Wat vertellen social media ons over dreigingen?

Nooit eerder werd er zo veel informatie gedeeld op social media. Niet alleen onschuldige berichten verschijnen online, ook voetbalhooligans, terroristen of politiek activisten weten deze kanalen te vinden. In het voorspellen en voorkomen van incidenten, onrust, opstootjes of aanslagen voert de politie al social media analyses uit. Maar er valt nog veel winst te behalen wanneer dit gerichter, consequenter en geautomatiseerd gebeurt. In de analyse van social media moet goed nagedacht worden over de betrouwbaarheid van de informatie en de risicobepaling hiervan. Daarnaast moet steeds worden ingeschat wat de kans is dat een online gedeeld dreigement daadwerkelijk wordt uitgevoerd, en wat vervolgens de impact is op de maatschappij. Uit het onderzoek door Kantar TNS, uitgevoerd in opdracht van Capgemini en Capgemini Consulting , blijkt dat de absolute meerderheid van de Nederlanders vindt dat de overheid social media meer zou moeten gebruiken om criminaliteit op te sporen. Het belang van de inzet van handhaving is groot. Het draagt bij aan het vergroten van de baten en het terugdringen van kosten doordat de overheid (on)terechte toekenningen controleert. De kern van handhaving is dat de overheid naleving van de dienstverleningsvoorwaarden stimuleert of afdwingt. Dit sluit aan bij de cirkel van naleving, die de componenten dienstverlening en handhaving samenbrengt. De visie vanuit de cirkel van naleving is om de elementen preventie (voorlichten en dienstverlening) en repressie (controle en sanctionering) te verbinden. Juist deze combinatie geeft het beste resultaat en zorgt voor duidelijke handvatten voor beleidsmakers om te komen tot een integraal handhavingsproces waarbij dienstverlening en toezicht elkaar aanvullen in plaats van frustreren.

Nooit eerder werd er zo veel informatie gedeeld op social media. Niet alleen onschuldige berichten verschijnen online, ook voetbalhooligans,
terroristen of politiek activisten weten deze kanalen te vinden. In het voorspellen en voorkomen van incidenten, onrust, opstootjes of aanslagen voert de politie al social media analyses uit. Maar er valt nog veel winst te behalen wanneer dit gerichter, consequenter en geautomatiseerd gebeurt. In de analyse van social media moet goed nagedacht worden over de betrouwbaarheid van de informatie en de risicobepaling hiervan. Daarnaast moet steeds worden ingeschat wat de kans is dat een online gedeeld dreigement daadwerkelijk wordt uitgevoerd, en wat vervolgens de impact is op de maatschappij. Uit het onderzoek door Kantar TNS, uitgevoerd in opdracht van Capgemini en Capgemini Consulting , blijkt dat de absolute meerderheid van de Nederlanders vindt dat de overheid social media meer zou moeten gebruiken om criminaliteit op te sporen. Het belang van de inzet van handhaving is groot. Het draagt bij aan het vergroten van de baten en het terugdringen van kosten doordat de overheid (on)terechte toekenningen controleert. De kern van handhaving is dat de overheid naleving van de dienstverleningsvoorwaarden stimuleert of afdwingt. Dit sluit aan bij de cirkel van naleving, die de componenten dienstverlening en handhaving samenbrengt. De visie vanuit de cirkel van naleving is om de elementen preventie (voorlichten en dienstverlening) en repressie (controle en sanctionering) te verbinden. Juist deze combinatie geeft het beste resultaat en zorgt voor duidelijke handvatten voor beleidsmakers om te komen tot een integraal handhavingsproces waarbij dienstverlening en toezicht elkaar aanvullen in plaats van frustreren. Tweedeling gemaakt in enerzijds het verzamelen van bedreigende
berichtgeving, en anderzijds het analyseren hiervan. De analysefase is er grotendeels op gericht om de ernst, context en achtergrond van de berichtgeving te bepalen.

Welke mogelijkheden zijn er om social media te monitoren en analyseren?

