Varför funkar det inte? Del 2

I detta inlägg ska jag inrikta mig på några mer generella frågor för området som också bör vara frågor som den som inte lever och andas informationssäkerhet borde ställa.

Vad är informationssäkerhet?

Ett ganska modest krav är att på ett hyfsat entydigt sätt kunna definiera vad informationssäkerhet är. Detta är dock svårare än vad det först kan förefalla. Inte ens om det är ett slags tillstånd eller en förmåga är klart. Jag ska här endast ta upp några av de frågor man kan ha anledning att ställa sig angående vad informationssäkerhet ska anses vara.

En definition som säkert kommer att användas av många är den som finns med i den terminologi som sammanställts inom SIS:

bevarande av konfidentialitet, riktighet och tillgänglighet hos information.

Denna definition har övertagits av MSB i den nya föreskriften MSBFS 2016:1 trots att myndigheten i andra sammanhang talar om ”förmåga” alternativt ”tillstånd” i andra sammanhang.

Jag ska inte detta sammanhang gå in på ISO 27000 och dess översättning i detta sammanhang utan här endast koncentrera mig på det sätt som terminologin definierar begreppet. I ordet ”bevara” finns en implicit föreställning om att en vald informationsmängd är en entitet som har initiala egenskaper som ska bibehållas i en kortare eller mindre hantering. Detta är ett ganska egenartat synsätt som sannolikt är hämtat från ett tidigare tekniskt utvecklingsskede, kanske en slags databastänkande, där man är upptagen av transaktioner inom ett enskilt system. Att ställa krav på informationens kvalitet före instoppandet i systemet eller vid sammanställning till nya informationsmängder ligger utanför definitionen. I värsta fall skulle informationssäkerhetsarbetet alltså leda till att felaktig information förblir felaktig eftersom då den ursprungliga riktigheten ”bevaras”. Beskrivningen indikerar också ett statiskt förhållande där informationen liksom inkapslad färdas i ett system. Detta stämmer inte heller särskilt väl med den informationsinfrastruktur som har växt fram där information hela tiden sammanställs, förändras och kommuniceras i nya strukturer. Informationssäkerheten borde då syfta till att förändras och skapa en tillräcklig nivå av skydd under informationshanteringsprocessen/erna. Personligen måste jag därför medge att ”bevarande” är en definition som inte känns relevant. ”Tillstånd” eller ”förmåga” är alternativ som skulle ge andra möjligheter men oavsett vilket begrepp som väljs borde det bygga på en mer

Trots att informationssäkerhetsområdet inte bygger på tung akademisk forskning på en ontologisk nivå, till exempel rörande vad informationssäkerhet skulle sägas vara, finns det vissa hangups där det hänvisats till akademin. Den sådan är begreppet ”spårbarhet” som av informationssäkerhetens purister inte anses ha samma autonoma värde som exempelvis riktighet och tillgänglighet. Purismen i denna fråga känns inte särskilt väl underbyggd. Mig veterligen inte finns någon begreppsmodellering genomförd över något av begreppen och inte heller är översättningen av den så kallade CIA-triaden (Confidentiality, integrity och availability) till konfidentialitet, riktighet och tillgänglighet klockren. Integrity skulle knappast översättas till ”riktighet” i något annat sammanhang, särskilt som riktighet i SIS terminologi anges som skydd mot oönskad förändring vilket återigen antyder ett synsätt som utgår från databashantering. Rent praktiskt är spårbarhet ett begrepp som är av stor betydelse i transaktionstäta verksamheter som bank, finans och sjukvård samt för att stödja integritetskrav. Spårbarhet är också mycket tydligt kopplat till konkreta åtgärder som loggning – ändå väljs det bort utan närmare förklaring. Detta är bara ett exempel på att själva grundelementen i beskrivningen av informationssäkerheten saknar verkligt definition vilket ger möjlighet till vitt skilda tolkningar och närmast trosläror om vad informationssäkerhet egentligen är.

Ett annat tolkningsproblem är skillnaden mellan informationssäkerhet å ena sidan och it-säkerhet å den andra. Att de som inte har informationssäkerhet har svårt att uppfatta skillnaden är inte så konstigt men att även de som arbetar med informationssäkerhet vacklar i distinktionen är ett tydligt tecken på osäkerheten i begreppet informationssäkerhet. För mig framstår det som att informationssäkerhet i i första hand är en organisatorisk stödfunktion som ska ge ledningen stöd i att styra sin verksamhets resurser så att de skyddar informationen på ett sätt som stöder verksamhetens mål. Detta uppfattar jag också som kärnan i ISO 27000 som ju är helt inriktad på att skapa ett ledningssystem som ska ge en organisatorisk förmåga till styrning av informationshanteringen. It-säkerhet är i detta perspektiv de tekniska åtgärder som ska vidtas för att svara på de krav som ledningssystemet ställer. Många verksamma inom informationssäkerhetsområdet tycks inte dela denna uppfattning utan ser informationssäkerhet som synonymt med it-säkerhet. Även denna basala fråga skulle behöva analyseras och få en mer allmänt accepterad förklaring.

