A Design Science Approach to Zero Trust Cyber Risk Governance in Digital Government Platforms: Development and Evaluation of the CRGMM Framework

Stel je de digitale overheid van Koeweit, Sahel, voor als een enorm, supersnel treinstation. In plaats van 433 afzonderlijke ticketbalies, elk met een eigen bewaker en wachtkamer, heeft de overheid één gigantisch, hoogtechnologisch terminal gebouwd waar iedereen door één enkele poort naar binnen gaat. Dit is briljant voor snelheid en gemak: je kunt een treinkaartje kopen, je paspoort verlengen en een energierekening betalen op één en dezelfde plek. Maar hier komt de crux: als een dief dit ene terminal binnenbreekt, steelt hij niet alleen het kaartje van één persoon; hij kan potentieel de sleutels van het gehele transportnetwerk van de stad bemachtigen.

Dit artikel, geschreven door Abdullah F. Alenezi, betoogt dat hoewel Koeweit een zeer luxe treinstation heeft gebouwd met een aantal coole nieuwe sloten (zoals vingerafdrukscanners), de blauwdruk voor de beveiligers ontbreend is. Het station draait op "Zero Trust"-principes (een chique manier om te zeggen: "vertrouw niemand, controleer altijd het ID"), maar de regels voor wie de ID's mag controleren en wat er gebeurt als de sloten worden geforceerd, zijn nog niet in de wet vastgelegd.

Het Grote Probleem: De "Concentratieparadox"

Het artikel noemt dit de Concentratieparadox. Het is alsof je al je eieren in één mandje legt omdat dat makkelijker te dragen is, om er vervolgens achter te komen dat als het mandje valt, je alle eieren tegelijk verliest.

• Het Goede Nieuws: Het station is operationeel. Er zijn meer dan 122 miljoen ritten afgelegd en de vingerafdrukscanners (genaamd Hawyti) werken.
• Het Slechte Nieuws: Het station is een Systemically Important Government Platform (SIGP). Dit betekent dat het zo belangrijk is dat als het crasht, het hele land de gevolgen voelt. Toch stelt het artikel vast dat het "nooduitgangplan" en de "wetgeving voor gegevensbescherming" van het station nog steeds in de ontwerpfase zitten.

De "CRGMM"-tool: Een Rapportcijfer voor Beveiliging

Om dit op te lossen, heeft de auteur een nieuwe tool uitgevonden genaamd de Cyber Risk Governance Maturity Model (CRGMM). Zie dit als een gespecialiseerd rapportcijfer dat specifiek is ontworpen voor gigantische digitale treinstations, en niet alleen voor gewone kantoren.

De meeste bestaande rapportcijfers (zoals CMMI of NIST CSF) zijn als het controleren of een enkele auto werkende remmen heeft. Maar Sahel is een hele vloot van 433 auto's die aan elkaar gekoppeld zijn. De oude rapportcijfers weten niet hoe ze de verbinding tussen de auto's moeten beoordelen.

Het nieuwe CRGMM-rapportcijfer heeft zes dimensies (zoals zes verschillende schoolvakken) en vijf niveaus (van "Onvoldoende" tot "A+"). De auteur heeft dit rapportcijfer getest bij een panel van 15 experts (een mix van universiteitsprofessoren, overheidsmedewerkers in de tech-sector en beveiligingsprofessionals). De experts kwamen tot overeenstemming over de cijfers met een score van 0,76 (wat in de wereld van statistiek een solide "B+" niveau van overeenstemming is).

Wat het Rapportcijfer Vond

Toen de auteur dit nieuwe rapportcijfer toepaste op het Sahel-platform van Koeweit, waren de resultaten een mix van "Geweldige Hardware" en "Ontbrekende Regels":

1. De "Kritieke" Risico's: Het artikel identificeerde twee dreigingen als Kritiek (het hoogste gevaarniveau, met een score van 20 van de 25).

   • Platform Identiteitsfraude: Boeven die zich voordoen als het station (nep-apps, phishing-berichten). Het station heeft een knop om fraude te melden (genaamd Aman), maar dat is als een brievenbus voor klachten zonder een politiekorps om de criminelen daadwerkelijk te vangen.
   • Grensoverschrijdend Gegevenslek tussen Instanties: Omdat 38 verschillende overheidsinstanties met elkaar verbonden zijn, kan een hacker die bij de zwakke vergrendeling van één instantie binnenbreekt, direct doorlopen naar de andere. Het artikel stelt dat er geen regel is die deze instanties verplicht om een "Zero Trust"-systeem te gebruiken (waarbij je bij elke deur het ID controleert, niet alleen bij de hoofdingang).

2. De "Ontbrekende" Wetten: Het artikel wijst op een enorme kloof: Koeweit heeft nog geen Wet op de Bescherming van Persoonsgegevens (PDPL) of een onafhankelijke Autoriteit voor Gegevensbescherming (DPA).

