Steven, Adam og jeg mener...

Her er Steven Bellowin og Adam Shostacks svar til en USAnsk kommission for "Enhancing National Cybersecurity"

Input to the Commission on Enhancing National Cybersecurity

"Commercial air travel is so incredibly safe today precisely because of decades of accident investigations, investigations that have helped plane manfacturers, airlines, and pilots learn from previous failures."

Lyder det som noget I har hørt før ?

Jeg er helt enige med Steven og Adam: Vi skal lære af vores fejltagelser på en systematisk måde.

Indberetningspligt og IT-havarikommission.

Nu!

phk

Kommentarer (15)
Bjarne Nielsen

Så vidt jeg lige kan se, ved at skimme "Steven og Adams" svar, så sigter de "kun" imod sikkerhedsrelaterede hændelser (security incident).

Det er et rigtigt godt sted at starte, og det har endda en chance for faktisk at blive brugbart indenfor overskuelig tid (hvis alle vil det nok), så jeg stemmer også for!

Men det har bare meget lidt at gøre med de projektforlis, som debatten om pop-ordet "IT-havari-kommission" hidtil er kommet til at dreje sig om.

Poul-Henning Kamp Blogger

Men det har bare meget lidt at gøre med de projektforlis, som debatten om pop-ordet "IT-havari-kommission" hidtil er kommet til at dreje sig om.

I mit forslag skal ITHK også på banene ved tab af kontrol med persondata.

Men det i og for sig detaljer.

Det overordnede og vigtige budskab er at vi skal have lovgivningen til at tvinge branchen til at lære af sine fejltagelser.

Claus Nedergaard Jacobsen

.... luftfarten er også et eksempel på, at det kan gå gruelig galt, hvis man forsøger at regulere sig ud af alt. Hver gang et eller andet går galt i luftfarten, så sætter en flok DJØF'er sig sammen og opfinder 10 nye regler og 10 nye myndighedsroller til at administrere dem. Resultatet er masser af nye stillinger i det offentlige, masser af nye blanketter, som skal udfyldes og en flytning af fokus på det, som det egentlig handler om, nemlig flyvesikkerhed over på administration og blanketudfyldning. Resultatet er snarere, at der flyves mindre, og selvfølgelig får det på magisk vis ulykkesraten til alt falde. Resultatet er også, at vi i dag flyver rundt med flytyper, som næsten ikke har udviklet sig siden 50'erne, fordi ingen tør tage den papirkrig, der er forbundet med skift til nyere og mere miljøvenlige teknologier. Var det det, vi ville?

Så ja: tidens it-ulykker skriger på regulering, men det er en hårfin balance. Overregulering sætter alt i stå og flytter fokus de forkerte steder hen.

Morten Nissen

At antiterrorhysteriet har taget overhånd er en ting.

Men:

der flyves mindre, og selvfølgelig får det på magisk vis ulykkesraten til alt falde


Den forstår jeg ikke.

Resultatet er også, at vi i dag flyver rundt med flytyper, som næsten ikke har udviklet sig siden 50'erne


777X forventes i 2020
A350 er fra 2010
A380 er fra 2005
777 er fra 1995

Med den på har biler heller ikke udviklet sig i cirka 100 - de har stadig en motor og 4 hjul

Bent Jensen

Stiller du op for LA ?

Man måler flysikkerhed i antal personkilometer i forhold til ulykker, og den har været faldende hele tiden og særdeles meget bedre end statistikken for biler. Som dog også har en stærk faldende andtal dræbte per. kørte person km.
Forstår ikke helt din indlæg, argumenter mod noget, med sammenligningen mellem noget andet. Som så er forkert. Når man bruger den form for argumentation, bør sammenligningen i det mindste være rigtigt.

Derfor jeg ville høre om du er politiker, i samme parti som ham som er god til at kaste langt ?

Niels Jensen

Såfremt man ønsker at lave et setup, som indenfor flyindustrien, så skal vi lige have defineret hvad en incident er i IT-sammenhæng. Ved flyv styrt, så er der næsten hver gang lig på bordet. Det giver store økonomiske incitamenter. Når et IT-system lager ulykker, så er der økonomiske tab, men yderst sjældent er dødsfald involveret. Det giver nogle helt andre problemstillinger.

Men man kunne jo starte med at blive enige om definitionen på en IT-sikkerheds incident. Det har procesindustrien arbejdet på i mange år - og de har lig på bordet - og endelig er det ved at lykkes at blive næsten enige om hvad en proces sikkerheds incident er.

