Print:

Robots op de werkvloer: dit is wat Data Protection Officers erover moeten weten

Robotic Process Automation (RPA) roept onvermijdelijk vragen op over security en dataprotectie. Security-expert Peter Rietveld vertelt over de ontwikkelingen, vraagstukken en do’s & dont’s. Zijn advies aan privacyprofessionals: stel kritische vragen.

 “Bij het gemiddelde project met Robotic Process Automation (RPA) zal ik niet aardig worden gevonden. Als security architect stel ik nogal eens lastige vragen”, zegt Peter Rietveld, competence manager bij adviesbureau Traxion en security architect bij Ahold Delhaize. Rietveld, die op 15 november tijdens het Dataprotectie & Privacy Congres een workshop verzorgt over robotics op de werkvloer, was betrokken bij diverse RPA-projecten van Ahold. “Natuurlijk wil je de toepassing van RPA niet tegenhouden. De vraag is: hoe kan je zorgen dat het goed werkt, ook vanuit het oogpunt van security en dataprotectie?”

Peter Rietveld_Traxion IIRBij Ahold zijn in 2018 de eerste projecten met RPA (dat wel wordt omschreven als het automatiseren van repetitieve handelingen door middel van software) afgerond. Op dit moment zijn er nog diverse nieuwe projecten in ontwikkeling. Binnen Ahold Delhaize zullen aan het einde van 2019 naar schatting 200 bots actief zijn. Het gaat bijvoorbeeld om applicaties waarmee klanten betere gepersonaliseerde aanbiedingen ontvangen, en om bots die medewerkers van de servicedesk ondersteunen om klantvragen sneller af te handelen.

“Het kader voor security en dataprotectie zoals organisaties dat nu kennen is toegesneden op mensen en niet op robots”, zegt Rietveld over de grootste uitdaging bij de toepassing van robotics op de werkvloer. “Het klassieke paradigma van IT-security gaat ervan uit dat de gebruiker een mens is. Dat blijkt wel als je het gaat hebben over sterke authenticatie. Bij RPA kunnen naast medewerkers en leveranciers ook applicaties toegang tot IT-systemen hebben. Dan is de vraag: welke biometrische beveiliging werkt dan nog? We kunnen dus niet zomaar de traditionele methoden van identiteitsmanagement en autorisatieprocedures op robots toepassen. Tot welke documenten, systemen en netwerken mag een applicatie toegang hebben? Hoe stellen we vast welke robot het is? Hoe detecteren we wanneer een robot gekaapt is? Als je hierover niet de juiste keuzes maakt dan ontstaan er hele grote problemen.” Het kan betekenen dat een robot niet goed functioneert, of dat de beveiliging verzwakt.

Traditionele beveiliging omkeren

In de praktijk betekent RPA dat het klassieke paradigma van IT-security eigenlijk volledig moet worden omgedraaid, zegt Rietveld. “Idealiter neem je bij het eerste RPA-project dat je oppakt direct security mee, bijvoorbeeld door te zorgen voor de juiste autorisatie. Veel IT-systemen met gevoelige gegevens, zoals de financiële administratie, zijn niet buiten kantooruren toegankelijk. Maar robots werken dag en nacht – dat is nu juist een van de voordelen van RPA. In zekere zin moet de traditionele beveiliging daardoor op bepaalde plekken onveiliger worden om robots hun werk te kunnen laten doen.”

Ook het uitgangspunt dat medewerkers voor een specifieke periode, die samenhangt met hun functie en arbeidsovereenkomst, toegang krijgen tot netwerken en systemen komt met RPA ter discussie te staan. Robots werken namens een team of afdeling, en in principe voor een onbepaalde tijd.

Early days

De security-oplossingen voor de inzet van robotics op de werkvloer zijn niet extreem complex, maar vragen wel de nodige tijd en aandacht, ziet Rietveld. “Het kost tijd om alles goed te regelen en de tooling is niet altijd toegerust op de nieuwe toepassingen. Dat is logisch, want als het gaat om robotics op de werkvloer is het nog early days. Wereldwijd zijn de eerste implementaties van RPA pas in 2017 gestart. Er liggen dus nog geen standaardoplossingen en best practices klaar.” Er zijn ook nog geen normen, certificaten of wettelijke regels over security bij RPA.

Het kan dan ook lastig zijn om RPA-projecten te testen op security en dataprotectie. “Sommige robots die worden ingezet om te ontdekken welke taken efficiënter of beter kunnen worden uitgevoerd, zijn zelflerende systemen die in allerlei documenten en systemen kijken om er vervolgens analyses van te maken. Dat staat op gespannen voet met beveiliging en privacy.”

RPA en AVG

In de ruim dertien jaar dat hij verbonden is aan Traxion, een adviesbureau met een specialisatie in informatiebeveiliging, werkte Rietveld onder meer bij Defensie, Achmea, SIDN, APG en de Hogeschool Utrecht. Eerder was hij als enterprise security architect werkzaam bij onder meer Fokker, ABN Amro en het UMC van de Radboud Universiteit. In 2018 kreeg Rietveld als security architect bij Ahold niet alleen te maken met de eerste RPA-projecten maar ook met de implementatie van de Algemene verordening gegevensbescherming (AVG).

