Safety & Security: balans vinden tussen kans en dreiging

Maar alleen denken in gevaren en risico’s is contraproductief. In de steeds meer genetwerkte en van digitale processen afhankelijke techno-samenleving is een belangrijke opgave om de juiste balans te vinden tussen dreigingen en kansen.

Ontwikkelingen op securitygebied gaan langzamer dan bij safety

Nederland doet het goed op de ranglijst van veilige landen. Zowel op safety- als securitygebied scoort ons land goed, met dalende criminaliteitscijfers, een relatief laag aantal moorden en nauwelijks grote industriële rampen en calamiteiten. Safety kan bogen op een lang verleden van wetenschappelijk onderzoek en veiligheidsbeleid. Daaruit is heel wat wet- en regelgeving voor onder andere proces-, machine- en arbeidsveiligheid voortgekomen. Op securitygebied gaan die ontwikkelingen aanzienlijk  langzamer.

Security als integraal onderdeel van safetybeleid

Pieter van Gelder ziet wel dat de securitysector de laatste jaren een flinke inhaalslag heeft gemaakt. Die inspanningen mogen wat de Delftse hoogleraar betreft nog wel een tandje hoger. Security moet meer worden beschouwd als integraal onderdeel van het safetybeleid. “Zeker nu de grenzen tussen het fysieke en digitale domein steeds meer vervagen en kunstmatige intelligentie en autonoom beslissende en zelfsturende technologie een steeds grotere rol gaat spelen in de samenleving.”

Angst voor securityrisico’s is een slechte raadgever

Integrale benadering safety en security met bundeling van kennis en expertise

Die trends vragen om een integrale benadering van safety- en security-aspecten en om een zo breed mogelijke bundeling van kennis en expertise uit overheid, wetenschap en bedrijfsleven. Binnen Nederland maar ook internationaal. Een proces waarin de sectie Safety & Security Science zich nadrukkelijk roert, met leergangen voor aankomende safety- en security-experts en met wetenschappelijk onderzoek en praktijkexperimenten.

Innovatie biedt ook kansen

Van Gelder: “De algemene neiging in de samenleving is om bij de introductie van nieuwe technologie vooral te denken in termen van risico, dreiging en gevaar. Maar angst is een slechte raadgever en we moeten ervoor waken dat technologische ontwikkelingen niet worden geremd door topzwaar risicodenken. Innovatie biedt ook kansen om het leven comfortabeler te maken en om veiligheid te genereren. Het gaat er dus om de juiste balans te vinden tussen kansen en risico’s. Vanuit de wetenschappelijke wereld zoeken we naar een maximaal veilig ontwerp van technologie en processen, het zogenaamde safety by design en security by design.”

Minimaliseren, substitueren, modereren en simplificeren

“Het is essentieel om al in de ontwerpfase van producten en processen na te denken over risico’s en faalmechanismen. Bedenk ook hoe je die kan minimaliseren door een integraal veilig ontwerp dat kwetsbaarheden wegneemt of zo veel mogelijk vermindert. Denk bijvoorbeeld aan stekkerverbindingen die vanuit hun ontwerp foutieve aansluiting van randapparatuur voorkomen, of een dodemansknop op gereedschap die ervoor zorgt dat een draaiend onderdeel automatisch stopt zodra de knop losgelaten wordt. Minimaliseren, substitueren, modereren en simplificeren zijn veel gebruikte technieken om veiligheid al tijdens het ontwerp van processen te verhogen. Hier doen we op de TU veel onderzoek naar.”

Safety- en security-eisen staan vaak met elkaar op gespannen voet

Afwegingen in eisen en belangen

Een belangrijke randvoorwaarde voor zo’n integraal veilig product of systeem is volgens Van Gelder dat functionele eisen die gebruikers eraan stellen niet in strijd zijn met elkaar. Als veiligheid teveel ten koste gaat van comfort of gebruiksgemak neemt de acceptatiegraad van de gebruikers af. Het voorbeeld van de dodemansknop laat direct het conflict tussen safetydenkers en ergonomen zien. Het continu ingedrukt houden van de knop veroorzaakt RSI klachten. Safety- en security-eisen staan trouwens ook vaak met elkaar op gespannen voet.

Privacybelang speelt een toenemende rol

“Dat zie je bijvoorbeeld in de gebouwde omgeving. Cellengebouwen of gesloten psychiatrische inrichtingen hebben een streng securityregime om uitbraken te voorkomen, terwijl je vanuit brandveiligheidsoverwegingen liefst zo min mogelijk barrières in de vluchtroute wil. Zo moet je voortdurend afwegingen in eisen en belangen maken. Datzelfde geldt ook voor de afweging security versus privacy. Nederland komt steeds voller te staan met camerasystemen voor beveiliging en die worden ook in toenemende mate gecombineerd met slimme functionaliteiten, zoals gezichtsherkenning. Dat heeft onvermijdelijk gevolgen voor het draagvlak van die securityvoorzieningen.”

Living labs voor testen van safety- en securitysystemen

TU Delft maakt voor zijn wetenschappelijke onderzoeksprogramma’s onder andere gebruik van zogenaamde ‘living labs’. Dat zijn locaties voor praktijkonderzoek waarin de realiteit zo goed mogelijk wordt nagebootst. Technieken en systemen kunnen uitvoerig op alle aspecten van safety, security, duurzaamheid en praktische bruikbaarheid worden getest. Een voorbeeld is ‘Green Village’ op het terrein van de TU-campus, waar onder andere experimenten worden gedaan met sensorsystemen in slimme lantaarnpalen, die de weerscondities registreren en metingen doen naar bepaalde stoffen in de lucht. Een onderzoek op het raakvlak van energie, fysieke en sociale veiligheid.

