Afstuderen in security, risk of compliance: onderwerp kiezen en afbakenen

Kort antwoord

Kies een vraag die je binnen de tijd kunt beantwoorden en waarvoor de organisatie gegevens wil delen. Iemand in de organisatie moet het antwoord willen gebruiken, want dan krijg je toegang tot documenten en gesprekspartners. Regel schriftelijk toestemming van de organisatie en van elke deelnemer voordat je begint, en test nooit een systeem zonder toestemming van de eigenaar. De eisen van je opleiding en van de ethische commissie gaan voor alles wat hier staat. Werk je afstudeerwerk in een bedrijf, lees dan ook hoe een stage in cybersecurity werkt.

Welke soorten afstudeeronderwerpen zijn er?

Een afstudeerproject in dit vakgebied is een onderzoeks- of adviesvraag van een organisatie. Je verzamelt gegevens met interviews, documenten, een enquête of een test in een eigen omgeving, analyseert die en levert een advies of product op. Bij sommige opleidingen is het een afstudeerstage in een bedrijf, bij andere een onderzoek binnen de opleiding. De eisen van je opleiding gelden in beide gevallen.

Het European Cybersecurity Skills Framework (ECSF) van ENISA heeft twaalf rolprofielen. Het is een raamwerk, geen eis van je opleiding, maar de profielen noemen deliverables die je als aanknopingspunt voor je eindproduct kunt gebruiken, zoals een risicorapport of een auditplan. Bronnen: ECSF van ENISA en de rolprofielen als PDF.

Op de skillpagina's voor risicoanalyse en AVG zie je de vacatures waarin die vaardigheden genoemd worden. Een privacy-impactbeoordeling, waarvoor de ECSF-rol Cyber Legal, Policy & Compliance Officer een taak heeft, staat uitgelegd in DPIA uitvoeren.

Een afstudeeronderwerp hangt samen met je loopbaan. Het kan een eerste portfolio zijn voor een rol als SOC-analist, risk- of compliancefunctionaris. Gebruik het in je cv, zonder vertrouwelijke gegevens. Voor de stap na je studie lees je je eerste baan in security.

Hoe baken je je onderwerp af?

Begin met een vraag die iemand in de organisatie echt heeft. Die persoon geeft je toegang tot gegevens en wordt je gesprekspartner. Een tool of een kader is daarom een middel, geen startpunt.

Formuleer daarna één hoofdvraag met twee tot vier deelvragen. Kies een scope: één proces, één afdeling of één systeem. Kies dan een methode die bij de vraag past. Interviews laten zien hoe mensen werken, documentanalyse laat zien wat is vastgelegd, en een test in een eigen omgeving laat technisch gedrag zien zonder risico voor derden. Een enquête bereikt meer mensen, maar levert minder diepgang op. Beschrijf waarom je een methode kiest en wat de beperking ervan is.

Een voorbeeld, dat fictief is: de hoofdvraag luidt "Hoe kan een gemeentelijke afdeling het risico van leveranciers beter in kaart brengen?" De scope is één afdeling en één type leverancier. De methode is documentanalyse van bestaande contracten en vijf gesprekken met medewerkers. Het product is een afgestemd beoordelingsformulier met een advies. Het hoort bij het vakgebied risicomanagement. Niet in scope is het beoordelen van alle leveranciers van de organisatie.

Schrijf ook op wat je niet doet. Die lijst voorkomt dat je onderzoek groeit terwijl je bezig bent. Kies een begeleider met ervaring in jouw richting, en iemand in de organisatie die je dagelijks helpt. Stem de afbakening af met beiden, en spreek af hoe vaak je overlegt, voordat je gegevens verzamelt.

Wat regel je als je onderzoek doet in een organisatie?

Toestemming regel je op twee niveaus: bij de organisatie en bij de deelnemers. Leg de afspraken met de organisatie schriftelijk vast. Noem wie je afspreekt, welke documenten en systemen je mag inzien, wat vertrouwelijk is, wie je werk mag lezen vóór publicatie en of je thesis openbaar wordt. Stem af welke versie openbaar mag, bijvoorbeeld een versie zonder vertrouwelijke gegevens.

Bij interviews en enquêtes gaat het om persoonsgegevens. De AVG definieert die als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (de AVG-tekst op EUR-Lex). Toestemming is volgens de AVG een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting, en een deelnemer kan die te allen tijde intrekken. Intrekken is net zo eenvoudig als geven. Vertel daarom vooraf wie je bent, waarom je gegevens verzamelt en op welke grond. Artikel 13 lid 1 AVG vraagt om die informatie bij het verzamelen. De grondslag hangt af van de situatie, en je opleiding of organisatie bepaalt welke geldt.

Vraag alleen wat je nodig hebt, zoals artikel 5 lid 1 onder c AVG voorschrijft. Vraag geen gegevens over gezondheid of andere bijzondere persoonsgegevens, want artikel 9 lid 1 verbiedt die verwerking tenzij een uitzondering geldt. Gebruik waar mogelijk pseudoniemen of codes in plaats van namen. De AVG heeft bijzondere regels voor onderzoek: artikel 89 lid 1 vraagt om passende waarborgen, en kun je je doel bereiken zonder dat deelnemers identificeerbaar zijn, dan moet dat zo gebeuren.

