertrouwelijke documenten van burgers. De Nationale ombudsman is van oordeel dat het college het klachtonderdeel dat betrekking had op het bekendmaken van het bedrijfsplan gegrond had moeten verklaren.
De onderzochte gedraging is niet behoorlijk.

Kijk aan, het "vereiste van goede organisatie" vereist dus ook goede archivering.
Overigens vind ik in dit geval ook die "premature" bezwaarschriften opvallend (en een beetje dom...)
Ik heb sterk de indruk dat een kleine (of misschien wel grote) dorpsvete aan deze toestanden ten grondslag ligt.

Gerelateerd
Dood is een kruisje

Plaatje: Complaint dept van Life as Art

Een horrorverhaal over privacy, Apple en Amazon

Tjonge, dit is echt een horrorverhaal:

At 4:50 p.m., a password reset confirmation arrived in my inbox. I don’t really use my .Me e-mail, and rarely check it. But even if I did, I might not have noticed the message because the hackers immediately sent it to the trash. They then were able to follow the link in that e-mail to permanently reset my AppleID password.
At 4:52 p.m., a Gmail password recovery e-mail arrived in my .Me mailbox. Two minutes later, another e-mail arrived notifying me that my Google account password had changed.
At 5:02 p.m., they reset my Twitter password. At 5:00 they used iCloud’s “Find My” tool to remotely wipe my iPhone. At 5:01 they remotely wiped my iPad. At 5:05 they remotely wiped my MacBook. Around this same time, they deleted my Google account. At 5:10, I placed the call to AppleCare. At 5:12 the attackers posted a message to my account on Twitter taking credit for the hack.

Het komt er in het kort op neer dat iemand jaloers was op het mooie, korte Twitter-account van Mat Honan (@mat) en om dat account te hacken heeft hij eerst via de recovery pagina van Google de Google-account van Honan overgenomen om daarna via een handige truc bij Amazon de laatste vier cijfers van zijn creditcard te achterhalen.

First you call Amazon and tell them you are the account holder, and want to add a credit card number to the account. All you need is the name on the account, an associated e-mail address, and the billing address. Amazon then allows you to input a new credit card. (Wired used a bogus credit card number from a website that generates fake card numbers that conform with the industry’s published self-check algorithm.) Then you hang up.
Next you call back, and tell Amazon that you’ve lost access to your account. Upon providing a name, billing address, and the new credit card number you gave the company on the prior call, Amazon will allow you to add a new e-mail address to the account. From here, you go to the Amazon website, and send a password reset to the new e-mail account. This allows you to see all the credit cards on file for the account — not the complete numbers, just the last four digits.

Met deze cijfertjes, het postadres en het e-mailadres van Honan kon hij daarna de  AppleID overnemen en via iCloud de MacBook, iPhone en iPad van Honan wissen.
Enkel en alleen om een twitternaam!

Wat had Honan kunnen doen om dit te voorkomen?

I should have been regularly backing up my MacBook. Because I wasn’t doing that, if all the photos from the first year and a half of my daughter’s life are ultimately lost, I will have only myself to blame. I shouldn’t have daisy-chained two such vital accounts — my Google and my iCloud account — together. I shouldn’t have used the same e-mail prefix across multiple accounts — mhonan@gmail.com, mhonan@me.com, and mhonan@wired.com. And I should have had a recovery address that’s only used for recovery without being tied to core services.

Maar natuurlijk gaan Apple en Amazon ook niet helemaal vrijuit in dit geval...

Gerelateerd
Gelezen: Jeffrey Deaver - The broken window

Informatiebeveiliging door bewustwording? Ja natuurlijk!Wachtwoord delen als teken van liefde

Plaatje: The horror, the horror van delete08

Een basiscursus lekken

Gawker had begin april groot nieuws: ze hadden een nieuwe medewerker. De Fox Mole zou geregeld stukjes schrijven over de normale gang van zaken bij Fox News. Verder dan één artikeltje is de mol niet gekomen, omdat Fox binnen een dag had achterhaald dat Joe Muto, een producer van The O'Reily Factor het lek was.
Hoe hadden ze Muto zo snel ontdekt?

