Werk minder leuk door meer en meer regulering

[boxlessness]

Ik werk al lange tijd in de onderzoek-tak van een groot bedrijf en maak daar software. Toen ik daar begon 10+ jaar geleden was het heel leuk en kon je gemakkelijk onderzoekjes, testen en interviews doen met gebruikers. Je was lekker bezig met "gewoon coole shit maken".

Maar de laatste paar jaren, en zeker na de komst van de AVG, wordt alles heel erg dicht getimmerd. Security en procedures worden almaar groter en breder uitgerold. "Even" met iemand gaan praten buiten het bedrijf wordt moeilijker en hangt een heel legal-traject aan vast.
Een proef of trial doen, zelfs van een stukje hardware/software bij jezelf in de thuis-situatie, moet goedgekeurd worden en kost nu weken/maanden aan doorlooptijd. Dat komt door een berg aan formulieren en vergaderingen, en als je pech hebt bijvoorbeeld penetratietesten op je web-interface die door een andere partij uitgevoerd worden. En je moet daar allemaal zelf achteraan, naast het gewone werk van "coole shit maken", want er wordt wel verwacht dat je een duizendpoot bent die naast heel veel domeinkennis ook veel moet weten van security, privacy en legal.

Ik zie zeker de waarde van een goede kijk op security, privacy en compliance. Zaken moeten voldoende dicht zitten, maar het voelt alsof we wat door slaan.
Ik voel me dan ook niet meer echt "veilig" om in mijn werk uberhaupt nog iets te maken wat aan het internet moet hangen, omdat als je fouten maakt bij de procedures je baan op het spel staat. Ik weet wel wat van security en encryptie, maar ik ben geen expert en werk daar niet vaak genoeg mee om dat gemakkelijk en snel te kunnen.
Ik voel de drempel almaar hoger en hoger worden, en daarmee mijn motivatie lager en lager.

Hoe zit dat in jullie werk? Is daar een soortgelijke trend aan de gang? En wat voor gevolgen heeft dat?

[Hydra]

knip bijdrage op niet-constructieve wijze gebracht

[ Voor 76% gewijzigd door Rukapul op 22-06-2019 08:52 ]

[TheGhostInc]

boxlessness schreef op vrijdag 21 juni 2019 @ 11:35:
En je moet daar allemaal zelf achteraan, naast het gewone werk van "coole shit maken", want er wordt wel verwacht dat je een duizendpoot bent die naast heel veel domeinkennis ook veel moet weten van security, privacy en legal.

Nee hoor, je moet het alleen 'borgen'.
Wat in normale taal betekent dat je een profesional erbij hebt die dat kan overzien en kan bewaken. Misschien bestaat die duizend poot niet en heb je 3 mensen nodig.
En de eerste keer ben je misschien 3 maanden bezig, maar daarna heb je je blauwdruk om in het vervolg in een paar uur dit af te tikken.

boxlessness schreef op vrijdag 21 juni 2019 @ 11:35:
Ik werk al lange tijd in de onderzoek-tak van een groot bedrijf en maak daar software. Toen ik daar begon 10+ jaar geleden was het heel leuk en kon je gemakkelijk onderzoekjes, testen en interviews doen met gebruikers. Je was lekker bezig met "gewoon coole shit maken".

Stel jij vertrekt morgen, hoeveel van jouw 10+ jaar werk is 'veilig' en 'goed'.
Er staat nergens een DB-tje met gegevens, een excel met wat namen, een mail uitwisseling met wat persoonsgegevens?
En ook niet ergens op een backup?
(Stel je gooit alles weg op je laatste dag en de volgende dag halen ze alles terug)

Daarnaast vraag ik me ook af hoe jij kunt bewijzen dat jouw datasets waarde hebben. Als het zo lek als een mandje is, fouten/bugs heeft, dan kun je nooit meer garanderen dat je data klopt.

boxlessness schreef op vrijdag 21 juni 2019 @ 11:35:
Ik voel de drempel almaar hoger en hoger worden, en daarmee mijn motivatie lager en lager.

Hoe zit dat in jullie werk? Is daar een soortgelijke trend aan de gang? En wat voor gevolgen heeft dat?

Ik merk vooral dat 'Seniors' maar zelden die titel waardig zijn.
Een fatsoenlijk ontwerp, met test/implementatie/beheer plannetje (Totaal 1 A4-tje, dagje werk) en bijna al je problemen verdwijnen.

Maar mensen bouwen liever 'coole shit', wat ik vertaal naar een WC-pot halen bij de bouwmarkt, stukje karton erboven met 'WC' en dan gaan klagen als de schijt overal zit. 'Iets met een afvoer nodig'

Maar in de IT is het letterlijk zo dat een blogje lezen of youtube videotje kijken al 'genoeg is'.
Vergelijk dat eens met vrachtwagen rijden, hoe lang zou het duren, met youtube erbij, voordat je rondrijdt? Half uurtje?

