h@nzz.nl

Van wie is mijn informatie nu eigenlijk?

Bedrijven (en ook de overheid) verzamelen steeds meer informatie. Vraag is daarbij van wie al die informatie die bedrijven van/over je bezitten - of het nu gaat om je belgegevens, je aankopen bij BOL, je Google zoektermen of je vrienden bij Hyves en Facebook - nu eigenlijk is.

Gevoelsmatig zeg ik dat dit gewoon MIJN gegevens zijn* en dat is ook de basisgedachte achter het fenomeen VRM ofwel Vendor Relationship Management.

In de praktijk werkt het echter (nog) niet zo. De verhouding tussen klant en leverancier is vaak zoek omdat je macht als klant te beperkt is. Ik kan bijvoorbeeld als klant niet of nauwelijks beschikken over mijn belstatistieken die mijn mobiele operator over mij verzamelt. De inhoud van een willekeurige mijn.leverancier.nl kan ik vaak wel bekijken maar de gegevens zelf eenvoudig verzamelen is er niet bij. Kortom de informatie gaat er wel in en wordt opgeslagen maar IK kan het er niet meer bij laat staan het er uithalen. Mijn "data" zit gevangen en niet ik, maar een ander heeft de sleutel.

Vraag is natuurlijk wel of VRM ook het belang van leveranciers dient. Volgens Doc Searls - de godfather van de VRM beweging - is dit inderdaad het geval en zijn stelling luidt dan ook:

"a free customer is more valuable than a captive one".

Ergo: het is ook voor bedrijven uiteindelijk aantrekkelijk om de klant in charge te laten zijn.

Er is overigens nog wel een lange weg te gaan. Dit soort bewegingen veranderen de verhouding tussen klant en leverancier. En de eerste voorbeelden laten zien dat zowel klanten als leveranciers hier erg aan moeten wennen.

Het goede nieuws is dat de eerste tools voorzichtig beschikbaar komen. OpenID is een voorbeeld van een dienst die het in aanleg mogelijk maakt je eigen identiteit(en) zelf bij te houden en naar believen te delen. Ook projecten als Mine!, Higgins, project VRM, the R-button en AttentionTrust zijn hier voorbeelden van.

Het andere goede nieuws is dat het eerste VRMevent in Nederland (hier een uitgebreid verslag) een volle zaal trok. Het onderwerp leeft dus blijkbaar! Goed event, goede sprekers, betrokken publiek!
Dit bleek onder meer uit de soms verhitte discussies over nut en noodzaak van VRM waarbij VRM zowel met socialism 2.0 als capitalism 2.0 aangeduid werd. Na een intro over het onderwerp door Naos Wilbrink werden er een aantal casestudies gepresenteerd door Beabo, iChoosr, Plebble en Werkspot waarin een aantal facetten van het VRM-denken getoond werden. De keynote was van "Mr VRM" Doc Searls himself.

nb: video Yuri van Geest

Al met al een zeer geslaagd event met als (taalkundig misschien wat verwarrende) eindconclusie:

"VRM is nog geen keihard feit, maar het is wel onontkoombaar"

--
* Volgens de Nederlandse wetgeving (in tegenstelling tot bijvoorbeeld Duitsland) is dat overigens niet zo, ik heb slechts het recht deze data in te zien.

One ID to rule them all, one ID to find them, one ID to bring them all and in the darkness bind them...

Een van mijn dagelijkse ergernissen is het enorme aantal accounts dat ik nodig heb voor de verschillende websites die ik gebruik. Het is nog erger dan de fysieke kaartjes (zie boven) in mjn portemonnee. Maar nu is er uitzicht op verbetering. Ik kan namelijk sinds kort bij sites als Plaxo.com inloggen met mijn Google account. Dit kan omdat Google is toegetreden tot de OpenID community. Je kon al je Yahoo account gebruiken als OpenID. En ook je Windows Live account (MSN/Hotmail/Live Mail) is binnenkort een OpenID. En nu je ook een Google e-mail (Gmail) account als OpenID kan gebruiken, beschikt dus een groot deel van de online consumentenpopulatie ineens over een OpenID. Met deze toevoeging van Gmail zijn de belangrijkste gratis emaildiensten OpenID enabled. En omdat  een groot deel van de online populatie over zo'n account beschikt is OpenID het meest verspreide authenticatiemechanisme geworden.

Het OpenID logo zou je een beetje met het Cirrus logo op een betaalautomaat kunnen vergelijken. Als je dat ziet weet je dat bij die automaat geld met je bankpassen (met Cirrus logo) kan pinnen. Het OpenID logo werkt soortgelijk, zodra je dat ziet kan je met een van je OpenID's (bijvoorbeeld je Gmail of je Hotmail account) op een site inloggen.

Het voordeel hiervan is evident, in plaats van tientallen accounts voor online services kun je ineens met een of twee accounts af. Het opzeten van allerhande mashup-achtige diensten wordt, zeker als de serviceprovider naast OpenID ook van de nieuwe OAuth mogelijkheden gebruik gaat maken, vele malen eenvoudiger.  Bijkomend voordeel is dat OpenID veel meer controle bij de gebruiker legt. Deze kan nu bepalen welke informatie al dan niet uitgewisseld wordt tussen providers. Risico is natuurlijk dat je, wanneer je account gecompromiteerd wordt, nu een echt probleem hebt:-(

We zijn er overigens nog niet. Zo kan ik mijn Microsoft OpenID (nog) niet gebruiken om bij Google in te loggen en omgekeerd. Want hoewel je met je Google account bij een OpenID enabled website kan inloggen is het omgekeerde nog niet waar. Met OpenID kan een website er namelijk voor kiezen dat derden gebruik maken van hun accounts (ofwel de rol van OpenID provider) en daarnaast kan je ook toegang tot je eigen site geven op basis van accounts van anderen (de rol van OpenID relaying party). Google en ook  Microsoft zijn voorlopig alleen provider en dus geen relaying parties. Voor het gebruikvan Google-diensten zelf heb je nog steeds een "echt" Google account nodig hoewel daar dus technisch geen noodzaak meer voor bestaat.

