Risikoforståelse på Løvebakken

Definisjonen av risiko:

Sannsynlighet * konsekvens

Det er ingenting som er risikofritt, selv om man i noen sammenhenger regner sannynligheten eller konsekvensene som så små at man omtaler det som om det var risikofritt. Optimisme (eller overkonfidensialitet) innebærer en undervurdering av en eller begge momenter. 

Vi trenger optimisme for å ta nye steg både på individellt og samfunnsmessig plan, men det betyr ikke at man skal ignorere risiko. Så lenge man løper risiko for egen regning er det relativt uproblematisk om man velger å ignorere risiki (flertallsbenevning). Når man utsetter andre for risiki, enten i nåtid eller i fremtid er det straks mer alvorlig, særlig om man unngår å ta det med i beslutningsgrunnlaget eller unntar det fra begrunnelsen for sine standpunkt og vedtak.

Å utsette andre for risiki for å nå egne mål, uten å gjøre rede for sine vurderinger kan ha to mulige forklaringer (og er noe annet enn å være optimist):

• psykopatisk trekk. Et slikt karaktertrekk er ikke særlig ettertraktet. Om det er ren og skjær overkonfidensialitet eller slike egenskaper som får politikere til å gjøre vedtak på tross av advarsler om risiko er en noe kompleks og ullen materie.
• Manglende evne til å vurdere risiko eller ulike risiki mot hverandre, altså umodenhet.

Politikere fatter daglig beslutninger som vil påvirke individers risikobilde, enten i nåtid eller et stykke inn i fremtiden. En kortsiktig gevinst i dag kan godt bety økt fremtidig risiko for de som skal arve konsekvensene.Tar man ikke hensyn til konsekvenser egne handlinger har for andre er det ikke så mange alternative forklaringer enn ovenfornevnte. Paradokset er at dagens politikere gjerne skjuler seg bak at de gjør alt av hensyn til felleskapet, men uten at det har rot i virkeligheten. Kan det være risikostyring av egen mulighet for gjenvalg som overskygger de vurderinger politikerne faktisk er valgt til å gjøre?

Å styre et land er litt sånn som å styre en supertanker. Manøvrering krever planlegging og vurderinger et stykke frem i tid. Dersom kapteinen ikke tenker lengre enn sin egen vakt kan det gå riktig ille. Både hva kapteinen gjør, og unnlater å gjøre kan få avgjørende betydning for risikobildet (og om skipet ankommer destinasjonen).

Vi står overfor betydelige problemer og muligheter på områder som:

• Digitalisering av kommunikasjon og samarbeid
• Energi produksjon/forbruk

På disse områdene vil vi se store endringer fremover. Digitalisering er allerede kommet langt, men potensialet er faktisk enda større. Endringer i energiforbruk og produksjon er bare i startfasen (men fordi vi baserer oss i stor grad på en endelig ressurs er endring uungåelig).

Digitalisering er en villet og ønsket prosess, men  den medfører også utfordringer f.eks. mtp personvern. Å skjule eller gjøre mangelfulle vurderinger i denne prosessen kan få fatale konsekvenser. Dersom personvernet svekkes, svekkes også et av fundamentene det demokratisk samfunn bygger på: individets beskyttelse mot overgrep og tapt frihet. Det kan også bety tapte muligheter digitaliseringen kan gi oss, fordi individet ikke kan tiltro systemer og nettverk personlig informasjon. Et demokrati bygger på tillit til borgerne.

Da er det forstemmende å se at myndighetene kreve at personlige opplsyninger skal systematisk samles og lagres for vår felles sikkerhet. Når ble vår felles sikkerhet avhengig av at personlige opplysninger samlet inn i stor skala? Tvert imot representerer en så stor mengde personlig informasjon samlet  i databaser en risiko og fristelse. Vår felles sikkerhet og beskyttelse mot overgrep i en liberal rettsstat bygger på at borgerne har rett til privatliv. Videre skal borgerne kontrollere staten, og ikke omvendt. Siden vi ikke lever i en kriminell fristat, må kriminalitet behandles som unntaket og ikke regelen. Datalagringsdirektivet, og neste steg som det nå jobbes med å innføre i Storbritannia snur dette på hodet.

