Halmdockor och pepp

Teknikhistoria är ett fascinerande ämne som jag ägnat mycket intresse genom åren och då alldeles särskilt samspelet mellan teknik, samhällsutveckling och ekonomi. Frågor som varför vissa tekniska uppfinningar blir innovationer medan andra inte gör det och de institutionella förutsättningar som gör att teknik leder till positiv samhällsutveckling är ganska grundligt beforskade. En underbar populärvetenskaplig bok på detta tema är Wolfgang Schivelbuschs Järnvägsresandets historia som jag rekommenderar alla som vill skapa sig en hälsosam distans till det utmattande nuet.

Det är med denna bakgrund som den svenska förvaltningens digitalisering ständigt förvånar mig eftersom dess genomförande tycks strida mot det som framkommit som framgångsfaktorer för införande av ny teknik. Istället för att bygga gemensam infrastruktur och institutionella förutsättningar har svenska myndigheter och regioner/landsting ägnat sin energi åt någon slags känslomässig påverkan.

Vad är då budskapet i denna känslomässiga kommunikation? Så här ser de mest förekommande implicita och explicita budskap ut.

Det övergripande budskapet att det finns ett stort antal ludditer som är passionerat motverkar digitalisering och som måste övertygas om att digitalisering är BRA. Efter noggrant begrundande kan jag inte erinra mig en enda person som varit emot digitalisering, däremot många som varit emot dålig digitalisering. Det hindrar inte att det förekommer en ständig underström av halmdockor (läs mer om det klassiska fula argumentationsfelet här ) när digitalisering diskuteras. Dessa figurer som med lock och pock måste forceras att överge papper och penna är del i en ganska bra härskarteknik eftersom den som låtsas som att dessa finns då själv framstår som en ljusbringare som står för det ”moderna”. Och det är något som i svenska sammanhang vördas så är det det moderna, så har det varit sedan 1800-talet, oavsett vad moderniteten stått för. Det uppenbart ologiska i att hävda att populasen är teknikfientliga bakåtsträvare på jobbet eller när de ska använda offentliga e-tjänster när de samtidigt på sin fritid har olika kommersiella e-tjänster som sina närmaste livskamrater tycks inte störa.

Nästa centrala budskap är att digitalisering per definition är bra vilket leder till den underförstådda tesen att all digitalisering är bra.  Som följd av detta görs ingen skillnad mellan bra och dålig digitalisering trots att alla känner till minst fem misslyckade digitaliseringsprojekt i sin närhet. Att det inte får finnas dåliga digitaliseringsprojekt till en dubbelriktad kultur av icke-existerande uppföljning och erfarenhetsåtervinning; eftersom det inte görs någon uppföljning kan dålig digitalisering inte påvisas.  Jag tittar in på webbplatserna för två centrala aktörer för den offentliga sektorns digitalisering, eSam och SKL, för att se hur man hanterar utvärderingsfrågan. eSam har gett ut ett antal vägledningar och metodbeskrivningar för digital samverkan (a.k.a. ta fram digitala lösningar) i alla möjliga skärningar men vad jag kan se har inte uppföljning och utvärdering förlänats något eget metodstöd. I den 84-sidiga vägledningen för behovsdriven utveckling  finns visserligen dessa rader med:

Efter varje införande bör det genomföras en utvärdering för att ta vara på erfarenheter om vad som gick bra respektive mindre bra i behovsinsamling, planering, metodval, samarbete samt hur resultaten mottogs. Infriade tjänsten de förhoppningar verksamheten och målgruppen tänkt sig?