Ik ben betrokken geweest bij een groot AVG project en daar begonnen de Senior Senior's, dus 'de toppers' vragen te stellen een JAAR na ingang van de AVG waarom dit allemaal nodig was, dat ze hun werk niet meer konden doen etc etc.
Die 'toppers' steken dus al 3 tot 5 jaar hun kop in het zand. Bouwen troep die niet voldoet en de boeman is dan de boodschapper.

Die 'toppers' wil je niet eens als vrachtwagenchauffeur of loodgieter!

[eamelink]

Hoe belangrijk is het voor jouw werk om daadwerkelijk onderdeel te zijn van dat grote bedrijf?

Wellicht zou jullie onderzoeksafdeling wat kunnen verzelfstandigen? Dat betekent minder toegang tot infrastructuur van het moederbedrijf maar waarschijnlijk meer vrijheid. En dan verplaatst de meeste juridische en risk-rompslomp zich van het begin van het traject bij jullie, naar het moment dat iets wat jullie bedacht of gemaakt hebben “echt” gebouwd moet worden.

[t_captain]

Er is een spectrum van organisaties met verschillende leeftijden (jong <--> oud), culturen (informeel <--> formeel) en omvang (klein <--> groot).

Iedereen heeft een favoriete omgeving.

[Michael van S]

Hoi Boxlessness,

Ik ben zelf een FG. Vervelend dat je tegen AVG restricties aanloopt. Kan je mij vertellen waar je precies tegen aanloopt? Zijn er problemen met de rechtsgrond, de wettelijke basis of het doel van de verwerking van de persoonsgegevens die je gebruikt? Moet je overal toestemming voor hebben? Misschien is het allemaal niet zo moeilijk als het lijkt en kan ik je wat pointers geven.

Groetjes, Michael

[Verwijderd]

Michael van S schreef op zaterdag 22 juni 2019 @ 10:41:
Hoi Boxlessness,

Ik ben zelf een FG. Vervelend dat je tegen AVG restricties aanloopt. Kan je mij vertellen waar je precies tegen aanloopt? Zijn er problemen met de rechtsgrond, de wettelijke basis of het doel van de verwerking van de persoonsgegevens die je gebruikt? Moet je overal toestemming voor hebben? Misschien is het allemaal niet zo moeilijk als het lijkt en kan ik je wat pointers geven.

Groetjes, Michael

Ik ben ook fg en hij loopt niet tegen AVG restricties op, maar de tijd van aanklooien is voorbij en er wordt nu verwacht dat producten op allerlei vlakken volwassen zijn en minimale zaken geborgd zijn. Gewoon coole shit bouwen vertaal ik naar aanklooien, dat mag een startpunt zijn, maar eigenlijk nog niet eens.

Simpelweg omdat management doorheeft dat het publiek het langzaam niet meer pikt als je met rotzooi aankomt die niet voldoet op allerhande vlakken. Waaronder privacy en security.

[gambieter]

Dit is niet specifiek voor deze tak. Ik ben bioloog en als ik terugdenk aan toen ik een promovendus was ruim jaar terug waren er veel minder regels en was er veel meer vrijheid. Hell, de regels die ik gebroken heb, ik zeg altijd maar tegen de huidige generatie "kap maar met de excuses, ik ken ze allemaal en heb ze gebruikt, en ze kunnen niet meer" . Zelfs als ik probeer te corrigeren voor de onvermijdelijke roze bril van "vroegah was alles beter". Health & Safety, boekhouding, deadlines enzovoort.

Helaas zal dat niet snel meer verbeteren, alleen maar strenger worden. De pro-tip is "pick your battles" en "is this the hill you want to die on?"

[burne]

boxlessness schreef op vrijdag 21 juni 2019 @ 11:35:
[..]

Ik voel de drempel almaar hoger en hoger worden, en daarmee mijn motivatie lager en lager.

Hoe zit dat in jullie werk? Is daar een soortgelijke trend aan de gang? En wat voor gevolgen heeft dat?

Die drempel is het probleem voor je, maar kun je het niet zien als uitdaging om beter te worden en meer te leren?

Ik host wat jij maakt. Vroeger, toen ik net begon was een website een foldertje. Tegenwoordig hebben we enorm complexe websites die data verzamelen uit andere websites, dat samenvoegen en masseren en met hun gebruikers daar iets van maken. (Voorbeeldje, niet door mij gehost, maar wel met dezelfde gegevens bijelkaar ge-ebXML-d uit diverse datasets en publieke basisadministraties..). We doen dingen voor overheden en ziekenhuizen, dus we hebben certificeringen (ISO-normen) verzameld. 27000, 9000, NEN7510. Dingen moeten robuust dus ik heb een hoop geleerd over redundancy en failover. Ik (mijn techniek) zit tussen gebruikers, ontwikkelaars en leveranciers, dus ik moet iemand uit kunnen leggen waarom 'ie TLS moet gebruiken als 'ie gegevens uitwisselt tussen de website en het backend op kantoor.

