overheid & IT

<Webwereld column>

Heeft u wel eens 'De grote beurt' gezien? Dit is een auto-programma kloon van MTV's 'pimp my ride' waar oude auto's een makeover krijgen om ze weer hip&cool te maken. Probleem bij al het opleuken dat in deze programma's wordt gedaan is dat onder de nieuwe lak en glimmende velgen het een oude auto blijft die z'n beste tijd gehad heeft. Zo is het ook met het EPD.

Ruim 12 jaar geleden werd onder leiding van Minister Els Borst het plan opgevat een nationaal elektronisch patiënten dossier te realiseren. Een dergelijk dossier zou medicatie- en andere fouten door informatieachterstand bij zorgverleners voorkomen en zo vele mensenlevens redden. Het waren tenslotte de jaren '90 en er was niets dat IT niet leek te kunnen oplossen.

In 2002 werd stichting Nictiz opgericht. Deze, door het ministerie van VWS gefinancierde non-profit-zonder-formele-macht, zou het nationaal EPD gaan realiseren. Al vrij snel werd besloten dat er geen echt nationaal EPD zou komen maar een soort zoekmachine die data uit alle systemen brokjes data over een specifieke patiënt trekt. Zo'n zoekmachine-oplossing is veel complexer dan een centraal systeem.

<Webwereld column>

Er komt een nieuw grondwettelijk artikel over het briefgeheim (artikel 13) om dit artikel klaar te maken voor de 21ste eeuw en de komende maanden mogen burgers hun visie op deze zaak geven. Het briefgeheim moet garanderen dat burgers erop kunnen rekenen dat de inhoud van brieven-in-enveloppe (geldt niet voor ansichtkaarten) altijd vertrouwelijk blijft en niet zo maar wordt ingezien door de overheid voor bijvoorbeeld opsporingsdoeleinden.

Veel van de juridische discussies over deze voorgestelde grondwetswijziging zullen de komende maanden gebaseerd zijn op een aantal veronderstellingen;
1. Er een relatie is tussen wet en grondwet in Nederland
2. De Staat der Nederlanden houdt zich aan aan haar eigen wetten
3. De Nederlandse wet nog steeds relevant is voor dit vraagstuk

Al deze veronderstellingen zijn op z´n minst twijfelachtig.

Wetten worden in Nederland niet structureel aan de grondwet getoetst zoals dat bijvoorbeeld in Duitsland wel gebeurt. Daarnaast heeft relevante artikel 13 allerlei uitzonderingen ingebouwd: de overheid mag het briefgeheim niet schenden tenzij er een wettelijke uitzondering is die zegt dat dat wel mag, een rechter er toestemming voor geeft of iemand van een veiligheidsdienst besluit dat het nodig is voor het garanderen van de nationale veiligheid. Spannende vraag is dus hoe de nieuwe versie van deze uitzonderingen er uit ziet. Want in de huidige vorm werkt de grondwet dus alleen in het geval van een overheid die oprecht werkt aan het behartigen van de belangen van haar burgers. En in dat geval hebben we de grondwet niet zo hard nodig. Een beetje zoals een regenjas van vloeipapier zeg maar. Of de website crisis.nl.

<Webwereld column>

Afgelopen vrijdag mocht ik met andere 'experts' vragen beantwoorden van de in Parlementaire werkgroep ICT-projecten bij de overheid. Dit is een groep Kamerleden die een Parlementair onderzoek naar de vele ICT fails van de overheid aan het voorbereiden is. Na de zomer (en de verkiezingen) moet het onderzoek van start gaan met een set scherpe onderzoeksvragen. Aan de genodigde experts om voorstellen te doen voor die vragen. Het was opvallend hoe eensgezind de aanwezige IT-ers waren, ook al hadden we allemaal heel verschillende achtergronden (video).

Net als andere columnisten en opinieschrijvers heb ik ook op deze plek de overheid ook wel eens afgebrand over het rijke palet aan verspilling van veiligheid, privacy en algemene middelen. Het gaat, zeker bij de Rijksoverheid, dan ook al snel om gegevens van miljoenen Nederlanders en miljarden Euro's.

