Hvilken IT-sikkerhed ?

Det forbløffende med dette indlæg er at du slet ikke ser den kontrovers, der faktisk er essensen i sikkerhedsdebatten.

Skal man have en systemcentrisk tilgang, hvor alt centraliseres omkring Finansminsiteriets planøkonomiske styring og detailkontrol eller skal man have en markedsorienteret kunde-styret tilgang, hvor man sætter mennesket før systemet?

Problemet er jo at "sikkerhed" er blevet gidsel for Digital Forvaltnings misforståelser om "New Public Management".

Omkring sammenligningen mellem Færdselssikkerhed og it-sikkerhed, så er det nonsens.

Færdselsproblemerne er et desideret uheldsområde hvor ingen ønsker ulykker, men det at bevæge sig hurtigt skaber risici som man kan forsøge at modgå.

Det andet er stærkt præget af mere eller mindre relle interessekonflikter, dvs. hvor sikkerhedsproblemerne i væsentlig grad SKABES af interesser der ikke er balanceret ud mod hinanden.

Trafikken kører uanset hvad staten gør, men på IT-sikkerhedssiden bygger alle kritiske elementer på områder, der er stærkt regulerede og etableres eller afledes af statens tiltag - cpr, kommunikation, betaling etc.

Hovdproblemet på sikkerhedsområdet er IKKE implementeringen, men selve strukturen og de hensyn, der ligger bag. Du forbedrer ikke sikkerheden mere end marginalt ved at lave en bedre firewall - slet ikke hvis det miabruges til at legitimere at øge risikoen. Derimod kan du gøre noget effektivt hvis du sikrer fallbackmekanismer når perimetersikkerheden (selvfølgelig) brydes.

Man kan altid diskutere om et "Råd" er vejen frem, men at lave et råd som ikke dækker området er meningsløst. Det må nødvendigvis dække statens eget område og hvordan vil du gøre det uden mandat hertil?

Jeg skal være den første til at rose Kims ihærdighed, men hvad er det som Kim vil med dette?

Kim har f.eks. gjort sig til talsmand for et samtykke-register som en slags placebo-sikkerhed, dvs. bygger selv på den tilgang at man skal koncentere risici og blot forsøge at styre hvem der må tilgå de usikrede systemer.

Det går så helt galt hvis det f.eks. implementeres som i Sundhedssekstoren hvor man med L50B har fjernet både sikkerhedskravene, retssikkerheden og effektiviseringsdriverne. Her reducerer man sikkerhed til noget med beskyttelse mod den onde nabo som også er sygeplejerske.

Hvor er visionen i det?

@ PHO, Eskild.

Jeg er absolut for at man får skabt noget mere seriøs debat og forståelse på sikkerhedsområdet - håndteringen er i de fleste sammenhænge desideret forældet. Se bare på Digital Signatur og fingeraftryk, der er som dinosaurer fra forrige århundrede.

Jeg siger blot at analogien med trafik er forkert, fordi sikkerhed er et konfliktfyldt område medmindre man er rigtig god til at designe sig ud af de tilsyneladende konflikter. Det er ikke hvad jeg ser ske, men hvad jeg selv arbejder for.

Som jeg ser det er hovedspørgmsålet om det er realistisk at sikkerhed i offentligt relaterede processer kan køres i en model helt udenfor staten? og hvis staten ikke er med kan man ikke gøre meget i den private sektor for det er på ingen måde et frit område.

Man må for min skyld lave alle de råd man vil - de er alligevel overalt - men hvorfor dette? Når jeg diskuterer sikkerhed konstruktivt sker det ikke i dansk regi, men i internationale fora direkte med eksperter på de specifikke områder. F.eks. Security & Dependability Taskforcen, hvor vi lavede Roadmapping for FP7.

Jeg kender ikke Kim og har ingen holdning til Kims person. Har kun set et konkret forslag - samtykkeregister - men det er en rigtigt dårlig ide, så hvorfor skulle jeg tro at der er visioner bag? Men bortset derfra aner jeg ikke hvad han står for og her derfor ingen holdning.

Et Råd for rådets egen skyld uden ressourcer, visioner eller mandat forudsætter et godt formål formentlig med primær fokus på opbakning fra eksperter som faktisk kan give det noget saft og kraft til at give et seriøst modspil fremfor fokus på legitimitet via institutionel deltagelse.

Jeg bliver ringet op af folk som spørger hvad det er for noget - det er klart ikke sidstnævnte og Kim får ikke mandat af det offentlige.

SÅ hvad er formålet? Taler vi en slags uafhængigt forskningsråd (erkendt at området er underfundet og alt for politisk styret) eller et sted for interessekonflikterne kan løses.

En ting er sikkert - et råd til flere af de tåbelige kampagner får ikke min opbakning. Det er ren placebo.

Mikael,

Der er intet politik kontrolversielt i det. Det er præcis, hvad vi har set hidtil - en pladdervælling af en kampagnemaskine og lette quickfix som sejler henover problemerne og kilderne til dem.

Det løser ingenting, men misbruges til syndforladelse - "nu har vi gjort noget og lagt ansvaret på nogen (andre)" (velvidende at de er ude af stand til at løfte det - de mangler ressourcer, kompetancer og de fleste kilder til sikkerhedsproblemerne er uden for deres rækkevidde).

Som Dorte Toft så rigtigt skriver i sin blog udmærker oplægget til kommite sig ved nærmest total fravær af sikkerhedskompetance. Kommiteen risikerer at blive politisk gidseltagning for at binde interessenterne uden risiko for at den gør noget som helst som ikke er dikteret af Finansiministeriets embedsfolk.

Det kunne pege på behovet for 2 fora - det "officielle" og et eksternt forum som inddrager ekspertise og uafhængighed som hovedfokus. En slags skygge, der sikrer at vigtige spørgsmål og modeller rent faktisk kommer på agendaen på en måde hvor man ikke har truffet beslutningerne på forhånd.

Men et sådant forum er et uafhængigt "ekspert"-forum tættere koblet med forskningsverdenen (uden den naive tro at forskning løser interessekonflikter eller modner løsninger til markedet) end den politiske / institutionelle interessesfære som det mere officielle sikkerhedsråd har til opgave at fokusere på.

Den tilstand af akut krise på sikkerhedsområdet som blev etableret med L50B - som trak tæppet væk under alle hensigtsmæssige rettigheder og krav til sundhedssektorene it-udvikling - er et godt eksempel på et emne, der fortjener bred fokus - også uden for de lette kompromissers uhodbare "quickfix" som L50B tydeligvis er udtryk for.