men i ett systematiskt arbete förväntar man sig ett något större intresse för frågan.
SKL, som får ses som ett epicentrum för den vingliga offentliga digitaliseringen, förvånar mig positivt genom att erbjuda verktyg för uppföljning exempelvis eBlomlådan  och så kallade LIKA-värderingar som den här för socialtjänst. Tyvärr visar sig dessa undersökningar vara mognadsundersökningar av i vilken omfattning man lyckats digitalisera, d.v.s. det handlar inte om att utvärdera hur väl digitaliseringen fungerar.
Ointresset för utvärdering är paradoxalt sett i ljuset av att digilisatörerna gärna vill tala om digitalt ledarskap och vikten av styrning samt nyttorealisering (nej, det är ingen idé ni går till den här vägledningen för nyttorealisering för den innehåller inget substantiellt om uppföljning). För att kunna leda, styra och nyttorealisera i verklig bemärkelse måste man arbeta systematiskt med att utvärdera gjorda satsningar ur ett antal aspekter som ekonomi och effektivitet. Förhållningssättet att arbeta utan systematik är menar jag en av de mest grundläggande orsakerna till att det offentliga Sveriges digitalisering inte alls når den nivå som skulle kunna förväntas med tanke på de investeringar som gjorts. Att den svenska digitaliseringen kraftigt underpresterar är ett faktum som det nu tycks råda konsensus om även från internationella bedömare som OECD. Orsakerna till detta borde vara synnerligen intressanta att identifiera och då inte bara genom att komma dragande med gamla kära bortförklaringar som att juridiken inte är anpassad till digitaliseringen. Kraften i det argumentet är ju inte heller så övertygande då till exempelvis sjukvårdshuvudmän och vårdgivare högaktningsfullt struntar i viss lagstiftning som man finner obekväm.

Det går inte att argumentera för digitalisering med rationella argument, tråkiga och genomarbetade analyser eller krassa ekonomiska beräkningar. Istället sker kommunikationen med ett överflöd av uttalande av den här typen:

  • Sverige måste förstå att digitalisering inte är en lyxprodukt utan en kärnverksamhet.
  • En strategisk fråga blir att lyfta fram de förändringsagenter som finns ute i verksamheterna och helt enkelt vända på bevisbördan. Det ska inte längre vara så att det är den som vill förändra som måste förklara sig utan snarare den som vill bevara det gamla.
  • Hur många av er upplever att juridiken stimulerar och möjliggör digitaliseringsresan inom hälso- och sjukvården?
  • Digitalisering skapar mervärde
  • Man behöver förändra helheten – inte bara småändra i marginalen. Då är risken att man lägger all kraft på en enskild lösning och inte på att förändra det som verkligen ger effekt
  • Möt innevånaren/patienten tidigt genom digitala arbetsmetoder

Eftersom dessa uttalande inte går att vare sig be- eller vederlägga befinner vi oss i en situation där ledande aktörer inom digitaliseringsetablissemanget ständigt vädjar till våra känslor istället för att föra en dialog grundad i sakfrågor. Här uppstår tror jag den olyckliga pepp-cirkelargumentationen där utomstående inte kan delta eftersom ramen för deltagandet är satt; bara de som accepterar pepp-läget kan ingå, de som efterfrågar rationalitet, siffror och nytta uppfattas som fientligt inställda och görs mer eller mindre förfinat till icke-deltagare och i värsta fall till halmdockan ”motståndare till digitalisering”.

Att det finns ett digitaliseringsetablissemang (precis som det finns ett informationssäkerhetsetablissemang) som har mycket att försvara blir ganska uppenbart vid minsta lilla glutt in på LinkedIn. Det vore kul att se ett sociogram över det ganska begränsade antal människor som genom åren konfererat med varandra, gett varandra komplimanger, titlar, priser och positioner. Man har skapar myndigheter, kommittéer, kommissioner och råd för att underlätta digitaliseringen, oundgängliga roller som regeringens CDO och kommunala digitaliseringsstrateger och peppat varandra på karnevaler och festivaler (det sista var kanske en liten överdrift…). Digitaliseringen har beskrivits som det största tekniksprånget i historien (jag skulle nog snarare hävda ångmaskinen eller elektriciteten) och som lösningen på flertalet svåra samhällsproblem. Den arma fackutbildade personalen i välfärdssektorn har fått finna sig att bli mästrade av allehanda ”evangelister” utan definierad kompetens givits utrymme att predika. Helt olika räknesätt har tillämpats i de kommunala ekonomierna där lärplattformar för bortåt en halv miljard kunnat prioriteras samtidigt med kraftiga nedskärningar på personalen.  Under senare tid har jag alltmer kommit att grubbla över hur den privata sektorn kunnat genomföra sin digitalisering utan detta etablissemang och överbyggnad.

