Digitale veiligheid: Samen bouwen aan een weerbare samenleving

Kloof analyse – Waarop focussen?

Elke organisatie moet keuzes maken in hoe ze hun aandacht verdelen over de verschillende mogelijke IT-thema’s. Zet een organisatie in op meer en geavanceerdere IT-tooling, of gaat de aandacht vooral naar het trainen en uitrusten van de mensen die de tooling en data moeten gebruiken? Is de focus vooral intern gericht, of wordt er ingezet op meer samenwerking in de keten? Om inzichtelijk te maken hoe bestuurders hun aandacht het liefst zouden verdelen (SOLL), versus wat op dit moment de aandacht krijgt (IST), legden we de bestuurders uit het publieke veiligheidsdomein een aantal tegenstellingen voor. De bestuurders moesten hun organisatie en de keten positioneren op een schaal van 1 tot 5. Welke stelling zou de meeste aandacht horen te krijgen, en welke kreeg op dit moment de meeste aandacht? Aan de hand van het verschil tussen de SOLL en de IST-positioneringen, maken we inzichtelijk rondom welke thema’s de
meeste spanning ervaren wordt.

.

Voor het 13de Trends in Veiligheid rapport spraken we met diverse bestuurders uit de het publieke veiligheidsdomein met digitalisering in hun portefeuille. We vroegen deze bestuurders wat voor hen de belangrijkste technologietrends zijn en waarom? Waar zou de focus volgens hen moeten liggen en waar ligt de focus nu op? Wat zijn de grootste kansen en wat de grootste bedreigingen van deze technologietrends. En tenslotte: wat zijn de meest kansrijke strategieën om als het publieke veiligheidsdomein op deze technologietrends te acteren.

Technologische evolutie is een proces van continue verandering, van generatie op generatie met inmiddels een oneindige hoeveelheid mogelijkheden. Ook de verwachtingen en eisen vanuit de maatschappij aan het veiligheidsdomein blijven zich ontwikkelen: iedereen kan meedoen in het digitale tijdperk1. Dat maakt dat deze bestuurders te maken hebben met een groot scala uitdagingen en kansen op hetzelfde moment.

Onze conclusie is dat de bestuurders een duidelijke koers en visie hebben voor hun organisaties. Al is het bepaald geen sinecure om daar daadwerkelijk te komen. Obstakels zullen overwonnen moeten worden. Variërend van samenwerking op het gebied van innovatie en gegevensuitwisseling tot het op een verantwoordelijke manier benutten van de mogelijkheden van generatieve AI.

Inlopen op het schaakbord van Koning Shirham

Bestuurders opereren dagelijks in het spanningsveld tussen het moderniseren van de eigen IT-systemen enerzijds en de winkel openhouden anderzijds. Gebruik willen maken van innovaties als cloud en AI om de noodzakelijke sprong voorwaarts te maken enerzijds. En anderzijds het waarborgen van de privacy van burgers, de veiligheid van de samenleving en de werkbaarheid van IT- systemen. Bestuurders moeten continue deze, soms tegengestelde belangen, realiseren. Bijna zonder uitzondering wordt het werk van veel organisaties in het veiligheidsdomein ondersteund door systemen die oud en soms zelfs voorbij hun levensduur zijn. Tegelijkertijd zit hier ontzettend veel business logica en kennis in verweven. Samen met een grote stapel aan kwetsbaarheden en software die niet meer beheerd wordt of zelfs bestaat. Deze organisaties kunnen nog niet profiteren van kansen die nieuwe ontwikkelingen zoals onder andere cloud, (generatieve) AI en cybersecurity bieden. De uitdaging van de bestuurders is samen te vatten als; hoe zet je nu de stap van de oude wereld naar een nieuwe moderne wereld die voortdurend vernieuwd?

De situatie is nog het beste te vergelijken met het schaakbord van koning Shirham2. Deze organisaties lopen misschien twee tot vier velden achter op de markt. Dat lijkt overzichtelijk. Maar helaas brengt ieder veld exponentiële groei mee. Daarmee is het gat tussen wat nu kan en waar men

nu staat groeiende. En dit brengt juist voor het veiligheidsdomein extra risico’s met zich mee, omdat het minder goed bedoelende deel van de samenleving juist inspeelt op deze risico’s. Terwijl burgers en bedrijven toch echt continue vernieuwing in digitale dienstverlening verwachten: snel, eenvoudig in gebruik, maximaal transparant en altijd correct.

Zorgen over verouderde technologie

Bestuurders geven aan redelijk tot veel aandacht binnen hun eigen organisatie te ervaren voor de trend die ze zelf het belangrijkst vinden (3,8, op een schaal van 1 tot 5). Het grootste zorgpunt voor bestuurders is het wegwerken van de legacy. De belangrijkste benoemde trends zijn cloud en AI, omdat bestuurders daar de meeste kansen in zien voor het wegwerken van de legacy en het verbeteren van de eigen werkprocessen. Tegelijkertijd zien bestuurders in deze trends de meeste risico’s. Het wegwerken van de interne legacy wordt het vaakst benoemd als belangrijke aandachtslurper: pas als de legacy is weggewerkt, kan de focus richting het benutten van de kansen die cloud en AI mogelijk te bieden hebben.