Voor columnisten is het dus eigenlijk altijd prijsschieten met zo'n overheid. Daarom is het ook wel mooi om op dit soort gelegenheden een meer constructieve bijdrage te kunnen leveren. Hoewel het eigenlijk jammer is dat dergelijke bijeenkomsten niet veel vaker worden georganiseerd en niet veel beter worden bezocht door de ambtenaren en leveranciers die verantwoordelijk zijn voor al die projecten. Voor de 6 miljard die op jaarbasis door het putje gaat (en dat zijn alleen nog maar de out-of-pocket kosten - de maatschappelijke impact is mogelijk vele malen groter) is het wellicht handig om wat vaker te overleggen. Niet dat ik het idee heb dat het clubje van vorige week kant-en-klare oplossingen heeft voor alle problemen die er zijn. Wel denk ik dat er een redelijke mate van eensgezindheid was over de grondoorzaken van problemen:

Op 1 juni 2012 kwam de Parlementaire werkgroep ICT-projecten bij de overheid bijeen met een groep experts uit academia en bedrijfsleven. Hieronder mijn geschreven bijdrage. Eerst ruwe Opname van de videostream... Hier de bijdragen van Brenno de Winter, Rene Veldwijk, Pascal Hetzscholdt, Chris Verhoef, Ronald Prins en Walter van Holst.

Inleiding – ICT en de Nederlandse Rijksoverheid
Universaliteit is een aanname in de astrofysica die zegt dat fenomenen zich overal zo gedragen zoals we ze vanaf de aarde kunnen waarnemen. Ik ga er van uit dat de fenomenen die ik waarneem bij ICT-projecten ook spelen bij ICT-projecten waar ik minder informatie over heb (dat dit zo is heeft vooral te maken met de gebrekkige uitvoering van de Wet Openbaarheid van Bestuur, zie opmerkingen Dhr. de Winter).

De wijze waarop ICT-projecten worden aangestuurd is gebaseerd op een nogal naïef model van de werkelijkheid “slimme ondernemers strijden op een open veld met elkaar om de gunsten van de overheid die met verstand en visie inkoopt”. Dit model heeft als nadeel dat we er de uitkomsten van projecten niet goed mee kunnen voorspellen. Vandaar ook deze werkgroep.

Het model "corrupt moeras met verkeerde incentives, bevolkt door zakkenvullers en incompetente clowns" voorspelt de gang van zaken rond projecten veel beter en geeft ook prima aan waarom het steeds mis gaat.

<Webwereld column>

Decennia lang zijn in de hele westerse wereld huizen gebouwd met asbest. Asbest was een betaalbaar materiaal dat sterk, slijtvast, isolerend was en bovendien uitstekende brandwerende eigenschappen had. Door al dit fijns en de lage prijs was het ideaal spul om overal voor te gebruiken. En dat deden we dan ook.

Zolang dat asbest netjes op z'n plek blijft is er niet zo veel aan de hand. Dan doet het z'n werk en is er dus geen reden om over asbest na te denken. De problemen ontstaan wanneer er iets moet veranderen, een verbouwing bijvoorbeeld. Als bij het neerhalen van een muur de asbest vrijkomt als microscopische vezels vormt het een enorm gevaar voor de gezondheid van iedereen die de pech heeft dichtbij te zijn. Inmiddels is het verwerken van asbest zeer streng gereguleerd. Ondanks die regulering vallen er door alle asbest die decennia lang in allerlei zaken zijn verwerkt nog steeds twee keer zo veel doden als in het verkeer.

Omdat de lange termijn consequenties van het gebruik van asbest zo groot zijn is het gebruik er van verboden. Dit ondanks het feit dat de oorspronkelijke redenen voor het gebruik nog steeds bestaan. Asbest is nog steeds goedkoop, sterk, slijtvast, isolerend en brandwerend. Maar toch gebruiken we het niet meer omdat we de maatschappelijke prijs te hoog vinden. Strategische en maatschappelijke redenen zijn dus belangrijker dan praktische en technische voordelen. Dat betekent niet dat alles dat ooit met asbest is gebouwd nog deze week wordt afgebroken. Wel dat we het probleem niet meer groter laten worden door asbest te blijven gebruiken. Langzaam maar zeker wordt deze erfenis afgebouwd onder streng gecontroleerde omstandigheden.