Jag tror att det är dags för ett paradigmskifte inom den offentliga digitaliseringen i Sverige. Det är inte fel på förutsättningar, ekonomi eller teknik i första hand utan på den metafysik som omger digitaliseringssträvandena, alltså de föreställningar som finns om digitaliseringen och det sammanhang som de digitala lösningarna ska fungera i.   Som samhällsmedborgare skulle jag önska att digitaliseringsetablissemanget tar ett steg tillbaka och med viss självkritik granskar sina argument för att kunna börja tillämpa mer kvalitativ och effektiva arbetssätt. Det vill säga mindre marknadsföring och mera hantverk, mindre känslor och mera strukturellt tänkande, färre halmdockor och fler verkliga läkare och lärare, färre evangelister och flera ingenjörer i vid bemärkelse, mindre digitala lösningar i sig och mer intresse för de resultat som digitaliseringen ger. Framför allt önskar jag viljan och förmågan till ett normalt kritiskt förhållningssätt till digitalisering. Ett stöd för denna typ av reflektioner kan vara följande schema över vanliga villfarelser. Särskilt rekommenderar jag närstudier av följande bias: sunk cost fallacy, dunning kruger effect, back fire effect, self serving bias och group think.

Om jag fick ställa några frågor

Den minnesgode kommer ihåg att jag tyckte det saknades några frågor vid den öppna utfrågningen i riksdagens försvarsutskott om cybersäkerhet för ett par veckor sedan. För att inte bara planlöst gnälla ska jag formulera några av de frågor jag själv skulle ställt i rollen som en hyfsat insatt folkvald ledamot i försvarsutskottet. Rollen kräver ju en något mer nobel approach än den som småaktig bloggare. Jag kommer därför naturligtvis inte att ställa tråkiga frågor som vad cybersäkerhet betyder eller vad det är för värden på axlarna på MSB:s bild över utvecklingen av digitalisering respektive cybersäkerhet även om jag grubblat över detta sedan jag såg den. Jag ska heller inte göra banala zingers av typen ”här ser vi hur man försöker lösa morgondagens frågor med gårdagens lösningar.”.

Istället kommer jag att försöka ställa fem övergripande frågor som jag menar är av betydelse för samhället och inte bara för samhällets säkerhet.

– Herr ordförande, vi har nu fått en genomgång av ett statsråd och fyra myndighetsföreträdare. Tyvärr kan inte genomgången ha lett till en bra helhetsbild av frågan. Varje myndighetsrepresentant har presenterat sin myndighets perspektiv på ett sätt som får åhöraren att känna sig som på toppen av ett utsiktstorn där det bara är möjligt att beskåda utsikten genom fyra fastlåsta och begränsade kikare. Själva vyn är osynlig genom dessa tunnlade perspektiv. När vi som folkvalda får en presentation där cyberförsvar, säkerhetsskydd, samhällsviktig verksamhet, och den vardagliga informationssäkerheten presenterade som helt separerade spår är det lätt att förstå den vanmakt som många aktörer som förväntas göra något i praktiken känner.

I NISU-utredningen 2015 var det första åtgärdsförslaget för att förbättra informationssäkerheten att utveckla en nationell styrmodell för informationssäkerhet:

En nationell styrmodell för informationssäkerhet består av ett antal komponenter som måste utvecklas och förvaltas över tid. En del är ett sammanhållande regelverk som innehåller olika nivåer av reglering under föreskriftsnivån, det vill säga en regelhierarki som motsvarar ett ledningssystem inom en organisation. Förutom de resurser som krävs för att utveckla och förvalta styrmodellen krävs en lösning för anslutning och efterlevnadskontroll som löpande samordnas med andra intressenter. I detta ligger också omfattande utbildningsinsatser. I styrmodellen är informationsklassning den mest omfattande aktiviteten som går från processorienterad informationskartläggning via själva klassningsmomentet till utvecklade gemensamma skyddsnivåer. För att skyddsnivåerna ska kunna fylla sin funktion krävs omfattande insatser av både egen och extern kompetens inom områdena administrativ, fysisk och it-inriktad säkerhet. Slutligen förutsätter en nationell styrmodell en väl utvecklad kunskapsstyrning. Kunskap kan i detta sammanhang röra sig om kunskap om metoder men i ännu högre grad om att kunna ge ett vederhäftigt underlag för en styrning utifrån risk. Det innebär att kunna förmedla en uppdaterad riskbild och att samtidigt kunna förmedla stöd för riskreducerande åtgärder.