Detta är bara några frågor där det enligt min uppfattning råder oklarhet och där utrymmet för analys och vidareutveckling är mycket stort. I nästa inlägg ska jag ge mig på målet för arbetet med informationssäkerhet.

Varför funkar det inte? Del 1

Jag höll häromveckan ett föredrag på Dataföreningen med ovanstående titel. Min tes, eller mitt påstående snarare, är att arbetet med att få en fungerande informationssäkerhet inte fungerar särskilt bra. Detta gäller både i den enskilda organisationen och på en nationell nivå. Kanske överraskade föredragets inriktning några av de ganska många åhörarna eftersom det mer handlade om ”våra” interna problem, alltså vi som arbetar professionellt med informationssäkerhet och inte de yttre förhållanden som vanligtvis diskuteras.

Detta är dock frågor som jag funderat ganska länge på och där jag under föredraget förde fram ett antal aspekter som jag menar påverkar den nuvarande situationen med en otillräcklig informationssäkerhet. I hopp om att fler i informationssäkerhetsbranschen ska känna sig motiverade att bidra med egna erfarenheter och reflektioner tänkte jag skriva några blogginlägg med utgångspunkt från det föredrag jag höll.

Låt oss vara överens om att det inte fungerar bra

Först kanske påståendet i titeln ändå måste utvecklas något. Visserligen är det svårt att säga vad ”fungerar bra” skulle kunna vara. Detta understryks genom att det i hög grad saknas forskning på området och andra typer av offentligt redovisade undersökningar. Det känns också otillräckligt att bara vidareförmedla utsagor från olika särintressen eller vad talskrivare lämnat till Anders Ygeman att framföra angående läget. I den trendrapport som sammanställdes av ett antal myndigheter 2015 bygger man sina spaningar på 103 angivna referenser. Problemet är bara att den absoluta huvuddelen av referenserna är inriktade på en extern hotbild, i bästa fall något om incidenter i it-system som går att hänföra vissa specifika antagonistiska hot, men ingen av referenserna förefaller ha ägnat sig åt störningar i verksamheter. Det vill säga störningar i informationshanteringen som påverkar verksamheten och som då lika gärna skulle kunna bero på hårdvarufel som vid Tieto-incidenten 2011 som på antagonistiska attacker. Detta har naturligtvis inte hindrat rapportförfattarna att dra slutsatser om trender men för den som verkligen är intresserad av hur informationssäkerheten fungerar är det alldeles otillräckligt.

Låt oss ändå vara överens om att det finns starka indikationer på att det händer ett stort antal incidenter och att realiserade incidenter är ett tecken på att vidtagna säkerhetsåtgärder inte skyddar verksamheten på ett rimligt sätt. En mer systematisk genomgång av incidenter som drabbat verksamheter och privatpersoner tror jag skulle visa att huvuddelen skulle gå att undvika med väl kända metoder som exempelvis bättre kontroll över uppdateringar i it-tjänster. En nackdel med incidentbegreppet är att det har en tendens att enbart fånga upp mer uppseendeväckande och kanske antagonistiska situationer. Störningar av mindre dramatisk karaktär men som kan påverka verksamheten sammantaget på ett mer negativt sätt får inte samma uppmärksamhet vilket kan leda till felprioriteringar i åtgärdsarbetet.

Ett annat sätt försöka bedöma om informationssäkerhetsarbetet är funktionellt är ett klassiskt compliance-perspektiv; att kontrollera om regler efterlevs. Inte heller här finns ett stort generellt underlag att luta sig emot. Inom offentlig sektor har  dock de senaste åren har ett antal rapporter visat att den systematiska informationssäkerheten i myndigheter, landsting och kommuner har stora brister, ja till och med att den vissa fall tycks bli sämre snarare än bättre.

Sammantaget är alltså inte bilden ljus. I och med att informationssäkerheten tycks fungera illa i de enskilda organisationerna kan den knappast fungera bättre på en aggregerad nationell nivå. Kanske måste ändå förhållandet att vi inte kan ge en uppfattning om hur bra eller dålig informationssäkerheten det tydligaste tecknet på att det inte fungerar bra.

