Anywhere-ken: leuk, maar hoe beveilig je het?

Computable Expert

ir.drs. Jurgen van der Vlugt

Senior auditor

Expert van Computable voor het topic Beleid

Meer

Het lijkt wel of het winter is in Nederland; iedereen is plotseling bang geworden om naar buiten te gaan en collectief hebben we de oplossing gevonden voor het fileprobleem: een beetje sneeuw op de weg! Dat we daar nou niet eerder op waren gekomen? Waarom wist men er in alle omringende landen al zo veel eerder raad mee...? Prompt kwamen er ook weer allerlei vragen over telewerken en waarom dat eigenlijk nog niet van de grond is gekomen.

Vroeger, toen we nog echte winters hadden, was dit allemaal geen probleem. Niemand wist wat er over de lijn ging, dat er überhaupt iets over een lijn ging of waar die lijn lag. ISDN stond voor 'It Still Does Nothing' en ADSL was nog onbekend. Juist toen werkten we ook allemaal (?) op kantoor. Lekker bij elkaar social networken rond de koffieautomaat.

Tegenwoordig zitten jouw data en applicaties in India of ergens in de cloud, who cares waar precies, en de draadloze bandbreedte is zo groot dat die geen echt knelpunt meer is. Jij zelf zit ook niet meer op kantoor, dat is alleen voor saaie afdelingsvergaderingen met saaie on-creatieve collega's. Het creatieve, interessante, echte ‘werk' gebeurt op netwerksites op jouw mobieltje, ultraportable netbook of iPad, waar je je ook bevindt. Dat is bij voorkeur dichtbij huis, want dan kan de qua bouw milieuonvriendelijke maar (in de praktijk helemaal niet zo) zuinigrijdende leaseauto voor de deur blijven, hoef je geen ecotax op de kilometers te betalen of zit je midden in het rekeningrijden-circus. Blackberries zijn er voor onder tafel tijdens de saaie vergaderingen.

Maar wacht, dat anywhere-ken mag eigenlijk niet van jouw baas, want die is niet van gisteren en weet dat er beveiligingsproblemen zouden zijn. Of niet? Staat jouw baas groen werken terecht in de weg? Er zijn eigenlijk drie redenen waarom anywhere-ken nog niet kan.

Reden één. Een béétje systeembeheerder weet heus wel een strak schema met vpn's, tokens en NAP/NAC neer te zetten waarmee je transparant maar geëncrypt naar jouw ver-SOA'de SAML-aware toepassingen kunt. Of zo. Alleen kreeg of gaf  de ict-manager geen budget voor een deugdelijke oplossing van de technische beveiligingsissues. Voor niks gaat de zon op. En de kosten zullen lager zijn dan men denkt, als we maar eens het geneuzel 'sorry projectmanagement-overhead' zouden kunnen overslaan. En wat wordt er niet bespaard op huisvesting als al die kantoren vol saaie papierschuivers kunnen worden ingekrompen? Technisch en economisch komt de business case dus heus wel rond.

Reden twee. Jouw baas is bang dat hij door de mand valt. Er was eens een tijd, in een land ver van hier, waar de baas de baas was en in een hiërarchische structuur leiding gaf. En hij was de baas omdat... nou ja, omdat hij de baas was en het dús beter wist. En oogtoezicht moest houden op z'n ondergeschikten, ik bedoel collega's, want die zijn per definitie lui.

Natuurlijk, de neiging ís er om in de eerste weken van de thuiswerkpilot wat extra tijd te besteden aan de koffie, omdat die heel wat lekkerder is dan die automaat op kantoor en aan een boodschapje tussendoor. En de pilot duurt niet lang genoeg om weer terug op normaal werkpatroon te komen. Maar alles moet wennen. Probeer het gewoon eens wat langer; succesverhalen te over. En dan blijkt inderdaad dat Nederland zeer productief blijft en creatiever; waar moesten we het in dit land na alle offshore outsourcing ook alweer van hebben...? We komen met z'n allen heus wel vaak genoeg terug naar kantoor; we vinden het gezellig genoeg en anders zijn we te eenzaam thuis. Dus het idee dat de ideeënuitwisseling zou stokken, klopt ook niet. En de baas, die gaat wel mee als blijkt dat het beleid van nee-zeggen tegen thuiswerken en zo doorwerkt in de productiviteit en dus ook in zijn bonus.