Behovet av en nationell styrmodell förefaller större än någonsin, inte minst sett i perspektivet av att försöka samordna digitalisering och säkerhet. Min fråga till statsrådet är därför var detta förslag hamnat. En följdfråga till myndighetsföreträdarna är om det är omöjligt att utan ett formellt uppdrag från regeringen börja samarbeta på ett sätt som leder till konkreta samordnade stöd för offentliga och privata organisationer.

– Herr ordförande, två konkreta frågor angående molntjänster. I efterdyningarna av skandalen vid Transportstyrelsen har molntjänster blivit en huvudfråga för regeringen när det gäller säkerhet. Samtidigt vet vi att molntjänster redan används i stor omfattning av svenska myndigheter, kommuner och regioner/landsting, att de ger effektiva lösningar och i många fall bättre säkerhet än om verksamheterna själva skulle drifta och förvalta i egen miljö. Många av de tjänster som idag finns även som applikationer för egen förvaltning kommer snart enbart att finnas som molntjänster. Samtidigt är det svårt för Söpple kommun att ställa krav på Microsoft och Google angående säkerhet och integritetsskydd. En lösning som skulle kunna ge både bättre säkerhet och nödvändig effektivitet var om svenska staten på samma sätt som den tyska sluter ett gemensamt avtal med några av de stora jättarna. Jag förstår problematiken när det gäller konkurrensfrågor m.m. men vill ändå ställa frågan om detta är något regeringen överväger eller om varje kommun och myndighet även fortsättningsvis ska försöka lista ut om det är juridiskt korrekt att använda Office 365 samt ta fram sina egna avtal.
Jag skulle också vilja fråga om den ändring som redan skett, nämligen att SÄPO och Försvarsmakten tilldelats en vetorätt när det gäller utkontraktering av information från säkerhetskänslig verksamhet. Detta ställer ju  ansvarsprincipen på ända och jag funderar i detta sammanhang om regeringen ser framför sig även andra förändringar i denna grundpelare i svensk förvaltning. Vem tar ansvar för verksamheten i det här fallet – SÄPO eller verksamhetsledningen?

-Herr ordförande, under dagens presentationer är det lätt att få föreställningen att säkerhet är ett enkelt och entydigt begrepp samt att säkerhetsåtgärder alltid är obestridligt ”goda”. Den som ägnat minsta tanke åt detta och kanske dessutom kanske ändå studerat lite samhällsvetenskap, historia eller filosofi vet naturligtvis att så inte är fallet. Säkerhet existerat alltid i en relation till andra värden. En supersäker lösning som skulle förhindra alla brott vore att låsa in alla medborgare och slänga bort nyckeln för att dra frågan över det löjligas gräns. Samtidigt måste jag som folkvald naturligtvis beakta de olika intressen som finns i samhället och som delvis står i konflikt med ”säkerhet”. För mig framstår det som det finns tre värden som ständigt kommer i konflikt med den renodlade säkerheten; effektivitet, demokrati och individens integritet. I digitaliseringssträvandena ligger önskan om effektivitet. Demokrati i den form vi känner den är ett centralt element insyn och delaktighet. Övervakning är per se en inskränkning i integritet.
Jag hörde ingen av talarna ta upp dessa konflikter och ställer därför frågan om myndighetsföreträdarna ser det som liggande utanför sitt uppdrag att även ta hänsyn till denna typ av aspekter. Det är i så fall viktigt att veta eftersom utgångspunkten då måste vara att myndigheterna agerar som ”säkerhetsnördar” och de övriga perspektiven måste tillföras från annat håll innan beslut tas i viktiga frågor.

