Nederlands

Cybercrime – recht op zijn scherpst

admin

Auteurs: Jan Kerkhofs en Philippe Van Linthout

Cybersecurity wordt steeds belangrijker voor risicomanagement alsook voor BCM. De BCM organisaties leggen almaar meer nadruk op het opnemen van cyberveiligheid in hun gamma. Veelal gaat dit om technische aspecten van cybersecurity en hoe technisch een cyberaanval kan worden afgeslagen. Velen vergeten echter dat er een juridisch plaatje vasthangt aan cybersecurity. Wat kan er juridisch en wat niet? De auteurs zochten het uit en publiceerden een boek dat up-to-date was tot en met 1/dec/2013. Het gaat over juridische aspecten en een deel van het boek is geïllustreerd adhv een casus waarin YAHOO! betrokken was. Of hoe een wetgeving kan geïnterpreteerd worden.

Het volgende bleef bij:

  • Criminelen van nu hebben hun werkwijzen veranderd: ze hebben niet allemaal een revolver, maar wel een smartphone.
  • Cyberspace is voor criminaliteit een ongelofelijk braakliggend terrein met (nog steeds) ongekende mogelijkheden die kunnen geperfectioneerd worden.
  • Wellicht dringt Cyberspace zich op als een apart juridisch territorium. Want daar zijn geen landsgrenzen zichtbaar.
  • Misdaden bestaan uit (niet limitatieve lijst) o.a.:
    • Illegale transferts van data of fondsen etc
    • Vervalsing
    • Hinderen van computersystemen en telecommunicatiesystemen
    • Misbruik van beschermde software
    • Onderscheppen van berichten
    • Fraude
    • Schade aan hardware, software of data
    • Sabotage
    • Oneigenlijke toegang
    • Plagiaat
  • De evolutie van ICT gaat steeds te snel voor de wetgever.

Deel 1 van het boek gaat over materieel cyberstrafrecht. Daarvan bleven als belangrijkste zaken bij:

  • Het is economische wetgeving.
  • Er is een afzonderlijke strafbaarstelling voor het opzettelijk vermommen van de waarheid via datamanipulatie mbt juridisch relevante data.
  • Er dient iets ingevoerd, gewijzigd, gewist of veranderd te worden om te spreken van een misdrijf van informaticavalsheid. Omissiedelicten zijn echter ook mogelijk.
  • Men spreekt van informaticavalsheid indien er het oogmerk aanwezig was om te schaden of indien er bedrieglijk opzet was.
  • Indien iemand wetens en willens gegevens gebruikt waarvan hij weet dat ze vals zijn, is strafbaar alsof hij de dader van de valsheid was. Een mislukte poging is niet strafbaar.
  • Een poging is wel strafbaar indien economisch voordeel beoogd wordt met het plegen van informaticabedrog. (Dit is niet hetzelfde als valsheid in informatica waar het in hoofdzaak gaat om het vermommen van de waarheid.)
  • Naast valsheid in informatica en informaticabedrog bestaat er ook het begrip van ongeoorloofde manipulaties ten aanzien van een machine. Bijv. computerfraude.
  • Het strafwetboek hecht veel belang aan misdrijven tegen confidentialiteit, integriteit en beschikbaarheid, begrippen die niet toevallig terugkomen in ISO 2700x. Een van de gevolgen is dat er onderscheid gemaakt wordt tussen externe en interne hacking.
  • Niet alleen het feitelijke hacken is strafbaar, maar ook een aantal verwante zaken, zoals het ter beschikking hebben van hackertools, aanzetten tot hacking etc.
  • Er bestaat eveneens informaticasabotage: het invoeren, wijzigen of wissen van gegevens of hun normale aanwending veranderen door enig technologisch middel. Bijv.: een virus.
  • Opvallend is dat straffen voor een overheidsvertegenwoordiger bij illegale communicatie-interceptie bij de uitoefening van zijn bediening zwaarder zijn dan daarbuiten of door een burger.
  • Niet alleen de uitvoerder van een illegale tap is strafbaar, maar ook de heler van de illegaal gecapteerde data.
  • Cyberstrafrecht bevat ook regels betreffende elektronische communicatie. Het gaat om het gebruik van 1) een elektronisch netwerk, 2) of een elektronische communicatiedienst of 3) andere elektronische communicatiemiddelen waarmee het misdrijf zal kunnen gepleegd worden. Dit laatste dekt een zeer breed instrumentarium. Het vaakst wordt dit aspect van cyberstrafrecht gebruikt voor overlast. Schade, waaronder psychologische schade, is ook mogelijk.
  • Digitale verspreiding wordt gelijkgesteld met vermenigvuldiging via een drukpers.
  • Gebruik maken van gegevens van elektronische communicatie, zonder toestemming van alle communicerende partijen, is strafbaar.
  • Er bestaat zoiets als een informatiemaatschappij, waarbij ISP’s (Internet Service Providers) en IAP’s (Internet Access Providers) een belangrijke rol spelen. Deze dienstverleners hebben geen algemene toezichtsverplichting, maar kunnen in een specifiek geval wel een tijdelijke toezichtsverplichting opgelegd krijgen. Bij vermeend misbruik dienen zij echter wel de administritatieve autoriteiten onverwijld op de hoogte brengen. Tevens meten zij op vraag van de autoriteiten alle informatie verschaffen die nuttig is voor de opsporing en vaststelling van inbreuken gepleegd door hun tussenkomst.

