Infrastructure–Governance Asymmetry and Cybersecurity Exposure in Nepal's E-Governance: A South Asian Comparative Study

Stel je een land voor dat een nieuw snelwegennetwerk aanlegt. De wegen zijn breed, de bruggen zijn sterk en het verkeer beweegt sneller dan ooit tevoren. Maar als de verkeerslichten defect zijn, de politie onderbezet is en de bestuurders geen kaart hebben, wordt de snelheid van de auto's eerder een gevaar dan een voordeel. Dit is de kernspanning die wordt verkend in een nieuwe studie naar de digitale wereld van Nepal. Het onderzoek kijkt naar hoe landen technologie gebruiken om hun overheden te runnen — wat experts e-governance noemen. Het onderzoekt twee verschillende zaken: de fysieke en digitale instrumenten die een land bouwt, zoals internetverbindingen en computerservers, en de menselijke en juridische systemen die nodig zijn om deze veilig te beheren, zoals geschoolde werkers, duidelijke regels en het vermogen om problemen te signaleren voordat ze schade veroorzaken. De vraag die dit werk drijft is simpel: terwijl landen racen om meer digitale diensten te bouwen, bouwen ze de vangnetten dan wel snel genoeg om dat tempo bij te houden?

Een onderzoeker aan het Softwarica College in Kathmandu, Ganesh Bhusal, besloot dit idee te testen door nauwkeurig naar de eigen digitale geschiedenis van Nepal te kijken. Hij verzamelde gegevens van twee belangrijke internationale organisaties die deze trends wereldwijd volgen. Eén set cijfers meet hoe goed een land diensten online levert, terwijl de andere meet hoe toegewijd een land is aan het beveiligen van zijn digitale systemen. Door deze cijfers over de afgelopen twee decennia te vergelijken, en door te kijken naar echte beveiligingsincidenten die in Nepal hebben plaatsgevonden, onthult de studie een verrassende kloof. Het land is ongelooflijk succesvol geweest in het leggen van de digitale basis. Tussen 2020 en 2024 groeide de kwaliteit van de telecommunicatie-infrastructuur met meer dan zestig procent. De capaciteit om die systemen echter te besturen en burgers hierbij te betrekken, bleef echter achter. Sterker nog, de maatstaf voor de mate waarin burgers online kunnen deelnemen aan overheidsbeslissingen daalde tijdens diezelfde periode met veertig procent. De onderzoekers noemen deze mismatch "infrastructuur–governance-asymmetrie". Het betekent dat de digitale snelweg sneller wordt geasfalteerd dan de verkeersregels en de veiligheidsteams kunnen worden georganiseerd.

De studie stopt niet bij alleen het bekijken van Nepal; het plaatst het land naast zijn buren in Zuid-Azië om te zien of dit een lokaal probleem is of een regionaal patroon. De vergelijking laat zien dat hoewel India en Bhutan ook hun digitale wegen snel aanleggen, de kloof tussen bouwen en besturen in Nepal groter is dan die van hen. Een bijzonder onthullende bevinding komt voort uit het kijken naar hoe landen scoren op beveiliging. Nepal heeft op papier zeer sterke wetten. De score voor juridische maatregelen met betrekking tot cybersecurity behoort tot de hoogste in de regio en ligt vlak naast de koplopers. Toch, wanneer het gaat om de praktische vaardigheden die nodig zijn om die wetten te gebruiken — zoals het hebben van de juiste technische middelen en internationale samenwerking om hackers te stoppen — zijn de scores van Nepal de laagste in de groep. Dit suggerekt dat het hebben van een wet niet hetzelfde is als het hebben van de capaciteit om deze te handhaven. De studie vond ook dat andere landen, zoals Pakistan en Bangladesh, zeer hoge scores hebben op de inzet voor beveiliging, maar relatief lage niveaus van feitelijke digitale dienstontwikkeling. Dit waarschuwt tegen de aanname dat een hoge score op een beveiligingschecklist betekent dat een land daadwerkelijk veilig is; het kan simpelweg betekenen dat ze goede regels hebben geschreven zonder het personeel om ze na te leven.

Om te begrijpen hoe deze kloof er in de praktijk uitziet, onderzocht de onderzoeker zes specifieke beveiligingsincidenten die tussen 2020 en 2026 in Nepal hebben plaatsgevonden. Deze gebeurtenissen varieerden van een grote storing die overheidswebsites platlegde en internationale vluchten vertraagde tot hackers die miljoens aan burgergegevens stalen. Er ontstond een kritiek patroon in hoe deze problemen werden ontdekt. In bijna alle gevallen ontdekte de overheid de inbreuk niet zelf. In plaats daarvan werden de problemen onthuld door externe groepen, zoals beveiligingsonderzoekers, buitenlandse monitoringsdiensten of de hackers zelf die de gestolen gegevens aanboden. Een opmerkelijk geval betrof een overheidsinstantie die pas besefte dat zij gecompromitteerd was nadat zij zich had aangesloten bij een externe dienst die gelekte wachtwoorden bijhoudt. Dit geeft aan dat het interne vermogen om op gevaar te letten zwak is. De overheid vertrouwt op buitenstaanders om haar te vertellen wanneer haar eigen systemen defect zijn.

De studie kijdt ook naar een nieuwe en snelgroeiende trend: het gebruik van kunstmatige intelligentie om computercode voor regeringssystemen te schrijven. Een staatsbedrijf in Nepal is begonnen met het gebruik van AI-tools om binnen enkele uren werkende software te bouwen, een proces dat vroeger weken duurde. Hoewel dit de ontwikkeling versnelt, introduceert het een nieuw risico. De overheid beweert dat menselijke teams de gegenereerde AI-code controleren en testen, maar er is geen publiek bewijs dat laat zien hoe dat beoordelingsproces eruitziet of wie daarvoor verantwoordelijk is. De hoofden van het nationale cybersecuritycentrum heeft toegegeven dat deze snelle adoptie "blinde vlekken" creëert, waarbij instanties systemen bouwen zonder de beveiliging eronder volledig te begrijpen. De research beweert niet dat AI al een specifieke ramp heeft veroorzaakt, maar benadrukt een verontrustende realiteit: de snelheid waarmee software wordt gebouwd neemt toe, terwijl de snelheid waarmee die software op veiligheid wordt gecontroleerd niet duidelijk even hard meegroeit.

Uiteindelijk betoogt het artikel dat de oplossing niet alleen bestaat uit het schrijven van meer wetten of het bouwen van meer servers. De gegevens tonen aan dat Nepal al sterke wetten heeft en de infrastructuur in een recordtempo opbouwt. Het ontbrekende deel is de operationele capaciteit om te beheren wat is gebouwd. De aanbevelingen suggereren dat het land zwaar moet investeren in het trainen van zijn eigen personeel om beveiligingsproblemen te detecteren en op te lossen, in plaats van te vertrouwen op externe hulp om ze te vinden. Het roept ook op tot een systeem waarbij de snelheid van het bouwen van nieuwe digitale tools wordt afgestemd op een geverifieerd, gedocumenteerd proces voor het controleren van de veiligheid ervan. De studie concludeert dat totdat het vermogen om digitale systemen te besturen en te beveiligen met dezelfde snelheid groeit als de systemen zelf, de snelle expansie van e-governance het land kwetsbaar zal achterlaten. De weg wordt gebouwd, maar de veiligheidsploeg haalt nog steeds in.