Nederlands
English
Auteur: arjen
IJslands porno filter schiet doel voorbij
IJslands pornofilter schiet doel voorbij
Op IJsland woedt een heftig politiek debat over het idee een nationaal internet filter te bouwen dat kinderen moet beschermen tegen gewelddadige porno. Hoewel cijfers over de schaal van het probleem ontbreken zijn er binnen de regering van IJsland grote zorgen over de wijze waarop de porno-industrie haar producten aan de man (meestal mannen) probeert te brengen. Het idee is dat de industrie zich actief richt op het ‘werven’ van jongeren en kinderen in het klassieke model van de sigarettenindustrie; ‘get them while they’re young’.
Afgelopen week was ik op IJsland en mocht ik aanschuiven bij een aantal overleggen rond IT en internet strategie met ministers en beleidsmakers. Het hele debat vindt plaats in de aanloop naar verkiezingen die de verhoudingen in IJsland flink kunnen veranderen dus de lokale media zitten er bovenop. Het specifieke idee om een nationaal filter op het hele land te zetten (naar Chinees model) trekt wereldwijde aandacht omdat dit een unicum zou zijn in de westerse wereld. Het past ook niet bij het beeld van het anders zo liberale en progressieve IJsland (het enige land dat zijn bankiers veroordeelde voor hun aandeel in de crisis).
Toen ik vorige week aankwam werd ik op de eerste bijeenkomst meteen door Smari McCarthy van het Icelandic Modern Media Initiative gevraagd hun open protestbrief te tekenen die vandaag gepubliceerd is.
Tijdens een diner enkele dagen later met de relevante minister en adviseurs om tafel zat ontstond er een heel ander beeld. Er is gelukkig nog geen enkele beslissing genomen ondanks het beeld wat in de media was ontstaan. De minister was erg geïnteresseerd in andere mening over de wenselijkheid en technische haalbaarheid van een nationaal internetfilter. In mijn optiek werden de verschillende doelen en middelen in de discussie nogal door elkaar gehaald en dus deed ik een poging de zaken wat te structureren.
Door de regering geformuleerde doelen:
1. Minimaliseren van de emotionele schade aan kinderen in IJsland door het zien van gewelddadige porno
2. Het bestrijden van de porno-industrie die geld verdient aan het maken van vernederende en gewelddadige media
Deze twee doelen zijn zeer verschillende, vragen waarschijnlijk verschillende aanpakken en dienen separaat bekeken te worden. Het eerste doel is duidelijk een taak van de IJslandse overheid en vraagt actie binnen de IJslandse samenleving. Het tweede doel vraagt een internationale aanpak hoewel de IJslandse samenleving mogelijk maatregelen kan nemen om geen mede veroorzaker van vraag (en daarmee het probleem) te zijn.
Maatregelen
1. het probleem met nationale filters op zeer specifieke vormen van internet verkeer is dat deze filters, op z’n best, heel slecht werken. Veel false-positives en false-negatives. Dit wordt actief verergerd door de aanbieders (als deze inderdaad jonge kinderen als markt zien) enerzijds en de enorme creativiteit aan de vraag kant (13-jarigen hebben veel tijd en motivatie). Zodra er een trucje wordt gevonden om om een filter heen te werken wordt deze kennis razendsnel online verspreidt. Er zijn zelfs speciale sites gemaakt voor en door kinderen om elkaar te leren hoe je om de preutsheid van je ouders/leraren/overheid heen kan hacker (dit onder het motto ‘it is not a crime to be smarter than your parents’).
Als de IJslandse overheid dus kiest voor een nationaal internetfilter moet ze vervolgens een technologische informatieoorlog voeren op twee-fronten; tegen de porno-industrie (de mensen die video-streaming hebben uitgevonden) en hun eigen burgers waarvan velen mogelijk een legitieme en legale wens hebben om bepaalde content te bekijken. Over het algemeen is het verbieden van zaken die door burgers niet van nature als schadelijk or moreel verwerpelijk wordt ervaren (tabak, alcohol, cannabis, te hard rijden, downloaden) een moeizame, dure en vaak nutteloze zaak. Verboden vruchten zijn, zeker voor kinderen die hun eigen grenzen en die van de samenleving aan het testen zijn nu eenmaal extra-dubbelplus aantrekkelijk.
Bovenstaande gaat nog even helemaal voorbij aan de dag dat zo’n filter wel werkt (af en toe gebeuren er technologische wonderen). Dan heb je als overheid de turn-key infrastructuur gecreëerd voor nationale censuur. De burgers moeten er dan maar op vertrouwen dat hun overheid (of toekomstige versies ervan) deze capaciteit niet gaat misbruiken voor andere doeleinden. Gezien de wijze waarop in de hele westerse wereld anti-terreur wetgeving wordt ingezet tegen milieuactivisten, journalisten of mensen die hun afval niet netjes scheiden is dergelijke function-creep niet ondenkbaar.
2. De beste manier om de porno-industrie te ‘bestrijden’ (er even van uitgaande dat dit een legitiem doel kan zijn) is om als land erg selectief te zijn in het handhaven van auteursrecht op internet. Het sterk reduceren van de geldstromen naar de porno-industrie is iets dat het internet al heel succesvol doet. In plaats van het frustreren van dit proces, zoals veel overheden doen, zou je het ook kunnen verwelkomen. Hier zitten veel juridische haken en ogen aan maar in de politiek zijn deze meestal met de kreet ‘denk aan de kinderen!’ wel weg te poetsen. Op deze manier kan een overheid zorgen dat iedere burger die dergelijke content wil consumeren dit eenvoudig kan doen zonder geld te hoeven sturen naar ‘porno-boeren en andere criminelen’. In andere Europese landen is filesharing (up- & download) in de privésfeer (dus zonder commerciële distributie doeleinden) volledig gelegaliseerd.