Opplysninger som tidligere hadde sletteplikt (IP-adresser), skal nå samles sammen med en rekke andre opplysninger som lokasjonsdata og hvem vi kommuniserer med vil nå bli samlet i databaser hos teleoperatørene. Dataene oppstår i et distribuert nettverk av datasystemer, og må nødvendigvis rapporteres inn til den sentrale databasen. Det eneste praktiske mulige måten å gjennomføre dette på er via nettverket. Det vil være utopisk å tro at det ikke vil være svakheter i et slikt distribuert nettverk av systemer som ikke var bygd for formålet: å sikre bevis i tilfellet noen av oss i fremtiden begår en kriminell handling. En slik database vil være i direkte/indirekte kontakt med store deler av en epost/mobil/telefon/bredbåndsleverandørs systemer og representer et felles knutepunkt som kan angripes fra mange sider via de enkelte systemene. Kort oppsummert: Sjansene for lekasjer øker via en rekke innganger til databasen, og konsekvensene øker på grunn av databasens omfang og korrelasjonsmuligheter.

Det er patetisk å høre at politikerne vedtar at databasen skal være sikker. Data vil være kryptert  i databasen, men data må kunne flyte inn/ut. Ikke bli overrasket om noen finner ut hvordan sette opp avlytting av den trafikken. Da vil man kunne bygge opp et speilbilde av databasen. Avhengig av hvordan kryptering/dekryptering implementeres vil misbruk av disse mekanismene også kunne utnyttes eller noen finner knekker krypto-nøklene som brukes.

Å unnlate å gjennomføre nødvendige endringer er en annen form for mangelfull vurdering og håndtering av risiki: innse at olje- og gassinntektene en dag må ta slutt og handle deretter.

Anbefalt lesning
climate change is a moral issue on a par with slavery
Krimstatistikk
Risk Perception 
Prospect theory

Teknologens ansvar

Teknologi er agnostisk i forhold til hva den brukes til. Det er vi som bruker og lager den som må ta stilling til hvorvidt bruk/utviklingrn er etisk (og evt juridisk) akseptabel. Hvilket ansvar har vi teknologer for eventuell misbruk av vår teknologi? Hvilke skanser skal vi bygge inn i systemene, og skal vi kunne trekke tilbake rett til å bruk om vi mener den er uetisk?

Informasjonsteknologi gjennomsyrer alle samfunnsprosesser og hverdagen vår. Siden dataene som skapes er lite synlige er det liten fokus på hvilke risiki og utfordringer dette skaper. I og med at samfunnet bygges på digital informasjonsteknologi som har store svakheter burde den stilles krav til den. I forhold til omfanget av problemet med data som kommer på avveie og misbrukes foregår det en underraportering i media. Noe skyldes nok manglende innsikt fra journalistenes side, delvis skyldes et problemets abstrakte natur. Hjernene våre er fortsatt mer oppmerksomme på fysiske farer enn abstrakte. Sannheten er at vi (i vesten) lever i et tryggere samfunn enn noen av forfedrene våre. Allikevel er det mer fokus på "marginale" problemer, men som som gjerne skaper frykt. Her i Norge har vi i desember 2011 vært mer opptatt av at butikkene er tomme for smør enn at EU holder på å gå over ende, det demonstreres verden over mot myndighetene til våre viktigiste handelspartnere. De samme mundighetene er også iferd med å vedta en rekke lover som fratar oss elementære rettigheter som tilkjempet.

Informasjonsteknologi, som annen teknologi, bør inneha visse egenskaper. Sammenlignet med f.eks. en bro så skal den ikke ramle eller på annen måte utgjøre en fare for den som bruker den. Med informasjonsteknologi er problemene helt anderledes, men likheten er at man utsetter brukeren for en risiko.

Jeg mener teknologer i større grad må bidra til styrke personvern, og gi brukeren kontroll over egne data (disposisjonsrett). Jeg synes også utviklere bør diskutere hvilket moralsk og eventuellt juridisk ansvar det innebærer å lage programvare.

Jeg synes også at man må ha et mer bevisst forhold til om man overhodet trenger å lagre data sentralt. Distribuert brukerstyrt lagring  av personlig informasjon foretrekkes.