In the end, it was the digital trail that gave me away. They knew that someone, using my computer login, had accessed the sources for two videos that ended up on Gawker over the past few weeks. They couldn't prove it entirely, but I was pretty much the only suspect.
I denied it, which is why they didn't fire me outright. But two nice gentlemen from security escorted me to my desk to pack up my stuff, and it was pretty obvious at that point that I would not be setting foot back into 1211 Avenue of the Americas again.

Tja, dat was geen succes.
Een dag later publiceerde Wired een lijstje met tips hoe te voorkomen dat je betrapt wordt, onder andere deze:

• Don’t use your work computer or work phone to communicate with the recipient of your leaks.
• Give yourself a code name. It won’t help protect you, but it’ll make you feel cool.
• Don’t give away personal details that are identifying if you want to remain anonymous — like calling yourself the “only liberal working at Fox News.”
• Be aware that the document you plan to leak could be seeded with information designed to catch a leaker. One parent company we know (which shall remain nameless) used to send slightly different versions of the same leakworthy document to different departments to hone in on the leaker once they were published.
• Documents you find lying around at the printer or fax machine are far easier to leak anonymously than digital ones.
• Don’t leak information from inside a media organization owned by Rupert Murdoch, or any other company that employs hackers. They have ways of hearing you talk.
• Better yet, don’t give the recipient a document at all; read it over the phone. It’s easier to be a source of information, rather than a leaker of documents. Computers leave trails — always.

Om de schade enigszins te beperken heeft Gawker zelf daarna ook nog maar een lijstje met tips gemaakt. Ik heb alleen bij de tip over metadata de volledige toelichting laten staan:

• Don't tell us who you are
• Don't read Gawker
• Don't Use Your Work Computer
• Create a Dummy, Untraceable Email Account
• Don't Leak Any Electronic Documents
• Beware Metadata.
  If you send us a photo, we will make sure it is scrubbed of EXIF data—which contains all manner of information that could help identify who took it, including the GPS coordinates where the picture was taken—before we post it. But it's safest to scrub it yourself. One easy way to do this is to take a screengrab of the image and delete the original. Whatever you do, don't post a photo taken with your phone directly to Gawker, Twitter, or any other web site unless you are fully prepared for everyone to know where and when it was taken. One Anonymous hacker learned that lesson the hard way earlier this month when he was arrested in part on the strength of evidence gleaned from a photo of a women he posted to his anonymous Twitter account. The EXIF data showed that it was taken at the suspect's girlfriend's house. It's not just photos—all manner of digital documents, from text files to movies, contain varying amounts of metadata that could easily help identify their provenance. Strip them out.
• Use Tor
• Don't Talk on the Phone
• Use a Gawker Burner
• Hand Delivery
• U.S. Mail

Veertig jaar geleden was lekken veel makkelijker...

Plaatje: Mole van Mick Talbot

Privacybescherming bij gemeenten onder de maat

Uit de NRC van afgelopen woensdag:

De gemeente Amsterdam geeft het ruiterlijk toe: steeds meer ambtenaren hebben toegang tot vertrouwelijke en privacygevoelige gegevens van inwoners die een uitkering aanvragen, maar de beveiliging van die gegevens schiet tekort.
Het stadsbestuur weet niet of al die ambtenaren die toegang hebben tot die databestanden, daartoe ook daadwerkelijk bevoegd zijn. En het weet dus ook niet of ambtenaren oneigenlijk gebruik van die informatie kunnen maken.
Amsterdam staat daarin niet alleen. In meer dan de helft van de gemeenten schort het aan de beveiliging van vertrouwelijke databestanden over uitkeringstrekkers en bestaat er het risico dat onbevoegde ambtenaren voor eigen gewin kunnen ‘inbreken’.
Daarbij gaat het om informatie van de fiscus, individuele bankafschriften, het Bureau Kredietregistratie, het UWV, de Arbeidsinspectie, maar ook de Sociale Inlichtingen-en Opsporingsdienst en de Fiod/-ECD. Al die gegevens zijn opgeslagen in het zogeheten Suwinet-databestand, dat beheerd wordt door het Bureau Keteninformatisering Werk en Inkomen (BKWI) van het ministerie van Sociale Zaken.
De informatie uit die bestanden van Suwinet geldt als privacygevoelig en vertrouwelijk. Ambtenaren, veelal van sociale diensten, die ermee werken, moeten bij hun aanstelling gescreend worden en een geheimhoudingsverklaring ondertekenen.

