Openbaar
Bijeenkomst 1 juni ‘Verantwoordelijkheid voor internetveiligheid’
Op 1 juni heeft OPTA in samenwerking met ECP.NL een bijeenkomst georganiseerd. OPTA heeft belangstellenden uitgenodigd om samen met haar van gedachten te wisselen over het voorlopige standpunt van OPTA. De bijeenkomst is met grote belangstelling bezocht. De bijeenkomst bestond uit 3 delen:
1. Inleiding OPTA
2. Presentaties XS4all en Consumentenbond 3. Discussie met de zaal
Hieronder vindt u een weergave van de bijeenkomst.
I. Inleiding OPTA
Internet is geen veilige omgeving, zo leest u dagelijks in de media. In Nederland is OPTA belast met toezicht op adequate veiligheids- en beveiligingsmaatregelen van elektronische communicatie om zo de (internet)veiligheid in Nederland naar een hoger niveau te tillen.
Project ‘zorgplicht aanbieders’
Vorig jaar is OPTA gestart met het project ‘zorgplicht voor aanbieders’. OPTA heeft een onderzoek laten doen onder marktpartijen welke dreigingen voor gebruikers nu en in de toekomst relevant zijn en welke maatregelen internetproviders (kunnen) nemen. Op basis hiervan heeft zij een voorlopig standpunt geformuleerd over hoe internetproviders aan artikel 11.3 van de Telecommunicatiewet kunnen voldoen.
In artikel 11.3 van de Telecommunicatiewet staat:
Aanbieders treffen in het belang van de bescherming van persoonsgegevens en de bescherming van de persoonlijke levenssfeer van abonnees en gebruikers passende technische en organisatorische maatregelen ten behoeve van de veiligheid en beveiliging van de door hen aangeboden netwerken en diensten. Daarnaast moeten de aanbieders ervoor zorg dragen dat de abonnees daarover worden geïnformeerd.
Doel van het project
Het doel van het project is tweeledig. Enerzijds wil OPTA een minimum niveau van veiligheid in de markt waarborgen. Uit de reacties op het consultatiedocument is gebleken dat de voorgestelde basis maatregelen reeds door vele aanbieders worden aangeboden. OPTA wil natuurlijk dat alle aanbieders het minimum niveau van veiligheid aanbieden. Anderzijds wil OPTA met de markt tot afspraken komen om boven dat minimum niveau best current practices te hanteren, die de internetveiligheid verder
Openbaar
vergroten en daarmee de gehele markt ten goede zullen komen. Nederland kan hiermee een goed voorbeeld geven. Goed voorbeeld doet goed volgen.
Het voorlopige standpunt van OPTA
Het standpunt van OPTA is een voorlopig standpunt. Het geeft een nadere invulling van artikel 11.3 van de Telecommunicatiewet. OPTA wil gezamenlijk met de markt tot een nadere invulling te komen.
Het voorlopige standpunt van OPTA bestaat uit 3 categorieën:
1. Basismaatregelen 2. Best current practices 3. Aanvullende maatregelen
II. Presentaties Simon Hania – XS4all
Simon Hania geeft aan dat hij van mening is dat iedereen die participeert op internet een eigen verantwoordelijkheid heeft: overheid, bedrijfsleven, ISP en consument. De meeste ISP’s hebben hun zaken qua beveiliging prima op orde en ook aanbieders als Microsoft hebben de laatste jaren hun producten enorm verbeterd. Dit betekent dat voor wat betreft de kwetsbaarheid de meeste risico’s zich verplaatst hebben naar de eindgebruikers: daar gaat het vaak mis.
Simon geeft verder een reactie op het rapport van OPTA. XS4all is van mening dat voor hetgeen OPTA voor ogen heeft, artikel 11.3 onvoldoende van toepassing is. Artikel 11.3 slaat op de eigen dienstverlening van de ISP’s. Maar het feit dat ISP’s hun netwerken beveiligen geeft natuurlijk nog geen garantie dat al hetgeen getransporteerd wordt via die netwerken (gebruikers die bestanden downloaden, programma’s installeren etc) ook veilig is.
Daarom ziet XS4all voor wat betreft de veiligheid op internet eenzelfde rol voor OPTA als dat deze op SPAM-gebied vervult: financiële prikkels uitdelen. ISP’s beveiligen hun eigen netwerken. Voorlichting aan eindgebruikers vindt via diverse programma’s al plaats (bv Digibewust). De overheid heeft een regulerende taak en een voorlichtende (bv de Waarschuwingsdienst). OPTA opereert aanvullend in dit reeds bestaande landschap wanneer zij ervoor kan zorgen dat de economische drivers voor zaken als phishing en ID-fraude worden weggenomen.
Machiel van der Velde - Consumentenbond
De Consumentenbond gaat vervolgens in op de materie. 62% van de consumenten heeft
veiligheidsproblemen gehad op internet. Veel providers geven onveilige adviezen en geven gebruikers onveililge apparatuur. Door dergelijke “misstanden” staat het vertrouwen van de consument
momenteel ernstig onder druk. Echter een gedeelte van het probleem komt niet door providers maar door andere leveranciers van de consument.
