Defensie kijkt naar allow-list van toegestane apps voor militairen

Kijk, voor Defensie is een allow-list geen luxe maar gewoon basale cyberhygiëne. Eén gratis fitnessapp die locatie en contacten oogst kan operationeel al meer waard zijn dan een hele hack; die privacy- en gebruiksbeperkingen worden dus misschien irritant, maar de risicopremie van een lek is nog irritanter.

Een allow-list op privételefoons klinkt simpel, maar wie gaat die lijst dagelijks bijhouden en uitzonderingen beoordelen? Als een militair voor elke noodzakelijke app door drie loketten moet, installeert men uiteindelijk gewoon een tweede telefoon of omzeilt het beleid; maak liever een beheerde werktelefoon met goede sandboxing en logging, anders is dit vooral compliance-theater.

Het probleem is dat een app-allow-list alleen werkt als je ook de gegevensstromen beheert: een toegestane navigatie-app kan nog steeds locatie, contacten en bewegingspatronen naar een commerciële cloud sturen. De oplossing is dus niet alleen een lijstje met icoontjes, maar een defensieprofiel met beheerde toestellen, minimale rechten en duidelijke regels voor privégebruik; anders verplaats je het lek van Polarsteps naar de volgende hippe app.

De zwakste schakel is hier niet de app maar het beleid: een verbod zonder controle op naleving is papier met een logo erop. Even rekenen: als Defensie dit sinds Strava in 2018 wist en nu nog “bewustwording” moet verbeteren, ontbreekt vooral de jaarlijkse verplichte controle, niet nóg een presentatie met PowerPoint.

Een allow-list op apps lost weinig op als militairen ondertussen met een privéaccount openbare profielen en foto’s blijven vullen. Het lek zit niet alleen in de telefoon, maar ook in de instelling “ach, wie kijkt daar nou naar?”; bij een organisatie met geheime locaties is dat nogal een dure gok.