- Home >
- Services >
- Access to Knowledge >
- Trend Monitor >
- Source of threat >
- Trend snippet: Creating a network in which organizations provide attributes that confirm reliability is key for data security
Trends in Security Information
The HSD Trendmonitor is designed to provide access to relevant content on various subjects in the safety and security domain, to identify relevant developments and to connect knowledge and organisations. The safety and security domain encompasses a vast number of subjects. Four relevant taxonomies (type of threat or opportunity, victim, source of threat and domain of application) have been constructed in order to visualize all of these subjects. The taxonomies and related category descriptions have been carefully composed according to other taxonomies, European and international standards and our own expertise.
In order to identify safety and security related trends, relevant reports and HSD news articles are continuously scanned, analysed and classified by hand according to the four taxonomies. This results in a wide array of observations, which we call ‘Trend Snippets’. Multiple Trend Snippets combined can provide insights into safety and security trends. The size of the circles shows the relative weight of the topic, the filters can be used to further select the most relevant content for you. If you have an addition, question or remark, drop us a line at info@securitydelta.nl.
visible on larger screens only
Please expand your browser window.
Or enjoy this interactive application on your desktop or laptop.
Creating a network in which organizations provide attributes that confirm reliability is key for data security
Met de New Trust Foundation bouwen Diederik van Leeuwen en Lex Leoné samen met collega’s, het bedrijfsleven en de wetenschap aan een platform om veilig te kunnen werken met data en digitale technologie. Zowel binnen overheden als tussen de overheid, wetenschap en de markt. Data krijgt steeds meer een leidende functie in onze maatschappij. Hoe zorg je ervoor dat die data te vertrouwen is – en voorkom je tegelijkertijd dat je informatie eindeloos blijft dubbelchecken? Volgens de New Trust Foundation is samenwerking de sleutel tot succes. Door de verificatie van data niet bij één partij te leggen, maar een verbindingsnetwerk aan te leggen waarin meerdere organisaties attributen leveren die de betrouwbaarheid bevestigen. Van Leeuwen en Leoné vertellen over hun ervaringen. Ecosysteem voor vertrouwen Diederik van Leeuwen en Lex Leoné New Trust Foundation / Ministerie van BZK UBR “De digitalisering van de samenleving brengt een hoop voordelen, maar ook risico’s met zich mee. Met een registratie, certificaat of keurmerk dekken we dat niet meer af. Ook apparaten en zelfs werkprocessen moeten een eigen ‘identiteit’ krijgen die onbreekbaar is. Denk bijvoorbeeld aan een situatie waarin een hart-longmachine gehackt wordt, of een insulinepompje – als ik iedere dag een paar druppeltjes insuline te veel geef, dan kan ik die persoon op afstand doden. Een luguber voorbeeld, maar het schetst wel het belang van de vraagstukken waar we bij de New Trust Foundation te maken krijgen. “Het idee voor de oprichting van dit platform vindt zijn oorsprong bij de Brexit. Toen we bijna drie jaar geleden werden uitgenodigd voor een netwerkbijeenkomst door een lid van het Britse parlement waren ze niet alleen geïnteresseerd in een mogelijke Britse versie van I-interim Rijk, waar wij collega’s bij het Rijk helpen met het realiseren van hun I-ambities. De Brexit kwam er natuurlijk aan en de regering daar had al een vergaande visie ontwikkeld op de toepassing van zogeheten distributed digital ecosystems. Zij hebben als gevolg van de Brexit een nieuwe vorm van new trust nodig met de EU. Een eenvoudig uit te voeren vorm van vertrouwen in transacties. In Engeland zien ze dat data die al een keer door een instantie is gecontroleerd en door anderen nogmaals wordt gecheckt een kostenpost van ca. 1 miljard pond per jaar oplevert. Dat geeft je te denken. En vraagt – ook los van een Brexit – om een andere aanpak. 