De verwevenheid van de digitale en de fysieke wereld, onder andere in de vitale infrastructuur en het waterbeheer, is een uitdaging op cybersecuritygebied.

Safety gerelateerd onderzoek ook relevant voor security

Van Gelder: “We denken ook na in hoeverre living labs ethisch toelaatbaar zijn. Worden passanten geïnformeerd over de dataverzameling en de risico’s in het living lab? Hebben zij de mogelijkheid om zich terug te trekken? In hoeverre hebben de deelnemers voordeel van het living lab? Hoe is de verantwoordelijkheidsverdeling voor de opzet, uitvoering, evaluatie en de afronding van het living lab? Stuk voor stuk ethische vragen die je bij dit soort onderzoek moet stellen en zorgvuldig moet bewaken. In het kader van safety & security-onderzoek is ons doel om data uit verschillende living labs en onderzoeksprogramma’s zoveel mogelijk bij elkaar brengen en daar zoveel mogelijk uit te leren. Data uit een safety gerelateerd onderzoek kan wellicht ook worden benut in een security-researchprogramma en andersom.”

Cybersecurity en safety

Het modelleren van risico’s en oplossingen ontwikkelen voor complexe veiligheidsvraagstukken is bij uitstek het werkveld van de wetenschap. Gezien de snelheid waarmee nieuwe technologieën oprukken in alle sectoren van de samenleving, is er aan stof voor research de komende jaren geen gebrek. Van Gelder: “Elke innovatie heeft neveneffecten en schaduwkanten. Zo zien we een sterke ontwikkeling vanartificial intelligence met slimme algoritmen, die de komende jaren de basis zal vormen voor zelfrijdende auto’s en andere autonome vervoerssystemen zoals treinen, schepen en vliegtuigen. Die autonome vervoermiddelen die zelf beslissingen nemen, zullen vrijwel zeker leiden tot afname van het aantal ongelukken en het aantal verkeersslachtoffers. Daar staat tegenover dat die systemen gehackt kunnen worden, met alle gevolgen van dien. Het ene faalmechanisme wordt dan als het ware vervangen door het andere.”

Bedreiging voor vitale infrastructuur

De ontwikkeling van autonome vervoerssystemen is bij uitstek een voorbeeld dat laat zien hoe nauw digitale en fysieke veiligheid met elkaar samenhangen. Hetzelfde geldt voor de besturing van vitale infrastructuur in Nederland, zoals waterstaatkundige werken, verkeersregelsystemen en de energievoorziening. Falende security rond die voor de samenleving cruciale processen en systemen kan grote gevolgen hebben voor de fysieke veiligheid. Zo maakte de Algemene Rekenkamer eind maart bekend dat waterstaatkundige objecten als sluizen en stuwen slecht zijn beveiligd tegen digitale inbraak. Cybercriminelen of terroristen kunnen via beveiligingslekken in de software in theorie de waterhuishouding in de war schoppen of zelfs gebieden onder water zouden kunnen zetten.

Race tussen softwareontwikkelaars en cybercriminelen

Van Gelder ziet cybersecurity dan ook als grootste groeimarkt voor de komende jaren, binnen de overheid, de vitale sectoren en het bedrijfsleven. De evolutie van de informatietechnologie is een iteratief proces, waarin kansen en dreigingen elkaar voortdurend afwisselen in een race tussen softwareontwikkelaars en cybercriminelen. Nieuwe digitale technologie biedt steeds meer mogelijkheden en functionaliteiten, maar biedt mensen met slechte bedoelingen ook meer gelegenheid voor hacking, misbruik, fraude of zelfs terreur.

Groei veiligheidsbewustzijn leidt tot forse investeringen in cybersecurity

“Ik zie dat het digitaal veiligheidsbewustzijn bij bedrijfsleven en overheden groeit. Er wordt fors geïnvesteerd in cybersecurityprogramma’s en betere bescherming van hard- en software met antivirusprogramma’s en software. Investeringen die terecht zijn, want we zien geleidelijk een verschuiving van kwetsbaarheid en schadelast van het fysieke domein naar het digitale domein. Dat komt vooral door de sterke verwevenheid van processen en onderlinge afhankelijkheden in ketens van informatievoorziening en besturing van processen. Daardoor kan een grote cyberverstoring als gevolg van hacking en digitale sabotage steeds grotere gevolgen krijgen.”

Schadelast als gevolg van cyberincidenten gaat de schade door safety-incidenten overstijgen

Op dit moment zien we in de statistieken dat fysieke calamiteiten, zoals industriële rampen, nog verantwoordelijk zijn voor de grootste schadelast in het bedrijfsleven. Hurricane Harvey veroorzaakte zo’n 100 miljard dollar aan schade in Houston en omgeving, terwijl de meest schade berokkenende cyberaanval tot nu toe, Equifax, ‘slechts’ zo’n 4 miljard dollar bedroeg. Maar ik voorzie dat dat beeld gaat kantelen en dat binnen enkele jaren de schadelast als gevolg van cyberincidenten de schade door safety-incidenten zal overstijgen. Reden om met het publiek-private spectrum overheid-kennisinstituten en bedrijfsleven hard te blijven werken aan het versterken van de cybersecurity.”

Bron: https://www.securitymanagement.nl/safety-security-balans-vinden-tussen-kans-en-dreiging