Als er gesproken wordt over IT die overheden gebruiken voor hun dagelijks functioneren lijkt het maken van onderscheid tussen strategische en operationele argumenten nog vrijwel onmogelijk. Bezwaren over de fundamentele ongeschiktheid van gesloten of in het buitenland geplaatste (en daarmee niet te controleren) systemen worden eenvoudig weggewuifd met de stelling dat 'het toch wel handig is' en 'men er nu eenmaal aan gewend is' of zelfs 'dat verdachtmakingen hierover politiek niet bespreekbaar zijn'. Allemaal citaten die in de jaren '80 ook van toepassing waren op asbest en de leveranciers ervan.

<Webwereld column>

Doublethink is een begrip dat door George Orwell geïntroduceerd is in zijn beroemde roman '1984'. Het is een mentaal mechanisme dat mensen in staat stelt oprecht en tegelijkertijd twee volkomen tegengestelde ideeën te geloven zonder die tegenstelling als problematisch te ervaren.

In de ruim tien jaar dat ik me in Nederland heb beziggehouden met opensource en open standaarden in de publieke sector ben ik heel wat geoefende doublethinkers tegen gekomen. Zo is mij gedurende al die jaren door 'experts' en insiders geduldig uitgelegd dat de migraties naar opensource desktops die de community  wilde onmogelijk waren omdat ambtenaren niet met andere platformen konden werken. Non-techies iets anders geven dan de Windows+Office desktop waarop ze getraind waren in het Nederlands onderwijs zou tot rampen leiden. Het Kon Echt Niet.

De stelligheid waarmee dit (tot op de dag van vandaag) op allerlei plekken als tegeltjeswijsheid gezegd wordt heeft mij altijd verbaasd. Eerder was Nederland namelijk van WP5.2 op DOS naar Word6 op Windows gemigreerd en toen is de Aarde toch ook echt gewoon blijven draaien, gingen kinderen naar school en kwam er water uit de kraan.

De diverse migraties, de meeste buiten Nederland, laten inmiddels ook zien dat gewone eindgebruikers prima hun werk kunnen doen met alternatieve platformen, mits ze daar even wat uitleg en ondersteuning bij krijgen (iets dat men trouwens ook volkomen normaal vindt bij de migratie naar nieuwe releases van de gebruikelijke proprietary systemen).

Dezelfde mensen die jaren lang met grote stelligheid beweerden dat 'Het Echt Niet Kon' zijn inmiddels druk bezig om heel trots iPads uit te rollen naar allerlei managers en directeuren die daar om allerlei redenen om vragen, of ze zelf meenemen. Kennelijk is de adoptie van een totaal ander platform, met een totaal andere interface, helemaal niet zo problematisch als al die jaren is gesteld. Huh?

<Webwereld column>

Het stof van Diginotar is netjes opgeveegd bij de bonte verzameling van ICT-fails in de publieke sector, de glazen zijn leeg en de plassen gedaan. Tot nu toe wijst niets erop dat er echt iets gaat veranderen aan de wijze waarop de Nederlandse overheid ICT projecten laat uitvoeren. Tijdens het overleg (mp3) in de Tweede Kamer was het duidelijk dat zowel de OPTA als PwC vinden dat hen niets te verwijten valt, ondanks het feit dat ze als toezichthouders jarenlang het stempel “OK” hebben gezet op Diginotar. De uitspraak van PwC dat de audits uiteraard goed zijn gedaan omdat “deze worden uitgevoerd door professionals met een eigen verantwoordelijkheid” zal hartverwarmend zijn voor Iraanse burgers die hiervan nu de consequenties ondervinden (denk aan iets met knieschijven en elektrisch gereedschap).

