Forsvarsminister opfordrer SMVer til at købe sig til it-sikkerhed

Hvad med at man begyndte at få nogle standarder for HVORDAN man bedst arbejder med dette - helt konkret.

Ligesom der er standarder for f.ex. tog transport osv. - burde der arbejdes for at lave nogle brugbare standarder og krav man kan arbejde efter.

Som jeg forstår havari kommissioner indenfor andre områder, er det netop et outcome af deres arbejde - der bidrager til at få skrevet og forbedret sådanne standarder ?

Så måske starte med at have en havari-inspektion - for stort (hele projekter der fejler) og småt (sikkerhedsproblemer der BURDE have været i orden) - og så stille og roligt få udarbejdet nogle retningslinier der er til at få en IT-revision til at gennemgå, for at sikre at ting er på plads?

Der er allerede IT Revisionsstandarder i dag - som bestemt ikke er helt uefne - de checker bl.a. at man har central bruger administration og mange andre ting - så det var måske noget at pege på som standard - en IT Revision?

Alternativet til dette - er jo at det er "mere held end forstand" - hvilken rådgivning man får og hvad der faktisk bliver lavet.. IT er alt for meget "Wild west" IMHO

Er der ikke allerede standarder for processer og politikker omkring it-sikkerhed?

Jeg mener bestemt at have hørt om en række standarder fra ISO og NIST og andre.

Måske er problemet, at der for mange af dem (og at de tager et par uger at læse igennem).

Der er process standarder - men der er ikke standarder for HVORDAN ting rent faktisk bør gøres.. f.ex. at man bør have central brugerstyring osv.. Andet end hvad IT Revisorer arbejder efter.. Umiddelbart har de ofte spurgt efter nogle fornuftige ting, de gange jeg har været et sted hvor vi skulle bestå en IT revision - det kommer forhåbentlig fra nogle standarder - som så kunne udbygges og forbedres, baseret på den læring en IT havari komission får, hver gang de undersøger "et havari" (aka. sikkerhedsincident/project failure).

Som det er i dag - lærer enkelt personer (måske) noget - men som samfund lærer vi ingenting.. I modsætning til f.ex. i byggeriet - hvor man hele tiden justerer bygningsreglementet, konstruktionsstandarder/krav til materialer mv. - ser jeg intet af det i IT verdenen :(

Bliver bare nervøs når forsvarsministeren begynder og udtaler sig om IT og tennissokker ;-)

Bliver bare nervøs når forsvarsministeren begynder og udtaler sig om IT og tennissokker ;-)

Som det er i dag - lærer enkelt personer (måske) noget - men som samfund lærer vi ingenting.. I modsætning til f.ex. i byggeriet - hvor man hele tiden justerer bygningsreglementet, konstruktionsstandarder/krav til materialer mv. - ser jeg intet af det i IT verdenen :(

Og lige præcis Forsvaret (FE), står faktisk i vejen for, at de offentlige midler til IT-sikkerhed kommer hele samfundet til gode.

SMV'er har da ikke brug for en Harvari kommission eller lignende.

Hvis forsvarsminister Trine Bramsen vil gøre noget som SMV virksomheder, så lader hun udarbejde et sæt standarder som ISP'erne skal overholde (som tilkøb) til SMV'ere.

Du får da ikke en frisør, murer eller et smedeværksted til ansætte IT folk eller lignende.

De skal da op i størrelse før de overnhoved tænker på andet end en form for en IT-pedel som "kigger forbi efter behov".

Forsvarsminister Trine Bramsen udstiller sin totale mangel på viden om erhvervslivet - men der har hun jo aldrig været, bortset at et løsarbejderjob i gymnasietiden som "kassedame".

Tilbage mellem '11 og '15 satte Trine Bramsen også noget igang - om innovation. Hun troede dengang at innovation var en slags sovs, regeringen kunne fremme spredningen af. Innovation opstår mig bekendt, når mennesker forholder sig konstruktivt til de ting, processer og mennesker de arbejde med. Så lad os begynde med at innovere "politik" fra at være et materialistisk tag-selv bord til at være mennesker, der påtager sig, at arbejde for at gøre samfundet bedre; som i slut med at udvikle komplikationer, som skal løses af højtlønnede eksperter fra pølsefabrikken, hvor folk, der scorer kassen på at gentage deres yngling fiksering og på trykke nye generationer med deres egen griskhed. Lad os begynde med at gøre politik, til et timelønnet job, som man udfører udfra egne visioner - som vinder vælgertilslutning. uden at komme i konflikt med loven, somvi har lovet hinanden. Partier står ikke i grundloven. Så første opgave bliver at udvikle en forfatning, der afspejler hvem vi tror vi er - eller gerne vil være, som mennesker. Måske skal man fordele politiske roller ved lodtrækning? Når vi så engang har en lovlig forfatning til erstatning for "Danmarks Riges Grundlov", kan vi begynde at tænke over hvad der skal regeres. Måske skal vi erstatte tech-monopolernes "lov", med den fornuft vi kan blive enige om. Det er ikke et en-omgangs-spil. Nutidens politikere er desværre blevet en virkelighedsfjern kaste af personer der kun tænker populistisk i støtte fra "venner", som forventer modydelser - det er langt fra holdbart. Jeg ved det ikke, men konger, præsidenter og folk, der vil have magt og løn fra tag-selv-bordet - uden at stå til ansvar for deres handlinger er (i mine øjne) yt. Som en vis dame sagde på TV2 - I ved selv hvem er.