68 69 “We hebben ons licht daar opgestoken en zijn aanvankelijk vanuit het innovatie-programma van de Uitvoeringsorganisatie Bedrijfsvoering Rijk (UBR) informeel gestart als een breed samengestelde werkgroep met vertegenwoordigers vanuit diverse departementen, de markt en universiteiten. Los van het Engelse initiatief, maar wel met de overtuiging dat dit naast samenwerking met betrouwbare partners buiten de overheid ook om een internationale aanpak vraagt. Inmiddels hebben we de New Trust Foundation opgericht als een stichting waarin deze opzet is geformaliseerd. Het is een private stichting waarin zowel ambtenaren als – op dit moment – een ondernemer zitting hebben in het bestuur. Dat gebeurt op persoonlijke titel, omdat het nu eenmaal geen overheidsstichting is en kan zijn, vanwege de doelstelling hierin gelijkwaardig op te trekken met marktpartijen. Ook al is er geen formele relatie, je kunt natuurlijk wel als overheid binnen zo’n netwerk passende voorwaarden stellen. En dat geldt ook voor de ambtenaren die de stichting medebesturen. Dat hebben we binnen UBR dan ook binnen de daarvoor geldende kaders ingericht. 24/7 verbonden “Als je kijkt waar we naartoe gaan, dan is dat een dynamische wereld die 24/7 digitaal verbonden is. In zo’n wereld moet je een op attributen gebaseerde trust gaan creëren. In een digitale samenleving is vertrouwen nodig. Je moet bij een apparaat, technologie of een digitaal persoon weten met wie of wat je te maken hebt. Daar zijn nu methodes voor, zoals een digitale handtekening. Maar in de dynamische en steeds complexere digitale maatschappij zullen de verificatie- en toegangsmogelijkheden moeten meegroeien. Daarbij: dat een verificatiemethode wettelijk voldoet, zoals een DigiD, eIDAS of E-herkenning, wil niet altijd zeggen dat het voldoende betrouwbaar is. Fraude komt veelvuldig voor en wordt een steeds groter en geavanceerder probleem. Wij werken er hard aan om dat te verbeteren door innovatie. En daar horen ook innovatieve manieren van samenwerken bij. Single point of failure “Wat je in de eerste plaats wil voorkomen is een single point of failure. Dat alle informatie over een ‘waarheid’ – zoals bijvoorbeeld een identiteit - op één plaats geconcentreerd is. Dat is een breed maatschappelijk probleem voor zowel het bedrijfsleven als de overheid. In plaats daarvan wil je een netwerk creëren waarin je de attributen op verschillende punten met elkaar kunt verbinden, van zowel overheden als ngo’s, als wetenschappelijke instituten en uiteindelijk ook – onder bepaalde voorwaarden – van private bedrijven. Zodat je op basis van die diverse controlepunten kunt zeggen: we hebben hier met de juiste persoon te maken die beschikt over de rechten of kwalificaties een bepaalde handeling of transactie te mogen doen. De overheid is al lang niet meer de enige partij die identiteiten uitgeeft. Banken, telecom- en energiebedrijven maar ook partijen als Google, Microsoft en Facebook doen dat. Maar hoe weet je of zo’n identiteit klopt? En wat wordt daarvan opgeslagen en gebruikt voor andere zaken? Daarvoor gebruik je dus attributen. Die kunnen van alles zijn: het feit dat jij met jouw ov-chipkaart inderdaad hierheen bent gereisd, berichten die op de betreffende locatie met jouw telefoon zijn ontvangen en verstuurd, een beweging om aan te tonen dat je menselijk bent, ga zo maar door. Als je al die attributen met elkaar kunt verbinden hoef je niet eens meer te bewijzen dat een bankpasje van jou is als je ergens wil afrekenen. Die data wordt namelijk niet alleen door één bedrijf geleverd, maar worden ook door vier, vijf tot op een gegeven moment tientallen andere leveranciers met hun attributen bevestigd. Hiermee krijg je een soort zelfreinigend effect van minder betrouwbare, verouderde of soms zelf corrupte data. Het wordt een verifieerbare symbiose van people, process, technology, en attributen. Bananen uit Brazilië “Om een voorbeeld te noemen: er komt een container met bananen uit Brazilië. Die kun je volhangen met sensoren. Je ziet dat hij de hele