Omdat cijfers over de schaal van het probleem ontbreken blijft de vraag hoe de porno-industrie in de praktijk kan verdienen aan kinderen. Hebben 12-jarigen in IJsland creditcards? Hier gaat de door de overheid gebruikte analogie met sigarettenindustrie niet op. Sigaretten koop je met cash, porno online niet.
Verboden fruit vs het beheersbare probleem
Met als drugs zijn porno en gokken (een ander mogelijk doel van een nationaal IJslands filter) nooit helemaal uit te bannen zolang grote aantallen burgers genieten van deze zaken (hoe onverstandig dat soms ook is). In de VS het gebruik van cannabis twee keer zo hoog als in Nederland, ondanks de extreem zware straffen op bezit en gebruik. Net als bij drugs zou beleid zich moeten richten op het minimaliseren van schade aan individu en de samenleving. Zaken verbieden is meestal niet noodzakelijk de meest effectieve manier om dit te doen.
Zelf het strenge verbod op het bezit en verspreiden van beelden van seksueel kindermisbruik (ook wel ‘kinderporno’ maar dat wekt de suggestie dat de kinderen er aan meewerken) heeft geen bewijsbaar positief effect op het reduceren van het misbruik van kinderen. Productie en distributie is zo diep ondergronds gegaan dat niemand echt meer weet wat er gebeurt. Door het onderzoek hiernaar een juridisch mijnenveld te maken is hier ook lastig iets aan te doen.
Ondertussen zorgen deze wetten wel voor een erg eenvoudige weg om mensen persoonlijk kapot te maken door hun computer te hacken en er wat verboden materiaal op te zetten en dan de politie in te lichtten. Zelfs als er geen veroordeling volgt is de persoon in kwestie waarschijnlijk persoonlijk en professioneel getekend voor het leven. Het onomstotelijk bewijzen van onschuld is is zo’n geval vrijwel onmogelijk.
Doordat het onderwerp zo emotioneel is wordt door politici vaak de volgende mentale hink-stap-sprong gemaakt:
1. het probleem is heel erg! We moeten iets doen!
2. dit (een filter, verbod, inzetten van het leger) is iets
3. we moeten dit doen!
Waarbij volledig voorbij wordt gegaan aan de effectiviteit van het iets en de eventuele nadelige gevolgen van iets. Dit soort denksprongen zijn ook zichtbaar in ‘de strijd tegen terrorisme’ en ‘cyber-security’. Methoden om doeleinden te bereiken doen dat vrij duidelijke niet maar veroorzaken wel een reeks nieuwe problemen. Het geheel wekt dan de indruk dat politici en bestuurder veel drukker zijn met sexy soundbites dan met de echte wens om taaie problemen aan te pakken.
Ik heb de IJslandse minister geadviseerd om het budget voor een filter in te zetten voor beter onderwijs & voorlichting. Dat is geen sexy maatregel die meteen resultaten geeft maar wel een stap in een richting waar de IJslanders echt wat aan hebben. Nu de verkiezingen afwachten.
Update: Ondank de politieke wisseling van de wacht gaat deze discussie in IJsland nog steeds door. Vreemd genoeg nog steeds zonder veel harde data over de schaal van de problematiek.
Cyberoorlog: het Westen is begonnen
Een aantal jaren geleden ontwikkelden Israëlische en Amerikaanse inlichtingendiensten een computervirus met een specifiek militair doel: het beschadigen van Iraanse nucleaire installaties. Stuxnet werd via usb-sticks verspreid en nestelde zich stilletjes op Windows pc’s om van daaruit op zoek te gaan naar specifieke industriële centrifuges die via Siemens SCADA-apparatuur worden aangestuurd.
Iran heeft, net als veel andere landen, een nucleair programma voor energieopwekking en de productie van isotopen voor onder meer medische toepassingen. De meeste landen kopen medische isotopen van specialist Nederland, die ze in de reactor in Petten bij ECN maakt. Door de westerse boycot van Iran is het voor dat land echter niet mogelijk isotopen voor medisch gebruik op de wereldmarkt aan te schaffen. Zelf maken is verre van ideaal, maar de enige optie die overblijft als import onmogelijk wordt gemaakt.
Waarom die boycot? Officieel omdat Iran volgens de VS niet voldoende openheid wil geven over zijn wapenprogramma’s. Met name militaire toepassingen van het nucleaire programma is een officiële bron van zorg. Deze zorg is echter een vrij recent gegeven die om een of andere reden opnieuw leven is ingeblazen na de aanval op Irak (een aantal van de installaties is geleverd door Amerikaanse en Duitse bedrijven met financiering van de Wereldbank voor de revolutie van 1979). Het meest curieuze aan alle beschuldigingen van westerse overheden aan het adres van Iran is dat het nooit meer dan vage verdachtmakingen zijn. Toen 16 Amerikaanse inlichtingendiensten in 2007 een gezamenlijke studie deden naar de feiten achter deze beschuldigingen was de glasheldere conclusie: Iran is niet bezig met de ontwikkeling van een kernwapen.