Et innspill av Poul-Henning Kemp i forhold til risiko forbundet med bruk av software
http://queue.acm.org/detail.cfm?id=2030258

Dette er et klart tilfelle hvor IT-ingeniører kommer i ansvar
http://it.slashdot.org/story/11/12/20/0127215/software-bug-caused-qantas-airbus-a330-to-nose-dive

Ingeniører, og spesiellt våpenprodusenter, blir det stilt særlig ansvar til. IT-bransjen og programmere stilles det generellt lite ansvar til.

Det er spesiellt mange utfordringer rundt bruk av tjenester på internett, hvor både kriminelle og myndigheter "tar seg til rette" i personlige opplysninger. Dersom individet ikke kan disponere egne data og selv vurdere risiko kan det internettet vi har kjent til nå vil eroderes av overvåkingstiltak og murer.

Dette ble mange forskjellige vinkler, men poenget er: når bør og kan programmere ta etisk og/eller juridisk ansvar? Hvilket opplysningsansvar vedr risiko for brukeren har man som programmerer og tjenestetilbyder?

Programkode skiller seg fra annen ingeniørkunst ved at kan endres fortløpende, kopieres og gjenbrukes uavhengig av opphavsmann/kvinne. Svært mange internettjenester er mashups av andre tjenester. Det blir derfor vanskelig å plassere formelt ansvar i mange tilfeller. Mye av koden er skrevet av frivillige (åpen kildekode).

Formelt ansvar i forhold til sluttbruker kan man trolig begrense til den som leverer sluttproduktet og tjenester. Min bekymring dreier seg mer om det store fraværet av debatt rundt og løsninger som ivaretar individets disposisjonsrett, samt åpenhet rundt risiki ved bruk.

Lærende distribuerte organisasjoner

Når organisasjoner skal yte tjenester krever det ofte bidrag fra flere enheter i et organisasjonsnettverk. Dersom en eller flere enheter svikter kan verdien på tjenestens sluttresultatet bli redusert.

Et organisasjonsnettverk vil aldri være helt stabilt, siden de ulike delene kontinuerlig utsettes for nye krav og muligheter. Nettverket sett i systemperspektiv er stadig i endring og gjør fortløpende prioriteringer av egne ressurser. Hverken arbeidet eller etterspørselen etter nettverkets tjenester kan standardiseres og må kunne håndtere variasjon. Det eneste som er konstant er endring. Det er derimot mulig å benytte erfaringer i endringsprosessene. Da har man muligheter til identifisere hva som bør endres, og hvordan.

For at nettverket skal kunne skape verdi må de ha gode evner og forutsetninger til å samarbeide og til lære av sine feil. Det gir ikke mening å forsøke å styre/kontrollere et slikt system, med krav, pålegg og reglement, til å skape verdi, minimalisere feilrater og yte tjenester av høy kvalitet.

Et typisk trekk ved organisasjonsendringer innen tjenesteytende organisasjoner (spesiellt offentlig) er tettere sammenkobling og funksjonsdeling for å produsere tjenestene. Konsekvensen er at antall forbindelser øker. Se for deg en eller annen etat eller bedrift som består av et nettverk av organisasjoner som må samarbeide for å yte en tjeneste fra start til slutt.

Verdiskapingen skjer i større grad i ytterkanten av nettverket enn mot midten, mens midten har en koordinerende rolle. Det er i flyten det kan skje verdireduserende feil, og særlig overgangene mellom organisasjonsenheter som er fokus for denne posten.

Et eksempel på en slik flyt kan være innen helsevesenet: diagnostisering, behandling, oppfølging, eventuell etterbehandling. Selv denne forenklede utgaven av denne flyten er ganske kompleks. Jo senere ut i flyten en feil oppstår, jeg større kan "verditapet" være både samfunnsøkonomisk og for pasienten. En feil tidlig i flyten kan komplisere og fordyre, og dermed konsumere større ressurser.