En wat het ergste is, in veel gevallen zien de gemeenten niet eens in dat het fout is wat ze doen. Ik kom regelmatig bij gemeenten waar ze zeggen: "Alle ambtenaren hebben in het DMS toegang tot alle dossiers. Ze hebben allemaal een ambtseed afgelegd, dus dan zit het wel goed."
Hierbij gaat het dus niet alleen om dat Suwinet-databestand, maar ook om WMO- en WWB-dossiers en allerlei andere persoonlijke dossiers die op een gemeente gemaakt worden. De enige dossiers die afgeschermd worden zijn de personeelsdossiers, want daarvan is toch wel duidelijk dat niet iedereen daar toegang toe zou moeten hebben.
Het wordt inderdaad tijd dat het CBP eens ingrijpt.

Zie hier de gegevens waar de NRC zich op baseert en hier wat er kan gebeuren als je het niet goed regelt...

Informatiebeveiliging in 1990 en hackers in 1970. Nothing has changed really.

These films (strung together into one film here) were originally made for the annual Skytop conference of Bell Labs executives, and were shown over a series of days during the conference. They were intended to be a wake-up call regarding computer security issues, and present a realistic view of then-plausible security breaches, along with accompanying set of worst-case scenarios.

Op AT&T Archives vind je meer dan 160 klassieke films uit de hoogtijdagen van Bell System.

O, en als je wil weten hoe je in de jaren zeventig gratis kon bellen bij "Ma Bell" moet je dit artikel over Phone Phreaks en Blue Boxes uit 1971 ook even lezen:

Gilbertson is holding one of his shiny black-and-silver blue boxes comfortably in the palm of his hand, pointing out the thirteen little red push buttons sticking up from the console. He is dancing his fingers over the buttons, tapping out discordant beeping electronic jingles. He is trying to explain to me how his little blue box does nothing less than place the entire telephone system of the world, satellites, cables and all, at the service of the blue-box operator, free of charge.

Ik kan me dat soort kastjes trouwens nog wel herinneren uit allerlei Amerikaanse series (The A Team?) of films uit de jaren tachtig.
En het gesprek met "Cap'n Crunch", die zichzelf belt door allerlei telefoonlijnen over de hele wereld met elkaar te verbinden, is hilarisch.

"You mean you were speaking into the mouthpiece of one phone sending your voice around the world into your ear through a phone on the other side of your head?" I asked the Captain. I had a vision of something vaguely autoerotic going on, in a complex electronic way.
"That's right," said the Captain. "I've also sent my voice around the world one way, going east on one phone, and going west on the other, going through cable one way, satellite the other, coming back together at the same time, ringing the two phones simultaneously and picking them up and whipping my voice both ways around the world back to me. Wow. That was a mind blower."

Gerelateerd
Politie DMS online vs Anonymous hackt politiewebsites
Informatiebeveiliging door bewustwording? Ja natuurlijk!

Wachtwoord delen als teken van liefde

In Amerika (waar anders zou ik bijna schrijven) schijnt het onder tieners al een tijdje gebruikelijk te zijn om wachtwoorden uit te wisselen als een teken van liefde.

The digital era has given rise to a more intimate custom. It has become fashionable for young people to express their affectionfor each other by sharing their passwords to e-mail, Facebook and other accounts. Boyfriends and girlfriends sometimes even create identical passwords, and let each other read their private e-mails and texts.

Sommigen, en dat is toch wel vertederend, spreken samen een wachtwoord af, waar hun liefde uit blijkt. Hij ILoveAly, zij ILoveKevin. Beetje korte wachtwoorden, maar wel süß...
Wat ik het opvallendste in het hele artikel vind, is de vergelijking met sex die door verschillende "deskundigen" gemaakt wordt. Rosalynd Wiseman, auteur van het boek Queen Bees and Wannabes zegt:

Sharing passwords, she noted, feels forbidden because it is generally discouraged by adults and involves vulnerability. And there is pressure in many teenage relationships to share passwords, just as there is to have sex.