Wanneer duidelijk is of een bericht serieus genomen moet worden, en of er wellicht nader onderzoek dient plaats te vinden, wordt in de meeste gevallen eerst geprobeerd om de bron van het bericht te achterhalen. Omdat social mediagebruikers veelal onder een alias hun berichten versturen is het in veel gevallen niet meteen duidelijk wie er achter een bericht zit. Vervolgens moet de betrouwbaarheid van de bron achterhaald worden. Dat een bron een crimineel verleden heeft en dus veelal serieus genomen moet worden, kan bijvoorbeeld blijken uit de informatie die politiesystemen geven.

Door middel van het analyseren van de social media zelf kan worden ingeschat hoe groot de kans is dat de bron van een specifiek bericht zijn woorden in daden zal omzetten. Zo kan een bron bijvoorbeeld al eerder vergelijkbare dreigingen op social media hebben geuit. Daarnaast kan het online netwerk van de bron aanleiding geven tot geruststelling of juist extra zorgen. Wanneer iemand bijvoorbeeld oproept tot voetbalrellen,
maar niemand in zijn netwerk behoort tot de harde kern van een voetbalclub, dan zal zijn oproep minder serieus genomen worden dan wanneer zich leden van de harde kern in zijn netwerk bevinden. Daarnaast is de mate waarin het bericht wordt doorgestuurd of ‘geliked’ een belangrijke indicator voor eventuele verdere onrust.

Als laatste wordt gekeken naar het aantal online berichten met (deels) dezelfde inhoud die tegelijkertijd op de online media circuleren. Want vanzelfsprekend heeft een bericht meer gewicht wanneer het door meerdere gebruikers geplaatst is, of wanneer meerdere gebruikers dezelfde oproep doen (in eventueel andere bewoordingen). Als de informatie die via social media is verzameld, is geanalyseerd en met andere berichten is verrijkt, is de volgende stap het gebruiken van de informatie in de besluitvorming om een potentiële dreiging zo snel mogelijk te ondervangen1.

Om een snelle reactietijd te garanderen (het kan een kwestie van minuten zijn tussen het melden van een ophanden zijnde aanslag en de daadwerkelijke uitvoering hiervan), is het van groot belang dat er een continue preventieve monitoring van social media plaatsvindt. Er is eigenlijk te weinig tijd om eerst handmatig aan waarheidsvinding te doen op alle berichtgeving die als bedreigend gekwalificeerd kan worden, om vervolgens nog een analyseslag te maken. Daarom is de hoop gevestigd op software die geautomatiseerd de afweging kan maken tussen een reële bedreiging of een ‘losse flodder’, zonder dat een politiemedewerker hierin hoeft te acteren. Dit systeem zou een ‘red flag’ kunnen geven wanneer een melding van dusdanige ernst is dat actie moet worden ondernomen.

Hoe maken de veiligheidsdiensten gebruik van de mogelijkheden?

Social media analyses worden vaak gemaakt als reactie op een fenomeen of gerucht. Bijvoorbeeld: naar aanleiding van een risicowedstrijd worden diverse netwerksites gemonitord, met als doel om inzichtelijk te krijgen of, waar en wanneer eventuele georganiseerde rellen gaan plaatsvinden. In opgeschaalde situaties, zoals crises of evenementen, is social media monitoring tegenwoordig een vast onderdeel. Om onverwachte gebeurtenissen (zoals aanslagen of rellen) te voorspellen, vindt daarnaast doorlopende monitoring plaats vanuit de Open Source Intelligence discipline van de politie. Diverse tools helpen de politie daarbij, maar momenteel is het monitoren en analyseren van social mediaberichtgeving nog grotendeels mensenwerk. Er moeten concrete zoekopdrachten worden ingevoerd om de tools vervolgens het werk te kunnen laten
doen. Dit is een continu proces, dat niet volledig waterdicht is. Een belangrijk knelpunt van het zoeken op trefwoorden is namelijk dat niet alles valt mee te nemen. Een voorbeeld is nieuwe (buitenlandse) trendwoorden onder jongeren. Deze zijn niet altijd bekend bij de gebruiker van het systeem. Tot slot moet op een zeker moment bepaald worden dat er genoeg informatie is verzameld, terwijl onduidelijk is hoe sterk de informatiepositie op dat moment precies is.