For at de ulike enhetene skal kunne samarbeide kreves god informasjonsflyt, så det er essentielt at dette fungerer. Informasjonsflyt skjer gjerne ved integrasjon av IT-systemer, og her er det ofte svake punkter. Forbedring av systemene, og integrasjon mellom disse, blir desverre ofte salderingsposten når ulike budsjettposter skal prioriteres i den enkelte organisasjonsenhet. En vanlig årsak er systemenes usynlige natur gjør det vanskelig se betydningen for verdiskapingen i nettverket. Ignorering av IT som informasjonsbærer og støtte i prosessene skaper ofte store problemer om systemene ikke fungerer og/eller er dårlig tilpassede. Ved funksjonsdeling kan det være at fagmiljøer brytes opp, og nye kommunikasjonsbehov (og overlevinger) oppstår, som også har en tendens til å bli undervurdert som kostnadsdriver og kompliserende. Det er nærmest en naturlov at organisasjon, informasjonsflyt og IT etterhvert kommer i utakt på grunn av manglende innsikt og prioritering.

Organisasjonsenhetene som samarbeider må kunne kommunisere godt seg imellom for å koordinere arbeidet, estimere kapasitetsbehov og lære av feil.

Skal systemet kunne tilpasse seg er det nødvendig å bygge læring inn i systemet. Læring er avhengig av tilbakemelding på hva som fungerer, hvor det skjer feil og ineffektivitet. Skal de som utfører arbeidet kunne lære må de få tilbakemelding på det arbeidet de gjør. For mer informasjon om teorier rundt dette, les "The Learning Organization", men et viktig prinsipp kan godt siteres:

Learning organizations are characterized by total employee involvement in a process of collaboratively conducted, collectively accountable change directed towards shared values or principles.

De som har studert tegningen over litt nøyere vil se at sirkelen i midten (som symboliserer administrasjonen) er tegnet litt større enn de andre. Dette reflekterer ikke faktisk størrelse, men heller typiske trekk ved byråkratiske organisasjoner. Jeg har også tegnet piler som viser informasjonsflyt inn mot administrasjonen (Rapportering), og en pil ut kalt Kommando og kontroll.

Det mangler ikke informasjonsinnsamling og rapportering i slike organisasjonssystemer, men problemet er at det ikke har noen verdi for forbedring av kvalitet, effektivisering og dimensjonering. Administrasjonen vil ikke ha mulighet til å trekke konklusjoner om hvor det oppstår problemer og hvilke endringer som må gjøres. De som trenger informasjon rapporterer oppover (innover). Slik skapes en masse informasjon med svært liten verdi, og som kun gir en illusjon om kontroll på administrativt nivå. Det blir brukt massevis av ressurser til informasjonsinnhenting som tilfører svært liten verdi.

Ofte er måleparameterene det rapporteres på knyttet opp mot politiske mål, tidsfrister og budsjetter. Selv om dette gir mening i noen sammenhenger bidrar slike målinger sjelden til forbedre kvalitet (det er ikke mulig å måle kvaliteten gjennom flyten), dimensjonere riktig og få kontroll på budsjettet. Det hele resulterer i en byråkratisert og tungrodd prosess med liten verdi, og hvor de som trenger tilbakemeldinger blir sulteforet med informasjon. Organisasjonen fordummes og begår de samme feilene unødig, overskrider budsjettene og har dårlig kontroll på kvaliteten. Denne form for kostnadskontroll skaper kostnader og bidrar i liten grad til å oppnå det man ønsker.

Såkalt streng styring og kontroll, som er en yndet frase fra toppbyråkrater og politikere, gir ikke tilbakemeldinger til de som trenger dem. Å stille krav (tidsfrister og budsjettinstramminger) er ikke det samme som tilbakemeldinger, men disse tingene ser ut til blandes. Når tall er aggregert og rapportert til administrasjonen, har de liten informasjonsverdi i forbedrings- og endringsarbeide. I tillegg er det ofte så stor forsinkelse i informasjonsflyten at tallene ikke lengre representerer virkeligheten.

Når arbeidere og ledere er mer involvert innsamling av erfaringsdata og bruken av disse får man en tettere og mer konkret læringssløyfe som vil være verdifull i kvalitets- og endringshåndtering hvor de selv er involvert.

Denne posten lufter noen tanker og teorier om hva som bør gjøres anderledes. Det vil ikke være noen enkel sak få til noe sånt i virkeligheten, men det er heldigvis ansvaret til de som setter igang omorganiseringer og funksjonsdelinger.

Anbefalt lesning:
Can’t get no satisfaction: Why service companies can’t keep their promises

Er det tabu å nevne at velferdsstaten kan svikte?