 

Tre saker som inte är huvudproblemet

För att komma in på kärnfrågorna är det tre (bort)förklaringar till varför informationssäkerheten inte fungerar som jag skulle vilja utesluta:

För litet pengar

Eftersom det inte heller finns en sammantagen beskrivning av hur mycket pengar som satsas på att förbättra informationssäkerheten är det inte möjligt att säga att det är ekonomiska skäl som förhindrar utvecklandet av en bättre säkerhet. I Riksrevisionens senaste rapport om informationssäkerhet beskrivs också svårigheterna med att försöka bedöma kostnaderna.

Nationellt har det också investerats inte obetydliga medel i olika myndigheters stöd för informationssäkerhet. Eftersom inte effekten av dessa medel utvärderats mer än mycket översiktligt av Riksrevisionen är det svårt att säga att det skulle vara för litet eller för mycket.

Min poäng är denna: om det finns beskrivet vad som bör göras för att reducera olika risker för verksamheten är det svårt att uppskatta vilka medel som skulle behövas och ledningar på olika nivåer är, med all rätt, tveksamma till att tillföra ytterligare pengar. Bollen är därmed tillbaka som en skråfråga: om vi anser att det finns ekonomiska orsaker till att informationssäkerheten inte fungerar så måste vi bli mycket bättre på att beskriva vad pengarna skulle användas till och vad organisationen (eller nationen) skulle ha för nytta av det.

Att den generella it-utvecklingen går så mycket snabbare än informationssäkerhetsutvecklingen att gapet blir större och större

Det här är ju en verklighetsbeskrivning som ofta återkommer och som på något underförstått sätt antas utgöra ett skäl till att informationssäkerheten inte håller måttet. Men vad är egentligen kausaliteten i det här sammanhanget, om det nu finns en sådan? Om informationssäkerhet vore en aspekt som vunnit hög acceptans i samhället, i organisationerna, hos utvecklare av it-tjänster m.fl. så skulle ju frågeställningen vara integrerad som en naturlig del i utveckling av tjänster, produkter och infrastruktur. Istället ses informationssäkerhet som en kostnad och en motpol till effektivitet vilket gör att lösningar för att förbättra säkerheten, om de över huvud taget implementeras, inte är effektiva och ofta ligger som olja på vattnet, ofullständigt integrerade.

Som en jämförelse skulle det vara svårt att tänka sig att trafiksäkerheten skulle vara något som tilläts hamna i bakvattnet numera. Så kanske det var i ett tidigare skede men genom ett idogt forsknings- och opinionsarbete har säkerhet en mycket hög prioritet i trafikpolitiken.

Återigen faller alltså ansvaret tillbaka på oss själva och förmåga att sälja in informationssäkerheten.

Ledningen förstår inte

Det är få meningar som jag så ofta hört upprepas i professionella sammanhang som uttrycket: ”ledningen förstår inte”. Ofta blir detta den tröstande förklaringen till varför man inte når framgång med sina informationssäkerhetsprojekt och självklart ligger det mycket i det. Det går inte att smyga in informationssäkerheten i organisationen bakom ryggen på ledningen. Även här handlar det dock om att kunna presentera vikten av informationssäkerhet så ledningen ser poängen ur sitt perspektiv – att det gynnar organisationens möjlighet att uppfylla sitt uppdrag. Ser ledningen inte behovet av informationssäkerhet är det inte heller rationellt att införa exempelvis ett LIS.

Ledningens bristande förståelse kan därmed, menar jag, inte ses som en autonom förklaring till bristande informationssäkerhet utan som att ledningen inte fått tillräckligt bra argument för att organisationen ska bedriva ett systematiskt informationssäkerhetsarbete.

I de följande inläggen ska jag lyfta fram förhållanden som jag ser både som verkliga orsaker till bristande informationssäkerhet och som möjliga att påverka för oss som arbetar med informationssäkerhet.

The greater good och den enskilda patienten

Sjukvårdsminister Gabriel Wikström har nu uttalat inriktningen att uppgifter kring aborter ska hanteras som övriga patientuppgifter i vården . Detta är intressant eftersom hans resonemang ställer ett antal principiella frågor på sin spets. För att inte bli alltför tjatig  kommer jag här att lämna den ständigt återkommande falska motsättningen mellan patientsäkerhet å ena sidan och integritet å den andra där hän även om den är högst relevant.