weg niet warmer dan 7 graden is geweest, dus je weet dat de deur niet is opengegaan en de bananen niet verrot zijn door verval in temperatuur. Er is bovendien geen doos met verboden middelen naar binnen gesmokkeld. Dit kun je volledig monitoren, de data kun je uitlezen in Rotterdam. Of als je de data niet kunt, mag of wilt delen geeft een geavanceerd systeem - bijvoorbeeld door het vaststellen van het voor dat geval juiste niveau van vertrouwen met behulp van zero knowledge proof – alleen een groen vlaggetje in jouw systeem. Dan hoeft dus niemand meer daar ter plekke nóg een keer die container te checken. “Je maakt dan niet alleen een enorme slag in efficiëntie, maar dit is ook gewoon waar we met z’n allen naartoe gaan met data die Internet of Things in grote aantallen gaat genereren. Het probleem is dat er nog weinig kennis wordt gedeeld over dit onderwerp en er nog geen ecosysteem is waar we het vertrouwen in dit soort transacties kunnen bouwen en interoperabel kunnen houden. Ook niet internationaal. En daar houden wij ons dus nu mee bezig. 70 71 PPS-constructie “Het verhaal begint nu wel te landen, qua concept en paradigma, maar dan heb je het nog niet gebouwd met elkaar. Een PPS-constructie kan hier echt een bijdrage leveren. Onder andere doordat je met meerdere partijen een zandbak creëert waar je samen met kennispartners kunt experimenteren zonder elkaar direct te factureren of andere ingewikkelde constructies. We worden op heel veel fronten momenteel links en rechts ingehaald door kwaadwilligen – we hebben dus snelheid van handelen en kennis nodig. Bovendien wil je dit niet alleen binnen de overheid doen, hier wil je het bedrijfsleven ook in betrekken. Anders mis je direct de eerste slag. Daarbij moet ik zeggen: je begint wel bij de stichtingen, de ngo’s, de wetenschappelijke instituten. De corporates van onze wereld leveren niet in de eerste plaats het meeste vertrouwen op. Maar ze kunnen zeker bijdragen. Je kunt het ook als een overheidstaak zien om bedrijven te begeleiden in hoe ze omgaan met de attributen, bijvoorbeeld door ze langs de bekende checklists te halen. Vervolgens kun je het aan de markt laten hoe ze vervolgens de dan betrouwbare attributen gebruiken, combineren en gaan samenwerken met anderen. Wat ze ermee ontwikkelen en opleveren is dan vervolgens aan hen. “Met de New Trust Foundation willen we twee dingen doen: enerzijds dit kennisnetwerk in de wereld te zetten ter ondersteuning van het denken over nieuwe vormen van vertrouwen als paradigmashift. Vervolgens willen wij als een soort brancheorganisatie in de stichting kijken wat betrouwbare organisaties zijn en wat voor attributen zij kunnen leveren. Dit om het proces op gang te brengen, want de stichting zelf moet natuurlijk ook geen register – of in termen van trust: single point of failure – worden. “Dat deze constructie nodig is en ook werkt, bleek wel de afgelopen periode. Toen iedereen massaal moest gaan thuiswerken vanwege de corona-uitbraak kwam al snel de roep op een onafhankelijk en hoog betrouwbaar platform op ons af voor video conferences. In een paar weken tijd hebben we een volledig in Nederland ontwikkeld en beheerde oplossing met toepassing van privacy by design ontwikkeld. Hierbij was UBR opdrachtgever in samenspraak met andere Rijksorganisaties en hebben we samen met een hoofdaannemer en andere bedrijven in no time en tegen relatief lage kosten dat gerealiseerd. Bedrijven waren vanwege de noodzaak dit gezamenlijk op te pakken bereid tegen gunstige voorwaarden deze opdracht uit te voeren. En brachten ook extra’s in zonder daarvoor een rekening te sturen. Zo zagen we dus direct in de praktijk de voordelen van een PPS terug. “De oplossing is als minimal viable product nu beschikbaar voor de overheid en derden. En dat levert direct een mooi voorbeeld op van wat de New Trust Foundation kan betekenen. Nu we dit hebben gerealiseerd gaan we ook weer verder met het opzetten van expert groups en andere dienstverleningsconcepten. Want kennisdeling is nuttig, maar het ‘laten zien’ is toch het meest krachtig