Vi er i større og større grad villig til å oppgi personopplysninger i bytte mot tjenester og tilbud. Dersom vi for eksempel får gratis e-postkonto, lar vi gjerne leverandøren av tjenesten lagre personopplysninger og lage en profil på oss slik at vi kan få målrettet reklame som passer til oss.
Mange ser det som et gode at vi kan få reklame som er målrettet akkurat våre interesser. Egne personopplysninger er i realiteten en verdi som vi kan bytte bort mot goder i stedet for å bruke penger. 3. part får våre opplysningene og benytter dem for egen inntjening og profitt.
Fikk du en god idé til hvordan du kan tjene penger på ditt neste prosjekt? Mine personopplysninger - din forretningsidé..
lørdag 31. januar 2009
søndag 11. januar 2009
Sikkerhetsfunksjonalitet kun for profesjonelle?
Når du taster adressen til et nettsted i nettleser forventer du helt sikkert at du lander på akkurat det nettstedet du skrev inn adressen til. Men er du sikker på at det er akkurat den siden du får opp? Eller har du landet på en svindlerside som egentlig bare er ute etter å få deg til å oppgi passord og koder eller annen informasjon?
Det finnes i dag løsninger som tilbyr deg sikkerhet for at du kommer til riktig sted. Det kalles EV-SSL. Løsningen er basert på utstedelse av sertifikater. Godkjente sertifikatutstedere, for eksempel Verisign, utsteder sertifikater som bekrefter at sider under et bestemt domene tilhører en organisasjon som er reell og som har rettigheter til det aktuelle domenet.
Når bruker forsøker å nå et nettsted, blir det automatisk sjekket om nettstedet som blir presentert til bruker tilhører organisasjonen som har rettmessig krav på det aktuelle domenet og ikke fra en svindler.
Når du går inn for eksempel i nettbanken er den gjerne sikret med slik funksjonalitet som er synlig gjennom et grønt adressefelt eller en hengelås på siden. Når du klikker på det grønne feltet eller på hengelåsen, kan du få nærmere informasjon om at siden er sertifisert OK.
Men - er sikkerhetsfunksjonaliteten brukervennlig nok, har du god nok kjennskap til denne funksjonaliteten og klarer du å forholde deg til det, eller er dette foreløpig funksjonalitet kun for oss sikkerhetsfolk?
Det finnes i dag løsninger som tilbyr deg sikkerhet for at du kommer til riktig sted. Det kalles EV-SSL. Løsningen er basert på utstedelse av sertifikater. Godkjente sertifikatutstedere, for eksempel Verisign, utsteder sertifikater som bekrefter at sider under et bestemt domene tilhører en organisasjon som er reell og som har rettigheter til det aktuelle domenet.
Når bruker forsøker å nå et nettsted, blir det automatisk sjekket om nettstedet som blir presentert til bruker tilhører organisasjonen som har rettmessig krav på det aktuelle domenet og ikke fra en svindler.
Når du går inn for eksempel i nettbanken er den gjerne sikret med slik funksjonalitet som er synlig gjennom et grønt adressefelt eller en hengelås på siden. Når du klikker på det grønne feltet eller på hengelåsen, kan du få nærmere informasjon om at siden er sertifisert OK.
Men - er sikkerhetsfunksjonaliteten brukervennlig nok, har du god nok kjennskap til denne funksjonaliteten og klarer du å forholde deg til det, eller er dette foreløpig funksjonalitet kun for oss sikkerhetsfolk?
onsdag 31. desember 2008
Hjelp - hva var koden!
I Aftenposten i går er det et oppslag om nasjonalt helsekort. I følge artikkelen skal tilgang til pasientjournalen vår styres fra kortet. Jeg synes egentlig tanken er god. Du skal selv ha kontroll på hvem som har tilgang til dine data og hvorfor.
Men helsekortet ikke er løsningen på det egentlige problemet. Nemlig behovet for å dele informasjon i helsevesenet mer effektivt mellom ulike aktører samtidig som man ivaretar personvernet på en forsvarlig måte.
God virksomhetsforståelse er en forutsetning for å lykkes med informasjonsutveksling og bruk av IT i helsesektoren. Hvilken informasjon har helsepersonell reelt sett bruk for når man skal utføre oppgaven mest mulig effektivt, og hvordan kan IT benyttes til å løse behovene best mulig?
