Parlementair forum cybersecurity

Enkele weken geleden was ik te gast in Genève voor het parlementair forum "Shaping the Information Society", waarbij de driedubbele uitdaging van Cyber-Security centraal stond: Information, Citizens and Infrastructure. Dit in het kader van de World Summit on the Information Society (WSIS), georganiseerd door de Verenigde Naties, de International Telecom Union en de Interparlementary Union. Ik mocht er ons land vertegenwoordigen namens de Kamer, samen met Rik Daems voor de Senaat en Eric, medewerker van de PS.

Best een  interessante driedaagse. Er werd niet alleen gediscussieerd over cyberveiligheid, met thema's als dataretention en zo, maar vooral over de aanpak in de verschillende landen en onderlinge samenwerking. Zo vinden veel problemen hun oorsprong in landen die het niet al te serieus nemen met internetveiligheid, of ontwikkelingslanden die niet altijd de middelen hebben om in te grijpen. Ook het feit dat recent 3 fibers werden aangelegd naar Oost-Afrika leidde niet alleen tot vooruitgang inzake ontwikkeling en telecom, maar helaas ook tot een serieuze toename van aanvallen op doelwitten aldaar, en vanuit locaties aldaar. Samenwerking en gecoördineerde acties zijn duidelijk nodig. Kenya bvb probeert dit op genuanceerde manier aan te pakken: door enerzijds een nieuwe "Bill of Rights" in de grondwet op te nemen die de vrijheden en rechten van de burgers vastlegt, en nu de telecomwetgeving aan te passen en hiermee in overeenstemming te brengen. Een pleidooi voor een internationaal strafhof voor cybercrime was ook nooit ver weg.

Vanuit Symantec wees men erop dat cybercrime eigenlijk niet nieuw is, wel dat dergelijke zaken nu op grotere schaal gebeuren. Men moet dan ook opletten met wetgeving hierrond: creditcardskimming met een PC kan gewone "kleine criminaliteit" zijn, maar evengoed een aanval op grote industriële installaties. We moeten ook nadenken of we hier voldoende middelen voor inzetten (een logisch pleidooi voor iemand van een veiligheidsbedrijf): de schade van cybercrime is mogelijks groter dan de schade veroorzaakt door verkeersovertredingen, terwijl de investeringen in manschappen/politie niet meteen equivalent zijn.

Duidelijk is ook dat vele procedures niet echt aangepast zijn en dikwijls een bureaucratisch gegeven zijn. Er is dikwijls voldoende bewijsmateriaal voorhanden, bvb IP-adressen die opduiken in mailinglists, waarbij zich moet afvragen of een IP-adres valt onder "personal data" en wel gebruikt mag worden in een onderzoek. Drastisch vereenvoudigen en versnellen van procedures is de boodschap hier, waar ik helaas ook (nog) niet het fijne van weet.

Typisch voor deze sector is natuurlijk dat wetgeving steeds achter de ontwikkelingen aanholt. Het is een ware uitdaging om een evenwicht te vinden tussen een al te strikte, steeds aan te passen wetgeving, en een wetgeving met algemene principes die geëinterpreteerd dienen te worden door een soort regulator of administratief rechtscollege, wat dan weer de democratie uitholt. Zelf denk ik dat daar een middenweg mogelijk is, waarbij (interpretatie)beslissingen van de regulator bekrachtigd worden door een regering of geëvoceerd kunnen worden door een parlement. By default vertrouwen en snelle wijzigingen mogelijk dus, maar met behoud van democratisch recht en mogelijkheid tot terugfluiten.

Een ander voorbeeldje hierin is bvb dat privacy-wetgeving de overheid belet om privacygevoelige data (quasi alles dus) in het buitenland te bewaren. Een dynamische cloud met ook een datacenter in pakweg Finland of de States behoort (nog) niet tot de mogelijkheden. Iets waar we volgens mij ook werk van moeten maken, al dienen we daarvoor eerst nog een cultuuromslag teweeg te brengen bij onze overheid dat niet iedereen op zijn eigen eilandje de eigen data en diensten dient te beheren. Dit leidt immers tot hallucinante toestanden, zoals bij het BIPT waar een overrompeling van www.bestetarief.be tot een crash leidde en men inderhaast 3 bijkomende server plaatste waaruit de websitebezoeker zelf te kiezen had. Een gemeenschappelijke dynamisch schaalbare basisinfrastructuur is hier echt een must. We moeten duidelijk leren leven met delegeren van dergelijke diensten en veiligheidsvoorzieningen, terwijl we die wel steeds ten volle moeten begrijpen.

Interessant ook was natuurlijk de (informele) uitwisseling met buitenlandse collega's. Zo is men in Denemarken bezig met een "communal cloud", waarbij de centrale overheid een dienstenplatform voor de lokale overheden ontwikkelt en centraal beheert. Heel interessant en ook hier te bekijken, als je 't mij vraagt!