Daan,
Allereerst bedankt voor je uitnodiging om op je stelling en je vragen te reageren vanuit de optiek van risico management, informatiebeveiliging en privacy. Ik heb ter voorbereiding een gesprek gehad met Aaldert Hofman omdat we ons de laatste 10 jaar bezig houden met security architectuur, principes en patterns en dat schept een band .
Na mijn gesprek met Aaldert is mijn conclusie dat je vragen niet zo eenvoudig zijn te beantwoorden omdat die grotendeels afhangen van waar de politiek zich heen beweegt. Om maar even aan te sluiten bij het belang dat Pieter Wisse aangeeft van de civiele informatiekunde. De vraag is hier hoe hoog de politieke lobby dit vraagstuk op de agenda kan wil zetten. Is de prioriteit hoog dan krijgen we vast wel een Rijksinformatiestaat of zelfs een Ministerie van Informatie en telecommunicatie (MIT). Dit geeft de opties: MIT-JA en MIT-NEE.
Op basis van de reactie van Michel Bouten over de "Nota ICT Ordening" kun je jezelf afvragen in hoeverre de overheid andere partijen bij een eventuele visievorming betrekt of vooral eerst zelf haar eigen informatievoorziening (IV) op orde wil krijgen. Dit geeft de opties: IV-MAATSCH en IV-eOVERHEID.
Indien we bovenstaande opties met elkaar combineren dat zijn er vier toekomstige werelden denkbaar:
1) MIT-JA en IV-MAATSCH De cyberwereld staat centraal in de maatschappij
2) MIT-JA en en IV-eOVERHEID De overheid neemt deel aan de cyberwereld
3) MIT-NEE en IV-MAATSCH Cyberpolderen is verheven tot kunst
4) MIT-NEE en IV-eOVERHEID Duizend cyberbloemetjes bloeien in de wei
Vanuit het perspectief van de burger zijn vooral twee zaken van belang: In hoeverre vertrouwd de burger de dienstverlening van de overheid en in hoeverre wordt de privacy van de burger serieus genomen. Het bedrijfsleven is vooral geinteresseerd in een verlaging van de administratieve lasten in haar communicatie over en weer met de overheid en heeft behoefte aan een moderne, veilige en snelle infrastructuur die het bedrijfsleven in staat stelt om zaken te doen met de overheid en andere partijen.
Ik zal nu proberen je vragen te beantwoorden op basis van de bovenstaande vier (mogelijk) toekomstige werelden en mij zo veel mogelijk richten op risico management, informatiebeveiliging en privacy. (Waarbij ik de lezers van dit forum uitdaag om aan te geven in welke van de vier werelden we nu leven....).
Ad 1) De cyberwereld staat centraal in de maatschappijHet Ministerie van Informatie en Telecommunicatie heeft Directoraten Generaal (DG's) voor Strategie&Innovatie, Beleid&Architectuur, Risico Management&Privacy, Telecommunicatie en Informatievoorziening
In deze wereld is er plaats voor een Rijksbouwmeester. De Minister van Informatie en Telecommunicatie heeft een Corporate Information Officer (CIO)-rol binnen het kabinet. De Rijksbouwmeester (DG Architectuur) heeft een leidende positie binnen dit geheel met een eigen budget en mandaat.
De Rijksbouwmeester wordt zwaar ondersteund door de DG Risico Management&Privacy. De leider van deze DG heeft op nationaal niveau een Corporate Information Security (en privacy) Officer (CISO)-rol.
De burger heeft veel vertrouwen in de overheid en wordt actief betrokken bij de "Nota ICT Ordening" ook de privacy is goed geregeld vanwege de sterke invloed van de DG Risico Management&Privacy.
Het bedrijfsleven is erg gelukkig omdat zij ook actief wordt betrokken bij de Nota ICT Ordening, de nationale ICT-infrastructuur draait als een zonnetje en ook de administratieve lasten zijn laag. Er wordt veel geld geinvesteerd in het nationale security onderzoeksprogramma
http://www.sentinels.nl. Dit onderzoeksprogramma werkt ook actief samen met universiteiten voor civiele informatiekunde.
De overheid is een grote aanjager van een veiliger Internet zoals staat beschreven in de expertbrief "Economische prikkels voor beveiliging" die binnenkort wordt gepubliceerd op:
http://www.ibpedia.nl/index.php?
_title_=Point_Of_ViewsAd 2) De overheid neemt deel aan de cyberwereldEr is geen Ministerie van Informatie en Telecommunicatie maar wel een Rijksinformatiestaat. Binnen de Rijksinformatiestaat zijn er o.a. de directies Strategie&Innovatie en Beleid&Architectuur. Er is nog steeds sprake van een Rijksbouwmeester maar deze heeft minder mandaat en is alleen gericht op de informatievoorziening van de overheid. Deze bouwmeester wordt bijgestaan door een team van architecten waaronder een security architect.