En dat is dus vreemd.
Want als de Amerikaanse 16 inlichtingendiensten en hun Israëlische collega’s, de befaamde Mossad, het er allemaal over eens zijn dat Iran geen kernwapens aan het maken is, hoe rechtvaardig je dan een aanval tegen een civiele industriële infrastructuur? En dat het een equivalent van een militaire aanval is wordt duidelijk als je bedenkt wat er zou gebeuren als Iran betrapt zou worden op een cyberaanval op ‘onze’ installaties in Borssele of Indian Point.
Zoals gezegd; Stuxnet is ontworpen voor één enkel doel: het beschadigen van nucleaire verrijkings- installaties in Iran. Dat is een land dat deze activiteiten gewoon mag uitvoeren volgens de internationale afspraken vastgelegd in het Non Proliferatie Verdrag. Iran is, net als de meeste andere landen in de wereld (behalve Israël, India, Pakistan, Z-Sudan en N-Korea) ondertekenaar van dit verdrag. Civiele nucleaire industrie mag, kernwapens niet, een detail dat nog wel eens aan de aandacht van redacties ontglipt. Net als de reden waarom Iran geen democratie is. Waarmee ik niet zeg dat de Iraanse regering lieverdjes zijn, maar het land heeft in de afgelopen 200 jaar niemand aangevallen, dit in tegenstelling tot diverse van onze NAVO-partners.
Maar Stuxnet heeft aan Iran en de rest van de niet-westerse wereld heel duidelijk gemaakt hoe de praktijk werkt. Het maakt niet uit dat je je aan gemaakte afspraken houdt. Het maakt niet uit dat je geen bedreiging voor het Westen bent. Het maakt niet uit dat de landen die je het hardst beschuldigingen van het schenden van non-proliferatie afspraken (de VS en Israël) zelf in het geheim dat verdrag schenden. De VS door plutonium aan Israël te leveren en Israël door zelfs niet eens het verdrag te ondertekenen en stiekem 100-200 atoombommen in de kelder te bewaren.
Er is dus geen enkele reden om je aan afspraken te houden want dat biedt geen garantie dat partijen aan de andere kant dat ook zullen doen en het biedt mogelijk een strategisch nadeel. En als je toch al de nadelen van vermeend gedrag moet ondergaan (boycots, bedreigingen van bombardementen) is het logisch dat je ook de voordelen wilt. Het wordt bijna rationeel voor Iran om alsnog een kernwapenprogramma op te zetten, Noord-Korea komt er immers ook mooi mee weg. Als bonus heeft dat dus een kernwapen en dat is nog steeds de beste garantie dat de VS niet ongevraagd ‘democratie’ komt brengen (hoewel een gebrek aan oliebronnen ook schijnt te helpen).
Net als de aanval op Irak, die werd uitgevoerd op basis van bewuste leugens (men wist dat Saddam geen massavernietigingswapens had) houdt de VS zich dus niet aan de normen die het graag aan andere oplegt. Met als gevolg dat niemand die normen meer serieus neemt en het een free-for-all wildwest wordt.
En dat is dus precies wat je niet wil in een wereld waarin een handvol boze Chinezen/Russen/Iraniërs/Irakezen/ volstrekt anoniem en ongrijpbaar de vitale infrastructuur van moderne landen kapot kunnen hacken. Westerse landen zijn door hun hoge graad van automatisering veel kwetsbaarder dan landen die pas net hun derde wereld-status zijn ontgroeid. Cyberwapens zijn relatief goedkoop en het ontwikkelen ervan is een stuk lastiger te detecteren dan de bouw van raketten en vliegdekschepen. De beste verdediging ertegen is dus het voorkomen van een wapenwedloop. Net als een kernoorlog verliest bij een cyberoorlog waarschijnlijk iedereen. Veiligheid creëer je in zo’n context door moreel leiderschap (beginnende bij: je aan je eigen regels houden) en actief werken aan de-escalatie. En dat is dus precies wat de VS en Israël niet gedaan hebben.
Met zulke vrienden zijn we verzekerd van een permanente stroom nieuwe vijanden in landen die vooral met rust gelaten willen worden, maar die zich bewapenen om terug te kunnen slaan als het ‘vrije Westen’ weer eens op rooftocht wil.
Een Nederlands Cyberleger opzetten terwijl de sluizen en gemalen voorzien zijn van factory-default wachtwoorden in hun SCADA controllers lijkt me vrij stupide. Als je in een glazen huis woont is het slimmer om niet met stenen te gooien (of andere te motiveren dat te doen).
Update: een onderzoeksteam van de NAVO heeft bepaald dat de Stuxnet ‘aanval’ op de Iran een ‘Act of Force‘ was (en dus geen ‘Act of War). Benieuwd of we die beoordeling vasthouden als een niet-NAVO land bewijsbaar zoiets doet tegen een NAVO land.
Met spionnen en Assange aan tafel
Het Nationaal Cyber Security Centrum gaf deze week op haar conferentie aan dat het meer naar hackers wil gaan luisteren. Het is natuurlijk mooi dat de overheid gaat luisteren naar de mensen die er het meest vanaf weten hoewel de vraag blijft waarom men daar tot 2013 mee heeft gewacht. Als ze daar 5 of 10 jaar eerder mee waren begonnen had het een ongelofelijke hoop ellende en geld bespaard. Ik hoop van harte dat het overleg met de hack(tivist) community over meer gaat dan alleen technische trucs, want er zou juist op beleidsniveau moeten worden gepraat. Voor technische zaken kan men ook gewoon de gebruikelijke bureaus inhuren en hackers gewoon betalen voor hun kennis en advies.