Hoewel het voorstel van OPTA volgens de Consumentenbond een goed begin is, is het probleem nog lang niet opgelost. Ook niet met beleidsregels van OPTA. Deze zien immers alleen op de beperkte
Openbaar
categorie van “aanbieders van elektronische communicatiediensten”. Het gaat er om dat de hele sector tot samenwerking komt – en daar zelfs toe wordt gedwongen- om de veiligheid te verbeteren.
De Consumentenbond zal zich daar voor inzetten, kondigt de bond aan.
Ook merkt de Consumentenbond op dat er te veel van de consument wordt verwacht. Het is immers niet eenvoudig om een PC te beveiligen. De markt zou de consument daar beter in tegemoet moeten komen. Machiel van der Velde ligt dit toe met twee concrete voorbeelden. De Consumentenbond pleit vervolgens voor ingebouwde veiligheid op alle fronten.
De Consumentenbond concludeert dat de maatregelen van OPTA een goed begin zijn maar:
• De basismaatregelen zijn te mager
• Ook de voorgestelde ‘Best current practices’ zouden verplicht moeten zijn:
– Benaderen van consumenten met besmette pc’s – Kwalitatief goede helpdeskondersteuning
Verder benadrukt zij dat OPTA maar op een beperkt deel van de markt toeziet en dat actie op een breder front noodzakelijk lijkt.
III. Discussie
De discussie gaat in het begin vooral over de verschillende verantwoordelijkheden van overheid, ISP, aanbieder en consument. De parallel met de ‘gewone’ snelweg en autoverkeer wordt getrokken:
moeten aanbieders niet altijd standaard de optimale beveiliging instellen (gordels in de auto is toch ook geen eventuele optie), moeten consumenten niet eerst een internetrijbewijs halen voordat ze zich op de digitale snelweg begeven. Wie is verantwoordelijk voor het opruimen van de rotzooi als een ongeluk op de digitale snelweg is voorgevallen etc?
Daarna wordt de vraag gesteld over de precieze afbakening van de discussie. Het lijkt erop of er een tweedeling is: wil OPTA nou via artikel 11.3 minimum basisvoorwaarden afdwingen of wil zij buiten artikel 11.3 een discussie openen over best current practices voor veiligheid op internet?
OPTA geeft aan dat zij inderdaad deze 2 sporen volgen. Met het minimum niveau aan veiligheid wil OPTA aanbieders kunnen aanspreken, indien zij daar niet aan voldoen. Met de best current practices wil OPTA samen met de markt tot een hoger niveau van veiligheid komen. Voor wat betreft de best current practices is OPTA zich ervan bewust dat zij wettelijk geen middelen hebben om daar actie op te ondernemen. Zij kunnen alleen facilitator van de discussie zijn en hebben slecht 1 rol in het geheel tussen alle andere betrokken partijen.
Over de vraag of OPTA deze 2 sporen tegelijkertijd kan bewandelen zijn de meningen verdeeld.
Sommigen vinden dat deze rollen prima te combineren zijn, anderen zijn juist van mening dat het verwarrend is wanneer OPTA zowel handhaver als samenwerkingspartner is. Zij vinden dat OPTA hier
Openbaar
een keuze moet maken: óf de ISP’s toezien op de handhaving van de basismaatregelen óf naast de ISP’s discussiëren over oplossingen en best current practices op het gebied van internetveiligheid.
Uiteindelijk zijn de aanwezigen het er wel over eens dat er geen prangende bezwaren zijn tegen het handhaven van de basismaatregelen door OPTA. Veiligheid op internet is zo essentieel dat een minimum raamwerk van beveiliging geen punt van concurrentie mag zijn. Bovendien is het de vraag of de gemiddelde consument genoeg kennis en kunde heeft om een weloverwogen afweging te maken tussen “niet zo veilig maar goedkoop” en “duurder maar stukken beter beveiligd”. Wel wordt hierbij de kanttekening geplaatst dat de handhaving van de basismaatregelen niet moet leiden tot een extra administratieve lastendruk bij de ‘goede’ ISP’s, maar er met name op moet zijn gericht om de
‘cowboys’ aan te pakken.
Vervolg
OPTA stelt alle betrokkenen in de gelegenheid om tot 13 juni nog schriftelijk te reageren op het voorlopige standpunt van OPTA. De presentaties en verslag van de bijeenkomst worden op de website van OPTA en ECP.NL geplaatst. Na verwerking van de reacties zal OPTA in juli de concept beleidsregels voor de basismaatregelen consulteren. Betrokkenen kunnen vóór september hun zienswijze geven. Na het verwerken van de zienswijze zal OPTA naar verwachting de beleidsregels voor basismaatregelen in oktober publiceren. Verder zal OPTA op korte termijn een voorstel doen voor een vervolg om met de branche te komen tot best current practices.