Insamlandet av känsliga personuppgifter i register sker för det ”greater good”, alltså inte för den enskilda patientens patientsäkerhet. Få, särskilt i Sverige, skulle argumentera emot den medicinska registerforskningens stora betydelse både för enskilda och för samhället i stort. Det finns en mycket lång tradition att använda medicinska och andra personuppgifter för forskningsändamål så det får sägas finnas en stor acceptans att vara leverantör till allehanda forskning. Betydelsen av möjlighet till registerforskning har också fått en aktuell beskrivning i Bengt Westerbergs utredning 2014 . Förutsättningen för att upprätthålla legitimiteten i registerforskningen är att patienternas integritet i hanteringen vilket Bengt Westerberg uttryckligen hade att utreda. Han har dock fått kritik för att inte tillräckligt att beakta den intresseavvägning som måste göras och inte heller att ta hänsyn till den kritik som Datainspektionen framfört gällande brister i säkerheten i registerhanteringen.

När Gabriel Wikström nu presenterar sitt förslag lyser hela denna diskussion med sin frånvaro. Istället sker en märklig omformulering där integriteten i hanteringen av patientuppgifter ses som att man tabubelägger vissa åkommor. Den ganska självklara och lagstadgade uppfattningen att känsliga uppgifter om hälsa ska hanteras så att de bara är tillgängliga för de som deltar i vården av den enskilda patienten framställs som en litet gammaldags känsla av skam. Underförstått ska en modern och neurosfri människa glatt dela med sig av dessa uppgifter till de instanser och företag som tycker sig ha nytta av dem. Förutom att det strider mot det etiska ställningstagande som finns hos allmänheten och i rådande lagstiftning är det också djupt störande ur andra synpunkter. Uppgifter om sexuell hälsa inklusive abort kan utgöra en verklig risk för patienten om de kommer i orätta händer. Risken för hedersvåld och vanlig ”hederligt svensk” kvinnomisshandel finns om uppgifter om abort kommer i orätta händer. Tyvärr har även RFSU som annars brukar vara vaksamma för kvinnors rättigheter negligerat denna risk.

Ministern hävdar att det saknas anledning för oro. Registren kommer att omges med nödvändig säkerhet och dessutom finns det inga uppgifter om incidenter i tidigare registerhantering. Båda dessa påståenden måste som ytterst tveksamma. Säkerheten i registerhanteringen är en förlängning av säkerheten hos de vårdgivare som lämnar uppgifter till registren. Det räcker kanske med att ta ett enda aktuellt exempel som visar på skakigheten i den generella informationssäkerheten i sjukvården  och dessutom tillägga att det i dag inte sker någon systematisk insamling av it-incidenter i sjukvården över huvud taget. Jag vågar, utan att darra på manschetten, att informationssäkerheten som är förutsättningen för integriteten i sjukvården är klart undermålig och att ministern därför saknar fog för sitt lugnande besked kring hanteringen. Datainspektionens utlåtanden om själva registren indikerar även de på påtagliga brister.

Det är inte bara för forskning som sjukvårdshuvudmännen och andra vill återanvända uppgifter insamlade i samband med patientens vård.  I en något märklig debattartikel förra veckan hävdar ett antal administratörer med emfas rätten till patientuppgifterna. Självklart finns ett ekonomiskt och etiskt intresse av att säkerställa att de ersättningar som privata vårdgivare erhåller från sjukvårdshuvudmännen verkligen går till vård av patienter. Det är dock ett logiskt felslut att med svepande formuleringar om tystnadsplikt hävda att det innebär att administratörer hos landstingen måste ha direktåtkomst till alla patienters person- och hälsouppgifter hos de privata vårdgivarna.

För att försöka förtydliga frågan. Det finns starka och legitima skäl att använda patientuppgifter för andra ändamål än för vården av den enskilda patienten. Det finns också laglig rätt att göra detta för sjukvårdshuvudmän och vårdgivare. Men detta måste ske så att patientens integritet kan skyddas och det är sjukvårdshuvudmännens ansvar att skapa säkra lösningar för både uppföljning och forskning. Detta är naturligtvis ingen omöjlighet att åstadkomma om viljan finns. Istället för att formulera indignerade debattinlägg om hur integriteten hindrar sjukvårdshuvudmännens administration är det detta man bör koncentrera sig på. Jag skrev själv ett inlägg i Läkartidningen 2010 om möjligheten att avidentifiera patientuppgifter för att öka säkerheten. Jag tycker fortfarande att det är den typen av lösningar som borde analyseras närmare, särskilt nu när informationssystem inom hälso- och sjukvård i allt högre grad blivit attraktiva mål för externa parter.  Aktörer inom hälso- och sjukvårdsområdet måste också ta risken med integritetsbrott för den enskilda patienten på allvar. Och när det gäller abortregistret och de undersystem som ska leverera information till registret så måste hanteringen utformas så att det skyddar den egentliga riskägaren, nämligen den kvinna som riskerar sitt liv och sin hälsa om informationen kan läsas av fel personer.