IT-säkerhet enligt HPS

(Publicerad 2009-02-06)

Efter att Obama blivit president har Homeland Security fått direktiv att skydda informationsnätverk. En punkt i detta är "Mandate Standards for Securing Personal Data and Require Companies to Disclose Personal Information Data Breaches". Det liknar vad Kalifornien och 43 andra stater redan har, och vad Sverige också borde ha.

Obama har gjort gott på sitt vallöfte om att lyfta informationssäkerhet som en fråga för landets säkerhet. På vita husets webbsida för homeland security kan man numera se sex olika punkter som ska förstärkas. Mycket föredömligt. Det är ett ämne i sig som jag kommer återkomma till, och jämföra med hur det ser ut i Sverige. Men idag är det bara en av punkterna som behandlas här.

Debatten som funnits rör huruvida lagstiftandet verkligen gör nytta. Å ena sidan hävdas att:

• Genom tvingande att offentliggöra ges incitament att förbättra säkerheten.
• Varje person har rätt att veta om deras personliga data kommit på drift.

Å andra sidan argumenteras det mot det för att:

• Sannolikheten för att bli offer för identitetsstöld efter ett intrång är mycket låg, kring 2%
• Ett offentliggörande skulle inte kosta så mycket i förhållande till vad som redan lagts ut.
• Marknaden kanske sköter det själv genom att konsumenter väljer att gå till de som är schyssta och självmant meddelar när de haft intrång.
• En desensiteringsprocess skulle sättas igång och konsumenterna skulle inte längre reagera efter ett antal intrång offentliggjorts. [Tänk: vargen kommer!]

Jag som jobbar med IT-säkerhet ”ute på fältet” kan bara konstatera att oavsett vilket så är varje intrång en källa till mycket värdefull information. Vid varje intrång kan man se exakt vad som har gått fel i de förebyggande åtgärderna. Det är värdefull information för alla. Dessutom får man publika exempel på att saker faktiskt händer, vilket behövs för att bemöta ”det händer inte mig”-attityden. Faktum är oftast: det händer flertalet, det kan hända dig, det kan ha hänt dig utan att du märkt det.

Utöver det så har jag lätt att hålla med om argumenten för lagstiftning, medan argumenten mot känns väldigt tama, långsökta och felaktiga.

--
Carl-Johan "CJ" Bostorp