Jesper Frimann

Nu er der inden for IT Service Management, jo en hel disciplin der hedder Incident management, og så ja er der Problem Management og Knowledge Management.

Hvis man er villig til at lytte til andre, så er der jo allerede lavet lidt forarbejde i feltet.

Man kunne f.eks. starte med at se på NIST'es dokumenter om emnet:

http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

// Jesper

Thomas Peter Berntsen

I takt med, at flere og flere af de interaktioner, vi som borgere har med det offentlige og med hinanden, sker igennem digitaliserede systemer og processer, sker der i nogen henseende også en bevægelse væk fra det runtime-fleksible - hvor mennesker kan tweake interaktionerne i systemet til at passe bedre til kontekst og behov - og til det mere fastlåste, up-front designede, hvor der er mindre plads til at håndtere uforudsete abnormaliteter og statistiske sjældenheder.

I samme stund opkoncentreres informationsstrømme mange steder på historisk højt niveau og med dertil hørende markant større risiko/incitament for magtmisbrug iblandt brodne kar samt for markant større konsekvenser ved slendrian og blot trivielle systemfejl.

Endelig er det mit indtryk, at det offentlige, over en bred kam, i for høj grad udliciterer arbejdet indenfor centrale kompetenceområder relateret til analyse, design, projektering, udvikling og ledelse af teknologiprojekter til konsulentstanden, hvilket selvfølgelig har mange årsager, men ikke desto mindre også mange uhensigtsmæssige konsekvenser.

Jeg arbejder selv som bl.a. konsulent, og jeg forstår behovet for på projektbasis hurtigt at kunne "hyre og fyre" spidskompetencer, men nogle gange kan jeg ikke lade være med at få fornemmelsen af, at brugen af konsulenter har taget overhånd i det offentlige.

Med min erfaring er jeg ikke af det indtryk, at man i de fleste tilfælde (men dog bestemt i en række tilfælde) får samme grad af langsigtet interesse og loyalitet fra konsulenter, som man ville få fra medarbejdere, der brændte for sagen, for det er ganske enkelt ikke det grundlag, man hyrer sine konsulenter ud fra.

Men det kræver selvfølgelig også, at man er i stand til at skabe et attraktivt arbejdsmiljø, hvor man har en positiv, dialogbaseret kultur for ens produkt- og tjenesteudvikling, og ikke en "lettere angstpræget, bureaukratisk nulfejlskultur", som én af mine bekendte engang karakteriserede en ellers højt profileret projektorganisation, der søgte udviklere.

Når vi ved, hvordan mange systemer i det offentlige udvikles og forvaltes, giver det kun god mening at have en IT-Havarikommission. Det kan kun gå for langsomt.

Og hvor bliver den danske pendant til U. S. Digital Service i øvrigt af? Jeg tror, at vi er en del, der ville elske at "komme i trøjen" et år eller to i det offentlige og arbejde med progressiv udvikling af systemer og tjenester, der skærer igennem mere af kompleksiteten (frem for at tjene penge på den) og tjener borgerne bedre. I en fungerende og iværksætteriorienteret kultur, forstås.

https://medium.com/the-u-s-digital-service/two-years-of-the-u-s-digital-...

Chris Bagge

Ved flyv styrt, så er der næsten hver gang lig på bordet.

Ved fly styr måske, men ikke for at det er påbudt at havarikommisionen bliver involveret. Prøv at gå ind og se på havarikommisionen hjemmeside. Der skal indrapporteres lige så snart der er væsentlige skader på et fly. Her er der ofte udelukkende tale om økonomiske 'tab'. Det der er vigtigt er (citats fra seneste redegørelse): "Undersøgelserne har alene et flyvesikkerhedsmæssigt formål og tager ikke sigte på at placere skyld eller ansvar."
I en havarikommission skal vi glemme vores 'nationalsport' med at finde den skyldige!

Selv følgelig er der brug for håndfaste definitioner, men det skal ikke kunne bruges som en undskyldning for at 'gemme sig'.

Thomas Alexander Frederiksen

Ved flyv styrt, så er der næsten hver gang lig på bordet

Jeg abonnerer på Havarikommisionens rapporter, og den langt største del af dem omhandler mindre havarier uden anden skade end materiel. Der er masser af mindre hændelser som godt nok resulterer i at fly lander noget uplanlagt på ikke-egnede steder, men som absolut ikke giver lig på bordet.

