Herding Vulnerable Cats: A Statistical Approach to Disentangle Joint Responsibility for Web Security in Shared Hosting

Hosting providers play a key role in fighting web compromise, but their ability to prevent abuse is constrained by the security practices of their own customers. {\em Shared} hosting, offers a unique perspective since customers operate under restricted privileges and providers retain more control over configurations. We present the first empirical analysis of the distribution of web security features and software patching practices in shared hosting providers, the influence of providers on these security practices, and their impact on web compromise rates. We construct provider-level features on the global market for shared hosting -- containing 1,259 providers -- by gathering indicators from 442,684 domains. Exploratory factor analysis of 15 indicators identifies four main latent factors that capture security efforts: content security, webmaster security, web infrastructure security and web application security. We confirm, via a fixed-effect regression model, that providers exert significant influence over the latter two factors, which are both related to the software stack in their hosting environment. Finally, by means of GLM regression analysis of these factors on phishing and malware abuse, we show that the four security and software patching factors explain between 10\% and 19\% of the variance in abuse at providers, after controlling for size. For web-application security for instance, we found that when a provider moves from the bottom 10\% to the best-performing 10\%, it would experience 4 times fewer phishing incidents. We show that providers have influence over patch levels--even higher in the stack, where CMSes can run as client-side software--and that this influence is tied to a substantial reduction in abuse levels

Het taboe op fatalisme: kan de politiek haar eigen onmacht onder ogen zien?

De bestuurskunde probeert al decennialang afscheid te nemen van het zogenaamde maakbaarheidsdenken – de gedachte dat elke maatschappelijke misstand middels een collectieve interventie verholpen kan worden. De opbrengst van die inspanning mag mager genoemd worden. Vond de boodschap in de jaren negentig van de vorige eeuw nog enige weerklank, het afgelopen decennium liet de politiek zich weinig gelegen liggen aan de zogenaamde grenzen aan de maakbaarheid. Een periode van grote ambities en verstrekkende interventies heeft, weinig verrassend, een hernieuwde kritiek uitgelokt. Het bestuur zou gulzig, opdringerig en totalitair worden (zie bijvoorbeeld Frissen, 2009; Schinkel, 2007; Trommel, 2009)

Collectively Exercizing the Right of Access: Individual Effort Societal Effect

The debate about how to govern personal data has intensified in recent years. The European Union’s General Data Protection Regulation, which comes into effect in 2018, relies on transparency mechanisms codified through obligations for organizations and citizen rights. While some of these rights have existed for decades, their effectiveness is rarely tested in practice. This paper reports on the exercise of the so-called right of access, which gives citizens the right to get access to their personal data. We study this by working with participants—citizens for whom the law is written—who collectively sent over a hundred data access requests and shared the responses with us. We analyze the replies to the access requests, as well as the participant's evaluation of them. We find that non-compliance with the law's obligations is widespread. Participants were critical of many responses, though they also reported a large variation in quality. They did not find them effective for getting transparency into the processing of their own personal data. We did find a way forward emerging from their responses, namely by looking at the requests as a collective endeavor, rather than an individual one. Comparing the responses to similar access requests creates a context to judge the quality of a reply and the lawfulness of the data practices it reveals. Moreover, collective use of the right of access can help shift the power imbalance between individual citizens and organizations in favor of the citizen, which may incentivize organizations to deal with data in a more transparent way

Waarom Burgers risico's accepteren en waarom bestuurders dat niet zien

Dit essay bestrijdt de mythe dat burgers sterk risicomijdend zijn. Deze mythe heeft in de gemeenschap van politici, bestuurders en ambtenaren nog steeds de status van waarheid. Dat lokt een tragische paradox uit: juist omdat de overheid veronderstelt dat burgers risicomijdend zijn, benadrukt ze steeds de veiligheid van haar plannen, waardoor het maatschappelijke verzet zich richt op die claims van veiligheid. Denk aan de CO2-opslag in Barendrecht of de vaccinatiecampagne tegen HPV, die leidden tot reacties waarin alleszins bescheiden risico’s werden uitvergroot om de legitimiteit van deze plannen te ondermijnen. Daarin ziet de overheid op haar beurt weer een bevestiging van de mythe, hetgeen dit tragische patroon verder versterkt. Toch is dit een verkeerde interpretatie van het maatschappelijke verzet. In essentie gaat het niet om de vaststelling van de precieze omvang van het risico, maar om de morele vraag waarom het acceptabel is om een risico aan bepaalde groepen op te leggen. Over deze morele vraag zwijgt de overheid. Haar morele pleidooi is impliciet: wij mogen u dit opleggen, omdat er eigenlijk nauwelijks sprake is van een risico. Geen wonder dat het verzet dan maar op een punt kan aangrijpen: de onderbouwing van de claim dat de risico’s bescheiden en beheersbaar zijn. Die onderbouwing kent per definitie tekortkomingen en dus zien de burgers al snel hun vermoeden bevestigd dat de overheid relevant risico’s ontkent. Deze tragische interactie mondt ook uit in wat we nu de risico-regel-reflex noemen: een disproportionele overheidsreactie op veiligheidsrisico’s en –incidenten. De overheid reageert zelf disproportioneel, maar toch ziet ze zich eigenlijk vooral als slachtoffer van dit probleem, niet als medeveroorzaker. Het zijn de anderen – de politiek, de media, maar uiteindelijk de burgers – die een disproportionele reactie zouden afdwingen. Waarom? Omdat burgers risicomijdend zijn, geen tolerantie meer zouden hebben voor pech. En daarmee zijn we weer terug bij de mythe

"Water, Water, Every Where": Nuances for a Water Industry Critical Infrastructure Specification Exemplar

The water infrastructure is critical to human life, but little attention has been paid to the nuances of the water industry. Without such attention, evaluating security innovation in this domain without compromising the productivity goals when delivering water services is difficult. This paper proposes four nuances that need to be incorporated into a representative specification exemplar for the water industry; these provided input to the exemplar based on a fictional water company