Dersom noen er frempå og nevner at velferdsstaten ikke når alle, eller rett og slett svikter enkelte ganger ser ut til å være tabu. Er det noen som åpner munnen og kritiserer vår velferd, kan du være sikker på at det er en Arbeiderparti-politiker nær deg som forteller at:

• Vi bruker mer penger enn alle andre land på velferd
• Vi har den beste teknologien og kompetansen
• Velferdsstaten skiller ikke mellom fattig og rik

Det pussige som da skjer er at kritikken gjerne stilner, selv om de ovenstående utsagnene ikke har noe med konkrete problemer som påvises. Ei heller er problemene løst, sånn rent bortsett fra at de forsvinner fra mediebildet en stakket stund.

Vi har omfattende rapportering og kontrollrutiner som skal sikre at tjenestene velferdsstaten skal yte er gode nok. Hvorfor opplever mange at det likevel ikke er slik? Årsakene er nok mange, men generellt kan man si at uansett hvor mange rapporter som skrives, og kontrollrutiner som utformes og følges vil de aldri dekke alt. De bare driver kostnadene opp og stjeler av tiden som skulle vært benyttet til å yte tjenestene.

Rapportene inneholder gjerne tall for aktivitetsnivå de ulike tjenestene har. De inneholder også gjerne tall på hvor godt man holder tidsfrister, antall fristbrudd osv. Men de inneholder sjeldnere tall på hvor mange som har fått den hjelpen de trenger. Dersom tjenestene ikke fungerer i virkeligheten, hjelper det ikke om rapportene ser aldri så fine ut. Det hele kommer an på hva man måler. Når kriteriene for hva som skal måles bestemmes av byråkratiet, vil arbeidet innrettes deretter. Fokuset dras vekk fra hvordan tjenestene kan forbedres til å løse folks problemer. Tidsfrister og aktivitetsnivå er blant de mest forstyrrende måleindikatorer i så måte.

Når toppbyråkratene og helsepolitikere for rapporter som viser at alt er i sin skjønneste orden, etter sin egen definisjon, er det ikke rart de ikke har samme virkelighetsoppfatning som brukerne og de ansatte i tjenestene. Problemet er at beslutningstagerne har satt bind for øyenene, og enhver kritikk imøtegås ved å gå i forsvarsposisjon. Dermed sklir systemet lengre og lengre ut i uføret.

Løshunder og vaktbikkjer

Datatilsynet er vår vaktbikkje som vokter personvernet i Norge, og er desverre nokså alene om oppgaven. Tilsynet har beholdt en uavhengig og faglig sterk rolle som har satt det i stand til å sette selveste  Apple på plass. Vi trenger absolutt et tilsyn som fyller denne rollen.

Datatilsynet har de siste årene drevet tjenesten slettmeg.no. Den er flittig brukt av folk som får lagt ut falsk informasjon om seg selv på internett. Til tross for stor nytte, og svært effektiv saksbehandling (hvor kan den norske stat vise til større effektivitet?) fant altså ikke Regjeringen midler til å drive tjenesten videre. Slettmeg.no er ikke innenfor det definerte ansvarsområdet til Datatilsynet, og når det strammes inn på bevilgningene er tjenesten det første som kuttes. Når det har vist seg som en svært nyttig og nødvendig tjeneste for borgerne finner jeg det merkelig at man ikke klarer å finne lommerusk i statsbudsjettet for å drive den videre.

Slike kostnader må en påregne fremover etterhvert som informasjon blir mer og mer flyktig som følge av digitalisering. Den sittende Regjeringen er forøvrig en sterk pådriver for å registrere det meste, og "effektivisere" (de tror nå alt som registreres gir mer effektivitet, mens det ofte er stikk motsatt fordi registrering krever ressurser. Nemlig!). Da må de også regne med å ta regningen. There is no such thing as a free lunch! Alt arbeid som skal utføres har en kostnad. Registrering er ikke produktivt i seg selv, men det er nok litt vanskelig å forstå for sysselsettingskameratene i Regjeringen så jeg skal ikke legge listen for høyt >:

Videre så er minister Aasrud bekymret for at Datatilsynet blander rollene, og utover politikk. Javisst kan tilsynet være plagsomt for politikere som helst vil kjøre alle snarveier som finnes for å effektivisere samfunnet, men som desverre har liten kunnskap om nettopp "effektivisering" ved hjelp av IT.

