Security is als een inktvis

Computable Expert

Jan van der Sluis

Senior Manager Security Solutions, Unisys

Expert van Computable voor het topic Security

Meer

Onlangs heeft ING bank aangekondigd om 'pc-software' te gaan verstrekken aan klanten (zakelijk of particulier, dat is niet helemaal duidelijk) om de veiligheidsrisico’s van internetbankieren te beperken. Zie de Computable-berichtgeving van 8 oktober. Wat kan hiervan de strekking zijn?

Als ik om me heen vraag hoe mensen typische 'hackers' zien, komen er stereotypefiguren naar boven. Hun uiterlijk is schurkachtig, hun werkwijze is stiekem en vaak opereren ze van duistere zolderkamertjes om persoonlijk gewin te bereiken, ten koste van jou, de consument die netjes internetbankiert. Natuurlijk weten we dat als ze bellen en een pincode vragen, dat we die niet moeten geven. Dat zit al aardig tussen onze oren. Maar onlangs werd er bij het consumentenprogramma Radar melding gemaakt van een incident waarbij klanten werden benadeeld nadat hun 'one time password' was opgevraagd. Het wordt steeds enger. Het lijkt erop dat de tentakels van het criminele circuit worden uitgebreid.

Bank tegen hacker

Ik vond het daarom prettig om te lezen dat ING had besloten om eens terug te slaan, en 'gratis' software te verstrekken aan klanten die internet- (of mobiel) bankieren. In het artikel werd aandacht besteed aan de verschillende dreigingen die hiermee voorkomen kunnen worden, en de soorten systemen waar de software op zou kunnen draaien. Een heel goed initiatief lijkt me, het slagveld is immers op de pc (of de mobiel) waar de consument zijn transacties opvoert. Daar moet het worden uitgevochten: de bank tegen de hacker. Bestrijd de criminele tentakels met harde acties.

Laten we er even van uitgaan dat de gemiddelde thuisbankier altijd vanaf dezelfde vaste apparaten werkt. Dat kan zijn een desktop, een laptop, wellicht ook een tablet en een mobiel c.q. smartphone. We laten bankieren in een internetcafé even buiten beschouwing. Wat betekent dit voor het ING-initiatief? Er moeten dus een aantal licenties van genoemde software worden gedistribueerd naar een individuele klant. De klant installeert een aantal van deze licenties. Weet ING dan wat de klant in gebruik heeft en op welk systeem, en gaat daarmee vrolijk aan de slag?

Service in de cloud

Zou het niet zo zijn dat men dan denkt dat men beschermd is? Dat de aansprakelijkheid volledig bij de bank ligt, dat de bank alle verantwoordelijkheid op zich neemt? Dit lijkt, zeker na de discussie in het eerder genoemde televisieprogramma Radar, niet voor de hand liggend. Ik denk ook dat het uitrollen gepaard moet gaan met een degelijke voorlichtingscampagne over het hoe en wat van deze dienst. Verder moet de dienstverlener hier ook zorgdragen voor een veilige distributie en ingebruiksstelling. Wellicht is het wel het proberen waard om in plaats hiervan de dienst aan te bieden als een soort service in de cloud. Dat maakt het installeren van updates ook een stuk simpeler.

Misschien zijn er ook klanten die er helemaal geen gebruik van willen maken. Lopen zij hiermee een groter risico dan anderen? En wat betekent dit voor eventuele schadeclaims die kunnen volgen? Veel vragen blijven over. Maar toch een uniek initiatief, wat getuigt van een positieve en daadkrachtige aanpak van dit probleem. Ook al zijn er veel dingen te regelen en heeft men acht armen nodig.