In elk geval is de brede verspreiding van OpenID goed nieuws omdat dit het gebruik van online diensten in het algemeen beduidend kan vereenvoudigen. OpenID had tot nu toe een kip-ei probleem: zolang gebruikers geen OpenID's hadden was het gebruik niet relevant, maar omdat er geen toepassingen waren was het bezit van een OpenID niet nuttig. Door de acties van Google, Yahoo en Microsoft is er in elk geval een grote gebruikersgroep ontstaan. En er is daarmee een defacto standaard ontstaan hetgeen ruimte geeft voor identity-providers om value-added diensten op te zetten op basis van deze grote gebruikersgroep. De waarde van OpenID diensten is uiteindelijk afhankelijk van het aantal OpenID bezitters in de online wereld.

En voor de Hyves, Facebooks maar ook de DigiD's en SURFnet en Kennisnetten van deze wereld geeft het kansen om een centrale plek in te nemen c.q. te behouden in het online-ecosysteem.

Al met al beschikken de meeste consumenten nu over een OpenID dus:

• Aanbieders van ID-systemen: oportunity knocks! DigiD/Kennisnet/Hyves/Facebook/... ga ook OpenID bij voorkeur in de meest brede vorm ondersteunen;

• Gebruikers: gewoon gaan gebruiken en OpenID toegang vervolgens ook van alle andere dienstaanbieders eisen!

OAuth maakt het mogelijk om websites beperkte toegang tot je account te geven. Dit ka je gebruiken om bijvoorbeeld een dienst als Linkedin bijvoorbeeld alleen toegang te geven tot je Plaxo contactgegevens.Het is als zodanig een aanvulling op OpenID.

Web2.0 en security

Afgelopen donderdag 28 juni was het semimar "Web2.0 en security architecturen" in MediaPlaza. Ik was een van de sprekers en heb daarnaast de dag ook via twitter verslagen. De dag werd geopend  door Joost Bekel die een algemene inleiding op het fenomeen Web2.0 gaf. Vervolgens een verhaal van Lex Borger die een mooi beeld gaf van de huidige status quo qua beveiliging. Conclusie: we hebben de 1e stappen op dit gebied gezet, maar de huidige praktijk lijkt niet houdbaar naar de toekomst. Wat nu nodig is is een aanpak die recht doet aan de wijze waarop ondernemingen en overheden hun organisaties inrichten uitgaande van de huidige ICT "Web2.0" mogelijkheden. Er is behoefte aan een meer generieke aanpak zoals die al een aantal jaren wordt voorgestaand door de Jericho Forum. Hier ging dan ook de volgende presentatie van Marco Plas over.  Kern van Jericho is dat beveiliging een end-to-end probleem is dat je nooit oplost met maatregelen die slechts voor een deel van het probleem effectief zijn. Als je communicatie op berichten-niveau beveiligd zijn is de inhoud altijd zekergesteld los van de beveiliging van de informatiedragers (de beruchte USB stick) of netwerken.

Daarna waren er een viertal break-out sessies die dus allemaal 4 maal gegeven werden, door de kleinere groepen was daar meer ruimte voor interactie. Ik heb de track over de relatie integratie, web.20 en beveiliging verzorgd. Wel hard werken overigens, vier maal hetzelfde verhaal van 30 minuten maar wel erg leuk om te doen.

Na de break-out sessies werd de dag afgerond met een praktijk verhaal van Patrick Klink, CTO van Ilse Media. Een leuk verhaal, waarin me overigens wel opviel dat hij X.400 als goed voorbeeld van control aanhaalde. Afijn, ik moet hem toch nog maar eens vragen hoe hij tot een dergelijke conclusie gekomen is.

--
h@nzz/2007

Publicatie 'Veilig - Een gevoel?'

Ik mag al een aantal jaren als deskundige aanschuiven bij de Kamer van Morgen sessies van Kennisnet Ict op School. In deze Kamer van Morgen verkent stichting Kennisnet Ict op School samen met anderen de toepassingsmogelijkheden van internettechnologie voor het onderwijs. Onlangs is de derde publicatie in de reeks Kamer van Morgen verschenen. Na onderwerpen als mobiliteit en gaming was dit keer het thema veiligheid waaraan ik als co-auteur ook bijdrage aan het boek heb geleverd.
Meer informatie over de Kamer van morgen op www.kamervanmorgen.nl.

--
h@nzz/2006

Kaspersky Lab's malware evolutie rapport over Q1 2006

In dit rapport geeft Kaspersky Lab weer een boeiend overzicht van security gerelateerde ontwikkelingen/trends in Q1 2006. Onderwerpen onder meer: het "gijzelen" van gebruikersdata, Max OSX virsussen en mobile malware en een vooruitblik naar toekomstige bedreigingen als vmware en boot rootkits..
--
h@nzz/2006