Ik leer dagelijks nieuwe dingen en ik ben nog altijd niet uitgeleerd.

(En door jezelf te sturen in wat je leert kun je het leuker maken voor jezelf om dingen te leren.)

[Montaner]

Ga eens nadenken om een omgeving neer te zetten welke als basis kan dienen voor je experimenten. Alle aspecten van deze omgeving laat je eenmalig een goedkeuring krijgen van CLR en security. Heb je voor een experiment een afwijkend component of dataset nodig? Dan hoef je enkel en alleen daarvoor weer goedkeuring te krijgen.

De tijd van aanklooien is inderdaad voorbij, maar het is ook niet de tijd om innovatie te remmen door regulering en ontwetendheid. Vind elkaar, en kom tot een samenwerking waar je beide blij mee bent. Of zoek een bedrijf wat hier wel serieus over nadenkt/al nagedacht heeft.

[Fedde]

Ik werk dan niet in de ICT, maar krijg deze signalen ook. Binnen onze BU ben ik (mede-)verantwoordelijk voor de kwaliteitssystemen waarin we bepaalde processen borgen. Wel hebben we deze processen getracht op te schrijven waarin we randvoorwaarden stellen (gebruik van bepaalde formats voor kwaliteit en juridische borging) maar wel vrijheid geven aan de projectmanagers hoe uit te voeren (bijv. keuze uit verschillende manieren van aanbesteden).

Momenteel zijn we wel bezig om de cyclus van het verkrijgen van feedback te verbeteren en het proces tegen het licht te houden. Het laatste wat ik wil hebben is dat mensen door regulering naar het systeem wijzen bij fouten of dat dit verbetering of innovatie remt. Soms wijken we voor bepaalde projecten bewust van processen af om nieuwe mogelijkheiden (wat kan leiden tot) innovatie oid te testen.

Wat me specifiek opvalt in TS zijn bericht is het gevoel dat er geen fouten mogen worden gemaakt. Ik begrijp en deel de mening dat op bepaalde stappen het maken van fouten tot problemen kan leiden, maar men moet wel de ruimte hebben zich te ontwikkelingen en daarbij hoort ook het maken van fouten. M.i. moet hiervoor ook een situatie zijn waarbij je het vertrouwen krijgt te leren van je fouten ipv direct te worden afgestraft.

[Verwijderd1]

Als het je puur om "coole shit maken" gaat en je loopt tegen de AVG aan dan kun je misschien het onderwerp van je "coole shit" veranderen?

De AVG heeft alleen betrekking tot mensen. Afhankelijk van wat je doet kun je wellicht onderzoeken baseren op andere data? Zo zijn er tal van opendata sets beschikbaar op internet. Daarnaast zijn er inmiddels zoveel machines die data produceren (niet met persoonsgegevens of al voldoende geanonimiseerd) dat je daar ook "coole shit" mee kan doen (anomaly detection bijvoorbeeld, variërend van patronen rond fraude tot continue processen met hoogdimensionale data als video / netwerk van sensoren). Al die machines zijn van iemand en volgens mij zijn er ook zat werkgevers die je daarvoor willen betalen.

[Blokker_1999]

Of je maakt je coole shit in een test omgeving met gesimuleerde data. Dan heb je zelf geen last van dingen zoals de AVG en is dat de verantwoordelijkheid van de mensen die de vereisten opstellen en hen die het implementeren.

Aan de wetgeving kan je werkgever uiteindelijk ook niet veel doen. En ja, zij moeten die ook correct implementeren. En als men meer en meer schrik krijgt voor cyberaanvallen, ja dan voelt iedereen dat. Maar dat ga je in alle bedrijven tegenkomen. Ik ken ook maar weinig bedrijven waar innovatie speelt die 10 of 20 jaar later nog hetzelfde aanvoelen als op dag 1.

Maar het belangrijkste voor mij: ga met je manager om de tafel zitten. Bespreek de problemen en ga samen op zoek naar oplossingen. Op je eentje kan je het niet aanpakken.

[Verwijderd]

boxlessness, I hear you....

In mijn bedrijven heeft de AVG als een langzaam ontploffende bom de laatste drie jaar zijn werk gedaan. Van websites die meer legale tekst bevatten dan content, via 15% meer customer support (zoals de luldebehanger die begin dit jaar al zijn data wilde laten verwijderen en nu eist dat we hem een vervangende code sturen) tot telkens problemen bij projecten waar we de klanten meer service willen leveren maar waar ze nu mee in moeten stemmen. Mijn medewerkers zijn ZEER privacy bewust, we hebben nooit iets fout gedaan maar ze haten de AVG met diepgang. Ik heb ook twee web developers ontslagen omdat hun projecten onmogelijk werden.