– Herr ordförande, jag tror vi alla är överens om att det finns ett stort behov av att utveckla informationssäkerheten i Sverige. En absolut vital förutsättning för att kunna göra det är att det finns tillgänglig kunskap och kompetens på olika nivåer. Min bedömning är att detta behov är skriande idag alltifrån den vetenskapliga nivån till att det saknas tusentals informationssäkerhetsansvariga företag, kommuner, landsting och myndigheter. Detta leder till att vi inte vet vad vi ska göra för att faktiskt vara effektiva och att det saknas operativ förmåga att bedriva det säkerhetsarbete som åläggs olika aktörer. Situationen kommer knappast att förbättras av sig själv eftersom det idag endast finns en handfull utbildningsplatser per år för att utbilda kompetenta informationssäkerhetsansvariga. Många av de som idag är informationssäkerhetsansvariga (eller kallar sig certifierade och informationssäkerhetsexperter) saknar helt utbildning inom området. Fortbildningsbehovet är därför oerhört stort.
Ytterligare en aspekt är att kunskapsuppbyggnad bygger på ett kritiskt tänkande och en öppen dialog. Ett intryck från säkerhetsområdet är att det ofta präglas av en tystnadskultur och en anti-intellektualism. Detta bygger, tror jag, på tradition, på att det saknas arenor för ett intellektuellt utbyte i säkerhetsfrågor och på att en osäker profession sluter sig inom sig själv i kotterier. För att komma vidare och hitta den goda säkerhetskulturen som skapar kunskap och insikt även på den nationella nivån krävs insatser även från myndigheterna.
Min fråga är hur det stora kunskaps- och kompetensbehovet ska tillgodoses och hur myndigheterna kan verka för en god säkerhetskultur med kritiskt tänkande även i de nationella sammanhangen.

– Herr ordförande, en sista fråga. I de presentationer vi tagit del av lyfts diverse försumligheter och bristande medvetande hos samhällets aktörer fram. Däremot sägs mycket litet om och i så fall hur myndigheterna med särskilt ansvar för säkerhet bedriver en systematisk utvärdering av sina egna insatser. Utvärdering är ju en grundläggande aktivitet i ett systematiskt arbetssätt och det finns därför anledning att anta att denna kvalitetshöjande mekanism måste vara inbyggd i myndigheternas verksamhet. Detta framgår dock inte i de årsredovisningar jag tagit del av och inte heller i dagens presentationer. Därför skulle jag vilja ställa frågan om den bristande säkerheten alltid är någon annans fel eller om det är möjligt att myndigheterna sett anledning att även förbättra sina egna insatser?

Varför funkar det inte? Del 4

Kunskap och informationssäkerhet

Som redan framgått är det svårt att ens ge en enhetlig och allmänt accepterad definition av begreppet informationssäkerhet. Att då kunna beskriva kunskapsområdet informationssäkerhet blir därför av naturliga skäl minst lika svårt.  Ändå menar jag att den enda verkliga legitimitet som informationssäkerhetsområdet kan uppnå måste gå genom att kunna motivera synsätt, metoder och investeringar med ett kunskapsunderlag. Kunskapsunderlaget måste därför vara av en sådan karaktär att det kan accepteras av de aktörer som vi vill ska anamma synsätten, använda metoderna och göra investeringarna. Om vi inte kan argumentera utifrån en rationell position återstår att försöka övertyga med känslor eller utifrån särintressen alternativt mycket smalt perspektiv som att exempelvis isolera en risk och se den som helt dominerande.

Min uppfattning är att vi idag är ganska långt ifrån att ha ett gemensamt kunskapsunderlag. Kvaliteten på kunskapsunderlaget kan också ifrågasättas av flera skäl, bland annat inte oväsentliga delar har sitt ursprung i rapporter från bolag som säljer säkerhetsprodukter. Ett kanske ännu större problem är att det saknas arenor för kunskapsutveckling utanför akademin där en professionell diskussion kan föras. Istället skulle jag vilja hävda att området präglas av ett anti-intellektuellt förhållningssätt som leder till en stagnation också när det gäller att ta fram praktiskt fungerande lösningar för att förbättra säkerheten.

