Belangrijk: Voor het goed functioneren van nrc.nl maken wij gebruik van cookies (meer informatie).
Hiervoor hebben wij wel eerst je toestemming nodig. Klik op de groene knop als je hiermee akkoord gaat.

Gratis pinnen met de DigiD

Dat automatisering bij de overheid niet in goede handen is, mag inmiddels een cliché genoemd worden. Eerder deze maand ontkwam het Rijk ternauwernood aan een digitale meltdown. Het stelsel van beveiligingscertificaten voor overheidswebsites was gecompromitteerd. Het particuliere bedrijf Diginotar bleek zeer ernstige beveiligingsproblemen te hebben. Er ontstond een grote crisis, die de reputatie van de Staat als aanbieder van veilige websites voorlopig om zeep hielp.

Ook gewone slordigheden zijn schering en inslag. Vorige week liet de minister van Financiën nog de vertrouwelijke Miljoenennota op internet uit zijn handen vallen. Foutje bij weer een andere dienstverlener.

Eerder deze week traden zeer ernstige problemen aan het licht met de beveiliging van de zogeheten DigiD. Dat is de elektronische handtekening waarmee burgers via internet bijvoorbeeld bij de Belastingdienst aanvragen kunnen doen voor tal van toeslagen. De Belastingdienst bleek niet te controleren of degene die met deze code rechtshandelingen verricht, wel is wie hij zegt te zijn. Pas toen bewoners van een hele straat ontdekten dat er door bedriegers huis aan huis spookaanvragen waren gedaan, kwam de fiscus in actie.

In eerste instantie werden de problemen per kerende post weer op de stoep van de burger gedeponeerd: dank dat u ons hebt gewezen op dit lek maar probeer vooral zelf het geld van de oplichters terug te krijgen. Dan kan de fiscus het namelijk bij u terugvorderen. Over deze houding merkt de Nationale Ombudsman terecht op dat hier een overheid probeert zijn stoepje schoon te vegen.

Dat is vriendelijk uitgedrukt. Alsof het stelsel van eerst toeslagen uitkeren en later controleren niet al kwetsbaar genoeg is voor misverstanden en fouten. Een onveilige DigiD is vergelijkbaar met een geldautomaat zonder pincode. Waarna de bank de rekeninghouders maant beter op hun centen te passen.

Er is hier ten minste sprake van een grove schending van het vertrouwen dat de burger in de overheid mag hebben. De burger moet erop kunnen vertrouwen dat een DigiD veilig is. Ook vandaag valt nog op de website DigiD.nl te lezen dat deze elektronische code een full proof identificatiemiddel is voor overheidssites. „Zo weten overheidsinstellingen dat ze echt met u te maken hebben.” Dat is dus niet het geval gebleken. Of dat nu wel zo is moet maar worden afgewacht. Voorlopig heeft het Rijk de schijn tegen. De DigiD was helemaal niet ‘geheel privé’, zoals de site meldt, maar een gat in de dijk: een rondslingerend blanco chequeboek. Het was Tafeltje dek je, ezeltje strek je rechtstreeks uit de schatkist. Is er nog iemand in bestuurlijk Den Haag die een beetje oplet?

Bekijk hier een reclamefilmpje waarmee de Belastingdienst de DigiD introduceerde.

[youtube]http://www.youtube.com/watch?v=3i3vQPY2G-8[/youtube]

Reageren? Nuanceren en argumenteren verplicht. Volledige naamsvermelding.

Geplaatst in:
Bestuursrecht
Lees meer over:
fraude
privacy

11 reacties op 'Gratis pinnen met de DigiD'

Eric Rietzschel

Het heeft niets met het onderwerp van dit stukje te maken, maar “full proof”, die kende ik nog niet – als verbastering van “foolproof” bedoel ik. Past bij “labtop”, wat je steeds vaker leest ipv “laptop”. Maar goed, dit geheel terzijde.

Gerard Doring

Zoals vrijwel altijd (maar niet bij de ov-chipkaart) is de ict an sich hier niet het probleem, maar het geheel van procedures er om heen. De procedures zijn dan overigens ook nog eens goed geschreven, maar er wordt de hand mee gelicht.
Hoe sterk je wachtwoord bijv. ook is, als de gebruiker die onderop zijn toetsenbord heeft geschreven sta je nergens.
Er zijn simpelweg te weinig mensen met technisch besef in directielagen. Dit geldt ook voor een flink aantal bedrijven, maar bovenal voor de overheid.
ICT maar ook beveiliging worden louter gezien als een kostenpost, niet als een core necessity waarmee je gigantische reputatieschade kan oplopen.

@eric rietzschel:

“If you want to get credit for solving a complicated mathematical problem, you will have to provide a full proof.
But if you’re trying to make something as easy as possible, you want to make it foolproof—so simple even a fool could couldn’t screw it up.”

Ik ga er vanuit dat in het nrc-stukje een waterdicht systeem bedoeld werd, en niet een simpel systeem.