Waarmee de drie punten van Harm Wesseling genoegzaam zijn opgelost. Enne, beleid is nodig ja, maar laten we dan wel beleid maken dat sturend, stimulerend en ruimtegevend is, niet beleid als dwangbuis van pietluttige voorschriftjes.

Reden drie. Anders / Geen mening / Weet niet. Althans, dat is waar het op neerkomt als we kijken naar de invulling van het nieuwe werken. Anywhere-ken is eigenlijk maar een halve stap of minder op weg naar wat we allemaal zouden moeten willen: als vrije kenniswerker onszelf verkopen, als ‘free agent' de kennis brengend waar wij zelf verkiezen de bijdrage te leveren. Niks vast contract, alles in losse ad hoc tijdelijke samenwerkingsverbanden; ‘managers' moeten leuren om de juiste talenten te betrekken. Niks administratiefabrieken met intensieve menshouderij, geen massaproductie, maar ambachtelijke enkelstukfabricage in klein gezelschap. En op maat voor de vraag.

De grote organisaties die we kennen waren er immers alleen om de ‘transactiekosten' (coa-se) zo laag mogelijk te houden. De massa vond het niet erg dat er niet op maat werd geleverd maar slecht gestandaardiseerde gemiddelden werden geproduceerd; als het maar goedkoop was. Wie het betalen kon, liet alsnog (semi)maatwerk maken. Maar we moeten iets anders. De bureaucratieën lopen vast in een poging alle medewerkers plat te slaan tot radertjes in ‘processen'. De (Westerse) mens heeft helaas nog een restje creativiteit en, better be safe than sorry, we moeten er dus vanuit gaan dat alle medewerkers onbetrouwbaar zijn waardoor we iedereen op de vingers moeten kijken. Nog meer regeltjes, nog meer meer inproductieve toezichtmannetjes.

Niet voor niets hanteren organisaties ‘old world' wetgevingstrucs om onze kennis tot hun eigendom te verklaren. De muziekindustrie en anderen leren wel dat de wetgever, als altijd, achter de muziek aanloopt en dus op de rem trapt, in plaats van ruimte en voorwaarden te scheppen voor economische groei volgens andere inzichten in mijn en dijn. Of hoe weet mijn werkgever zometeen nog of hij wel het intellectuele eigendom kan claimen over in zijn tijd bedachte, baanbrekende ideeën, terwijl onduidelijk is wat ‘zijn' tijd is en wat de mijne. Met al dat los-vaste thuiswerk vervaagt de werktijd toch? Of is het eerder terug naar vroeger, toen voor de prestatie werd betaald? Macht maakt nog steeds recht... Tijd om met de voeten te gaan stemmen en collectief voor onszelf te beginnen.

Want alles wat ‘massa' heet, qua productie, is verhuisd naar landen waar arbeidskracht goedkoop is. Ja, na handarbeid, machines en ict ook de informatieverwerking, hoewel we dat misschien nog niet zo door hebben. Wat blijft er voor ons over, wat zijn de ideeën die ons uit de crisis trekken? Alles onder de noemer ‘creativiteit' zullen we maar zeggen. Alleen nog even een profitabel businessmodel daaronder gelegd.