Aasruds fokus på rolleblanding er allikevel interessant synes jeg, når hun skriver brev til Facebook og spør om finansiering av slettmeg.no. Selv om slettmeg.no skilles ut fra Datatilsynet, så er Facebook og andre kommersielle sosiale medietjenester ofte motparten når man skal få slettet data. Da blir det pussig at de samme aktørene skal finansiere en slik tjeneste, som tross alt vil stikke noen kjepper i hjulene deres.

Mens Grete Faremo vikarierte for Knut Storberget ble hun intervjuet om Datalagringsdirektivet og IT-sikkerhet. Debatten gikk varmt om direktivet på den tiden, så det er ikke noe oppsiktsvekkende. Det som er oppsiktsvekkende er hun uttaler, bl.a. dette:

Det vil forbause meg mye om vi ikke også får en diskusjon om hvordan trafikkdata kan brukes kommersielt

Dit har vi heldigvis ikke kommet enda men faktum er at at direktivet skal innføres i norsk rett til neste år, og Faremo er nå Justisminister, noe hun kanskje visste allerede den gangen det var en mulighet for at hun ville bli i samme Stortingsperiode. (Storberget ba vel ganske tidlig i sin permisjonsperiode om avløsning)

Eller var det en semikommersialisering av personlig informasjon Aasrud foreslo da hun inviterte Facebook til spleiselag? Se her Facebook: betal en liten sum til slettmeg.no, så Datatilsynet kan splittes litt opp, uten for mye bråk fra plagsomme borgere, så den lille plageånden blir litt vingeklippet. Både vi (Arbeiderpartiet) og dere kan bli kvitt en irriterende klamp om foten. At norske borgere har minst mulig hemninger mot å dele på Facebook er jo også både dere og vi tjent med, om vi skulle trenge litt ekstra informasjon som registrene og datalagringsdirektivet ikke gir oss.

Ansvarsforhold for software data nettverk og innhold

Denne posten handler om ansvar for sine handlinger på internett. Det virker som om det er uklart for mange hvordan man kan stilles til ansvar for ulike type handlinger relatert til internett. Jeg har mine tanker om dette som jeg vil dele her.

I hvilken grad kan man stille disse 3 rollene til ansvar for sine handlinger?

• Bruker
• Utvikler
• Dataprovider
• Nettverkstilbyder

En person kan besitte 1 eller fler av disse rollene samtidig. Software og digitalt innhold har endel egenskaper som kan gjøre ansvarsforhold utydelig for "uinnvidde".

La meg slå en ting helt fast: Lager man, tilbyr, eller promoterer software eller innhold i den hensikt å begå kriminelle handlinger er man helt klart i et etisk/juridisk ansvarsforhold. I hvilken grad man er i et juridisk ansvarsforhold er komplisert siden statsborgerskap, oppholdssted og "åsted" for handling gjerne kan være 3 ulike steder.

Det må etabeleres en forståelse av sammenhengen, eller rettere sagt, forskjellene mellom software og innhold for å forstå problemstillingene bedre. Software er kode, en slags oppskrift på å behandle data. Når koden ikke kjører er den mer å betrakte som et litterært verk, altså en statisk tekst. I det koden lastes, som f.eks. når du laster denne nettsiden, instansieres koden den innholder i din nettleser. Koden kjører altså på din maskin. Siden, med koden, er lastet fra en tilbyder av blog-tjenester. Blog-tilbyderen har levert en kopi av innhold og kode, jeg har bestemt skal være med, samt det som ligger i blog-templaten, som noen andre har laget og atter andre ting blog-tilbyderen legger på. Software er svært ofte et aggregat av kode skrevet av ulike personer, distribuert i det uendelige som kopier.

Kopier av digitalt innhold kan ikke sies å være eid av noen på samme måte som fysiske objekter. Derimot så kan det være vedheftet bruks- distribusjons- og lisensregler. Kommersiell programvare gir kun kjøper lov til å bruke en kopi, mens Open Source Software har regler for distribusjonsregler. Begge varianter har ofte disclaimers og forbud mot skadelig/ulovlig anvendelse fordi opphavsmannen ikke ønsker at software skal forårsake materiell-, helse- eller økonomisk skade. Her er det imidlertidig svært mange varianter og meninger, og dette innlegget er interessant: Software liability.