Geen tweede toeslagenaffaire

We leven inmiddels in de superslimme samenleving en wordt met de dag slimmer3. Ook de organisaties in het veiligheidsdomein werken iedere dag aan deze samenleving. Wel geven ze daarbij twee grote zorgen aan: hoe zorg je ervoor dat de burger blijft bereiken en hoe zorg je ervoor dat je dat de dienstverlening aan de burger geïntegreerd is met de achterkant van de organisatie.

Als één ding duidelijk wordt is dat de toeslagenaffaire een duidelijk impact heeft gehad in de wijze waarop wordt omgegaan met nieuwe technologieën. Deze mogen dan wel veel kansen bieden maar het moet veilig zijn, voldoen aan alle wetgeving en de privacy moet geborgd zijn. Pas als dat geregeld is kan de volgende stap gezet worden. Want een nieuwe affaire moet koste wat kost voorkomen worden. Ook als dat betekent dat zo’n technologie niet gebruikt kan worden.

Die voorzichtigheid vertaalt zich ook naar de cloud. Ja, zonder meer biedt cloud mogelijkheden om wendbaarder en weerbaarder te worden. Maar hoe weet ik of dat veilig is, de privacy goed is geborgd en bovenal welke opties heb ik om naar een andere partner te gaan? Diezelfde vragen worden ook gesteld rondom AI. Terwijl voor beide geldt dat het een enorme versnelling kan betekenen naar een moderne en modulaire IV-voorziening. Waar meer waarde voor de maatschappij gerealiseerd kan worden.

Het is echter niet zo dat de ontwikkeling stilstaat of dat er nog geen gebruik gemaakt wordt van deze nieuwe technologieën. AI in een minder volwassen vorm (zoals business rules) wordt al jaren succesvol toegepast ter ondersteuning van de menselijke besluitvorming. Net zo goed dat de cloud mondjesmaat op kleine schaal wordt gebruikt. Echter, de grotere primaire systemen doen dat nog niet en daar zit nu net de grote winst op lange termijn.

De rat race van AI

OpenAI heeft in november 2022 de wereld bewust gemaakt van de kracht van generatieve AI is. Het is een mainstream onderwerp geworden en wordt besproken van de bestuurskamer tot aan de huiskamer. Generatieve AI heeft de potentie om banen te veranderen en sommige werkzaamheden uit handen van mensen nemen. Net zoals robotisering en RPA al een aantal jaren doen. Hoe de baan van de toekomst er uit ziet is nog een vraagteken. Hoe kan dit ingepast worden in het werk van een wijkagent, rechter of een reclasseringsambtenaar? Het is geen vraag meer of, maar hoe en op welke manier deze technologieën ingezet kunnen worden. En hoe doe je dat ook nog op een energie effectieve en duurzame manier, want de inzet van AI kost enorm veel energie.

De geïnterviewde bestuurders wijzen ook op de andere kant van de medaille. Criminelen raadplegen bijvoorbeeld ChatGPT om te vragen wanneer en waar ze het beste kunnen inbreken. Of de vrees dat algoritmes die in het algoritmeregister staan bewust worden voorzien van foutieve informatie door kwaadwillenden. Of het gebruik van deze technologieën om reisdocumenten te vervalsen die bijna niet van echt te onderscheiden zijn.

Darmee ontstaat gelijk een geheel nieuw werkveld. Het veiligheidsdomein moet kunnen vaststellen wat gecreëerd is door generatieve AI en dus vals is en wat echt. Zij noemen dit inmiddels de rat race van AI oftewel counter-AI.

Een andere nieuwe opkomende technologie is quantum computing. Een onderwerp dat nog ver weg lijkt maar dat niet is. OpenAI heeft bewezen dat zaken waarvan we denken die nog jaren ver weg zijn, toch ineens dichtbij blijken te zijn. Deze technologie brengt nieuwe kansen en risico’s mee. De bestuurders wijzen op de verwachting dat de huidige beveiliging dan niet meer voldoende is. Het voorbeeld dat zij geven is of de beveiliging van een paspoort dat nu uitgegeven wordt ook aan het einde van de geldigheidsduur van 15 jaar nog wel veilig is. Quantum is daarmee vandaag al een onderwerp van gesprek.