Deel 2 van het boek gaat over procedureel cyberstrafrecht. Daarvan bleven als belangrijkste zaken bij:

  • Het gaat om het procedure-instrumentarium waarmee cybercriminaliteit kan bestreden worden.
  • Wapens waarover de internetrecherche in het opsporingsonderzoek beschikt:
    • Databeslag als bewijslast.
    • Beslag en het uitlezen van een GSM of smartphone.
    • Kopiëren van data op dragers van de overheid zonder verlies van bewijslast.
    • Kennisgeving van het beslag of de kopiëring van gegevens.
    • Het ontoegankelijk maken van het internet of delen ervan. Bijv. in het kader van negationisme of of aanzetten tot racisme of xenophobie enz.
    • Reverse IP domain check.
    • Identificatie van internauten met medewerking van ISP’s en IAP’s en operatoren en dienstverstrekkers.
    • Een officier van de gerechtelijke politie kan in geval van hoogdringendheid binnen bepaalde spelregels zelf gegevens opvorderen.
    • Er is de wettelijke verplichting tot medewerking en geheimhouding door operatoren van elektronische communicatienetwerken en verstrekkers van elektronische communicatiediensten.
    • Er is registratieplicht van internetcommunicatie en internetgebruik. Inhoud mag echter nooit worden opgeslagen, enkel bepaalde metadata.
    • Data-interceptie en netwerkzoeking is voor hen mogelijk via mini-instructies.
    • Sociale media en hun inhoud kunnen gebruikt worden als onderzoeksmiddel, als bron van informatie voor politie en justitie.
    • Geotagging en facerecognition.
    • Publiek toegankelijke delen van het internet kunnen door politie bekeken worden. Zij kunnen er bovendien in participeren.
    • Inkijkoperaties met zoekend rondkijken in private delen van het internet, mits voldoen aan bepaalde randvoorwaarden.
    • Politie en justitie knnen tappen, observeren en infiltreren op het internet en in de sociale media.
  • Echter, er is ook privacywetgeving van toepassing, alsook het recht op anonimiteit. Tevens bestaan er cyber-privéclubs
  • Daarnaast bestaat er internetrecherche in het gerechtelijk onderzoek. Het heeft een aantal (juridisch-technische) wapens gemeenschappelijk met het opsporingsonderzoek.
    • Het kan een heimelijke fase bevatten alsook een openlijke. Bijv. bij het onderscheppen van webmail.
  • Een van de sterke wapens voor justitie is de medewerkingsplicht inzake internetrecherche.
    • Dit geldt voor operatoren, dienstverstrekkers, maar ook voor houders van kennis. (zowel van informaticasysteemkennis als kennis van machinewerking als kennis van diensten om gegevens te versleutelen of te beveiligen)
    • Hierin wordt het voorbeeld gestart van de Yahoo !-zaak nav een proces verbaal op 3 oktober 2007.
    • Secundaire internetverstrekkers hebben minder verplichtingen.
    • Verdachten kunnen niet verplicht worden tot het verstrekken van inlichtingen.

Deel 3 gaat over dataretentie van de ISP’s en IAP’s. Deel 4 gaat over territoriale bevoegdheid in Cyberspace. Daarbij kan het Belgisch gerecht een rechtstreekse vraag stellen aan ISP’s en IAP’s die diensten aanbieden op het Belgisch grondgebied, of een rogatoir onderzoek instellen. De dataretentie is minimaal 6 maanden en maximaal 2 jaar, waarbinnen elk land zijn eigen regels dient te stellen. Zo geldt voor België bij koninklijk besluit een dataretentie van 1 jaar. ISP’s of IAP’s die niet wensen mee te werken met het juridisch onderzoek hebben altijd de vrijheid om hun diensten niet langer aan te bieden op het Belgisch grondgebied.

Handboek Risicomanagement – ERMplus een praktische toepassing van COSO ERM

admin

Auteur: Drs. Urjan Claassen

In dit boek bespreekt de auteur risicomanagement op een docerende, praktijkgerichte manier.

