Kies voor software engineering in plaats van codekrassen

(tekst: ict-ondernemer en oud-raadslid D66 Wietse Elzinga op zijn weblog – zie ook De Volkskrant; aanvulling: in Debatcentrum De Bres spreekt NHL-lector Wouter Stol op 17 september over cybercrime)

Cyberleger in verkeerde oorlog

Onlangs konden we in de Volkskrant lezen dat de Fransen na dertig jaar de stekker uit Minitel hebben getrokken. Voor veel lezers betekent dat de zoekmachine hanteren om te ontdekken dat Minitel een soort van pre-World Wide Web was. Overvleugeld door het echte Internet was er geen reden meer het syteem in de lucht te houden. Minitel was het typische product van Frans denken dat begon na de Tweede Wereldoorlog. President Charles de Gaulle vond dat Frankrijk niet afhankelijk moest zijn van Angelsaksische technologie en het land kreeg een eigen kernenergieindustrie, een supersonisch vliegtuig, een hogesnelheidstrein, alsmede een lanceerraket en een jachtvliegtuig. Vanwege eigenzinnig Frans ontwerp is export van deze producten naar andere landen moeizaam gebleken.

Op Frankrijk�s Zwarte Zaterdag konden we in de Volkskrant een pleidooi van iemand van Nederlands grootste ict-beveiligingsbedrijf lezen voor het instellen van een nationaal cyberleger. Ict-ers in militair uniform die cyberoorlogen kunnen voeren en afslaan. Dat laatste is belangrijk omdat veel van voor onze economie belangrijke ict-systemen zo onveilig zijn als het maar kan. Als de Minister van Defensie ook maar een beetje verstand van ict zou hebben gehad dan zou hij ongetwijfeld aangedurfd hebben een cyberleger op te richten. Ik heb het stuk in de Volkskrant met belangstelling gelezen en vind het deels een flauwekul verhaal: analyse niet onaardig, oplossing onzinnig.

Zolang in dit land mbo-leerlingen op basis van gammele programmeertalen als PHP websites in elkaar knutselen hoef je niet te verwachten dat die veilig zijn. Twee problemen: bedrijven en organisaties zien ict vooral als een kostenpost en niet als een cruciaal bedrijfsmiddel waarvoor je gewoon geld moet uittrekken. Informatica is toegepaste wiskunde, weing mensen hebben talent voor wiskunde zodat de meeste ict-ers ondergeschoold zijn. Ziedaar het recept voor ict-systemen met veiligheidsproblemen.

De structurele oplossing is software die bewijsbaar doet wat het moet doen. Dit is een aloude wens van mensen die vinden dat informatica een ingenieursdiscipline dient te zijn. Software engineering in plaats van het gangbare codekrassen en dan maar hopen dat het (veilig) werkt. Bewijsbaar betekent het logische bewijs kunnen leveren van de beoogde werking. Twee initiatieven met een Frans tintje: een bewijshulpje genaamd Coq ( http://coq.inria.fr ) en een formele specificatiemethode Event-B ( www.event-b.org ). Dit keer geen exportproblemen, beiden zijn open source software en middels Internet daarvan af te plukken.

Met een cyberleger aan veiligheidsspecialisten tegen een massa knutselaars ga je de oorlog niet winnen, we zijn in afwachting van een offensief voor kwalitatief betere software. Een CIO (Chief Information Officer) op kabinetsniveau zou een betere oplossing zijn, maar dat is natuurlijk minder in het belang van dat Nederlandse ict-beveiligingsbedrijf. Goedkope reklame in de Volkskrant onder het mom van een bedreiging van de staatsveiligheid.