Het gaat verder. Begin dit jaar was een bevriend bedrijf diep in de problemen en stond op het punt on failliet te gaan en alle klanten in de steek te laten. Ik wilde het overnemen (met de drie werknemers) maar AVG problemen verhinderden dat we die klantendata in onze database opnamen. Ik zou het alle klanten moeten uitleggen en ze 22 vragen moeten voorleggen. Al die verschillende antwoorden zouden dan bepalen wat er wel en niet gebruikt mocht worden. Nu is het bedrijf failliet en de klanten de lul. De data zal nog wel ergens op een harddisk staan, geen idee.

[unezra]

Blokker_1999 schreef op zaterdag 22 juni 2019 @ 18:53:
Of je maakt je coole shit in een test omgeving met gesimuleerde data. Dan heb je zelf geen last van dingen zoals de AVG en is dat de verantwoordelijkheid van de mensen die de vereisten opstellen en hen die het implementeren.

Dat lijkt me de basis.
Op je dev of testomgeving mag helemaal geen live data staan.

Dus inderdaad, coole shit bouwen in een dev omgeving, heb je niets met de AVG te maken.
Wil je op datasets testen die iets te maken heb met live data: Obfuscate ze, zodat ze niet te herleiden zijn maar wel bruikbaar voor je testomgeving om "coole shit te bouwen".

Aan de wetgeving kan je werkgever uiteindelijk ook niet veel doen. En ja, zij moeten die ook correct implementeren. En als men meer en meer schrik krijgt voor cyberaanvallen, ja dan voelt iedereen dat. Maar dat ga je in alle bedrijven tegenkomen. Ik ken ook maar weinig bedrijven waar innovatie speelt die 10 of 20 jaar later nog hetzelfde aanvoelen als op dag 1.

Sowieso slim om je test/dev omgeving los te trekken van de wereld en vooral, je live omgeving, zodat als d'r eens wat lek is, dat niet meteen gevolgen heeft. Zeker dev zou ik op een geïsoleerde omgeving draaien.

Maar het belangrijkste voor mij: ga met je manager om de tafel zitten. Bespreek de problemen en ga samen op zoek naar oplossingen. Op je eentje kan je het niet aanpakken.

Dat dus. In mijn beleving is die AVG helemaal niet zo'n ramp. Je moet alleen wel rekening houden met meer zaken én gruwelijk streng zijn op momenten. Maar, zolang je niet te maken hebt met werkelijke data, heb je er eigenlijk niets of niet zo veel mee te maken.

EDIT: Alleen wanneer je spul naar productie gaat of direct verbinding maakt met de grote boze buitenwereld, zul je moeten zorgen dat het veilig is. Dat heeft alleen weinig met de AVG as-such te maken, maar meer met de veranderende wereld. Wel zijn, vanwege de AVG, de gevolgen mogelijk groter. (Boetes enzo.)

[ Voor 8% gewijzigd door unezra op 22-06-2019 20:05 ]

[Michael van S]

Verwijderd schreef op zaterdag 22 juni 2019 @ 19:44:
boxlessness, I hear you....

In mijn bedrijven heeft de AVG als een langzaam ontploffende bom de laatste drie jaar zijn werk gedaan. Van websites die meer legale tekst bevatten dan content, via 15% meer customer support (zoals de luldebehanger die begin dit jaar al zijn data wilde laten verwijderen en nu eist dat we hem een vervangende code sturen) tot telkens problemen bij projecten waar we de klanten meer service willen leveren maar waar ze nu mee in moeten stemmen. Mijn medewerkers zijn ZEER privacy bewust, we hebben nooit iets fout gedaan maar ze haten de AVG met diepgang. Ik heb ook twee web developers ontslagen omdat hun projecten onmogelijk werden.

Het gaat verder. Begin dit jaar was een bevriend bedrijf diep in de problemen en stond op het punt on failliet te gaan en alle klanten in de steek te laten. Ik wilde het overnemen (met de drie werknemers) maar AVG problemen verhinderden dat we die klantendata in onze database opnamen. Ik zou het alle klanten moeten uitleggen en ze 22 vragen moeten voorleggen. Al die verschillende antwoorden zouden dan bepalen wat er wel en niet gebruikt mocht worden. Nu is het bedrijf failliet en de klanten de lul. De data zal nog wel ergens op een harddisk staan, geen idee.

Bij welke kantoor heb je advies ingewonnen dat je de dpia op deze manier zou moeten inrichten?

[unezra]

Verwijderd schreef op zaterdag 22 juni 2019 @ 19:44:
boxlessness, I hear you....

In mijn bedrijven heeft de AVG als een langzaam ontploffende bom de laatste drie jaar zijn werk gedaan. Van websites die meer legale tekst bevatten dan content, via 15% meer customer support (zoals de luldebehanger die begin dit jaar al zijn data wilde laten verwijderen en nu eist dat we hem een vervangende code sturen) tot telkens problemen bij projecten waar we de klanten meer service willen leveren maar waar ze nu mee in moeten stemmen. Mijn medewerkers zijn ZEER privacy bewust, we hebben nooit iets fout gedaan maar ze haten de AVG met diepgang. Ik heb ook twee web developers ontslagen omdat hun projecten onmogelijk werden.