Kanskje er et helsekort, borgerkortet og offentlig eID som allerede er lovet fra offentlig sektor, BankID eller andre eksisterende ID-løsninger en del av løsningen? Disse løsningene vil uansett bare være en liten del av svaret på å ta i bruk IT mer effektivt i helsesektoren.
Men helsekortet ikke er løsningen på det egentlige problemet. Nemlig behovet for å dele informasjon i helsevesenet mer effektivt mellom ulike aktører samtidig som man ivaretar personvernet på en forsvarlig måte.
God virksomhetsforståelse er en forutsetning for å lykkes med informasjonsutveksling og bruk av IT i helsesektoren. Hvilken informasjon har helsepersonell reelt sett bruk for når man skal utføre oppgaven mest mulig effektivt, og hvordan kan IT benyttes til å løse behovene best mulig?
Kanskje er et helsekort, borgerkortet og offentlig eID som allerede er lovet fra offentlig sektor, BankID eller andre eksisterende ID-løsninger en del av løsningen? Disse løsningene vil uansett bare være en liten del av svaret på å ta i bruk IT mer effektivt i helsesektoren.
torsdag 25. desember 2008
Försvarets radioanstalt - har det noe med oss å gjøre?
Fra 1.1. 2009 trer FRA-loven i kraft i Sverige. Den innebærer at tele-og internettrafikk som på en eller annen måte benytter fysiske linjer i Sverige kan undersøkes med tanke på om kommunikasjonen har noe med for eksempel terrorisme, internasjonal kriminalitet, trusler mot teknisk infrastruktur og spredning av masseødeleggelsesvåpen å gjøre.
Teleleverandører som bruker linjer i Sverige blir pålagt å føre trafikken til såkalte "samverknadspunkt" der FRA på gitte vilkår, får tilgang til trafikken. Det er Post og teletilsynet i Sverige som kan gi forskrifter om slike punkter. Flere telefonsamtaler og annen kommunikasjon som foregår internt i Norge benytter linjer og utstyr i Sverige og blir dermed omfattet av den svenske loven.
FRA-loven synliggjør hvor grenseløs Internettverden er: Norske myndigheter bestemmer ikke uten videre hvilke regler som skal gjelde for kommunikasjon mellom to personer som begge er norske statsborgere og befinner seg i Norge. FRA-loven tydeliggjør også konflikten mellom etterretning og personvern og synliggjør overvåkning for offentligheten.
Jeg tror det fremstår som komplisert for den enkelte å forholde seg til overvåkning av elektronisk kommunikasjon. Ulempen er at vi ikke får tilstrekkelig bred debatt om hvilken balanse vi skal ha mellom personvern og etterretning.
(kilder: Datatilsynet og Post-og teletilsynet)
Teleleverandører som bruker linjer i Sverige blir pålagt å føre trafikken til såkalte "samverknadspunkt" der FRA på gitte vilkår, får tilgang til trafikken. Det er Post og teletilsynet i Sverige som kan gi forskrifter om slike punkter. Flere telefonsamtaler og annen kommunikasjon som foregår internt i Norge benytter linjer og utstyr i Sverige og blir dermed omfattet av den svenske loven.
FRA-loven synliggjør hvor grenseløs Internettverden er: Norske myndigheter bestemmer ikke uten videre hvilke regler som skal gjelde for kommunikasjon mellom to personer som begge er norske statsborgere og befinner seg i Norge. FRA-loven tydeliggjør også konflikten mellom etterretning og personvern og synliggjør overvåkning for offentligheten.
Jeg tror det fremstår som komplisert for den enkelte å forholde seg til overvåkning av elektronisk kommunikasjon. Ulempen er at vi ikke får tilstrekkelig bred debatt om hvilken balanse vi skal ha mellom personvern og etterretning.
(kilder: Datatilsynet og Post-og teletilsynet)
lørdag 8. november 2008
Fødselsnummer og identitet
Nylig ble rapporten "Utredning om fødselsnummer, fingeravtrykk og annen bruk av biometri i forbindelse med lov om behandling av personopplysninger §12" publisert. Her diskuteres flere interessante problemstillinger knyttet til identitet og verifikasjon av identitet. Ulike perspektiver ved en persons identitet, som biologisk identitet, registert identitet og sosial identitet blir blant annet diskutert.