Ondertussen vond een flinke groep hackers het jammer dat zij niet welkom waren en organiseerden een alternatieve bijeenkomst. Als de intenties van het NSCS komend jaar goed worden uitgewerkt is deze de volgende keer wellicht niet nodig. Aan de community-kant moeten deze gesprekken ook goed geregeld worden (wie zit aan tafel en vooral met welke pet op) want als community-bijdragen en commerciële belangen door elkaar gaan lopen ontaarden zaken snel in gekissebis en ruzie. Ik spreek uit ervaring ;-). Niemand is ‘vertegenwoordiger’ van ‘de hacker community’. Het NSCS zal er aan moeten wennen dat wij geen gecentraliseerde organisatie zijn met een hoofdkantoor waar je kunt afspreken met de top-functionaris.
Helaas kon ik geen van beide bijeenkomsten bijwonen omdat ik in Londen een diner had. Dit had plaats in de ambassade van Ecuador, waar Julian Assange zich ophoudt als politiek vluchteling voor de Amerikaanse overheid. Die overheid heeft uitgesproken hem te willen veroordelen voor spionage (of gewoon doodschieten zonder vorm van proces – dat blijf ook favoriet). Dit ondank het feit dat hij geen enkele Amerikaanse wet heeft overtreden – journalistiek is vooralsnog gewoon toegestaan. De kleine ambassade van Ecuador in Londen is momenteel waarschijnlijk een van de best bewaakte plekken op aarde, zowel met zichtbare (politie-oplegger-met-antennes) als onzichtbare surveillance.
Het diner werd gehouden ter voorbereiding van de uitreiking van de Sam Adams Award die een dag later in Oxford zou plaatsvinden. Deze prijs wordt jaarlijks uitgereikt aan iemand die een belangrijke rol heeft gespeeld op het gebied van inlichtingen, vrede en mensenrechten. Enkele voormalige prijs-winnaars en organisatoren kwamen in Londen bijeen omdat Julian Assange het pand niet kan verlaten zonder een enkeltje Cuba te riskeren. Winnaar dit jaar was Dr. Thomas Fingar, in 2006/2007 verantwoordelijk voor de National Intelligence Estimate over Iran. Ondanks enorme politieke druk op hem om een wenselijk antwoord te produceren, bleef Dr. Fingar bij de feiten. Het onderzoek concludeerde met klem dat Iran sinds 2003 geen kernwapenprogramma meer had. Het onderzoek werd vervolgens in zijn volledigheid gelekt en de wereld las mee. In zijn memoires gaf Gouverneur G.W. Bush (voor de titel President moet je verkozen zijn) aan dit rapport het voor hem daarna onmogelijk maakte om ‘het Amerikaanse leger in te zetten tegen Iran’ – je hoort de teleurgestelde toon. Integriteit redt mensenlevens, in dit geval mogelijk miljoenen Iraniërs en anderen in de regio.
Het sobere (in termen van sfeer en alcohol) gedeelte van het diner werd besteed aan het plannen van de prijsuitreiking. Nadat planning en diverse flessen weggewerkt waren kwam het gesprek op de situatie in de ambassade. Vanzelf kom je dan op het maken van een inschatting over passief meeluisterende voormalige collega’s van tafelgenoten Ray McGovern (CIA), Thomas Drake (NSA), Coleen Rowley (FBI), Annie Machon (MI5) en Ann Wright (US Army). Afluisterapparatuur in de muren en het plafond (heel langzaam en onhoorbaar kleine gaatjes boren)? Laserstralen op de ramen? Richtmicrofoons vanaf de overkant van de straat? Microgolfradar?
Met een groep voormalige spionnen en Julian Assange praten over alle verschillende manieren om afgeluisterd te worden is een patent middel om al je illusies over privacy te verliezen. Gelukkig geldt dit vooralsnog vooral voor mensen die op effectieve manier de misstanden van de machtigste organisaties ter wereld aan de kaak willen stellen. De kracht van intimidatiepogingen die tegen je gebruikt worden is meteen een goede maatstaf voor je effectiviteit als activist (of journalist). "If you’re not getting arrested every now and then you need to try harder". In Nederland hebben we dus ook veel reporters (die opschrijven wat anderen gezegd willen hebben) en weinig journalisten (die opschrijven wat anderen niet gezegd willen hebben). Hulde aan de kleine groep die in de laatste categorie valt.
De gemaakte plannen zouden de volgende dag door de raad van toezicht van de Oxford Union bruut van tafel zouden worden geveegd. De beloofde live-streaming van video (en posting op het youtube-kanaal van de vereniging) worden vooralsnog geblokkeerd op onduidelijke gronden. Kennelijk is de een gesprek tussen voormalige intelligence-insiders bedreigend genoeg om de eeuwenlange traditie van openheid en academische vrijheid van gedachtewisseling maar even te omzeilen. Een glashelder bewijs voor de noodzaak van Wikileaks.