En Patti Cole, moeder van een zestien-jarig meisje en kinderpsycholoog denkt:

young people are sometimes drawn to such behavior as they might be toward sex, in part because parents and others warn them against doing so. "What worries me is we haven’t done a very good job at stopping kids from having sex,” she said. “So I’m not real confident about how much we can change this behavior.”

Op Gizmodo heeft Sam Biddle zelfs een soort handleiding (niet per sé voor tieners trouwens) gemaakt met  welke wachtwoorden je wel kunt (of zelfs moet) delen en welke niet:

• Netflix - Ja zeker
• e-mail - Never nooit
• Facebook - Never nooit
• AIM - Never nooit
• Telefoon - ja, doe maar
• Computer - ja doe maar [maar - voeg ik daar aan toe - als je vriendje Joran van der S. heet, kun je het wachtwoord beter niet vragen...]

Mijn kinderen zijn nog niet zo oud, dus ik heb hier nog geen ervaring mee, maar komt dit ook in Nederland voor?
Is het ook hier een probleem?
Moet er iets gebeuren?
Of is dit een typisch Amerikaans probleem?

(Overigens, mijn vrouw en ik weten ook de wachtwoorden van elkaars e-mailaccounts...)

Gerelateerd
Informatiebeveiliging door bewustwording? Ja natuurlijk!
Monumentale accounts

Foto: Passwords are like pants van Richard Parmiter

Aanvulling op archieven in het buitenland plaatsen

Naar aanleiding van mijn bericht van afgelopen vrijdag nog een viertal aanvullingen waar mensen me op gewezen hebben.

1. VIR en VIR-BI
Voor de rijksdienst gelden het Voorschrift Informatiebeveiliging Rijksdienst (VIR) en het Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie (VIR-BI). In het VIR staat beschreven dat de Secretaris-Generaal van ieder departement het informatiebeveiligingsbeleid moet vasstellen en welke aspecten in dat beleid opgenomen moeten zijn (artikel 3). In artikel 4 staan vervolgens de verantwoordelijkheden van het lijnmanagement. In dit voorschrift staan geen uitvoeringseisen, er staat alleen in dat departementsleiding en lijnmanagement iets moeten doen, niet hoe ze dat moeten doen. Het VIR-BI is een aanvulling op het VIR, die specifiek ziet op "bijzondere informatie":

Bijzondere informatie bestaat uit staatsgeheimen en uit overige kwetsbare informatie (niet-staatsgeheime bijzondere informatie), die weliswaar geen staatsgeheim is, maar toch meer beveiliging behoeft dan het algemene beveiligingsniveau biedt. Niet-staatsgeheime bijzondere informatie is dikwijls al op basis van een departementale regeling gemerkt, bijvoorbeeld ‘BZ-vertrouwelijk’ voor informatie, waarvan kennisname door niet bevoegden kan leiden tot nadelige gevolgen voor het Ministerie van Buitenlandse Zaken.

Het VIR-BI is een stuk concreter (en strenger natuurlijk) dan het VIR en beschrijft aan welke eisen voldaan moet worden als bijzondere informatie buiten de rijksdienst geplaatst wordt, gedeeld wordt met het buitenland en "gecompromitteerd" wordt. Ik heb niet de indruk dat er expliciet in het voorschrift staat dat bijzondere informatie niet naar het buitenland gebracht mag worden, maar het lijkt me wel dat dit (impliciet) het gevolg is van alle eisen.

2. Provinciale archiefverordeningen 
In alle provinciale archiefverordeningen - hier vind je die van Noord-Brabant - is (nu nog) een artikel opgenomen dat zorgdragers verplicht om de verplaatsing van archieven te melden bij Gedeputeerde Staten:

Artikel 20 1. De zorgdragers doen aan Gedeputeerde Staten tijdig mededeling van tenminste het voornemen tot: d. verandering van de plaats van bewaring van niet naar de archiefbewaarplaats overgebrachte archiefbescheiden.

In de praktijk gaat het hierbij voornamelijk om papieren dossiers die door lokale overheden bij particuliere bedrijven in bewaring gegeven worden, waarbij een aparte commissie van het LOPAI en Erfgoedinspectie bekijkt of de lokatie waar de dossiers terecht komen voldoet aan de eisen uit de Archiefregeling. Zoals al uit mijn post van vrijdag blijkt, is het blote feit dat de opslag in het buitenland plaats vindt, geen reden om een negatieve uitspraak over de opslagruimte te doen.