Midt i denne rapporten tenkte jeg på boken Kite Runner som jeg leste i sommer og en historie om faren, Baba, som ble fortalt i boken. Krav til å legitimere seg i USA ble en kulturkollisjon for ham som i Afganistan alltid ble gjenkjent og stolt på i kraft av sin person. Det kan nok være kulturbestemt hvilke krav vi har til verifikasjon av en persons identitet, samtidig som man i mindre samfunn der alle kjenner alle vil ha mindre behov for slik verifikasjon enn i større samfunn eller ved myndighetsutøvelse.
I Norge har det i ulike sammenhenger blitt diskutert hvor vidt fødselsnummer er tilstrekkelig for å bekrefte en persons identitet. I noen teknologiske løsninger har man faktisk benyttet fødselsnummeret slik, selv om man i de fleste løsninger benytter fødselsnummer i kombinasjon med andre identifikatorer. I nettbanken benytter man for eksempel fødselsnummer sammen personlig passord og engangskode.
Rapporten sier følgende "Fødselsnummer (fødselsdato + personnummer)er med andre ord i utgangspunktet ikke underlagt taushetsplikt og kan derfor ofte utleveres", jfr. rapportens kapittel 2.5.2. Det er derfor kanskje selvfølgelig at noe av konklusjonen er at fødselsnummer ikke vil være tilstrekkelig for å verifisere din eller min identitet. Forslaget om forbud mot bare å benytte fødselsnummer for å autentisere personers identitet må derfor sies å være fornuftig.
Midt i denne rapporten tenkte jeg på boken Kite Runner som jeg leste i sommer og en historie om faren, Baba, som ble fortalt i boken. Krav til å legitimere seg i USA ble en kulturkollisjon for ham som i Afganistan alltid ble gjenkjent og stolt på i kraft av sin person. Det kan nok være kulturbestemt hvilke krav vi har til verifikasjon av en persons identitet, samtidig som man i mindre samfunn der alle kjenner alle vil ha mindre behov for slik verifikasjon enn i større samfunn eller ved myndighetsutøvelse.
I Norge har det i ulike sammenhenger blitt diskutert hvor vidt fødselsnummer er tilstrekkelig for å bekrefte en persons identitet. I noen teknologiske løsninger har man faktisk benyttet fødselsnummeret slik, selv om man i de fleste løsninger benytter fødselsnummer i kombinasjon med andre identifikatorer. I nettbanken benytter man for eksempel fødselsnummer sammen personlig passord og engangskode.
Rapporten sier følgende "Fødselsnummer (fødselsdato + personnummer)er med andre ord i utgangspunktet ikke underlagt taushetsplikt og kan derfor ofte utleveres", jfr. rapportens kapittel 2.5.2. Det er derfor kanskje selvfølgelig at noe av konklusjonen er at fødselsnummer ikke vil være tilstrekkelig for å verifisere din eller min identitet. Forslaget om forbud mot bare å benytte fødselsnummer for å autentisere personers identitet må derfor sies å være fornuftig.
lørdag 4. oktober 2008
Gratis på Internett...
Tjenester tilgjengelig på Internett ofte er gratis å ta i bruk. De kan levere spennende funksjonalitet som ikke er tilgjengelig internt i bedriften. I noen tilfeller kan de levere muligheter man uansett ikke ville kunnet realisere på bedriftsinterne tjenester.
Men de tradisjonelle IT-tjenestene som bedriften har kontroll over, kommer gjerne med oppetidskrav enten til eget IT-miljø eller til leverandør. Mot leverandør har man gjerne kommersielle kontrakter som gjør at bedriften kompenseres dersom ikke oppetidskravene blir møtt. Virksomhetskontinuitet blir dermed mulig å styre.
Tilsvarende tilbyr de tradisjonelle IT-tjenestene mulighet til å stille konkrete sikkerhetskrav slik at man har større eller mindre grad av forutsigbarhet med hensyn til sikkerheten i tjenesten og om den møter beste praksis-krav og gir akseptabel risiko.
En tjeneste som tilbys på Internett har ikke tilsvarende styringsmuligheter. Tjenestene sier sjelden eller aldri noe om hvilke sikkerhetsmekanismer som er iverksatt ut over det man kan se utfra funksjonaliteten i tjenesten.