In de inleiding bespreekt hij het verschil tussen een “conformance” en een “performance” motief voor het overgaan van het klassieke risicomanagement naar een integraal risicomanagement. Het begrip “integraal risicomanagement” moet door de lezer echter vanaf de eerste bladzijde intuïtief begrepen worden als een risicomanagement dat geldt voor de hele organisatie, op alle niveaus. Hoe dat kan gebeuren wordt gaandeweg in het boek verder uitgewerkt. Daarbij is naar mijn gevoel het begrip van de 5 verdedigingslinies zeer belangrijk:

  • 1A: de operationele medewerkers, 1B het tactisch management, 1C het strategisch management.
  • 2 de interne audit
  • 3 de externe audit
  • 4 de accountant
  • 5 de toezichthouders.

Tevens wordt in de inleiding een aantal tekortkomingen van COSO aangereikt, samen met hoe ERMplus hiervoor een oplossing heeft.

Wat van dit boek speciaal bijblijft zijn volgende zaken:

  • Het belang van een gemeenschappelijke taal van risicomanagement. Zonder deze basis kunnen de verschillende spelers immers elkaar niet verstaan.
  • Dat er psychologische en sociologische aspecten zijn aan risicomanagement. Deze kunnen de besluitvorming beïnvloeden.
  • Dat naast de risicomatrix voor bedreigingen, er ook een dient opgesteld te worden voor de opportuniteiten.
  • Het enorme belang van audit en hoe het dient aangepakt te worden. Auditten is een project op zich met een eigen grondig plan van aanpak om het onderste uit de kan te halen.
  • We hebben ons risicomanagement, we hebben onze audit, en nu? Dan komt op t einde van het jaar het jaarverslag met “in-control” statements en een verklaring van het weerstandsvermogen.
  • De implementatie kan gebeuren vanuit verschillende startpunten, waarbij terug de vijf verdedigingslinies van belang worden.
  • Er zijn verschillende structuren mogelijk om toezicht te houden: de one-tier en two-tier governance modellen.

Wie risicomanagement wil uitwerken volgens het COSO model vindt in het “Handboek Risicomanagement – ERMplus een praktische toepassing van COSO ERM” zijn gading. Het vertelt een zeer doorgedreven heavy weight-aanpak van risicomanagement, dat zeer compleet is.

Risicomanagement

admin

Auteurs: P.Claes; S. Janicijevic; R. Lengkeek

In dit leerboek over risicomanagement starten de auteurs vanaf nul. Ze nemen uitgebreid de plaats voor een inleidend eerste hoofdstuk dat nodig is om aan studenten een uitleg te geven waar risicomanagement zich plaatst voor de mens, de mensheid en de organisaties en waarom het nodig is om aan risicomanagement te doen.

Pas in het tweede hoofdstuk wordt er een analytische definitie gegeven van wat risico’s zijn en wordt het verschil uitgelegd tussen de verschillende soorten risico’s: statische en dynamische en verschillende risicocategorieën. Daarbij zijn de doelen van de organisatie primordiaal. De grootte van risico’s is dan weer belangrijk om de organisaties bewust te maken waarom risicomanagement van belang is.

Risicomanagement wordt pas daarna gedefinieerd. In het boek wordt er een klemtoon gelegd op het feit dat risicomanagement een proces is dat nooit stopt. Je kan dus geen beleid maken, het in de kast leggen en zeggen dat je qua risicomanagement in orde bent. Het feit dat het een proces is maakt dat er ook iemand voor moet worden aangeduid als verantwoordelijke, op de juiste plaats in de hiërarchie.

Op die manier bouwt het boek op een logische manier verder en gaat het vervolgens dieper in op het risicomanagementproces. En om een proces op te starten is er een planning nodig. Daarbij wordt ook gekeken naar de praktijkverschillen in aanpak van statische risico’s versus dynamische risico’s.

Het boek gaat verder in op de risico-identificatie en risico-evaluatie als belangrijke stappen in het proces om aan risicomanagement te doen. Eens de organisatie zich bewust is geworden van deze risico’s en bepaald heeft welke risico’s zullen aangepakt moeten worden, ontstaat het risicobehandelingsbeleid. Daarbij is het risicoprofiel van de organisatie een belangrijk onderdeel.

De verdere hoofdstukken gaan in op het aanpakken van de risico’s, door een schadepreventiebeleid, dat risico’s gaat vermijden, verminderen, schade voorkomen of verplaatsen (overdragen). Daarbij gaat redelijk veel aandacht naar verzekeringen , maar eveneens naar het zelf dragen van het risico, waarbij eveneens ingegaan wordt op de verzekeringsvorm van de captive-structuur als oplossing. Bij deze laatste hoofdstukken verwijzen de auteurs eveneens naar meer gespecialiseerde literatuur.

Als studieboek is dit werk bijzonder geslaagd, mede dankzij zijn logische opbouw. De student rolt als het ware steeds verder binnen in de wereld van het risicomanagement.