De burger heeft veel vertrouwen in de overheid aangaande de informatiebeveiliging maar vraagt zich af of de privacy voldoende is gewaarborgd vanwege het grote aantal koppelingen tussen overheidsorganisaties op basis van het BSN. Het bedrijfsleven is redelijk tevreden over de stabiliteit van de infrastructuur en behoorlijk tevreden over de verlaging van de administratieve lasten. De elektronische koppelingen tussen het bedrijfsleven en de overheid verlopen vlekkeloos. Op basis van de notitie "Veilig Verboden" van het ICT Innovation Platform (
http://www.nvso.nl/VeiligVerbonden%20-%
20May2007.pdf) is er veel onderzoek verricht en zijn er concrete resultaten geboekt in alle marktsectoren.
De Rijksbouwmeester heeft de expertbrief, "Security Principes: Informatiebeveiliging op de management agenda" (
http://www.ibpedia.nl/index.php?
_title_=Point_Of_Views) goed gelezen en zorgt er voor de security principes op alle niveau zijn vastgesteld en doorgevoerd.
Ad 3) Cyberpolderen is verheven tot kunstDe overheid doet haar best om een "Nota ICT Ordening" tot stand te brengen. Hiervoor wordt een taskforce in het leven geroepen en er is een actieve community die via het Internet reacties geeft op deze nota. Er is geen Ministerie van Informatie en Telecommunicatie en ook geen Rijksinformatiestaat. Het instellen van een Rijksbouwmeester heeft weinig nut omdat het hier ontbreekt aan de "boven architectuur".
Via een actieve Community binnen en buiten de overheid wordt de NORA en de MARIJ verder aangescherpt en krijgen deze referentiearchitecturen een duidelijke plaats binnen de "Nota ICT Ordening". Er is veel aandacht voor IT-Governance en op basis van de inzichten van de expertbrief "Projectmanagement en informatiebeveiliging: de onmogelijke combinatie?" (
http://www.gvib.nl/afy_info_ID_1338.htm) worden IT-projecten door de overheid goed voorbereid en aangestuurd.
Burgers hebben voldoende trust in informatiebeveiliging en zijn redelijk tevreden over de waarborging van hun privacy. Het bedrijfsleven is niet zo tevreden omdat vernieuwing erg lang op zich laten wachten. Cybercrime wordt door de overheid goed in de gaten gehouden maar de overheid en financiele instellingen vragen zich af hoe lang ze het nog kunnen droog houden.
Ad 4) Duizend cyberbloemetjes bloeien in de weiBinnen deze wereld is het motto: "vrijheid blijheid". Er is een maximale lokale autonomie van de informatievoorziening bij de overheid op basis van het aloude principe "strong binding and weak coupling". De architectuur principes uit de NORA en de MARIJ worden collectief genegeerd. De ICTU en de GBO Overheid worden opgeheven omdat toch iedereen zijn eigen gang gaat.
Het BSN is volledig publiek (strong binding). Maar de beveiliging van de attributen behorende bij het BSN zijn via SOA en Jericho principes sterk beveiligd met private credentials (
http://cypherspace.org/credlib/brands-
de_script_ion.pdf).
Er is een enorme opleving in termen van innovatieve ideeen en open source oplossingen. Via open standaarden koppelen overheidsorganisaties hun informatievoorziening aan elkaar alleen begrijpt niemand waarom het werkt en hoelang het nog werkt.
De overheid probeert wel via allerlei stimuleringsregelingen de innovatie in de maatschappij te bevorderen. Er zijn ook allerlei kleine bedrijfjes die hierop inspelen. De trustproviders zitten niet in Nederland maar in het buitenland.
De burger heeft weinig vertrouwen in de overheid omdat er diverse grote incidenten zijn geweest op het vlak van de eGovernment. De overheid heeft geen eenduidig beeld van de burger.
De grote bedrijven in Nederland die haken af en zoeken hun heil in het buitenland. Kleine bedrijven proberen te profiteren van de vele innovatieve oplossingen waar zij zelf soms aan bijdragen.
De belangrijkste productiefactor is een web 2.0 achtige (sociale productie). Er wordt veel onderzoek gedaan door universiteiten om deze nieuwe maatschappelijke ordening in goede banen te leiden. De privacy van de burger is verdwenen omdat zijn levenswijze volledig is geintegreerd met het Internet.
De overheid, het bedrijfsleven en het onderwijs participeren maximaal in het Platform voor Informatiebeveiliging (
http://www.pvib.nl) waardoor deze vereniging groeit van 1000 naar 10.000 leden. Het PvIB orienteert zich via de hitlijsten van
http://www.ibpedia.nl om te bepalen met welke internationale organisaties er het beste kan worden samengewerkt.
Ook de sites van wijvertrouwenstemcomputersniet (incidenten) en ECP.nl, consumentenbond, vakbonden en VNO-NCW (structureel) worden veel via het Internet geraadpleegd.
Ben Elsinga " De Meern