Update: inmiddels is een video-clip van de toespraak van Julian Assange tijdend de prijsuitreiking van afgelopen woensdagavond door de Oxford Union online gezet. De achtergrond van de video (oorspronkelijk de helikopter-video gelekt in april 2010) is vervangen door het logo van de vereniging (in een aantal van de beelden van de zaal kan men de orginele weergave zien). Officieele reden daarvoor is dat men zich zorgen maakte over mogelijke copyright claims van het Pentagon (over een video die laat zien hoe journalisten, burgers en kinderen worden bechoten met anti-tank wapens gemaakt van verarmd uranium). Update 2: Wikileaks heeft hun eigen kopie van de speech online gezet.
Van de toespraken van een half dozijn andere aanwezigen (inclusief de ontvanger van de prijs) volgen hopelijk nog.
The Real News Network heeft een kort video verslag gemaakt over de bijeenkomst en de context er van. Zal nog lang politiek relevant blijven.
In memoriam: Aaron Schwarz 1986 – 2013
Not sure what to say about the sudden death of Aaron Schwarz, idealist, freedom-fighter-extraordinaire and friend of open access to information for all of humanity. Aaron spend his life fighting for humanity’s highest ideals, contributing to technologies most of us use every day (even if we don’t know it). It just feels like something is very, very wrong is the so-called ‘free world’ is killing its best and brightest for living up to its highest ideals. We’ve got big problems and cannot afford to lose people like Aaron.
Cory Doctorow has written a eulogy here, Prof Lawrence Lessig had an overview of the case the US Department of Justice (ha!) saw fit to launch against Aaron. Glen Greenwald wrote about his heroic work in helping to defeat SOPA over the last years. A digital memorial to Aaron will be here for as long as there is an Internet. The files that started the case can be found here. Spread them around as wisely as possible.
But mostly just watch Aaron’s speeches and interviews, as many times as needed before you understand his ideas and ideals fully.
Update 28-06-2014: A documentary on the case Aaron Swartz – The Internet’s Own Boy is now available online. Also on Archive.org.
EPD, korte geschiedenis van een nationale ramp
Heeft u wel eens ‘De grote beurt‘ gezien? Dit is een auto-programma kloon van MTV’s ‘pimp my ride‘ waar oude auto’s een makeover krijgen om ze weer hip&cool te maken. Probleem bij al het opleuken dat in deze programma’s wordt gedaan is dat onder de nieuwe lak en glimmende velgen het een oude auto blijft die z’n beste tijd gehad heeft. Zo is het ook met het EPD.
Ruim 12 jaar geleden werd onder leiding van Minister Els Borst het plan opgevat een nationaal elektronisch patiënten dossier te realiseren. Een dergelijk dossier zou medicatie- en andere fouten door informatieachterstand bij zorgverleners voorkomen en zo vele mensenlevens redden. Het waren tenslotte de jaren ’90 en er was niets dat IT niet leek te kunnen oplossen.
In 2002 werd stichting Nictiz opgericht. Deze, door het ministerie van VWS gefinancierde non-profit-zonder-formele-macht, zou het nationaal EPD gaan realiseren. Al vrij snel werd besloten dat er geen echt nationaal EPD zou komen maar een soort zoekmachine die data uit alle systemen brokjes data over een specifieke patiënt trekt. Zo’n zoekmachine-oplossing is veel complexer dan een centraal systeem.
De beschikbaarheid en volledigheid van data is in een dergelijke architectuur niet afhankelijk van één systeem maar van alle aangesloten systemen die relevante data bevatten. En welke dat zijn weet niemand, want als we dat wisten was het EPD op deze wijze niet nodig. Aangezien de informatie uit het EPD gebruikt wordt voor levensreddende handelingen, moet het altijd realtime beschikbaar zijn en volledig correct. Een EPD waar cruciale data aan ontbreekt (omdat een deel-systeem even offline is of omdat de data in dat deel-systeem niet correct zou kunnen zijn) is onbruikbaar voor de trauma-arts die geen seconde meer kan wachten.
Waarom kiezen voor een dergelijke oplossing? Waarom niet een enkel zeer goed beveiligd, redundant uitgevoerde oplossing waar alle zorginstellingen gratis op kunnen aansluiten? Dergelijke systemen zijn weliswaar niet eenvoudig te bouwen, maar het is een oplosbaar probleem en een enkel goed gebouwd en beheerd systeem zal een grotere beschikbaarheid hebben dan een verzameling van honderden of zelfs duizenden legacy systemen van zeer uiteenlopende kwaliteit die allemaal moeten functioneren om tot een werkend geheel te komen.
Het lijkt een bestuurlijke keuze te zijn geweest. Het invoeren van een echt centraal en nationaal systeem voor alle zorginstellingen (waarbij een huisarts ook als ‘instelling’ telt) werd politiek onhaalbaar geacht. Voor invoer van een dergelijk systeem zouden de duizenden automatiserings-eilandjes van de Nederlandse zorg allemaal afgebroken moeten worden en zou de overheid al die instellingen moeten overtuigen (of dwingen) tot het gebruik van een centraal systeem. Geen bestuurder die zich daaraan wilde branden dus werd het probleem bij de techniek gelegd. Men liet decennia aan zorg-IT legacy gewoon in stand en bouwde een laagje software er overheen dat alles aan elkaar zou lijmen. Pimp my EPD.
Onder dat laagje spuit-chroom blijven de oude spullen echter gewoon doorpruttelen. En de oude roest vormt een significant privacy en veiligheidsprobleem dat in alle commotie rond de angst voor meekijkende medici (en verzekeraars) wat aan het ondersneeuwen is.
