Senior civil servants and ministers often do not use the prescribed IT resources

3.1 Informatiebeveiliging en privacy

De voornaamste risico’s bij samenwerkings-ICT bevinden zich op het vlak van de informatiebeveiliging en privacy. Door het gebruik van onveilige middelen of het onjuist gebruik van de aanbevolen ICT-voorzieningen kan informatie in handen van onbevoegden komen. Ook kunnen commerciële partijen inzicht krijgen in persoonlijke gegevens van gebruikers. Het gebruik van berichtenapps op mobiele telefoons wordt hierbij gezien als grootste risico. Een concreet voorbeeld zijn werknemers die de organisatie verlaten maar in app-groepen blijven meelezen met werkgerelateerde (vertrouwelijke) informatie. Uit onze gesprekken blijkt bovendien dat hogere ambtenaren en bewindspersonen vaak niet de voorgeschreven IT-middelen gebruiken. Dit terwijl hun voorbeeldfunctie van belang is voor het gebruik van veilige IT-applicaties in de rest van de organisatie. Zo merkt een chief information officer (CIO) van een ministerie op dat er veel tijd, geld en energie geïnvesteerd is om veilig (staatsgeheim) te kunnen communiceren, maar dat sterk beveiligde faciliteiten, zoals de Sectra Tiger telefoon, in de praktijk weinig worden gebruikt omdat ze niet makkelijk in het gebruik zijn. Populaire berichtenapps, tablets en smartphones hebben bij hoge ambtenaren en bewindspersonen vaak de voorkeur boven de sterk beveiligde middelen omdat ze gemakkelijker, sneller en gebruiksvriendelijker zijn. Na het begin van de coronacrisis bleek uit mediaberichten dat bewindspersonen Zoom en WhatsApp gebruiken. Het gebruik van deze applicaties wordt binnen de rijksoverheid afgeraden voor vertrouwelijke communicatie. Iets langer geleden bleek een bewindspersoon vertrouwelijke stukken in Gmail op te slaan. In een van onze gesprekken voor dit onderzoek bleek dat een van de ministeries in het voorjaar van 2020, op verzoek van CIO-Rijk, een extra beveiligde omgeving voor videovergaderingen inrichtte. Deze omgeving bood het ministerie aan voor vertrouwelijke communicatie binnen en tussen de politieke top van ministeries. Bij de kabinetsleden bleek geen behoefte aan een dergelijk systeem. In de praktijk gebruiken bewindspersonen ICT-middelen niet volgens de richtlijnen. Dit is lastig want bewindspersonen geven leiding aan een departement; ze zijn formeel geen ambtenaar en vallen niet onder de verantwoordelijkheid van de secretaris generaal of chief information (security) officer. We constateren dat ambtenaren van ministeries en hoge colleges van staat behalve de aanbevolen middelen ook gebruik maken van alternatieve samenwerkings-ICT. Een afdoende niveau van informatiebeveiliging en privacy is daarbij niet vanzelfsprekend en veel organisaties zijn zich hiervan bewust. Het is vrijwel onmogelijk te controleren welke samenwerking-ICT ambtenaren precies gebruiken. Soms is gebruik van een ‘ontraden’ middel zelfs onontkoombaar. Een rijksambtenaar bepaalt bij interactie met de omgeving niet altijd zelf welke middelen worden gebruikt. Een voorbeeld is Zoom, een programma dat bij internationale organisaties vaak standaard in gebruik is voor videovergaderingen. Ministeries en hoge colleges van staat ontkomen dan moeilijk aan het gebruik ervan, terwijl dit formeel ontraden wordt. Het gevolg van een keuze om Zoom niet te gebruiken zou anders zijn dat Nederland niet zou kunnen deelnemen aan bepaalde internationale overleggen. Ambtenaren doen, in de wetenschap dat regels niet alles kunnen afdekken, een beroep op gezond verstand: bewustzijn en werken aan de hand van principes in plaats van harde regels. “Het zou helpen als de gebruiker zich meer bewust is van de gevaren van het delen van informatie via bepaalde bronnen. Het lijkt mij belangrijk dat we werken vanuit verantwoordelijkheid in plaats van het naleven van regeltjes.”