Bern Portugal

Hmm – “Een onveilige DigiD is vergelijkbaar met een geldautomaat zonder pincode. Waarna de bank de rekeninghouders maant beter op hun centen te passen.” … dat is een vrij accurate beschrijving van de houding van de banken. Soortgelijke problemen zijn bekend (al jaren) rond pas-zonder-pin-present en pas-pin-POS (zoek op “cambridge PIN security EMV, volt Prof. Ross Anderson voor ten geode start, of “Chip and PIN is Broken” door zijn collega Murdoch).En wear de banken zowel de intern procession alswel de algemene voorwaarden verder en verder aanscherpen in die righting.

Sander van der Linden

Ja en daarbij is het ‘fool proof’. Dus niet aan elkaar geschreven. En een ‘labtop’ zou een proefmodel kunnen zijn. Daarentegen denk ik dat ‘laptobbers’ gebruikers van Windows laptops zijn. Maar inderdaad, dit geheel terzijde.

M. Meijer

Waar Gerard Doring ook al op aanstuurd; wat is de dieperliggende oorzaak van dit soort (soms stupide) fouten door de overheid op IT-gebied? Dit is wat ik vaak mis in de berichtgeving, waar gaat het echt fout.
Is dit inderdaad een kennisprobleem bij bevoegde ambtenaren (zoals Gerard zegt) in combinatie met verkeerde IT-prioriteiten? Of is de aanbestedingsprocedure niet voldoende gericht op IT (en beveiliging)? Ook ligt een overheid natuurlijk meer onder de loep qua beveiliging/hacks dan de gemiddelde organisatie.
De opgelopen imagoschade is immens; ook een digibeet begrijpt dat de overheid teveel negatief in de media komt hieromtrent.

Eric Rietzschel

Sander: zie http://www.merriam-webster.com/dictionary/foolproof.

Gerard: “a full proof” is “een volledig bewijs”, niet “een waterdicht systeem.”

Maar dit echt totáál terzijde. ;-)

F. Huitema

Jensma richt zijn pijlen op DigiD, maar als ik de berichtgeving over de Rotterdamse gevallen goed heb gevolgd, is het issue niet dat de DigiD onveilig is. Wèl dat de Belastingdienst het toestond dat kinderopvangtoeslagen werden aangevraagd – en toegekend – met behulp van DigiD’s die toebehoorden aan mensen die geen ouderlijk gezag over die kinderen hebben. Door vervolgens de invordering van de onterecht uitgekeerde toeslagen bij het ouderlijk gezag neer te leggen, verzuimt de Belastingdienst haar zorgplicht of flagrante wijze.

Reinier Bakels

@2 U heeft gelijk dat het niet alleen over techniek maar ook over procedures gaat. Alleen heb je niets aan procedures als niet ook de organisatie goed is. Dat “directielagen” weinig technische kennis hebben is niet erg, als zij de zaken maar goed organiseren, en daarbij beginselen toepassen die accountants al lang voor het computertijdperk hadden uitgevonden, zoals “functiescheiding” (controle). De typische computer-nerd is ongeschikt voor die rol. Die is goed in andere dingen.

Ik weet niet of DigiNotar ooit extern is ge-audit, maar anders heeft de auditor zijn taak ernstig verzaakt.

arjan korevaar

het heeft mij zeer verbaasd dat de belastingdienst niemand heeft gedetacheerd bij het bedrijf diginotar waar het de identificatie bij aangiften en toeslagen aan heeft uitbesteed. voor het uitbesteden van de verificatie van miljoenen Nederlanders was dat wel het minimum, uiteraard naast een goede regelgeving.

hans boelens

@Reinier, Diginotar is (of was) gecertificeerd door PwC (Price-Waterhouse-Coopers).Op de site van Diginotar staat het rapport (nog): http://bit.ly/n7YxQ6 .Daar wordt dus beweerd dat het in orde is. (goed voor de nachtrust??)

Martin van de Wardt-Olde Riekerink

Audits zijn de reinste kolder. Er wordt niet gekeken naar het doel van de organisatie vanuit het klantbelang, maar vanuit het veel engere blikveld van de “verantwoordelijk manager”.

Over de beveiliging: er is geen mogelijkheid om zeker te weten of degene die voor je staatdegene is die hijzij zegt te zijn. Uiteindelijk kun je richting waarschijnlijkheid redeneren, maar onzekerheid blijft bestaan.

Centralisatie en snelheid van handelen maken het steeds moeilijker om die waarschijnlijkheid impliciet in de procedures te vervatten. De expliciete maatregelen als irisscans, Digid’s en paspoorten halen het niveau absoluut niet.

Mooier zou het trouwens, als terzijdes toch mogen, zijn als de overheid zich op het standpunt zou stellen dat het in princpe niet nodig moet zijn om te weten wie je bent om je te willen helpen. De situatie, in plaats van de persoon, zou dan leidend principe zijn.