In 2005 schreef Karin Spaink in opdracht van XS4all een boek (zie ook de hele boekpresentatie) over het elektronisch patiëntendossier en de privacy-aspecten ervan. Om haar punt dat er van alles mis was met de beveiliging van medische gegevens kracht bij te zetten vond ze twee ziekenhuizen die zich wel eens wilden laten hacken door specialisten van IT-beveiligings bedrijven. De directies van deze instellingen hadden een groot vertrouwen in hun IT-beveiliging en wilden dat graag laten bevestigen door een aantal tophackers hun tanden te laten stukbijten op hun firewall. Het liep anders.
Job de Haas van ITSX bleek niet alleen in staat door firewalls heen te prikken, maar verbleef langdurig op de netwerken en databases van een groot ziekenhuis alwaar hij volledige toegang had tot vertrouwelijke gegevens van meer dan een miljoen mensen (video). Ook kon hij wijzigingen aanbrengen in de data als hij dat had gewild. Zijn langdurig verblijf werd niet opgemerkt door de systeembeheerders van het ziekenhuis, er was geen inbraakalarm.
Roland Vergeer (video) liep letterlijk door de voordeur naar binnen met een laptop onder de arm en ging een paar dagen kantoor houden in het ziekenhuis. Vele hulpvaardige zorgverleners wezen hem waar de koffie en de fotocopier stond. Wachtwoorden en andere gegevens werden zonder veel problemen verkregen en ook hier waren de gevolgen voor schade aan privacy en veiligheid van patiënten niet te overzien geweest als er kwade bedoelingen waren geweest. Zowel RTL als het NOS journaal maakte items en een zwetende minister mocht in de Tweede Kamer uitleggen hoe dit nu toch weer kon gebeuren. Invoering van het EPD werd een jaar uitgesteld.
Naast het overduidelijke privacyprobleem dat door de hacks scherp werd neergezet, was er nog een ander probleem. Voor het adequaat functioneren van een modern ziekenhuis dienen computersystemen en netwerken goed te werken. Röntgenfoto’s en allerlei andere levensreddende apparatuur is tegenwoordig volledig gedigitaliseerd, waardoor een nuttig medisch instrument in een seconde gereduceerd kan worden tot een dood stuk ijzer als er een virusje in de aansturende computer kruipt.
Dit overkwam het Spaarne ziekenhuis in maart 2005 en diverse ziekenhuizen sindsdien (dergelijke incidenten worden niet altijd gerapporteerd). De pc’s die digitale röntgenapparaat, MRI-scanner en dergelijke aansturen zijn vaak nauwelijks voorzien van beveiliging, maar zijn wel onderdeel van het computernetwerk van een ziekenhuis dat (zo bleek althans in 2005) niet echt waterdicht was. Iemand met kwade bedoelingen kan dus niet alleen de privacy van patiënten schaden, maar ook de patiënt zelf door het ontzeggen van cruciale functies van een moderne zorginstelling.
In 2005 heeft de Minister een plechtige belofte gedaan dat een dergelijk incident zich nooit meer zou voordoen. Alle zorginstellingen moesten de NEN7510 informatiebeveiligingsnorm implementeren en dan zou het helemaal goed komen. Vraag is dan wel wie dat toetst. in 2005 gaf de IGZ (Inspectie voor de Gezondheidszorg) aan dat zij op dat moment niet de kennis, capaciteit hadden om audits uit te voeren op NEN7510 of het mandaat om hard in te grijpen. We weten allemaal hoe het afloopt met normen waar de toezichthouder zich niet mee bezig houdt (kuch – diginotar – kuch).
Wellicht moest de hack van 2005 nog maar eens worden overgedaan bij een stuk of dertig instellingen, om een evenwichtig beeld te krijgen van de huidige stand van zaken. Ik vrees dat de uitkomsten niet fundamenteel anders zullen zijn dan zeven jaar geleden, maar laat me graag door een auditrapportage van de IGZ overtuigen. Waar zijn die auditrapportages trouwens?
Wat mij altijd heeft bevreemd is de prioriteitsstelling van het EPD. Het Ministerie van VWS roept te pas en te onpas dat het probleem heel groot en acuut is. Er zijn wel 19.000 (of toch 90.000?) onnodige ziekenhuisopnamen per jaar waarvan ongeveer 1700 met dodelijke afloop, mede door het ontbreken van een EPD. Het probleem is dus zo enorm dat we nu echt even geen tijd hebben voor lastige vragen over privacy en dat soort gedoe. Een soort ‘War On Medicatiefouten’ zeg maar.
Laten we (voor de discussie) eens aannemen dat de door VWS en andere partijen al jaren en bij herhaling gebruikte cijfers in orde van grootte kloppen. Dat er in Nederland al jaren (in ieder geval vanaf 2002 en wellicht al veel langer) per jaar 1700 mensen onnodig dood gaan mede doordat de informatievoorziening in de zorg niet goed geregeld is. Dat zijn dus zo’n 17.000 doden. Dat is dus met afstand de grootste nationale ramp sinds de tweede wereld oorlog. Kosten: 1.4 miljard per jaar. Dit is wat VWS zegt dat er aan de hand is als we vragen naar het waarom van het EPD.
