Hjelp - hva var koden!

I Aftenposten i går er det et oppslag om nasjonalt helsekort. I følge artikkelen skal tilgang til pasientjournalen vår styres fra kortet. Jeg synes egentlig tanken er god. Du skal selv ha kontroll på hvem som har tilgang til dine data og hvorfor.

Men helsekortet ikke er løsningen på det egentlige problemet. Nemlig behovet for å dele informasjon i helsevesenet mer effektivt mellom ulike aktører samtidig som man ivaretar personvernet på en forsvarlig måte.

God virksomhetsforståelse er en forutsetning for å lykkes med informasjonsutveksling og bruk av IT i helsesektoren. Hvilken informasjon har helsepersonell reelt sett bruk for når man skal utføre oppgaven mest mulig effektivt, og hvordan kan IT benyttes til å løse behovene best mulig?

Kanskje er et helsekort, borgerkortet og offentlig eID som allerede er lovet fra offentlig sektor, BankID eller andre eksisterende ID-løsninger en del av løsningen? Disse løsningene vil uansett bare være en liten del av svaret på å ta i bruk IT mer effektivt i helsesektoren.

Försvarets radioanstalt - har det noe med oss å gjøre?

Fra 1.1. 2009 trer FRA-loven i kraft i Sverige. Den innebærer at tele-og internettrafikk som på en eller annen måte benytter fysiske linjer i Sverige kan undersøkes med tanke på om kommunikasjonen har noe med for eksempel terrorisme, internasjonal kriminalitet, trusler mot teknisk infrastruktur og spredning av masseødeleggelsesvåpen å gjøre.

Teleleverandører som bruker linjer i Sverige blir pålagt å føre trafikken til såkalte "samverknadspunkt" der FRA på gitte vilkår, får tilgang til trafikken. Det er Post og teletilsynet i Sverige som kan gi forskrifter om slike punkter. Flere telefonsamtaler og annen kommunikasjon som foregår internt i Norge benytter linjer og utstyr i Sverige og blir dermed omfattet av den svenske loven.

FRA-loven synliggjør hvor grenseløs Internettverden er: Norske myndigheter bestemmer ikke uten videre hvilke regler som skal gjelde for kommunikasjon mellom to personer som begge er norske statsborgere og befinner seg i Norge. FRA-loven tydeliggjør også konflikten mellom etterretning og personvern og synliggjør overvåkning for offentligheten.

Jeg tror det fremstår som komplisert for den enkelte å forholde seg til overvåkning av elektronisk kommunikasjon. Ulempen er at vi ikke får tilstrekkelig bred debatt om hvilken balanse vi skal ha mellom personvern og etterretning.

(kilder: Datatilsynet og Post-og teletilsynet)

Fødselsnummer og identitet

Nylig ble rapporten "Utredning om fødselsnummer, fingeravtrykk og annen bruk av biometri i forbindelse med lov om behandling av personopplysninger §12" publisert. Her diskuteres flere interessante problemstillinger knyttet til identitet og verifikasjon av identitet. Ulike perspektiver ved en persons identitet, som biologisk identitet, registert identitet og sosial identitet blir blant annet diskutert.

Midt i denne rapporten tenkte jeg på boken Kite Runner som jeg leste i sommer og en historie om faren, Baba, som ble fortalt i boken. Krav til å legitimere seg i USA ble en kulturkollisjon for ham som i Afganistan alltid ble gjenkjent og stolt på i kraft av sin person. Det kan nok være kulturbestemt hvilke krav vi har til verifikasjon av en persons identitet, samtidig som man i mindre samfunn der alle kjenner alle vil ha mindre behov for slik verifikasjon enn i større samfunn eller ved myndighetsutøvelse.

I Norge har det i ulike sammenhenger blitt diskutert hvor vidt fødselsnummer er tilstrekkelig for å bekrefte en persons identitet. I noen teknologiske løsninger har man faktisk benyttet fødselsnummeret slik, selv om man i de fleste løsninger benytter fødselsnummer i kombinasjon med andre identifikatorer. I nettbanken benytter man for eksempel fødselsnummer sammen personlig passord og engangskode.