   • Analogie: Het is alsof je een bankkluis bouwt met een hypermoderne stalen deur, maar de bank heeft geen wet die zegt dat de kluis op slot moet, en er is geen politieagent toegewezen om de kluis te bewaken. Het artikel betoogt dat zonder deze wetten, de mooie deur slechts decoratie is.

3. De "Biometrische" Valstrik: Het station maakt gebruik van vingerafdrukken en gezichtsscans. Het artikel waarschuwt dat, in tegenstelling tot een wachtwoord, je een vingerafdruk niet kunt veranderen als deze gestolen is. Als een hacker de biometrische gegevens steelt, is dat voor altijd verloren. Het artikel stelt dat er nog geen specifieke wetten zijn om deze "onomkeerbare" gegevens te beschermen.

Wat het Papier Uitsluit

De auteur is zeer duidelijk over wat niet zal werken:

• Alleen "Een Vinkje Zet": Je kunt niet simpelweg zeggen "Wij zijn ISO 27001 gecertificeerd" (een standaard voor beveiliging) en klaar zijn. Het artikel betoogt dat certificering zonder een echte wet erachter "oppervlakkige naleving" is: het ziet er op papier goed uit, maar het stopt de dieven niet echt.
• Wachten tot de Tijd het Oplost: Het artikel verwerpt het idee dat de beveiligingsproblemen zichzelf zullen oplossen naarmate het platform groeit. Sterker nog, hoe meer diensten je toevoegt, hoe groter het risico wordt, omdat de "governance gap" (het gat in de regelgeving) steeds breder wordt.
• Bedrijfsmodellen Kopiëren: Je kunt niet zomaar beveiligingsregels gebruiken die ontworpen zijn voor een gewoon bedrijf (zoals een bank of een techbedrijf), omdat een overheidsplatform te maken heeft met burgers, niet alleen met werknemers. De regels moeten anders zijn.

Het Voorgestelde Stappenplan: Een Driefasig Plan

Het artikel stelt een stapsgewijs plan voor om het station te repareren, maar benadrukt dat de juiste volgorde essentieel is. Je kunt het dak niet bouwen voordat je het fundament hebt gegoten.

• Fase 1 (Het Fundament - 0 tot 18 maanden): Voordat je meer technologie toevoegt, moet je de wetten schrijven.
  • Voer een Wet op de Bescherming van Persoonsgegevens in.
  • Richt een onafhankelijke Autoriteit voor Gegevensbescherming op (een politiemacht voor data).
  • Maak een publiek plan voor wat er moet gebeuren bij een datalek (inclusclusief het informeren van burgers binnen 72 uur).
• Fase 2 (De Structuur - 18 tot 36 maanden): Nu bouw je de technische regels.
  • Verplicht alle instanties om gecertificeerd te zijn en Zero Trust te gebruiken (ID controleren bij elke deur).
  • Creëer een speciale bescherming voor de vingerafdrukgegevens.
• Fase 3 (De Cultuur - 36 tot 60 maanden): Leer de passagiers.
  • Start een programma om burgers (in meerdere talen) te leren hoe ze oplichting kunnen herkennen.

Hoe Zeker Zijn We?

Het artikel is zeer zorgvuldig over wat het weet en wat het vermoedt.

• Bewezen: De auteur heeft de huidige staat gemeten met behandeling van publieke documenten en een panel van experts. De score van 0,76 overeenstemming onder experts is een hard feit.
• Gesimuleerd/Berekend: De "Risicoscores" (zoals de 20 voor fraude) zijn berekend op basis van een formule (Kans × Impact) met behulp van bekende gegevens. Het zijn geen gokjes, maar ze zijn gebaseerd op publiekelijk beschikbare informatie, niet op geheime interne tests.
• Gesuggereerd: Het "Driefasige Plan" is een aanbeveling. Het artikel stelt voor dat dit de beste weg vooruit is, maar het is nog niet in de echte wereld getest. De auteur geeft toe dat hij geen "red team" (een groep hackers die probeert in te breken) kon uitvoeren, omdat die data niet publiek toegankelijk is.

De Kern van het Verhaal

Het artikel concludeert dat het digitale station van Koeweit een technisch wonder is, maar dat het in een juridisch vacuüm draait. De CRGMM-tool laat zien dat de technologie klaar is, maar dat de governance (de regels en wetten) achterloopt. De auteur betoogt dat om het station veilig te houden, de overheid moet stoppen met het toevoegen van nieuwe diensten en moet beginnen met het schrijven van de wetten die de diensten die ze al hebben beschermen. Het is een oproep om de "regels van de weg" te bouwen voordat de "auto's" nog sneller gaan.