Software som kode gjør ingenting, og det er først når den instansieres (kjøres) og benyttes sammen med innhold den gir mening for en bruker. Brukerens handlinger er det sentrale fordi det er disse som "kobler" software med innhold. Det er disse handlingene som må anses som legitime eller illegitime. Noen ganger er dette også uklart, som i f.eks. den arabiske våren hvor myndighetene i de aktuelle statene anså handlingene som illegitime, mens vesten sto på sidelinjen og applauderte.

Nå kan vi se på sammenhengen mellom  de ulike rollene, software og innhold

 

Det er brukerens handlinger som kan være illegitime. Brorparten av software som finnes er ikke laget for å utføre kriminelle handlinger, men som annen teknologi kan den brukes til det. Unntaket er programvare som er spesiellt laget for å stjele, ødelegge, skape falsk eller slette (andres) innhold. Botnet-software er et eksempel på dette, men denne softwaren består gjerne av komponenter skapt for helt legitime formål, men som en kriminell har laget for å kunne utføre kriminelle handlinger. Man kan derfor ikke stille alle utviklere til ansvar her, kun den som har kriminelle hensikter.

Når det gjelder en innholdstilbyders ansvar, må det stilles spørsmål ved i hvilken hensikt og i hvilken grad tilbyder er ansvarlig for innholdet. En blog-tilbyder kan ikke være ansvarlig for alt de ulike bloggerne skriver. Tilbys eller promoteres ulovlig innhold er det noe annet. En tredje variant er der en kriminell 3dje-part bryter seg inn og plasserer ulovlig innhold på en nettside. Vi ville f.eks. ikke stilt en nettavis ansvarlig om noen erstattet innholdet deres med noe ulovlig. En lagringstilbyder (Dropbox) trenger ikke engang besitte programvare som kan benyttes på alt innhold som er lagret på deres utstyr, og dermed ute av stand til å vite hva slags innhold det dreier seg om. Innholdet kan også være kryptert slik at det vil være umulig for en tilbyder å vite hva som er lagret.

Fordi myndighetene ikke ser ut til å se problemet med å tiltvinge seg private data fra borgerne, som f.eks. gjennom Datalagringsdirektivet, vil programmerere svare med å utvikle ny teknologi som lar folk beholde privatlivet også på nett. Jeg, og mange andre, ser på dette som et forsvar av Internett slik det er ment å fungere, og menneskerettigheter som gjelder i våre fysiske liv. Jeg kan ikke se at retten til et privatliv skal opphøre om vi kommuniserer digitalt.

Noen tar til orde for å begrense slik programvare og stille utviklerne ansvarlig for de som eventuellt bruker teknologien til kriminelle handlinger. Dette skivebom, og vitner om dårlig forståelse av hvem som gjør hva. Det blir omtrent som å si at soldaten er ansvarlig for handlingene til borgerne han forsvarer. Helt bak mål altså.

Illegalt informasjonsmarked

På internett er det et marked som vokser raskt: handel med personlig informasjon. Informasjon som kan benyttes til identitetstyveri er en illegal handelsvare. Du kan kjøpe 1, 10-talls, 100-talls, 1000-talls identiter hvis du vil. Kvantumsrabatt for du også.

Grunnen til at det illegale informasjonsmarkedet kan vokse så raskt er

• Dårlig sikkerhet i IT-systemene
• Dårlige sikkerhetsrutiner
• Ingen eller svake krav til forsvarlighet ved lagring av informasjon
• Lagring av unødig informasjon, men som viser seg nyttig for kriminelle
• Dette ser ut til å øke i omfang av en rekke årsaker

• Sikkerhetsinfrastrukturen er under angrep
• SSL/TLS som benyttes for å sikre kommunikasjon på Web er underminert av dårlig sikkerhet hos sertifikatutstedere. Flere innbrudd som trolig har pågått over lang tid er avdekket. CA systemet er ikke sikrere enn det medlem som har dårligst sikkerhet og mest korrupte.
• RSA som lager kodebrikker for terminalservere har vært hacket

Kriminelle hackere har ingen problemer med å skaffe den informasjonen de ønsker, og som de selger videre. Jo mer data som lagres, jo mer vil det illegale markedet vokse. Det finnes ingen kortsiktig løsning på sikkerhetsproblemene, og det vil trolig bli værre i den nærmeste fremtid.