Het ministerie van Veiligheid en Justitie en haar ketenpartners gebruiken al enkele jaren de tool Coosto, waarmee het onderwerp van een bericht, het sentiment van – en informatie over – de gebruikers die deze berichten op social media plaatsen inzichtelijk gemaakt wordt. Deze actieve manier van social media analyse start met de formulering van een zoekopdracht. De social media worden gescand aan de hand van een specifiek onderwerp, een bepaald woord of een combinatie van woorden zoals ‘aanslag’ of ‘vechtpartij voetbalwedstrijd’. Het resultaat van deze zoekopdracht is vervolgens een verzameling berichten die aan de zoekopdracht voldoen en die binnen een aangegeven tijdsperiode vallen. Deze methode wordt voornamelijk ingezet bij de handhaving tijdens evenementen. Er wordt vooral geprobeerd om te ontdekken of er onrust op
komst is.

Naast een actieve monitoring zijn er ook ontwikkelingen gaande die een passieve monitoring mogelijk maken. Voor het passief monitoren van social media is een dreigingsmonitor ontwikkeld. Deze tool analyseert geautomatiseerd de inhoud van berichten met een bepaald onderwerp en kent daar zelfstandig een dreigingsniveau aan toe. De tool is bedoeld om individuele berichten te herkennen en te monitoren, en maakt een snelle interventie mogelijk. Dit is noodzakelijk aangezien het een kwestie van minuten kan zijn tussen het moment dat een bericht geplaatst wordt en het moment dat de woorden omgezet worden in daden. Door alert en actueel de social media te volgen kan een adequaat en proactief handelen van de politie mogelijk gemaakt worden2.

Wat zijn de tekortkomingen van de huidige werkwijze?

De stroom aan berichten via social media is enorm en zal alleen maar groter worden. Er ligt voor de politie een enorme uitdaging in het efficiënt en effectief behandelen van deze data, analyses maken en het versterken van de intelligencepositie. Naast het vaststellen van de betrouwbaarheid van informatie, speelt verantwoording een rol. De politie moet achteraf kunnen verantwoorden waarom wel of geen actie is ondernomen. Doorgaan op de huidige (veelal niet-geautomatiseerde) wijze van informatieontsluiting vergt bovendien een te grote inzet van menskracht. In de veiligheidsketen moeten steeds grotere hoeveelheden informatie snel verwerkt worden tot bruikbare kennis. Vaak is de berichtenstroom over een bepaald onderwerp zó groot dat alleen volledig geautomatiseerde monitoring nog effectief is.

Ook valt op dat de huidige monitoring nog vooral actief en reactief plaatsvindt. Intelligence wordt vooral gebruikt voor recherchewerk ter ondersteuning van de agenten op straat, of voor het oplossen van misdrijven. Dat de proactieve benadering nog onderbelicht is, blijkt uit de doelstellingen van de intelligenceteams OSINT (Open Source Intelligence) en RTIC (Realtime Intelligence Center) van de politie. Want waar OSINT zich voornamelijk richt op het opsporen van strafbare feiten gepleegd in de virtuele wereld, richten de RTIC teams zich vooral op het real time ondersteunen van de collega’s op straat3.

Hoe kan de huidige werkwijze verbeterd worden?

De proactieve passieve benadering van social media monitoring zal in de toekomst meer aandacht moeten krijgen. De technieken die geautomatiseerde monitoring van social media mogelijk maken, worden steeds verder doorontwikkeld. Zij kunnen dankzij complexe algoritmes al in de nabije toekomst, volledig geautomatiseerd, terreurnetwerken blootleggen, aanslagen voorspellen en aangeven dat er georganiseerde voetbalrellen gaan plaatsvinden. Het is heel inefficiënt om elk bedreigend bericht op social media handmatig te laten analyseren. Dat is
ook niet de werkwijze die momenteel gehanteerd wordt. Meer automatisering is nodig om op een efficiënte manier een constante monitoring van social media plaats te kunnen laten vinden en analisten in te kunnen zetten op de meldingen die door het systeem als serieus worden aangemerkt.