3. New South Wales 
In de Australische staat New South Wales geldt de regel dat voorwaarden gesteld worden, wanneer je informatie buiten de staat wil opslaan:

The purpose of this Authority is to provide approval for NSW public offices to transfer records out of the State for the purposes of storage with or maintenance by service providers based outside of NSW. This Authority establishes the conditions under which approval for this practice is given.

Deze "authority" geldt voor de opslag en bewerking van analoge en digitale archieven en toestemming wordt alleen verleend als "an appropriate risk assessment has been made and the records are managed in accordance with all the requirements applicable to State records under the State Records Act 1998."
Hier wordt specifieker uitgelegd aan welke eisen gedacht moet worden en hoe zo'n risk assessment er ongeveer uit moet zien. Er moet daarin in ieder geval aandacht besteed worden aan "the risk that a person in another State or country may claim ownership or otherwise take control of the records."
De uitzonderingen, dus de archieven waar de authority niet voor gelden, zijn ook interessant:

This Authority does not apply to records that are:

• taken interstate temporarily for business purposes e.g. for a business meeting. These are covered under the Normal Administrative Practice (NAP) provisions of the State Records Act. [...]
• to be transferred out of the State as a result of the transfer of administrative responsibility for a function or service to the Commonwealth or another State or Territory government or to a non government body or organisation. [...]
• over 25 years of age and identified as required as State archives in a retention and disposal authority approved by State Records [deze mogen de staat op grond van dit voorschrift niet verlaten. Als dat wel nodig is, wordt een aparte procedure doorlopen, IKo]
• inaccessible because they are not adequately controlled (i.e. not sufficiently described or tagged with metadata in compliance with standards issued by State Records)
• not covered by a current retention and disposal authority
• required for exhibitions or displays held interstate. In this case separate permission from State Records is required.

4. ADRI Advice 
Vorig jaar heeft het Australasian Digital Recordkeeping Initiative (ADRI) een advies gepubliceerd "on managing the recordkeeping risks associated with cloud computing." In dit advies wordt vooral gefocused op de risico-analyse die aan ieder besluit om "in the cloud" te stappen vooraf moet gaan. De Recordkeeping checklist [ja, ja, IKo] for government organisations considering using cloud computing service providers begint als volgt:

1. Should a cloud computing application be considered?
• Is the transfer or storage of official records outside of State / Country boundaries permitted under local regulatory frameworks?
-> If no, do not proceed.

Voorlopig heb ik de indruk dat het antwoord hier in Nederland op deze vraag zou zijn: "Uh, ik denk dat het wel mag, want er staat nergens dat het niet mag..."

En terwijl ik dit schrijf komen via de mail nog wat verwijzingen naar (buitenlandse) literatuur binnen...

Gerelateerd
Archieven in het buitenland plaatsen
Informatiebeveiliging door bewustwording? Ja natuurlijk!
Politie-DMS online vs Anonymous hackt politiewebsites

Politie-DMS online vs Anonymous hackt politiewebsites

In mijn Google Reader stonden de volgende twee berichten bijna onder elkaar, alleen Dilbert stond er nog tussen.

Cops save paper with ZoHo Docs

Anonymous hackt politiewebsites VS

Informatiebeveiliging door bewustwording? Ja natuurlijk!

Beveiliging is niet alleen het borgen van de toegang tot de systemen, maar ook een beveiliging van de content van die systemen, van de informatie dus.

Bovenstaand zinnetje uit het artikel van Voorhout en Tegelaar uit de zomereditie van de Informatieprofessional is mij uit het hart gegrepen. Alleen jammer dat ze het in de rest van het artikel zo slordig uitwerken.
Voorhout en Tegelaar betogen terecht, dat informatiebeveiliging veel meer is dan het tegenhouder van hackers en het afsluiten van systemen en databases door middel van wachtwoorden. Als je de legitieme gebruikers van die systemen niet duidelijk maakt dat ze de aanwezige informatie niet zo maar mogen verspreiden (in welke vorm dan ook), span je het paard achter de wagen. De auteurs demonstreren dit aan de hand van een hele riedel voorbeelden:

Wie herinnert zich niet de geslaagde hackpoging in de servers van het Amerikaanse Pentagon?
(...)
Herinnert u zich nog het verhaal van een verloren USB-stick met gevoelige info van het ministerie van Defensie, achtergelaten in een huurauto? De computer van de Amsterdamse Officier van Justitie Tonino? Het wachtwoord van een directeur op een geeltje op zijn computer? En, recent nog, de plaatsing van gevoelige en vertrouwelijke informatie op de website van het ministerie van Justitie?
(...)
Denk bijvoorbeeld aan de tweets van kamerleden die achteraf moesten worden gerectificeerd - met ontslag tot gevolg. (...)

Dat herinner ik me niet allemaal precies en ik zou vooral over dat ontslag-door-twitter wel meer willen weten. Jammer dat Voorhout en Tegelaar hun bronnen geheim houden...

Maar goed, er is dus een probleem met informatiebeveiliging, wie zou dat dan op moeten lossen?
De informatieprofessional!
Waarom hij?
Omdat hij vroeger ook de dossiers met 'geheim', 'vertrouwelijk' en 'staatsgeheim' beheerde en creëerde.
En wat moet hij dan nu doen?
Hij moet "vanuit zijn vakgebied meer tegenwicht bieden aan de groeiende onachtzaamheid van werknemers ten opzichte van informatie." En hij moet "in overleg met ICT richtlijnen opstellen voor beheer, locatie en gebruik van informatie." Tegenwicht bieden, overleg, richtlijnen opstellen, dat klinkt erg... bureaucratisch, ambtelijk en ouderwets.
En "de informatieprofessional" moet drie dingen doen:

1. Er voor zorgen dat informatie niet meer via routine back-ups wordt verplaatst naar servers in India of het Oostblok (Bestaat dat nog, het Oostblok? En is dit niet ook erg "systeemgericht"?)
2. De nieuwste generatie het besef bijbrengen dat niet iedereen toegang mag hebben tot alle informatie. Want "de nieuwe generatie medewerkers weet straks niet beter dan dat informatie overal en nergens verkrijgbaar is, maar beseft pas welke risico's men loopt als het te laat is." (Dit lijkt me, vriendelijk gezegd, toch een beetje een onderschatting van de 'nieuwe generatie.')
3. De medewerkers op de gevolgen van onachtzaam gebruik van informatie wijzen. (En ik neem aan dat hij deze bevoegdheid dan ook echt krijgt en dat iedereen naar hem gaat luisteren?)

De grote makke van het artikel vind ik eigenlijk dat de auteurs stellen dat het cruciaal is dat de gebruikers (informatiewerkers noemt Ton dit) zich bewust worden van de risico's, maar dat ze de ene "deskundige" (de ICT-er die vooral aan systeembeveiliging wil doen) inruilen voor de andere "deskundige" (de informatieprofessional, die informatie gaat beveiligen).
Mij lijkt dat je als eerste moet vaststellen op welke manier de informatiewerker wil werken en hoe hij de vertrouwelijkheid en waarde van de door hem gebruikte informatie inschat.

• Waarom plaatst hij een presentatie op Slideshare?
• Waarom werkt hij in Google Docs aan een document?
• Waarom neemt hij bestanden op een USB-stick mee naar huis?
• Wat gebeurt er als deze informatie kwijt raakt?
• Hoe erg is het als deze documenten openbaar worden?

Je zult dus met de informatiewerkers moeten gaan praten en hun zelf laten nadenken over waarom ze iets doen en wat daar de gevolgen van kunnen zijn.
Als je weet hoe hij wil werken en je weet hoe gevoelig de informatie is waar het om gaat, kun je bekijken op welke manier je de informatiewerker beter kunt faciliteren, met behulp van applicaties, afspraken en richtlijnen. Dan kan de informatiewerker op basis van de gewenste werkwijze en de gevoeligheid van de informatie een afweging maken tussen verschillende hulpmiddelen. Op die manier kan hij bewust veiliger werken, maar blijft hij zelf verantwoordelijk voor zijn keuzes en werkwijzen.
Is dat allemaal een taak van de "informatieprofessional"? Misschien wel, juist omdat de term wel erg ruim en vaag is...