I ovenstående perspektiv er det avgjørende at den enkelte person og bedrift kan selv avgjøre hvilke risiki de utsetter seg for. Akkurat som i det virkelige liv har enhver rett på privatliv og integritet. Mister man disposjonsrett til egen informasjon så har man heller ikke et reellt privatliv og integritet.

Selv om få er bevisste på hva de tiltror sosiale media, banker og telekom-selskaper av informasjon, så er det ihvertfall i stor grad basert på avtaler/samtykke. I sosiale media er det også et incentiv om målrettet eksponering av enkelte sider av seg selv.

Datalagringsdirektivet er et grelt eksempel på hvordan  myndighetene fratar oss disposisjonsretten til egen informasjon. Det er liten grunn til å tro at telekomselskapene har vesentlig bedre sikkerhet enn andre organisasjoner som er hacket. Trafikkdata er også ypperlig datagrunnlag for identitetstyveri og social engineering som igjen vil føre til mer kriminalitet. Crimesourcing er et nytt begrep vi kommer til å stifte bekjentskap med i tiden som kommer. På toppen av det hele blir ansvarsområdet til Datatilsynet nedprioritert av Regjeringen. Økt kriminalitet betyr økt etterspørsel av Politiets tjenester, og økonomisk tap for enkeltpersoner, bedrifter og samfunn.

Kommersielle aktører, og deres eiere, drives av hovedsakelig et viktig incentiv: tjene penger. Det vil si at de vil minimere sine kostnader. Sikkerhet er desverre en salderingspost, fordi det ikke gir noen direkte verdi for kundene deres. Større datamengder vil øke investering- og driftskostnadene:

• Krav til større fysiske datasentere
• Mer lagringsplass (failover krever i tillegg replikering av data, over flere fysiske lokasjoner)
• Båndbredde i nettverket
• Strøm til lagrings- og kjøleenheter
• Mer driftspersonell
• Økt kompleksitet reduserer MTBF (Mean Time Between Failure)
• Oppgraderinger (som også er forbundet med midlertidig økt risiko for feil, og er en svært vanlig årsak til ikke planlagt nedetid)

Disse faktorene er naturlig nok noe alle IT tjenesteleverandører må ha løpende oppdatering på, men når de blir pålagt noe de ikke har egennytte av er sjansen for at det nedprioriteres større. Når man vet at det finnes svært mange små tjenesteleverandører som omfattes av direktivet skjønner man at risikoen for at data vil komme på avveie vil øke vesentlig. Samtidig blir det trangere kår for de som vil starte opp nye tjenester fordi det vil kreves høyere startkapital. Løsningen på det er for disse å legge infrastrukturen til et land som ikke omfattes av et slikt regelverk, og da i nettskyen som kan tilby svært billig maskinvare. Den utviklingen vil akselereres, men det skaper også utfordringer fordi det er restriksjoner på hvilke data som kan lagres utenfor EU. Konsekvensen kan bli mindre innovasjon, dårligere service og sikkerhet grunnet økt kostnadspress.

Resultatet av denne utviklingen er at plattformen for effektiv kommunikasjon og handel på internett er i ferd med å undermineres. Internett er en sentral brikke når vi skal forsøke å skape økonomisk vekst men samtidig forbruke mindre av klodens ressurser. Men skal det realiseres må vi kunne stole på infrastrukturen i stor nok grad til at vi tiltror den transport av fortrolig informasjon. Det må også være et personlig valg hva vi velger å tiltro infrastrukturen av informasjon.

Det er ikke bare handel og effektivisering som står på spill, men også demokratiske prosesser. Dersom en ikke kan stole på at de dominerende kommunikasjonsformer har nødvendig konfidensialitet vil det ha en avkjølende effekt på avgjørende mekanismer.

TEDxRotterdam - Mikko Hypponen - safe internet will lead the future