Beantwoording deelvragen

Het doel van dit onderzoek is om inzicht te geven bij welke door de Belastingdienst uitgevoerde taken datamining wordt ingezet en op welke wijze de betrouwbaarheid van de gegevensverwerking daarbij geborgd kan worden.

Voor het uitvoeren van dit onderzoek zijn vier deelvragen geformuleerd die helpen een antwoord te geven op de centrale onderzoeksvraag. Hieronder wordt samenvattend per deelvraag een antwoord gegeven.

5.2.1 Datamining en dataminingtechnieken

De eerste onderzoeksvraag luidde:

“Wat is datamining en welke dataminingtechnieken zijn er?”

Uit het onderzoek is duidelijk geworden dat er in de literatuur verschillende omschrijvingen gegeven worden van het begrip datamining. Daaruit blijkt dat de kern van datamining is het ontdekken van onbekende patronen in data. Dit gebeurt geautomatiseerd en kan met behulp van dataminingtools. De patronen die ontdekt worden in de data moeten betekenisvol en relevant zijn. Door samenvoeging en bewerking van deze verschillende gegevens krijgen ze een meerwaarde.

In het kader van deze scriptie wordt onder datamining verstaan:

Het proces van het uitvoeren van gestructureerde en reproduceerbare analyses van grote

hoeveelheden gegevens uit één of meerdere systemen met geautomatiseerde dataminingtools om daarin verborgen patronen te ontdekken die betekenisvol zijn.

In het kort zijn een aantal dataminingtechnieken besproken, waarbij geconcludeerd is dat datamining niet zozeer is aan te merken als één bepaald instrument of één bepaalde methode. Beter is het om te spreken van een proces, waaraan op verschillende manieren uitvoering kan worden gegeven. Omdat er geen standaardmodel is voor de toepassing van het dataminingproces wordt de voorkeur gegeven aan een omschrijvende en brede definiëring. Het dataminingproces betreft een complex proces van analyse en verkenning van grote hoeveelheden gegevens om daar betekenisvolle patronen en trends in te ontdekken. Bestanden van (persoons)gegevens, verbonden en toegankelijk via

computernetwerken, bieden nieuwe mogelijkheden bij het zoeken naar en het combineren van gegevens. Door samenvoeging en bewerking van verschillende gegevens krijgen deze een

meerwaarde. Er ontstaat kennis die in potentie weliswaar al aanwezig is, maar eerst met behulp van dataminingonderzoek zichtbaar gemaakt kan worden.

5.2.2 Belastingdienst & Datamining

De tweede onderzoeksvraag luidde:

“Welke verschillende taken vervult de Belastingdienst in het kader van haar maatschappelijke functie en bij welke van deze taken wordt datamining ingezet?”

Het literatuuronderzoek heeft duidelijk gemaakt dat de kerntaken van de Belastingdienst bestaan uit: • Heffen en innen van belastingen;

• Opsporen van fiscale, economische en financiële fraude;

• Uitbetalen van inkomensafhankelijke toeslagen voor kind, huur en zorg; • Toezicht houden op de in-, uit- en doorvoer van goederen;

• Toezicht houden op het naleven van de fiscale wetten en regels.

Datamining is niet nieuw binnen de Belastingdienst maar de toepassing er van heeft nog geen grote vlucht genomen. Het past evenwel binnen het steeds meer gestructureerd en systematisch kijken naar het gedrag van burgers en bedrijven, inclusief het beïnvloeden van dat gedrag. Het verrijken van informatie kan leiden tot verbetering van de dienstverlening en het toezicht. Het opbouwen van een professionele data-analyse organisatie kost een aantal jaren. De Belastingdienst staat aan het begin van deze opbouw. Van de data-analysetechnieken die gebruikt worden als hulpmiddel in het

handhavingsproces, onderzoekt de Belastingdienst of deze daadwerkelijk leiden tot een effectiever toezicht of betere dienstverlening (effectiviteit) en of zij ook de werkprocessen vereenvoudigen (efficiëntie). Is het gebruik van datamining en profiling voldoende of zijn aanvullende of verdiepende technieken nodig? In de huidige aanpak worden vooral de resultaten uit steekproeven gebruikt om risicoselectie te verbeteren, terwijl de analysetechnieken ook ingezet kunnen worden om

determinanten van compliance in kaart te brengen. De verwachting is dat vooral de voorspellende kracht van deze technieken belangrijke meerwaarde heeft voor de Belastingdienst, met name op het gebied van gedragsverandering.

5.2.3 Risico’s datamining

De derde onderzoeksvraag luidde:

Welke risico’s kunnen zich voordoen ten aanzien van een betrouwbare gegevensverwerking bij datamining?

Uit het onderzoek is duidelijk geworden dat om de kwaliteit van de gegevensverwerking bij datamining te kunnen waarborgen, inzicht dient te bestaan in de risico’s welke het gebruik van datamining met zich meebrengen. Belangrijk is dat de betrouwbaarheid en integriteit van de verkregen data gewaarborgd is. Informatiebeveiliging van de gegevensverwerking is een absolute randvoorwaarde om deze betrouwbaarheid te kunnen garanderen. Vanuit de literatuur is een lijst met tien risico’s voor informatiebeveiliging benoemd, die specifiek ook bij datamining van toepassing zijn:

• Risico 1: risico van (on)bewuste menselijke fouten door onvoldoende veiligheidsbewustzijn. • Risico 2: risico van onbevoegde toegang tot bedrijfsgevoelige informatie.