Episteme, Fronesis, Techne

Utan att gå tvärdjupt är en rimlig utgångspunkt för ett kunskapsområde att det har olika lager av kunskapsnivåer inklusive en teoretisk grund. För att ett auktoritativt stöd i detta men också skapa en ganska enkel pedagogik tar jag hjälp av Aristoteles som delade upp kunskapen i fem former av vilka jag endast kommer att diskutera tre:

episteme (vetenskaplig kunskap, påståendekunskap, veta att)

techne (praktisk-produktiv kunskap, färdighetskunskap, veta hur),

fronesis (praktisk klokhet, det goda omdömet, veta när)

För den som vill veta mer om detta på ett enkelt sätt rekommenderar jag denna text.

Min känsla har länge varit att det som uppfattas som kunskap inom informationssäkerhetsområdet går att hänföra till techne med betoning på enkla tumregler och tekniska lösningar. Många duktiga informationssäkerhetsmänniskor har haft rejäla mått av fronesis så att de kunnat tillämpa den fyrkantiga techne-kunskapen på ett bra sätt i sina organisationer. Däremot så uppfattar jag att episteme, den vetenskapliga kunskapen med krav på generaliserbarhet och mätbarhet, i hög grad saknas inom informationssäkerhetens kärnområde. Vad jag då avser är att exempelvis en övergripande teoribildning på det som är vanlig inom samhällsvetenskapliga områden inte riktigt går identifiera i många av de vetenskapliga texter som publiceras om informationssäkerhet. Det har också ofta slagit mig att jag sällan sett att etablerade uppfattningar och metoder prövas på ett vetenskapligt sätt. För att snabbtesta mina egna fördomar har gjorde jag en sökning i svenska databaser på aktuell forskning om informationssäkerhet och fick fram några hundra publikationer som jag granskade snabbt och översiktligt utan anspråk på någon som helst vetenskaplighet. Den som själv gå igenom samma material kan följa den här länken och den här.

I beskrivningarna har jag försökt utläsa om det finns en teoretisk utgångspunkt som på försöker beskriva ett ontologiskt perspektiv om hur informationshantering och informationssäkerhet samverkar och vad informationssäkerhet är. Jag har också försökt läsa ut huruvida författarna verkligen ifrågasatt de etablerade synsätten och metoderna samt prövat dess effektivitet och relevans på ett ”objektivt” sätt. Slutligen har jag tittat på inom vilken disciplin texten är skriven och om den förefaller vara övervägande organisatorisk eller tekniskt orienterad.

Intryck

Efter denna snabba och djupt orättvisa genomgång tycker jag mig ändå se vissa tendenser.

Oklarheten i begreppet informationssäkerhet som jag tidigare skrivit om gestaltas också i de vetenskapliga texterna och leder till en spretighet. Begreppet tycks kunna stå för renodlat tekniska lösningar (som jag kanske hellre skulle kalla it-säkerhet) som organisatoriska. I de fall där jag läst sammanfattningarna är denna begreppsförvirring och ontologiska brist inte något som författarna tycks uppfatta som ett problem. Inte heller verkar ontologin i grundbegreppen konfidentialitet, riktighet, tillgänglighet, spårbarhet alternativt CIA-begreppen utgjort en frågeställning i området.

Flertalet texter är skrivna av forskare med teknisk eller systemvetenskaplig bakgrund. Detta leder till två helt olika problem. Det första är att fokus ofta kommer att ligga på tekniska lösningar istället för organisatorisk styrning trots att man säger sig skriva om informationssäkerhet. Det andra är att det är forskare med teknisk eller systemvetenskaplig bakgrund som skriver om organisatoriska frågor vilket ligger utanför deras egentliga kompetensområde, något som kan leda till att de inte helt har de redskap som krävs för en organisatoriskt inriktad forskning. Sammantaget leder det till att den organisatoriska styrningen bli styvmoderligt behandlad.

Ett genomgående drag är att etablerade synsätt och metoder förefaller förutsättas vara fungerande och effektiva. Detta gäller i hög grad de mer organisatoriskt inriktade texterna som kan handla om mätning, compliance och säkerhetskultur för att ta några exempel. Detta gäller även då man exempelvis tittar på mognadsmodeller där mognaden kan ses som en slags compliance till etablerade synsätt och metoder.