Het is belangrijk dat projectleiders en product owners beseffen dat een robot niet zomaar bij allerlei persoonsgegevens mag komen, zegt Rietveld over de impact van de AVG op RPA-projecten. “Een applicatie kan als onderdeel van een data-analyse bijvoorbeeld persoonsgegevens uit e-mail of WhatsApp tegenkomen. Dat hoeft geen probleem te zijn, als de organisatie hiervoor een wettelijke grondslag heeft en er duidelijke afspraken zijn over de zorgvuldige omgang met persoonsgegevens. Maar de AVG is gebaseerd op het klassieke beveiligingsparadigma, waarin mensen toegang hebben tot gegevens. Zolang niet glashelder is hoe we omgaan met de vraag wie of wat er toegang mag hebben tot persoonsgegevens, is RPA gevaarlijk terrein voor dataprotectie.”

Ook bij AVG-verplichtingen zoals het nemen van passende beveiligingsmaatregelen en het opstellen van verwerkersovereenkomsten kan rekening worden gehouden met de werking van RPA. “Zo lang RPA nog geen gebruik maakt van Artificial Intelligence (AI) is het relatief eenvoudig om te zorgen dat alle betrokkenen persoonsgegevens netjes verwerken. Leg bijvoorbeeld in de verwerkersovereenkomst met leveranciers vast dat zij geen toegang hebben tot de informatie in de systemen, ook al heeft de applicatie dat wel.”

Problemen met paradigma’s

Wat is voor professionals die zich bezighouden met de AVG, dataprotectie en privacy nu de grootste opgave als het gaat om robotics? Rietveld ziet de bestaande paradigma’s voor security en privacy als grootste struikelblokken. “In ons digitale tijdperk worden steeds meer diensten uitbesteed aan allerlei leveranciers, die vervolgens ook weer andere partijen inschakelen. Bij grote organisaties hebben soms letterlijk duizenden externen – van vrachtwagenchauffeurs die goederen afleveren aan magazijnen tot monteurs die zorgen voor het onderhoud van airco’s, liften en roltrappen – toegang tot digitale systemen en netwerken. Maar security en dataprotectie richten zich primair op het gedrag van medewerkers en contractors. De huidige maatregelen hebben vaak onvoldoende oog voor de risico’s van de lange leveranciersketens.”

Rietveld adviseert om bewust stil te staan bij de actuele ontwikkelingen. “Robotics is een relatief nieuw thema waarover nog veel onbekend is en waarover de nodige onzin wordt verteld. Ik hoor bijvoorbeeld regelmatig dat een bepaalde toepassing al door banken wordt gebruikt en daardoor echt veilig is. Maar ook bij financiële instellingen kunnen natuurlijk problemen met security ontstaan.”

Er wordt ook nogal eens gezegd dat robots – in tegenstelling tot mensen – geen fouten kunnen maken en daardoor goed bestand zijn tegen hackers. “Maar je kunt een computer zeker misleiden – en dat geldt ook voor robots. Neem dus de tijd om goed na te denken over alle risico’s, en laat je niet voorhouden dat er best practices zijn, of dat er een snel besluit nodig is om RPA succesvol toe te passen.”

Toekomstmuziek

Volgens Rietveld mogen privacyprofessionals gerust kritische vragen stellen over de (on)mogelijkheden van robotics. “Veel RPA’s zijn nu in feite niet meer dan slimme algoritmen en scripts die met afgebakende datasets werken. De integratie met AI en machine learning is echt nog toekomstmuziek, ook al willen marketeers ons wel eens doen geloven dat het een belofte is voor de nabije toekomst . Bij AI-systemen die te maken krijgen met datasets met een groeiend aantal variabelen treedt al snel catastrophic forgetting op: als de dataset te groot en complex wordt, is het algoritme alles wat het tot dan toe heeft geleerd in één klap vergeten.”

Laat je niet afschrikken door het idee dat robotica een ingewikkeld onderwerp is waarover je allerlei technische details moet weten, zegt Rietveld. “Technische innovaties associëren we bijna als vanzelfsprekend met iets ingewikkelds. Maar het is altijd mogelijk om functioneel uit te leggen wat een robot onder bepaalde omstandigheden doet. Wat mij betreft hebben degenen die komen met een innovatie zoals RPA de verantwoordelijkheid om simpel uit te leggen hoe het werkt.”

Peter Rietveld is een van de vele sprekers van het Dataprotectie & Privacy Congres dat op 14 en 15 november plaatsvindt in Utrecht. Bekijk het gehele programma en boek tickets via de website van IIR.

Meer informatie?

Laat uw e-mail achter en ontvang de brochure direct in uw mailbox.