Rapporten sier følgende "Fødselsnummer (fødselsdato + personnummer)er med andre ord i utgangspunktet ikke underlagt taushetsplikt og kan derfor ofte utleveres", jfr. rapportens kapittel 2.5.2. Det er derfor kanskje selvfølgelig at noe av konklusjonen er at fødselsnummer ikke vil være tilstrekkelig for å verifisere din eller min identitet. Forslaget om forbud mot bare å benytte fødselsnummer for å autentisere personers identitet må derfor sies å være fornuftig.

Gratis på Internett...

Tjenester tilgjengelig på Internett ofte er gratis å ta i bruk. De kan levere spennende funksjonalitet som ikke er tilgjengelig internt i bedriften. I noen tilfeller kan de levere muligheter man uansett ikke ville kunnet realisere på bedriftsinterne tjenester.

Men de tradisjonelle IT-tjenestene som bedriften har kontroll over, kommer gjerne med oppetidskrav enten til eget IT-miljø eller til leverandør. Mot leverandør har man gjerne kommersielle kontrakter som gjør at bedriften kompenseres dersom ikke oppetidskravene blir møtt. Virksomhetskontinuitet blir dermed mulig å styre.

Tilsvarende tilbyr de tradisjonelle IT-tjenestene mulighet til å stille konkrete sikkerhetskrav slik at man har større eller mindre grad av forutsigbarhet med hensyn til sikkerheten i tjenesten og om den møter beste praksis-krav og gir akseptabel risiko.

En tjeneste som tilbys på Internett har ikke tilsvarende styringsmuligheter. Tjenestene sier sjelden eller aldri noe om hvilke sikkerhetsmekanismer som er iverksatt ut over det man kan se utfra funksjonaliteten i tjenesten.

Tjenestene tilbys ikke med oppetidsgarantier noe som i praksis gjør tjenestene lite egnet for virksomhetskritiske funksjoner.

Kreativiteten på Internett er interessant og spennende. Men per i dag er risiko i tjenester realisert på Internett (web 2.0) vanskeligere å kontrollere enn de som produseres i virksomheten enten i egen regi eller hos leverandør.

Risikostyring

IT er et realistfag. Det er kanskje derfor vi i mange sammenhenger fremstiller risiko i matematiske termer, for eksempel Annual Loss Expectancy, eller at vi ganger sammen sannsynlighet og konsekvens utfra hvor mange ganger i året vi forventer en hendelse skal inntreffe, hvor mange kroner vi vil tape på hendelsen, eventuelt hva den vil forårsake av problemstillinger ut over direkte økonomisk tap, og så videre.

Det er faktisk nyttig å gjøre denne type øvelse. Men kan vi si noe sikkert om risiko i IT-systemer utfra denne type enkle modeller? I de fleste tilfeller har vi for få hendelser til å kunne si noe sikkert om hvor ofte hendelsen inntreffer. Det er ikke som husbrann, for å si det slik. Vi har i noen tilfeller kjennskap til at en lignende hendelse har inntruffet tidligere, og vi har et inntrykk av hvor lett det vil kunne hende igjen. I andre tilfeller er hendelsen hentet fra ulike teknologimiljøer der man har funnet frem til sårbarheter som ikke ennå er utnyttet. Enkle matematiske sammenhenger er dermed ikke enkelt å finne.

Jeg tror vi tjener på å få mer refleksjon og kanskje mer teoretisk kunnskap knyttet til risikomodellene vi benytter for styring og kontroll med IT-sikkerhet. Jeg håper Basel II og modeller for operasjonell risikostyring kan være noe å følge med på videre.

IT-sikkerhetsmennesker og web 2.0

Mange som arbeider med IT-sikkerhet er tilbakeholdne til å prøve Web 2.0-tjenester. Dette kan skyldes at vi ser trusler og utfordringer med disse tjenestene og at skepsisen overvinner den naturlige nysgjerrigheten vi ellers ville hatt med å prøve dem.

Jeg tror det er viktig at vi som arbeider med IT-sikkerhet prøver og får et reelt brukerforhold til Web 2.0-tjenestene. Først da kan vi ha god realistisk forståelse av trusler og risiko og gjøre gode avveininger i forhold til nytte og innovasjonsmuligheter.