Door de chaos bij Diginotar kan nooit meer met zekerheid worden vastgesteld op welke momenten er bij het bedrijf is ingebroken en wat de gevolgen daarvan waren. Iemand die een compleet netwerk overneemt kan namelijk kinderlijk eenvoudig alle logs manipuleren. Het enige wat we dus echt met zekerheid kunnen zeggen is dat er tot nu toe geen reden is om aan te nemen dat de IT-security in het verleden veel beter was dan de recentelijk door FoxIT aangetroffen puinhoop.  Want de audits van PwC zijn overduidelijk niet in staat een dergelijke puinhoop te detecteren en de OPTA kijkt er kennelijk niet eens naar. Mogelijk was Diginotar dus al jaren van onder tot boven gehackt en is dat gewoon nooit iemand opgevallen. Een echte slimme cybercrimineel of spion doet zijn werk zo dat niemand ooit iets door heeft. In allerlei detaildiscussies over de exacte tijdslijn en omvang wordt volledig voorbij gegaan aan dit feit. Socrates glimlacht vanuit zijn graf bij de vaststelling dat we alleen zeker weten dat we niets zeker weten.

<webwereld column>

Een kamerlid strompelt hoestend binnen bij de dokter. Er loopt bloed uit oren en neus en het linkeroog. “Dokter, ik ben daarnet lelijk gevallen en ik geloof dat ik mijn pols gebroken heb” rochelt het kamerlid. De dokter kijkt naar de pols en voelt er even aan. “Doet dit pijn?”. “Gaat wel” steunt het kamerlid. “Ik geloof dat het wel meevalt” zegt de dokter, “Ik kan vandaag helaas geen röntgenfoto maken want het digitale röntgenapparaat doet het vandaag niet.” Het kamerlid zwaait een en weer. “Het is waarschijnlijk een kneuzing, de verpleegkundige zal u een verband geven. Doet u het een paar dagen rustig aan en mocht de pols dan nog steeds pijnlijk zijn kom dan even terug”. Het kamerlid wankelt de spreekkamer uit, nog steeds bloedend uit oren, neus en oog. De dokter is al weer bezig met het dossier van de volgende patiënt, want doktoren hebben het nu eenmaal druk.

Het hierboven beschreven proces lijkt wel een beetje op de werkwijze van de Algemene Rekenkamer in de beantwoording van vragen gesteld door Kamerleden. De Kamerleden als non-experts een vraag en de Rekenkamer beantwoordt deze zonder de context van de vraag te analyseren of zich af te vragen of de genoemde symptomen wellicht onderdeel zijn van een breder probleem. In het net verschenen rapport worden de vragen netjes beantwoordt, overigens op basis van de meest minimale data. En dat is jammer want het is juist de Rekenkamer die de mogelijkheid heeft zelf vast te stellen dat er wellicht een vraag achter de vraag zit. In plaats van een discussie te houden over 88 miljoen euro aan licentiegelden (minder dan 1% van de totale jaarlijkse licentiebestedingen) had de Rekenkamer ook de vraag kunnen stellen waarom dingen die in omringende landen wel kunnen niet in Nederland lukken. Is Nederland echt zo anders dan Finland, Duitsland, Frankrijk of Spanje?

<webwereld column>

Je zal de komende dagen maar woordvoerder van Translink zijn. Echt balen. Maar eigenlijk zouden Translink en de verantwoordelijke bewindslieden Brenno et al heel dankbaar moeten zijn. Want door er op deze nette manier aandacht aan te geven is er in ieder geval een kans op het vermijden van heel veel toekomstige fraude. Een handvol journalisten met activistische insteek hebben wederom de rol van Hans Brinker gespeeld en hun vinger in de lekkende dijk gestopt om vervolgens heel hard te roepen 'Help! Er is een lek!'.

Na verloop van tijd (kan soms 3 jaar duren) komt er dan iemand om het gat in de dijk te pluggen met een oude theedoek en een schroevendraaier. De onderliggende problemen worden niet besproken en dus ook zeker niet opgelost. Na verloop van tijd is er weer een ander lek waar dan hopelijk weer iemand z'n vinger in steekt. Zo hobbelen we al zeker tien jaar van drama naar drama. C2000, Walvis, EPD, Stemcomputers, OV-chip, Kind-Dossier, GOUD, P-direkt, SPEER en vele, vele andere publieke succesnummers die trouwe Webwereld lezer wel zal herkennen.