Förutom compliance är fenomenologi i en relativt vanlig form av studie. Det kan handla om hur medarbetare, patienter eller någon annan grupp uppfattar säkerhetsåtgärder eller -behov. Inte heller här tycks metoder egentligen ifrågasättas utan snarare är det uppfattningarna om dem som kan behöva ändras.

Trots inriktningen mot compliance är det få texter som undersöker värdet av de åtgärder som compliance-kravet gäller. Att vara compliant till kravet att ha bland annat en incidenthantering följs inte av en undersökning av effektiviteten i olika metoder för incidenthantering för att ta ett hypotetiskt exempel. Att studera metoder och delta i metodutveckling förekommer dock inom rent tekniska frågeställningar.

Och vad blir konsekvensen?

Forskning är naturligtvis inte den enda källan till kunskap men det finns frågeställningar inom informationssäkerhetsområdet där jag uppfattar att en vetenskaplig metod är lämplig för att skapa nödvändig kunskap. Det gäller både en slags grundforskning på ontologisk nivå och för insatser för att på ett vetenskapligt sätt skapa en evidensbaserad kunskap kring effektiviteten i olika, framförallt organisatoriska, metoder. Denna typ av frågeställningar kan svårligen hanteras av enskilda informationssäkerhetsansvariga eller av enskilda organisationer.

Informationssäkerhetsområdet har stort fokus på techne vilket sannolikt leder till ineffektiva och bakåtblickande metoder. Det är svårt att föreställa sig samma lösliga relation till evidens inom andra områden som trafiksäkerhet eller medicin trots att dessa områden måste sägas ha likartade tekniska eller hantverksmässiga bakgrund som informationssäkerhet.

Min tes är ju informationssäkerheten inte tycks hålla måttet och följaktligen anser jag kan det finnas anledning att även inom detta område inta den förkättrade normkritiska positionen och ifrågasätta även de mest etablerade sanningarna. Att forskningen går från att anti-intellektuellt handla om ett slags hantverk till att ge frågorna den analytiska och intellektuellt utmanande behandling som de i sanning kräver. Att gå från ett förhållningssätt som är konserverande till att bli ett explorativt som ligger i linje med den snabba organisatoriska och tekniska utveckling som sker.  För detta krävs kreativa och odogmatiska forskare som banar väg, skapar ny kunskap och ger oss andra underlag för en förbättrad praktik.

För att ta emot den mer utmanande kunskapsproduktion som skulle bli resultatet krävs en profession som har samma förhållningssätt inom techne och fronesis samt plattformar att mötas på. Som jag skrev inledningsvis är en av de stora bristerna att den typen av plattformar saknas idag och att ingen nationell aktör känner sig manad att ta på sig ett sådant ansvar. I nästa inlägg ska jag skriva om professionen – kanske finns det i en stärkt professionalisering en möjlighet till ett mer professionellt kunskapsbygge?

Hunnen så långt i mitt funderande får jag tips om en artikel som visserligen är från 2008 men som bekräftar att några av de intryck jag beskrivit är problem kända sedan tidigare som exempelvis bristen på empiri och, som i citatet nedan, på teoribildning:

As can be seen, the use of theories in ISsec research is not equally common as it is in IS research. In total only 18.51% of the ISsec articles cited one or more theories. Hence, over 1000 ISsec articles contained no theory whatsoever. As noted, of the 18.51% ISsec papers, nearly 80% cited ‘mathematical’ theory, which leads to the position where the other 37 theories accounted for only 48 ISsec papers. Indeed, thirty of the theories identified were only cited once in the ISsec literature. This indicates that while in ISsec research theories may be cited, intellectual development fails to occur as other researchers do not adopt and explore such theories. Hence these figures generally indicate that IS security research is chronically underdeveloped in terms of theory. This is worrying as with science in general (Laudan, 1984), the use of proper theories are seen as a fundamental element of IS research (Walls et. al., 1992). To summarize, while theories are highly valued in IS, they are not necessary to publish in information security forums.

Det tycks alltså finnas fler som funderar över från vilken kunskapsgrund vi egentligen utgår.