Kan iemand mij dan uitleggen waarom dit probleem jarenlang in handen is gegeven van een stichting (Nictiz) zonder formele macht, op grote afstand van de minister en met een jaarbudget van slechts 10-15 miljoen euro? Waarom was/is dit niet het allerbelangrijkste onderwerp van VWS, met de top van het Ministerie dagelijks met de hand aan het stuur, met wekelijkse updates aan het kabinet en parlement? Als de veelgebruikte cijfers niet kloppen, worden wij (en ons parlement) al jaren ‘verkeerd geïnformeerd’ zoals dat netjes heet (dat zou politieke consequenties moeten hebben!). Als de cijfers wel kloppen is er iemand ergens wel extreem nalatig geweest in het oplossen van een nationale ramp met behulp van opgewarmde, met fake-chroom overgespoten, IT-legacy (dat zou politieke consequenties moeten hebben!).
Sinds de hack-demonstratie in 2005 zijn er (volgens de cijfers Nictiz/VWS) ongeveer 10.000 mensen om het leven gekomen door falende informatisering in de zorg. Een met publiek geld en volgens een door politiek gemotiveerd ontwerp gebouwd systeem wordt nu in geprivatiseerde vorm toch ingevoerd (ondanks de unanieme afwijzing ervan door de Eerste Kamer). De Minister geeft weer aan dat zij hulpeloos en machteloos is en vergeet voor het gemak dat zij de (mede-)veroorzaker is van de situatie waar ze geen macht over zegt te hebben. De Tweede Kamer is weliswaar verontwaardigd over de honderden miljoenen die uitgegeven zijn, maar stelt de bovenstaande, zeer evidente, vraag niet aan die Minister.
Het hele dossier lijkt een nog groter en zieker (no pun intended) dossier te worden dan de OV-chip kaart. Maar die gaat dus ook gewoon door. Vorig jaar was uitschrijven van het EPD nog een optie, die weg is door privatisering nu ook afgesloten. Dan maar zelf je dossier bewaren en versleutelen? Dan wel dubbelplus-crypten en een van de sleutels aan iemand anders in bewaring geven, want sleutels kunnen in de toekomst opgeëist worden op straffe van vrijheidsberoving. Vreemde situatie dat je het recht op medische privacy alleen kan behouden door de randen van de wet op te zoeken.
Hierboven de boekpresentatie van ‘Medische Geheimen’ (Karin Spaink) in september 2005. Paneldiscussie met mijn bijdragen op 27m35s. Ne plus ce change…
Update: vlak na plaatsing van de Webwereld column verscheen het bericht dat de maker van de software van het centrale gendeelte van het EPD (het Landelijk SchakelPunt – LSP) mogelijk de Amerikaanse overheid toegang moet verlenen onder de US Patriot Act.
.
Privacy, 10 jaar later
Op 11 juli 2001 publiceerde het Europees Parlement een rapport over het spionagenetwerk Echelon en de implicaties voor Europese burgers en bedrijven. Er werd al jarenlang gespeculeerd over het bestaan van dit netwerk van Groot Brittannië-en-haar-voormalig-koloniën maar pas in 1999 kwam er een rapport uit dat het onderwerp voorgoed uit de alu-hoedjessfeer trok. Het rapport van het EU Parlement bevat zeer concrete en zinnige voorstellen die, door gebeurtenissen 2 maanden later na publicatie, nimmer zijn uitgevoerd. Of zelfs maar verder besproken.
Onder het kopje "maatregelen tot bevordering van de zelfbescherming van burgers en ondernemingen" staat een lijst met concrete voorstellen die beveiliging van gegevens en vertrouwelijkheid van communicatie in handen geeft van burgers. Allereerst verzoekt het Parlement burgers te informeren over het bestaan van Echelon en de gevolgen voor hun privacy. Deze voorlichting moet "vergezeld gaan van praktische bijstand bij het ontwerp en de installering van algemene beschermingsvoorzieningen, die ook de veiligheid van informatietechnologie omvatten". Dus niet alleen postbus 51 spotjes maar hands-on aan de slag graag!
Passende maatregelen
Andere juweeltjes zijn de verzoeken om "passende maatregelen te nemen voor de bevordering, ontwikkeling en vervaardiging van Europese versleutelingstechnologie en -software en daartoe in het bijzonder projecten te ondersteunen die gericht zijn op de ontwikkeling van gebruiksvriendelijke versleutelingstechnologie, waarvan de brontekst is gepubliceerd" en "stimulering van softwareprojecten waarvan de brontekst is gepubliceerd, daar alleen zo kan worden gegarandeerd dat er in de software geen "achterdeurtjes" zijn ingebouwd (de zogenaamde "open-source software")". Ook noemt het document expliciet de onbetrouwbaarheid van beveiligings- en encryptietechnologieën waarvan de broncode niet gepubliceerd is. Iets dat in Nederlandse discussies over IT-strategie voor overheden een streng taboe is (waarschijnlijk omdat het bepaalde grote NAVO-partners zou kunnen beledigen).
Ook moeten overheden zelf het goede voorbeeld geven aan elkaar en hun burgers door "systematisch gebruik te maken van versleuteling van e-mails, zodat dit op de wat langere termijn, de normale praktijk zal worden". Dit moet in de praktijk gerealiseerd worden door "te zorgen voor de opleiding en bekendmaking van hun personeel met de nieuwe encryptietechnologieën en -technieken door het organiseren van de noodzakelijke opleidingspractica en -cursussen". Zelfs kandidaat-landen van de EU moeten geholpen worden "indien zij niet kunnen voorzien in de nodige beschermingsmaatregelen door een tekort aan technologische onafhankelijkheid". Helaas kan ik tot op de dag vandaag geen versleutelde mails sturen aan ambtenaren en kunnen verreweg de meeste ambtenaren hun mails niet digitaal ondertekenen zodat ik de integriteit van de inhoud kan verifiëren. En dat terwijl de software die dit mogelijk maakt al die tijd als opensource beschikbaar is geweest.