• Risico 3: risico dat gegevens fouten bevatten.

• Risico 4: risico van niet goed beveiligen van persoonsgegevens. • Risico 5: risico met betrekking tot virussen/malware.

• Risico 6: risico van inbreken op het systeem.

• Risico 7: risico van niet voldoen aan de wettelijke bewaarplicht.

• Risico 9: risico van technische verstoringen in het systeem. • Risico 10: risico van onvoldoende monitoring op het systeem.

Deze risico’s zijn gevalideerd tijdens een drietal validatie-interviews en op basis hiervan verder aangevuld. Vervolgens zijn de risico’s door de gesprekspartners geplot in een risicomatrix. Daaruit blijken onderstaande risico’s door de gesprekspartners als meest risicovol (hoog risico) benoemd:

1. Risico 1: risico van (on)bewuste menselijke fouten door onvoldoende veiligheidsbewustzijn. 2. Risico 3: risico dat gegevens fouten bevatten.

3. Risico 4: risico van niet goed beveiligen van persoonsgegevens.

4. Risico 8: risico dat de organisatie te ver gaat met het verzamelen en koppelen van gegevens. 5. Risico 6: risico van inbreken op het systeem.

6. Risico 2: risico van onbevoegde toegang tot bedrijfsgevoelige informatie.

5.2.4 Beheersmaatregelen in de praktijk

De vierde onderzoeksvraag luidde:

Welke beheersmaatregelen van informatiebeveiliging hebben bestaande organisaties geïmplementeerd om deze risico’s te mitigeren en zijn er verbeteringen mogelijk?

De lijst met tien risico’s is als uitgangspunt genomen voor het praktijkonderzoek waar vier organisaties in betrokken waren. De organisaties vervullen allen, net als de Belastingdienst, een specifieke taak die inspeelt op behoeften binnen de samenleving. Deze taken wijken voor een aanzienlijk deel af van die van commerciële organisaties. Allen houden ze zich bezig met het toepassen van datamining.

Onderzocht is op welke wijze de genoemde risico’s worden gemitigeerd en welke waarborgen rondom de betrouwbaarheid van de gegevensverwerking en de toepassing van wet- en regelgeving ten aanzien van privacyaspecten bij dataminingprojecten in de organisatie zijn ingebouwd.

Tijdens het praktijkonderzoek zijn de beheersmaatregelen geïnventariseerd die de onderzochte organisaties hebben geïmplementeerd om de tien risico’s op het gebied van informatiebeveiliging te mitigeren. Deze beheersmaatregelen zijn samengevoegd en per risico opgenomen in tabel 7 in bijlage 7.

Uit de resultaten van dit onderzoek komt naar voren dat de betrokken organisaties nog niet allemaal voldoende maatregelen hebben geïmplementeerd om de belangrijkste risico’s op het gebied van informatiebeveiliging bij datamining af te dekken.

Ten aanzien van de risico’s welke wat minder worden afgedekt door de getroffen maatregelen zijn bevindingen geformuleerd:

1. Wanneer er vanuit het management (te) weinig aandacht is voor informatiebeveiliging, er geen eigen informatiebeveiligingsbeleid is, worden de medewerkers zich onvoldoende bewust (gemaakt) van de risico’s op het gebied van informatiebeveiliging.

2. De betrouwbaarheid van de aangeleverde data van externe partijen kan niet altijd worden gegarandeerd of beïnvloed, hierdoor kunnen gegevens bij analyse verkeerd worden geïnterpreteerd.

3. Het risico op misbruik van persoonsgegevens door eigen medewerkers wordt groter naarmate er minder aandacht is voor het veiligheidsbewustzijn van de eigen medewerkers.

4. Het is bijna onvermijdelijk dat bestanden meer gegevens bevatten dan voor de uitvoering van het proces noodzakelijk is.

5. Monitoring en interne analyse op het systeem vindt momenteel onvoldoende plaats; 6. Alle onderzochte organisaties maken gebruik van een normenkader voor

informatiebeveiliging. Dit normenkader is meestal gestoeld op de Code voor Informatiebeveiliging ISO 27001 en 27002.

7. Er is geen sprake van een structurele aanpak voor het uitvoeren van een periodieke risicoanalyse op het gebied van informatiebeveiliging.

8. Voor zover bekend hebben incidenten gerelateerd aan informatiebeveiliging met een grote impact voor de organisatie zich niet voorgedaan.

In het kader van deze scriptie wordt getracht het restrisico voor de genoemde risico’s zo laag mogelijk te houden. Daarom zijn er, als aanvulling op de geïmplementeerde beheersmaatregelen,

aanbevelingen voor verbetering benoemd. Deze aanbevelingen zijn:

1. Om het veiligheidsbewustzijn van de medewerkers te vergroten dient er vanuit het management voldoende aandacht te zijn voor informatiebeveiliging.

2. Zorg dat bestanden niet meer gegevens bevatten dan voor de uitvoering van het

dataminingproces noodzakelijk is. Daarmee wordt voorkomen dat de organisatie te ver gaat met het koppelen van gegevens en daarmee de privacywetgeving schendt.

3. Zorg voor regelmatige monitoring en interne analyse op het systeem.

4. Zorg voor een gestructureerde aanpak voor het uitvoeren van periodieke risicoanalyses op het gebied van informatiebeveiliging.