Het gaat verder. Begin dit jaar was een bevriend bedrijf diep in de problemen en stond op het punt on failliet te gaan en alle klanten in de steek te laten. Ik wilde het overnemen (met de drie werknemers) maar AVG problemen verhinderden dat we die klantendata in onze database opnamen. Ik zou het alle klanten moeten uitleggen en ze 22 vragen moeten voorleggen. Al die verschillende antwoorden zouden dan bepalen wat er wel en niet gebruikt mocht worden. Nu is het bedrijf failliet en de klanten de lul. De data zal nog wel ergens op een harddisk staan, geen idee.

Als ik heel eerlijk ben snap ik het probleem niet.

Je neemt een bedrijf over, je hoeft voor zover ik weet de klanten vervolgens niet lastig te vallen met allerlei vragen. Je stuurt ze een brief dat ze nu klant van jou zijn, klaar.

Same shit met externe gegevensverwerkers. Je moet een verwerkingsovereenkomst hebben maar je hoeft je klanten niet eens te informeren over het feit dát je een verwerkingsovereenkomst aan gaat. Daar hebben ze helemaal niets mee te maken. Het is jouw verantwoordelijkheid.

Kortom, ik vermoed dat er óf wat cruciale details ontbreken óf je het verkeerd hebt aangevlogen. De AVG zou, met de informatie die je geeft, voor zover ik weet geen belemmering hebben mogen vormen voor die bedrijfsovername en het redden van dat bedrijf.

Zo ook TS, ik zie niet in waarom de AVG een belemmering voor het werk van TS zou mogen zijn mits zaken op de juiste manier zijn ingericht en hij zijn coole shit bijvoorbeeld niet, nooit, met live (herleidbare) data bouwt. Dát mag niet en dat is dus volkomen terecht. Maar coole shit kun je prima bouwen met obfuscated data.

[Tweezitsbank]

Ik denk dat je moet accepteren dat je niet alles weet en kunt. Er wordt misschien van je verwacht dat je full stack developer bent en dat devops je ding is maar hoe reëel is dat? De eisen zijn tegenwoordig hoger zoals je zelf al schetst maar je hebt tijd nodig om nieuwe technieken te leren en die tijd moet je jezelf gunnen.

Wat dat betreft vind ik een pentest niet een negatief iets, ik vind het wel fijn als een ander nog even controleert of ik geen onveilige meuk oplever. Wordt er dan iets gevonden? Mooi, weer wat geleerd. Ik neem het mezelf niet kwalijk dat ik van tevoren niet alles al wist.

Ook de avg vind ik niet perse slecht. Voorheen schreven wij vrolijk usernames en tijdstippen naar logfiles. Hadden we dat eigenlijk nodig? Meestal niet. Prima dat een fg dit soort zaken in de gaten houdt.

Al met al denk ik dat je je moet beperken tot zaken waar je kennis van hebt (en wilt hebben) en wat jouw verantwoordelijkheden zijn (en welke niet) en de rest aan specialisten over moet laten. Prima dat die er zijn, laat ze hun werk doen zodat je uiteindelijk samen tot een mooi resultaat komt.

[WebWire]

Ik ben het helemaal met je eens.... Als beheerder wilde ik altijd dat ontwikkelaars zo vrij mogelijk konden zijn d.m.v. sandbox omgevingen waar ze konden doen en laten wat ze wilden. We zijn doorgeslagen met z'n allen met procedures e.d. en worden niet meer geacht om zelf aanvaardbare risico's in te schatten.

[unezra]

WebWire schreef op zondag 23 juni 2019 @ 12:13:
Ik ben het helemaal met je eens.... Als beheerder wilde ik altijd dat ontwikkelaars zo vrij mogelijk konden zijn d.m.v. sandbox omgevingen waar ze konden doen en laten wat ze wilden. We zijn doorgeslagen met z'n allen met procedures e.d. en worden niet meer geacht om zelf aanvaardbare risico's in te schatten.

Als beheerder wil ik graag software die veilig is, stabiel is, goed beheerbaar is, zich netjes gedraagt op het netwerk, etc, etc, etc. Dus wil ik developers die niet alleen geniale code kunnen schrijven, maar ook rekening houden met de omgeving waarin het eindresultaat komt te draaien.

De wereld is nogal veranderd. De risico's, het IT landschap en de afhankelijkheid van IT zijn zó anders dan 20 jaar geleden, dat het logisch is dat er meer regels en procedures zijn. Doorgeslagen? Nee. Ik vind dat de IT eindelijk volwassen aan het worden is.

Tweezitsbank schreef op zondag 23 juni 2019 @ 11:37:
Ik denk dat je moet accepteren dat je niet alles weet en kunt. Er wordt misschien van je verwacht dat je full stack developer bent en dat devops je ding is maar hoe reëel is dat? De eisen zijn tegenwoordig hoger zoals je zelf al schetst maar je hebt tijd nodig om nieuwe technieken te leren en die tijd moet je jezelf gunnen.