Nu we in het informatietijdperk veel meer informatie kunnen verwerken, zijn de transactiekosten drastisch omlaag en hoeven we in ieder geval niet meer bij elkaar te kruipen in hiërarchische, op totaaltoezicht ingerichte, bureaucratische organisaties, maar kunnen we die informatie opnemen, gebruiken en produceren waar en wanneer we maar willen. Een van de middelen, meer is het niet, die we nu al kennen maar nog zo weinig inzetten, is (social) networking. Wat zou het zijn om mini flash mobs te vormen om iets te maken waar we op dat moment aan willen werken? Of neem mash-ups: de facto een ad hoc samenstelling van applicaties. Die zijn ook niet bedoeld om dag in dag uit decennialang ongestoord batches te verwerken, maar zijn even aardig voor nu tot de lol ervan af is. Google Apps en Docs: alles kan. Dit stukje is geschreven vanaf Barbados. Althans, dat had ik wel gewild en het kán tegenwoordig ook makkelijk. Maar waar is nou dat businessmodel...? Waar zijn de organsiaties die echt voluit inzetten op de nieuwe wereld, met het nieuwe werken? Die hadden m'n cv toch allang gevonden? Of ze hebben mijn cv inderdaad al gevonden en ze hebben me niet gebeld. Hmm.

Aan de andere kant, hoe staat het met de beveiliging van de intellectuele prestaties die ik ‘ergens' heb opgeslagen? Hoe zorg ik ervoor dat de leverancier van mijn favoriete social-networkingsite netjes de beveiliging op peil houdt zodat mijn foto's van wat minder nuchtere feestjes niet voor jan en alleman te zien zijn? Hoe voorkom ik dat mijn EPD na alle outsourcing en onbeheerste toegang door ‘belanghebbenden' gaat zwerven en bij een verzekeraar c.q. kwaadwillenden terechtkomt? Moeten we dan maar vertrouwen op alle mooie verhalen over de toegepaste beveiliging? Terwijl om de haverklap de mooie verhalen worden doorgeprikt en dan is ‘sorry' het maximale wat we ooit horen? ‘Ja, nee we outsourcen heus niks hoor!' Natuurlijk, en welke brugklasser doet het onderhoud aan de pc van jouw huisarts?

Lastig. We hebben dus informatie over onszelf verre van zelf in de hand. Terwijl de huidige houders slechts bewaarders zijn ervan, niet bezitters. Dat zijn wij, toch? Bij een bank kan je online al je data inzien. De bank(site) biedt je slechts het platform voor je geldopslag en het ‘zelf' doen van transacties. Waarom krijg ik van de Rijksoverheid niet een jaaropgaaf van alle informatie over mij die bij de Rijks-, semi- en lagere overheden aanwezig is? Het maakt voor de burger (wat een lelijke term ter onderscheid, alsof ‘ambtenaren' een beter soort burger zou zijn) niets uit welke overheidsdienst hij/zij mee van doen heeft; dat er überhaupt onderscheid is tussen departementen, diensten, etc., etc. is ook alleen maar om de interne informatiebehoeften te kanaliseren. Dus kom op; één overzicht moet makkelijk kunnen. Of niet en willen we juist helemaal geen koppelingen...? Erger wordt het wanneer we bekijken welke informatie er bij allerlei private partijen rondgaat.

Oftewel, we hebben nog weinig idee over wat voor informatie we het voor het zeggen zouden willen hebben. En vervolgens hebben we geen idee welke informatie we op welke wijze in de wereld zouden willen loslaten, oftewel vrijgeven. Of ga ik nu te ver?

Mijn antwoord is dus vooral 'ik weet niet'. Niet als argument tegen het nieuwe werken, maar hoe en wat we ermee moeten laat staan wat we moeten beveiligen en hoe dan. Vast staat dat we met z'n allen toch weer een beetje aan het afwachten zijn en dat is jammer. Afwachters zijn per definitie (te) laat en dan rest ons weer niks anders dan achter de feiten aanlopen, niet zelf kiezen en niet de vruchten plukken. Dan hebben we zo weer alle vrije tijd, maar geen cent te makken.

Of zijn er nog lezers die niet afwachten maar de oplossing hebben?