Over DigiNotar is onderhand voldoende geschreven. Toch zijn de grote vragen over het bedrijf nog steeds niet beantwoord: hoe kan een bedrijf waar veiligheid een USP hoort te zijn, zoveel steken laten vallen? Welke mechanismen zijn daar aan het werk: onverschilligheid, nalatigheid, competentiestrijdjes, budgetoverwegingen, niet weten, verkeerde mensen op verkeerde plekken, cultuur? En waar zijn de recente auditrapporten over DigiNotar? Wat mij betreft hoeft er geen toezichthouder bij te komen. Als het goed is, laten dergelijke bedrijven hun systemen auditen. Daar kun je als klant naar vragen. Geen audit? Dan word je geen klant.

Als het goed is, hebben de DigiNotars van deze wereld een SAS70-verklaring of een equivalent. Geen verklaring? Dan word je geen klant. Als het goed is, staat er in het jaarverslag – gecontroleerd door een accountant – een passage over risicomanagement en factoren die de continuïteit van een onderneming beïnvloeden. Staat dat er niet? Misschien moet je dan maar geen klant worden. Misschien moet je als klant wel eens beginnen met het formuleren van een veiligheidsbeleid van je digitale omgeving; welke eisen stel je aan degenen die jou beveiligen? In retrospect lijkt het er in ieder geval op dat onze nationale overheid adequaat gereageerd heeft n.a.v. het DigiNotar-bedrijfsongeluk. Bij DigiNotar zijn de rapen gaar en de druiven zuur. Voor het feit dat mensen binnen DigiNotar bewust steken hebben laten vallen, zullen mensen zich moeten verantwoorden.

Voor degene die er bij DigiNotar niets mee te maken had, is DigiNotar nu niet meer iets dat je graag op je LinkedIn-CV laat staan. Ik kwam er afgelopen zondag nog een stuk of tien tegen. De moraal: sjoemelen en sjacheren met je veiligheid kost je de kop!