Wat dat betreft vind ik een pentest niet een negatief iets, ik vind het wel fijn als een ander nog even controleert of ik geen onveilige meuk oplever. Wordt er dan iets gevonden? Mooi, weer wat geleerd. Ik neem het mezelf niet kwalijk dat ik van tevoren niet alles al wist.

Geen enkele omgeving is 100% veilig, hoe goed je ook je best doet. Dus is het goed dat er pentests zijn, die de lekken met wat geluk voordat je een blackhat binnen hebt, boven water krijgen. Liever een vernietigende pentest, dan op maandagochtend een mailtje met "Ik ben binnen, ik heb totale controle over je ICT onmgeving. Wil je dat ik geen schade aan richt, graag 2 jaaromzetten overmaken op rekening xyz."

Ook de avg vind ik niet perse slecht. Voorheen schreven wij vrolijk usernames en tijdstippen naar logfiles. Hadden we dat eigenlijk nodig? Meestal niet. Prima dat een fg dit soort zaken in de gaten houdt.

Juist.

Ik zie de AVG persoonlijk ook als iets goeds. Het levert daarbij ook een pressiemiddel om eindelijk dingen te doen (pentests) of af te dwingen waar voorheen geen geld voor was. "Het is niet nodig, de risico's vallen wel mee." Nu word je gedwongen een goede, veilige omgeving te hebben én kunnen er sancties volgen als het mis gaat.

Al met al denk ik dat je je moet beperken tot zaken waar je kennis van hebt (en wilt hebben) en wat jouw verantwoordelijkheden zijn (en welke niet) en de rest aan specialisten over moet laten. Prima dat die er zijn, laat ze hun werk doen zodat je uiteindelijk samen tot een mooi resultaat komt.

Juist en vind je al die veiligheidsellende niet leuk, zorg er dan voor dat je er zo min mogelijk mee te maken hebt. (Maar respecteer wel dat vanwege veiligheid, AVG, etc, bepaalde zaken niet (meer) kunnen of mogen.)

[Freeaqingme]

Los van dingen als AVG enzo ben ik wel benieuwd of het ook niet komt door de ervaring/positie van TS zelf die dingen verandert? Als je net begint in het bedrijfsleven als programmeur dan kan je je nog veel meer focussen op alleen het programmeren, de "coole shit maken". Terwijl als je eenmaal wat langer meeloopt, er ook een hoop andere verantwoordelijkheden bij komen kijken.

Onder die andere verantwoordelijkheden kan dan ook vallen "regel jij even dat die pentest binnenkort uitgevoerd wordt?", terwijl zelfs als er 10 jaar terug ook al pentesten werden uitgevoerd dat dan door anderen gecoördineerd werd.

[Cocytus]

Verwijderd schreef op zaterdag 22 juni 2019 @ 19:44:
websites die meer legale tekst bevatten dan content,

Voor wat voor content ontwikkel jij eigenlijk?

[boxlessness]

Michael van S schreef op zaterdag 22 juni 2019 @ 10:41:
Hoi Boxlessness,

Ik ben zelf een FG. Vervelend dat je tegen AVG restricties aanloopt. Kan je mij vertellen waar je precies tegen aanloopt? Zijn er problemen met de rechtsgrond, de wettelijke basis of het doel van de verwerking van de persoonsgegevens die je gebruikt? Moet je overal toestemming voor hebben? Misschien is het allemaal niet zo moeilijk als het lijkt en kan ik je wat pointers geven.

Groetjes, Michael

Het gaat niet alleen om AVG zaken, maar de trend van meer en meer regulering en regels in het algemeen die mij tegen staat. Bijvoorbeeld het spreken met mensen buiten de organisatie dat dicht getimmerd moet worden met contracten en NDA's. Dat is an sich een goede zaak, maar het duurt zo lang omdat er een legal-afdeling tussen zit. Hetzelfde met de AVG/privacy zaken: het duurt zo lang. Dat komt ook omdat die afdelingen die moeten goedkeuren een bottleneck aan het worden zijn. En het gevolg daarvan is dat in plaats dat ze het werk uit handen nemen, er meer papierwerk bij de onderzoekers komt te liggen.

Als ik de reacties zo lees denk ik dat er twee zaken in onze organisatie aan de gang zijn:
1) we hebben dit nog niet gestroomlijnd in onze organisatie. Er zijn dan wel templates voor procedures, maar technische templates zijn er nog niet.
2) duizendpoot zijn is er niet meer bij. Domein/technisch expert zijn, plus infrastructuur opzetten, plus dev-ops kunnen doen, plus privacy, plus legal, is te veel.

Ik voel me af en toe een dinosaurus... 35 jaar oud, en ik been het niet meer bij. Ik wil daarom ook niet verder de ladder omhoog omdat er dan nog meer de breedte in gaat en te maken krijgt met regulering en regelgeving. En ik wil me daar niet mee bezig houden.