De Nederlandse gedragscode wetenschappelijke integriteit uit 2018 is onder meer opgesteld door de KNAW en NWO. Wetenschappelijk onderzoek van studenten valt binnen het normatieve kader van die code, naast andere regelingen zoals de Onderwijs- en Examenregeling (OER) van je opleiding. Een van de normen luidt dat je de vereiste toestemmingen regelt en dat, voor zover nodig, ethische toetsing plaatsvindt. Instellingen zorgen daar waar nodig voor, bijvoorbeeld via een ethische commissie. Bron: de gedragscode van KNAW.

Praktisch maak je een korte informatiebrief en een toestemmingsformulier. De brief beschrijft wie je bent, wat je onderzoekt, welke gegevens je verzamelt, hoe je ze beveiligt, wie ze ziet, en dat deelname vrijwillig is en stoppen kan. Bewaar opnames en aantekeningen versleuteld, met alleen toegang voor jou en je begeleider. Verwijder ze zodra je ze niet meer nodig hebt of de opleiding dat voorschrijft. Spreek af wie verwerkingsverantwoordelijke is: dat kan de organisatie of de opleiding zijn. Meer over de regels vind je in de AVG-gids voor privacy-professionals.

Waar ligt de grens bij testen en kwetsbaarheden?

Test alleen wat van jou is, of waarvoor je schriftelijke toestemming hebt van de eigenaar. Het NCSC schrijft dat zoeken naar kwetsbaarheden in andermans ICT-systemen zonder toestemming van de eigenaar niet is toegestaan. De eerste regel van coordinated vulnerability disclosure (CVD) is dat een kwetsbaarheid altijd eerst bij de eigenaar van het systeem wordt gemeld, en dat openbaar maken alleen in samenspraak met de organisatie gebeurt. Het NCSC raadt aan een logboek van je zoektocht bij te houden. Een melding levert ook niet automatisch een beloning op. Lees het CVD-beleid van de organisatie voordat je zoekt. Volgens de NCSC-leidraad ben je als melder zelf verantwoordelijk om de voorwaarden in dat beleid te kennen, en kan het vinden van kwetsbaarheden volgens dezelfde leidraad toch in strijd met de wet zijn.

Artikel 138ab lid 1 van het Wetboek van Strafrecht gaat over computervredebreuk. Gestraft wordt wie opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of een deel daarvan. Van binnendringen is in ieder geval sprake als de toegang wordt verworven door het doorbreken van een beveiliging, door een technische ingreep, met behulp van valse signalen of een valse sleutel, of door het aannemen van een valse hoedanigheid. Of een handeling onder dit artikel valt, beoordelen het Openbaar Ministerie en de rechter. Lees de tekst op wetten.overheid.nl en bespreek elke twijfel met je begeleider.

Het Openbaar Ministerie verwacht dat een ethische hacker zich in het CVD-beleid heeft verdiept of de NCSC-leidraad heeft geraadpleegd voordat die zoekt en meldt. Meldt een ethische hacker een kwetsbaarheid aan de organisatie, dan wordt in principe geen strafrechtelijk onderzoek ingesteld. De officier van justitie beoordeelt daarbij drie factoren: of er gehandeld is in het kader van een wezenlijk maatschappelijk belang, of het proportioneel was (niet verder dan nodig), en of het subsidiariteitsvereiste is voldaan, dus of er geen minder vergaande manier was. Dat is geen garantie, want elk geval wordt apart beoordeeld.

Voor een afstudeerproject betekent dit in de praktijk een eigen testomgeving of een afgesproken scope met schriftelijke toestemming, en geen scans op systemen van derden. Een home lab is een goede plek om te oefenen. Noteer wat je doet in een logboek, en vraag bij twijfel eerst je begeleider en de eigenaar van het systeem. Wil je weten hoe gecontroleerd testen werkt, lees dan hoe je ethical hacker wordt en de rolgids Ethical Hacker.

Welke ethische regels gelden voor je onderzoek?

De gedragscode noemt vijf principes. In een security-afstudeerproject krijgen ze elk een eigen betekenis:

• Eerlijkheid. Je verzint niets en stelt je resultaten niet mooier voor dan ze zijn.
• Zorgvuldigheid. Je kiest een methode die bij de vraag past en beschrijft die nauwkeurig.
• Transparantie. Een ander kan volgen hoe je aan je gegevens kwam, bijvoorbeeld via je informatiebrief en je logboek.
• Onafhankelijkheid. De opdrachtgever bepaalt niet wat de uitkomst van je onderzoek is.
• Verantwoordelijkheid. Je houdt rekening met de mensen en organisaties die je werk raakt.

Vertrouwelijke bevindingen behandel je in een vaste volgorde. Rapporteer eerst aan de organisatie. Laat een versie voor publicatie bekijken door de organisatie, en laat identificeerbare gegevens weg. Overleg met je begeleider hoe een bevinding in je rapport past, bijvoorbeeld in een vertrouwelijke bijlage.

Of je een ethische toets nodig hebt, bepaalt je opleiding. Vraag het je begeleider vóór de eerste interviews, niet erna.