Cybersecurity: meer dan technologie

Wanneer cybersecurity ter sprake komt merk je dat dit inmiddels chefsache is geworden. Wellicht heeft de pandemie hierbij geholpen. Door het plotseling vele thuiswerken is de vraag prominenter geworden of de thuiswerkplek wel veilig genoeg is. Of het werken onderweg in de trein of op andere (semi)-openbare werkplekken wel kan? Hoe zorg je ervoor dat medewerkers op de juiste manier omgaan met alle (vertrouwelijke) informatie? Op de werkplek kun je dit goed organiseren, maar in een gedistribueerde werkomgeving is dit geen eenvoudige opgave.

Tel daarbij op dat methodes van kwaadwillende steeds geavanceerder worden. Zij gebruiken de nieuwe technologieën al en het wordt steeds moeilijker om hier niet in te trappen. Daarom wordt er continu geïnvesteerd in bewustwordingscampagnes en geavanceerde technologieën om de veiligheid te blijven waarborgen. Alle bestuurders zijn het met elkaar eens dat het niet een kwestie is van of alleen focus op de medewerkers of alleen op technologie. Nee, beide aspecten moeten integraal worden geadresseerd. Als voorbeeld wordt gewezen op het recente lek bij de Amerikaanse geheime diensten waarbij vertrouwelijke documenten over de oorlog in Oekraïne naar buiten werden gebracht.

De bestuurders wijzen ook op een nieuw snijvlak wat aan het ontstaan is op het gebied van AI en cybersecurity. Waarbij cybersecurity tools ingezet worden om misbruik van AI-systemen te voorkomen. Door vroegtijdige detectie van valse informatie. Of en hoe dit snijvlak zich gaat ontwikkelen is nog onduidelijk.

Het data-ecosysteem van de toekomst

Alle bestuurders geven aan dat gegevensuitwisseling gewenst is en binnen de juiste kaders zelfs onvoorwaardelijk is. Zij vinden de afstand tussen de partners ook groter dan gewenst. De wil is er, maar op operationeel niveau lopen de organisaties tegen diverse uitdagingen aan om data daadwerkelijk en effectief in de veiligheidsketen te delen. Het is vaak onduidelijk wat de behoefte van de ander is, welk doel er precies is en wie de eigenaar van de data is.

Als de bestuurders kijken naar de eigen organisatie zien zij een aantal gemeenschappelijke rode draden. Het gat tussen de klassieke IT-er en de organisatie wordt kleiner. De komst van data scientist is hier debet aan. Evenals de mogelijkheid om meer technisch georiënteerde medewerkers in de organisatie in te zetten. Daarnaast is er een heldere strategie die gebaseerd wordt op de realisatie van een federatief datastelsel4. Als laatste wordt het loskoppelen van data en applicaties genoemd. Zodat het mogelijk wordt om data snel en eenvoudig te gebruiken. Innovatie speelt daarin een grote rol. Ook op het gebied van innovatie is er de wil om samen te werken. De praktijk wijst uit dat dit toch solistisch wordt opgepakt. Innovaties worden veelal vanuit de eigen praktijk en voor eigen doelen opgepakt. Hier wordt ook veel tijd en geld aan gespendeerd. En bij positieve uitkomsten worden deze ook gedeeld met ketenpartners. Wel is men kritisch op het succes. Want de beoogde duurzame verandering is (zeer) laag.

De volgende stap

Concluderend: veel organisaties in het veiligheidsdomein staan aan de vooravond om hun grote systemen te vernieuwen. Zij hebben hierbij de volgende uitgangspunten:

• Data als fundament. Er moet een federatief datastelsel komen wat zowel intern als in de verschillende ketens gebruikt kan worden. Daar hoort bij dat er heldere en duidelijke afspraken zijn tussen partners hoe en op welke wijze data van elkaar gebruikt kan worden, zodat blindelings op elkaar vertrouwd en gebouwd kan worden.
• Zet de burger centraal. Dit kan een slachtoffer, migrant, verdachte of burger zijn die iets wil of moet van de overheid. Het maakt niet uit via welke manier de burger contact opneemt, het antwoord is altijd hetzelfde en up-to-date. Organisaties moeten vanuit dat perspectief hun processen en systemen inrichten.
• Aan de achterkant moeten medewerkers geholpen worden door nieuwe technieken die werk uit handen nemen en ruimte bieden voor andere dingen. Om zo uiteindelijk als organisatie betere dienstverlening te kunnen leveren aan de maatschappij. Dit kan zijn: meer productie, betere kwaliteit en snellere doorlooptijd.

Dit moet leiden tot een modern digitaal landschap op basis waarvan deze organisaties zorgen voor een veilig en weerbaar Nederland. Organisaties die in staat zijn om nieuwe ontwikkelingen in de maatschappij te ondervangen en een plaats te geven. Zoals een van de bestuurders aangeeft wordt er binnen de organisatie nu gewerkt vanuit een gemeenschappelijk overeengekomen strategie. Is er gezamenlijk een governancemodel uitgewerkt waarlangs gewerkt wordt?5. Dit geeft helderheid, focus en het vertrouwen om Nederland veilig te houden.