Det kan i øvrigt anbefales at hoppe på den postliste, rapporterne om hændelser med fly og tog som Havarikommisionen udgiver er særdeles interessant læsning - ikke mindst hvis man har en interesse for proceduremæssig styring af arbejdsgange (og hvad der sker når det svigter).

Claus Nedergaard Jacobsen

Nej Bent, jeg er menig IT-systemarkitekt og fritidspilot gennem 40 år og heraf har jeg ca. 10 år været involveret i det internationale arbejde med at bremse bureaukraternes overregulering, hvor der overhovedet ikke er nogen proportionalitet mellem indsats og forventet udbytte. Jeg er heller ikke Lars Løkke tilhænger, men jeg er dog fuldstændig enig med ham i, at "vi har brug for briternes fornuftige stemme i EU". Det er bl.a. dem, der har introduceret begrebet "Vested interests", hvor man aner tydelige økonomiske og magtpolitiske interesser i at dreje lovgivningen i bestemte retninger.

Men det her handler om IT havarier og læk af persondata, som PHK er inde på. Vi er helt enige om, at det handler om at indbygge læring og at tvinge organisationer til at lære af egne og andres fejl. Der, hvor de gode hensigter hopper af sporet, er:

1) "Tvang" (det var PHK som introducerede det ord) er lig med lovgivning. Og lovgivning skal være firkantet og uden gråzoner. Det bliver "lovens bogstav" og ikke "lovens hensigt", der kommer til at gælde. Det kan jeg nævne tonsvis af tilfælde fra flyvningen, hvor lovgiverne slet ikke har magtet at formulere hensigtsmæssige love, og udkommet er totale gak-gak scenarier for at "overholde lovene".
2) Der vil komme en industri af mennesker, som vil se det som deres levebrød at lovgive, administrere, kontrollere og udstede certifikater og godkendelser for dit og dat. Det er dem med "vested interests". Og de vil via stærke lobbyorganisationer prøve at påvirke politikerne til at lave endnu stærkere regulering.

Det er ikke mig, der har introduceret sammenligningen mellem flyvehavarier og IT-havarier. Det har Steven, Adam og PHK selv. Min bedste overbevisning er, at ingen af de tre for alvor ved, hvordan alt dette praktiseres indenfor flyvning og derfor har grebet en analogi ud af luften. Læring og udvikling er godt, men jeg er bange for, at dem, der har introduceret analogien til flyvning, tror at det bliver IT-kyndige, der kommer til at styre det hele. Det kan jeg så håbe på, men erfaringerne fra flyvning er meget lidt opmuntrende i den henseende. Jo, lovgivningen forhindrer måske nogle uheld, men den forhindrer også så meget andet. Eksempler kan jeg give masser af, men det bliver i givet fald i et andet indlæg.

Man kunne også have brugt sundhedssektoren som analogi. Men hvordan er det lige med "de varme hænder" i den branche?

Som jeg sagde: det er en hårfin balance. Jeg har ikke lyst til at se IT-branchen falde i samme fælde som flyvningen.

Claus Nedergaard Jacobsen

Der refereres nok til C172, og PA28.
Men også her findes der nyere designs som DA20 og DA40.

Undskyld det sene svar - har været på ferie. Ja vi ser nu så småt glas- og kulfiber blive taget i anvendelse i flyindstrien, men det er mere end 50 år siden, at man begyndte at anvende de samme materialer i svævefly. Bortset fra Cirrus og DA 20/40 er der næsten ikke sket udvikling indenfor almenflyindustrien siden 50'erne. Det eneste sted, hvor udviklingen for alvor blomstrer, er indenfor ultralight området, som i høj grad er et ureguleret område. Man slap fra lovgiverne side området frit, fordi man ikke troede der kunne ske så meget ved, at nogle folk sejlede rundt oppe i luften under et villatelt med en plæneklippermotor som drivkraft. I løbet af 20 år har disse villatelte udviklet sig til fantastiske glas- og kulfiberfly med hastigheder på op mod 300 km/t og brændstofbrug, der kun er 20% af de gamle efterkrigskæmper, hvor man nøje sikrer sig, at man holder sig den uregulerede del af loven. Og folk kan købe dem, fordi der ikke skal lægges 300% oven i enhver reservedel pga. et eller intetsigende og overflødigt certifikat til en godkendelsesmyndighed.

Jeg er ikke ubetinget imod PHK's intentioner, men jeg siger bare: Pas på. Der kan lynhurtigt komme noget ud af det, som ingen af læserne på Version2 vil ønske sig.

Log ind eller Opret konto for at kommentere