In die ene paragraaf uit de zomer van 2001, toen rationeel veiligheidsbeleid nog niet was weggevaagd voor elf september, dus de basis voor een solide IT-beleid dat veiligheid en privacy van burgers beschermd tegen zowel buitenlandse bedreigingen als de nationale overheid zelf.
What a difference a decade makes…
Vorige week maandag organiseerde Privacy First een lezing & discussieavond over cybersecurity en de relatie met terrorismebestrijding. Wil van Gemert, directeur Cyber Security van de Nationaal Coördinator Terrorismebestrijding en Veiligheid gaf een lezing over de relatie tussen privacy en veiligheid. In deze lezing werd veel gesproken over consumenten, weinig over burgers (wellicht is het verschil wat mistig aan het worden in Den Haag). Ook werd er op gehamerd dat de overheid heel veel samenwerkte met ‘de markt’ en private partijen. Het was waarschijnlijk bedoeld als geruststelling maar had op de meeste aanwezigen het tegenovergestelde effect. Ideeën uit het bovenstaande EU document zoals beter IT-onderwijs, opensource-encryptie en technologische diversiteit als verdedigings- tactiek waren helaas totaal onbekende concepten. Het lint van de deur van het Cyber Security deel van de NCTB is nog maar net geknipt dus wellicht gaat het over een jaar beter. We hopen*.
Een paar weken eerder maakte een andere spreker van onze overheid het nog bonter door het Clean-IT project te verdedigen op de bijeenkomst van RIPE (de organisatie die IP-adressen uitdeelt voor Europa en Azië). Clean-IT is een Europees project van Nederlandse oorsprong dat tot doel heeft het gebruik van internet voor terrorisme-doeleinden te bestrijden.
Terrorisme niet gedefinieerd
Probleem is een beetje dat hierbij ‘internet’, ‘gebruik’ en ‘terrorisme’ niet zijn gedefinieerd. Op zich wel handig want dan kan je er dus alle kanten mee op. Beetje net als de dataretentie die in 2005 door het EU parlement werd geramd met de belofte dat deze alleen ingezet zou worden tegen ‘terrorisme’. Een belofte die binnen enkele maanden gebroken werd. In Duitsland is dataretentie inmiddels ongrondwettelijk verklaard en afgeschaft, in Nederland tappen we lekker door, ondank een totaal gebrek aan bewijs voor enig effect van deze maatregel. Dat al die databases van bewaarde telecom gegevens zelf ook weer een doelwit worden is niet iets dat serieus meegewogen lijkt te worden in het ‘dreigingsbeeld’. Curieus voor een overheid die vooralsnog meestal niet in staat is haar eigen systemen goed te beveiligen of er op toe te zien dat ingehuurde private partijen dat doen.
Ook werd in de lezing over Clean-IT veel gehamerd op de publiek-private samenwerking als geruststelling van de aanwezigen en ook hier had dit voornamelijk het tegenovergestelde effect. Het blijft vreemd dat een overheid eerst zichzelf inhoudelijk incompetent maakt door alles expertise te outsourcen, vervolgens daar na tien jaar achterkomt en dan de inhoudelijke macht bij bedrijven legt die zij niet kan aansturen (of later aansturen door andere ingehuurde bedrijven). Als laatste stap wordt dan het outsourcen naar die bedrijven gebruikt als geruststelling naar burgers toe: "we laten het door bedrijven doen hoor! Dat u als burger niet denkt dat wij er zelf met onze worstenvingertjes aanzitten! Komt helemaal goed!". Na Diginotar is mijn vertrouwen in het aansturende en toezichthoudende vermogen van de overheid tot net iets boven het absolute nulpunt gedaald.
Wat een verschil in aanpak tussen de zomer van 2001 en vandaag.
Terrorisme is natuurlijk het sleutel-excuus-woord maar er gaan veel meer Europeanen dood aan uitglijden in de douche of slechtzittende valhelmen dan aan ‘terrorisme’. Bovendien weten we als Europeanen hoe we met terrorisme om moeten gaan. De ETA, IRA en RAF zijn in eerdere decennia door onderhandelen en inkapseling ongevaarlijk gemaakt zonder dat daarbij de rechten van een half miljard Europese burgers werden afgebroken. Zelf toen in Londen wekelijks IRA bommen ontploften deed niemand de suggestie dan maar Dublin en Belfast met fosforbommen te bestoken.
Hoop
Ik hoop* dat de pre-9/11 visie van het EU Parlement ooit gaat doordringen tot het Nederlandse Ministerie van Veiligheid en Justitie (voor heen gewoon ‘Justitie’, binnenkort ‘Liefde‘?). Wellicht met een nieuws kabinet nieuwe ronden, nieuwe kansen? Het zou mooi zijn als ‘het vrije westen’ een beleid zou hebben dat ons in staat stelt met een zeker moreel overwicht van Rusland te eisen dat ze stopt met politieke censuur onder het mom van ‘veiligheid’.
* Hoop: het verlangen naar een toekomstige situatie waarover je niet of nauwelijks invloed op hebt: "Ik hoop dat mijn vliegtuig niet neerstort".