Tjenestene tilbys ikke med oppetidsgarantier noe som i praksis gjør tjenestene lite egnet for virksomhetskritiske funksjoner.
Kreativiteten på Internett er interessant og spennende. Men per i dag er risiko i tjenester realisert på Internett (web 2.0) vanskeligere å kontrollere enn de som produseres i virksomheten enten i egen regi eller hos leverandør.
Men de tradisjonelle IT-tjenestene som bedriften har kontroll over, kommer gjerne med oppetidskrav enten til eget IT-miljø eller til leverandør. Mot leverandør har man gjerne kommersielle kontrakter som gjør at bedriften kompenseres dersom ikke oppetidskravene blir møtt. Virksomhetskontinuitet blir dermed mulig å styre.
Tilsvarende tilbyr de tradisjonelle IT-tjenestene mulighet til å stille konkrete sikkerhetskrav slik at man har større eller mindre grad av forutsigbarhet med hensyn til sikkerheten i tjenesten og om den møter beste praksis-krav og gir akseptabel risiko.
En tjeneste som tilbys på Internett har ikke tilsvarende styringsmuligheter. Tjenestene sier sjelden eller aldri noe om hvilke sikkerhetsmekanismer som er iverksatt ut over det man kan se utfra funksjonaliteten i tjenesten.
Tjenestene tilbys ikke med oppetidsgarantier noe som i praksis gjør tjenestene lite egnet for virksomhetskritiske funksjoner.
Kreativiteten på Internett er interessant og spennende. Men per i dag er risiko i tjenester realisert på Internett (web 2.0) vanskeligere å kontrollere enn de som produseres i virksomheten enten i egen regi eller hos leverandør.
lørdag 6. september 2008
Risikostyring
IT er et realistfag. Det er kanskje derfor vi i mange sammenhenger fremstiller risiko i matematiske termer, for eksempel Annual Loss Expectancy, eller at vi ganger sammen sannsynlighet og konsekvens utfra hvor mange ganger i året vi forventer en hendelse skal inntreffe, hvor mange kroner vi vil tape på hendelsen, eventuelt hva den vil forårsake av problemstillinger ut over direkte økonomisk tap, og så videre.
Det er faktisk nyttig å gjøre denne type øvelse. Men kan vi si noe sikkert om risiko i IT-systemer utfra denne type enkle modeller? I de fleste tilfeller har vi for få hendelser til å kunne si noe sikkert om hvor ofte hendelsen inntreffer. Det er ikke som husbrann, for å si det slik. Vi har i noen tilfeller kjennskap til at en lignende hendelse har inntruffet tidligere, og vi har et inntrykk av hvor lett det vil kunne hende igjen. I andre tilfeller er hendelsen hentet fra ulike teknologimiljøer der man har funnet frem til sårbarheter som ikke ennå er utnyttet. Enkle matematiske sammenhenger er dermed ikke enkelt å finne.
Jeg tror vi tjener på å få mer refleksjon og kanskje mer teoretisk kunnskap knyttet til risikomodellene vi benytter for styring og kontroll med IT-sikkerhet. Jeg håper Basel II og modeller for operasjonell risikostyring kan være noe å følge med på videre.
Det er faktisk nyttig å gjøre denne type øvelse. Men kan vi si noe sikkert om risiko i IT-systemer utfra denne type enkle modeller? I de fleste tilfeller har vi for få hendelser til å kunne si noe sikkert om hvor ofte hendelsen inntreffer. Det er ikke som husbrann, for å si det slik. Vi har i noen tilfeller kjennskap til at en lignende hendelse har inntruffet tidligere, og vi har et inntrykk av hvor lett det vil kunne hende igjen. I andre tilfeller er hendelsen hentet fra ulike teknologimiljøer der man har funnet frem til sårbarheter som ikke ennå er utnyttet. Enkle matematiske sammenhenger er dermed ikke enkelt å finne.
Jeg tror vi tjener på å få mer refleksjon og kanskje mer teoretisk kunnskap knyttet til risikomodellene vi benytter for styring og kontroll med IT-sikkerhet. Jeg håper Basel II og modeller for operasjonell risikostyring kan være noe å følge med på videre.
Abonner på:
Innlegg (Atom)