[unezra]

boxlessness schreef op maandag 24 juni 2019 @ 12:50:
[...]

Het gaat niet alleen om AVG zaken, maar de trend van meer en meer regulering en regels in het algemeen die mij tegen staat. Bijvoorbeeld het spreken met mensen buiten de organisatie dat dicht getimmerd moet worden met contracten en NDA's. Dat is an sich een goede zaak, maar het duurt zo lang omdat er een legal-afdeling tussen zit. Hetzelfde met de AVG/privacy zaken: het duurt zo lang. Dat komt ook omdat die afdelingen die moeten goedkeuren een bottleneck aan het worden zijn. En het gevolg daarvan is dat in plaats dat ze het werk uit handen nemen, er meer papierwerk bij de onderzoekers komt te liggen.

Als ik de reacties zo lees denk ik dat er twee zaken in onze organisatie aan de gang zijn:
1) we hebben dit nog niet gestroomlijnd in onze organisatie. Er zijn dan wel templates voor procedures, maar technische templates zijn er nog niet.
2) duizendpoot zijn is er niet meer bij. Domein/technisch expert zijn, plus infrastructuur opzetten, plus dev-ops kunnen doen, plus privacy, plus legal, is te veel.

Ik voel me af en toe een dinosaurus... 35 jaar oud, en ik been het niet meer bij. Ik wil daarom ook niet verder de ladder omhoog omdat er dan nog meer de breedte in gaat en te maken krijgt met regulering en regelgeving. En ik wil me daar niet mee bezig houden.

Welkom in de wondere wereld van de dinosaurus.
(Ik ben 41 en werk sinds pak 'm beet mijn 18e fulltime in de ICT. Vooral aan de beheerkant, development heeft me nooit getrokken.)

Verder omhoog hoeft niet, er zijn zat kleinere bedrijven waar je breed kunt blijven. Wil je per-sé in de development hoek blijven, of is een functie als "Allround ICTer" eventueel een optie voor je?

Hoewel men zegt dat ook die functies meer en meer verdwijnen, is daar denk ik, hoop ik, nog wel een zinvolle markt als werknemer. Eventueel zou je ook kunnen kijken naar MKB dienstverleners waar je breed kunt zijn en diensten kunt verlenen aan meerdere kleine organisaties.

Blijft dat je ook dan, meer en meer te maken krijgt met wet- en regelgeving, met een veranderende ICT wereld, etc.

[ Voor 0% gewijzigd door unezra op 24-06-2019 15:10 . Reden: i -> u ]

[vso]

@boxlessness en anders dan @unezra vind ik progammeren wel intressant.
Tja ik snap je wel maar zit je te klagen over je werk of de organisatie.. voor mij nu is dat beetje van beide.
maar erg belangrijk.
De organisatie zal zich aan moeten passen en tja als je je mond dicht houd zal daar niks veranderen.
maar je moet wel begrijpen dat de "klant" dit wel vraagt.

Als ik het van een andere kant bekijk zit er veel werk van bv je collega's ertussen die beneden de maat zit en willen ze die mensen kwijt. of dit de manier is tja .. hmmm


Alleen de sfeer die omschrijft van "baan kwijt" en 300 vergaderingen om iets te wijzigen klinkt mij niet gezond dan is er iemand met weinig inhoudelijk inzicht bezig de boel inzichtelijk te maken maar op een minder sociaal acceptabele manier.

tja in jou geval heb je 2 opties, gooi je cv online EN !!! ga praten met HR/management dat je de uitdaging mist.

In tegenstelling tot Unezra denk ik wel dat je een job kan vinden die minder "regels' heeft, en progammeurs zijn HOT(groot te kort) op de arbeidsmarkt. Dus dit aangeven bij je werkgever zal ook een reactie geven.. zo niet weet je dat het tijd is om te vertrekken, all round ict is nog hmm zou ik niet doen.

Maar dat alles gezegd,je "eisen" voor je huidge werkgever moeten dus wel realistisch zijn, immers hij en jij moeten wel de klant tegemoet komen. (je brood) dus morgen weer zonder vergaderingen thuis werken gaat hem nooit meer worden.. hier dus wat zou het voor jou wel intressant maken ..

[ Voor 8% gewijzigd door vso op 24-06-2019 15:11 ]

[Verwijderd]

Ik heb het in mijn eigen werk zeker gezien. Er zijn een stuk meer procedures waar ik mee rekening moet houden. Maar ik heb er zelf weinig problemen mee.

Maar ik denk wel dat vso gelijk heeft. Genoeg bedrijven die nog niet zo 'streng' zijn en je meer vrijheid geven.

Wel vraag ik mij af of je als dev niet wat meer nog naar de security kant moet kijken (wellicht training volgen) als je je afvraagt of het allemaal wel veilig genoeg is.