Problemet er ikke at der mangler standarder - dem er der nok af, og revisionshusene scorer kassen på at tjekke om alle fluerne nu har 6 ben og andre ligegyldigheder (ISO27001, det er dig jeg mener).

For mig at se er problemet at der mangler håndfaste "sådan her skal du gøre" trin-for-trin vejledninger. Det burde være en sag for erhvervsorganisationerne - og de gør faktisk også noget - men der er lige så mange gamle amatør-installationer hos denne type virksomheder som hjemme i privaten. Mængden af teknisk gæld er lammende.

Og det er bare ikke noget der ligger højt prioriteret på smedeværkstedet, hos VVS'eren, møbelværkstedet osv. De har travlt med at få deres Windows 7 med Word 2003 til at indberette i et eller andet offentligt system.

For mig at se er problemet at der mangler håndfaste "sådan her skal du gøre" trin-for-trin vejledninger.

Det der mangler mest af alt er producentansvar.

Man skal ikke kunne slippe godt&gratis fra at sælge tusinder eller millioner kopier af produkter, hvad enten det er software eller hardware, som har ladeport-store sikkerhedshuller.

For mig at se er problemet at der mangler håndfaste "sådan her skal du gøre" trin-for-trin vejledninger. Det burde være en sag for erhvervsorganisationerne - og de gør faktisk også noget - men der er lige så mange gamle amatør-installationer hos denne type virksomheder som hjemme i privaten. Mængden af teknisk gæld er lammende.

Det tyske blad C'T udgav for kort tid siden sådan en guide. Jeg har ikke analyseret dens kvalitet, men måske burde man lave en tilsvarende på dansk. I et sprog som de fleste kan forstå.

Det løser ikke problemerne, men så er man begyndt et sted.

Det der mangler mest af alt er producentansvar.

Man skal ikke kunne slippe godt&gratis fra at sælge tusinder eller millioner kopier af produkter, hvad enten det er software eller hardware, som har ladeport-store sikkerhedshuller.

Og her kunne producenterne vejlede: Sådan sætter du vores produkt(er) sikkert op, så de fungerer godt og sikkert ... sammen med andre produkter, der følger ... samspilsstandard(er). Så kan andre teste og anmelde, hvor godt og sikkert det fungerer - evt en prøvningsordning.

Vejledningerne kan bedømmes ud fra, hvor meget der skal tweakes, og hvad der er secure by design.

Og her kunne producenterne vejlede: Sådan sætter du vores produkt(er) sikkert op, så de fungerer godt og sikkert ...

Men meget få læser jo faktisk en vejledning grundigt. Heller ikke selv om man tvinger dem til det. Mange vejledninger er jo i forvejen meget lange og fyldt med særprægede advarsler og gode råd. Denne router må ikke spises. Den må ikke nedkastes fra en varmluftballon. Den tåler ikke ophold i mikrobølgeovn. Kan ikke bruges som stopklods for parkerede biler.

Jeg har faktisk vejledninger, hvor hverken produktet eller fabrikanten er nævnt, det er bare en gang generelt ævl på 26 sprog. Og en pastamaskine om hvilken der står, at den ikke må bruges til at makulere dokumenter.

Der skal udvikles en ny måde at skrive vejledninger på. Mindre jura, mere reel vejledning. Og dét tror jeg ikke på.

Og her kunne producenterne vejlede:

Men hvorfor skulle de dog bruge penge på det ?

De har ikke noget produktansvar, rendestenen er krydset og de har allerede fået deres penge.

Grunden til at der ligger garantioplysninger på 26 sprog er ikke fordi producenternes juridiske afdelinger går ind for almendannelse og interkulturel forståelse, det er fordi der ligger et lovkrav om at oplyse forbrugerne om deres rettigheder.

Vi kan sagtens lave et lovkrav om dokumentation der forklarer hvordan man patcher sikkerhedshuller, men det ville da være meget mere effektivt at gøre det til producentens mærkbare problem at de er der til at begynde med.

Studér fly-, jernbane- og bil-branchens sikkerhedshistorie og I vil hurtigt indse se at producentansvar er en god kæp og en havarikommision en god gulerod.