[Stoney3K]

Is het niet ook een gevolg van een hoop verantwoordelijkheden die je afdeling er nu ineens (door de AVG) bij krijgt, maar er eigenlijk geen extra manuren bij komen waardoor iedereen veel andere taken erbij krijgt die ze niet zien zitten? Maw: Wel meer werk gekregen, maar er is niemand bij gekomen?

Als jij de ruimte zou krijgen om je meer op je ontwikkelwerk te focusen en alle legal stuff bij iemand anders kon laten, dan kun je je meer concentreren op 'coole shit maken' zonder dat je je erg druk hoeft te maken over de implicaties daarvan.

[ Voor 5% gewijzigd door Stoney3K op 24-06-2019 15:40 ]

[boxlessness]

unezra schreef op zondag 23 juni 2019 @ 15:56:
De wereld is nogal veranderd. De risico's, het IT landschap en de afhankelijkheid van IT zijn zó anders dan 20 jaar geleden, dat het logisch is dat er meer regels en procedures zijn. Doorgeslagen? Nee. Ik vind dat de IT eindelijk volwassen aan het worden is.

Je hebt gelijk: het ICT landschap is heel erg veranderd. Vroeger werd lang niet alles aan het internet gehangen, en was data stelen helemaal niet zo interessant omdat het niet op grote schaal kon.
We waren ook meer bezig met pionierwerk op o.a. user interfaces en ICT tech in het algemeen, en dat lijkt meer en meer uitgekristaliseerd te zijn. Het is veel lastiger om een pure ICT niche te vinden waarin je nog echt kunt pionieren.

De eerste reactie in dit draadje, die weggemod is, was iets in de zin van "goed dat je werkgever in ziet dat ze haar data niet zo maar aan een zooi cowboys moet geven". In de nieuwe ICT-wereld van nu begrijp ik zo'n reactie best, maar het werpt wel een drempel om te "cowboy-en". En je mag het fout vinden dat er cowboys zijn die de grens opzoeken van wat kan of mag en deels blind zijn voor risico's (of die gecalculeerde risico's nemen, en daar wel eens fouten bij maken), maar het zijn wel die mensen die voortgang maken.
Als de ICT zo volwassen geworden is, is het misschien nergens meer de speeltuin die ik van vroeger kende.

unezra schreef op zondag 23 juni 2019 @ 15:56:
Juist en vind je al die veiligheidsellende niet leuk, zorg er dan voor dat je er zo min mogelijk mee te maken hebt. (Maar respecteer wel dat vanwege veiligheid, AVG, etc, bepaalde zaken niet (meer) kunnen of mogen.)

vso schreef op maandag 24 juni 2019 @ 15:09:
tja in jou geval heb je 2 opties, gooi je cv online EN !!! ga praten met HR/management dat je de uitdaging mist.

Ik heb al zicht op een ander project bij ons, meer wiskunde en hardcore DSP processing, geen web-spul meer.
Ik heb mijzelf een paar jaar geleden in de webdevelopment-hoek gemanouvreerd omdat ik redeneerde vanuit job-security: i.e. ik zag de hele industrie die kant op bewegen en meende op de AWS/web/python bandwagon te moeten springen om in de toekomst "relevant" te blijven voor werkgevers. Dat was geen wijs besluit. Mijn redenering was altijd dat ik veel technologieen wilde kennen zodat ik snel totaaloplossingen kon bouwen. Die tijd lijkt voorbij, en de keuze om me op professioneel vlak te specialiseren in een domein/concept (bijvoorbeeld DSP) is denk ik gekomen. Een andere optie die ik zie is een ander vakgebied zien te vinden... hovenier of zo... of meubelmaker... waar je nog steeds de grens op kunt zoeken van wat mogelijk is, maar waar je niet in detail voorgeschreven wordt hoe je je werk moet doen en waar ruimte voor creativiteit is.

[downtime]

unezra schreef op zondag 23 juni 2019 @ 15:56:
[...]

De wereld is nogal veranderd. De risico's, het IT landschap en de afhankelijkheid van IT zijn zó anders dan 20 jaar geleden, dat het logisch is dat er meer regels en procedures zijn. Doorgeslagen? Nee. Ik vind dat de IT eindelijk volwassen aan het worden is.

Dit dus. Ik zie nu zaken gefixt worden waar ik 15 jaar geleden al over klaagde maar toen was het tegen dovemansoren want mijn collega's vonden dat ik overdreef.
Ik herinner me mijn eerste werkdag als beheerder: Mijn werkplekaccount werd gewoon toegevoegd aan de admins van de servers in het applicatiedomein. En dat was geen MKB maar een groot bedrijf wat met financiele gegevens werkte. Indertijd bestonden cryptolockers nog niet maar we zouden extreem kwetsbaar zijn geweest.
Mijn vraag waarom we geen aparte admin accounts voor het beheer hadden, en op de laptop gewoon een useraccount, werd door de senior beheerder afgewimpeld met "veel te omslachtig, zo kun je toch niet werken?" Nu is die werkwijze totaal ondenkbaar geworden.