mypapers/friprog-itsikkerhet.txt

   1 Trykket i Computerworld Norge 2007-04-13 side 30
   2
   3 Sikker it-infrastruktur krever bruksrettigheter
   4 ===============================================
   5 av Petter Reinholdtsen, leder i foreningen NUUG
   6
   7 Den 15. desember 2006 lanserte regjeringen IKT-meldingen "Eit
   8 informasjonssamfunn for alle", der et helt kapittel er viet
   9 IT-sikkerhet.  IT-sikkerhet har mange fasetter, men en av dem blir
  10 ofte oversett.
  11
  12 For å ha IT-sikkerhet er det viktig at IT-brukeren har full råderett
  13 over sitt eget sitt utstyr.  Kontrollen over utstyret må ligge hos den
  14 som eier og skal bruke utstyret, ikke hos leverandøren eller
  15 produsenten for å sikre at infrastrukturen fortsetter å fungere
  16 uavhengig av enkeltleverandører.  I dag er det ikke alltid slik, og
  17 jeg vil peke på noen saker der leverandørrettighetene på utilbørlig
  18 vis har gått på bekostning av brukernes rettigheter.
  19
  20 Alle kommuner må ha et regnskapssystem, helst IT-basert. Når en
  21 kommune har betalt millioner for å kjøpe et regnskapssystem ville en i
  22 utgangspunktet tro at de har sikret seg retten til å bruke det til
  23 systemet ikke lenger fyller deres behov. For kommunene Evenes og
  24 Tjeldsund var det dermed en overraskelse da de i 2002 med en halvt års
  25 varsel ble fratatt retten til å bruke regnskapssystemet sitt.
  26 Leverandøren Ergo Ephorma ville ikke lenger vedlikeholde det.
  27 Kommunene kunne ikke velge en annen leverandør til vedlikehold, da
  28 opphavsrettsloven gav leverandøren monopol på dette.  Kommunene måtte
  29 kjøpe nytt regnskapssystem for 1.75 millioner, selv om det gamle
  30 fungerte utmerket.  De ble fratatt bruksretten til sitt eget
  31 regnskapsystem.
  32
  33 I fjor kom det to nye eksempler.  Et av dem er historien om et
  34 automatisert parkeringshus, der innkjøringsrampene er borte og bilene
  35 løftes på plass ved hjelp av robotteknologi.  Kommunen i Hoboken, New
  36 Jersey, eide huset og hadde kjøpt inn kontrollsystemet fra en
  37 leverandør av slike.  Kommunen var ikke fornøyd med leverandøren og sa
  38 opp kontrakten, hvorpå leverandøren trakk tilbake kommunens tillatelse
  39 til å bruke kontrollsystemet.  Hele parkeringshuset sluttet ved dette
  40 å fungere.  En rekke biler ble holdt som gisler inntil kommunen etter
  41 noen dager gikk med på vilkårene til leverandøren og parkeringshuset
  42 slapp bilene ut.  Det var ikke mulig for kommunen å fortsette å bruke
  43 kontrollsystemet uten avtale med leverandøren da leverandøren hadde
  44 monopol på systemet og kunne sperre det av hvis de ikke var fornøyd
  45 med sin kunde.  Kommunen manglet rett og slett bruksretten til sitt
  46 eget parkeringshus, og var prisgitt godviljen til leverandøren.
  47
  48 Et siste eksempel fra i fjor er diskusjonen rundt innkjøp av nye
  49 jagerfly til det norske forsvaret.  Mens en i Norge diskuterer hvor
  50 store gjenkjøpsavtaler norsk industri får glede av under utviklingen
  51 av Joint Strike Fighter, har Storbritannia krevd fullt innsyn i og
  52 råderett over datasystemene, slik at de ikke blir avhengige av USAs
  53 godvilje for å ha full kontroll over flyene.  Lord Drayson,
  54 innkjøpsminister for det britiske forsvaret, slo fast at hvis de ikke
  55 får tilgang til kildekoden vil britene ikke kunne kjøpe Joint Strike
  56 Fighter, mens britiske parlamentsmedlemmer besøkte Washington for å
  57 gjøre det klart at de ikke kunne godkjenne kjøp av fly der det
  58 britiske flyvåpenet ikke hadde full kontroll over alle deler av
  59 flyenes kontrollsystem.  Hvis en ikke mener det er en god ide at det
  60 norske flyvåpnet kan fjernstyres fra USA, bør vi i Norge gjøres som
  61 Storbritannia, og kreve fullt innsyn i, og alle bruksrettigheter til,
  62 kontrollsystemet for neste generasjons jagerfly.  På samme måte som
  63 kommunene bør kreve fullt innsyn i og ikke-tidsbegrensede
  64 bruksrettigheter til sine regnskapssystemer og andre viktige
  65 infrastruktursystemer.
  66
  67 Det vil i mange tilfeller være mulig å sikre viktige bruksrettigheter
  68 gjennom kontraktsfesting, men dette er en krevende og kostbar øvelse.
  69 Å kartlegge og prioritere alle nåværende og fremtidige behov er i
  70 praksis ikke mulig, og selv det å forsøke er tidkrevende og dyrt.
  71 Leverandøren skal deretter ha betalt for å binde seg til å støttte
  72 kundens behov, i tillegg til at selve kontraktutformingen blir dyrere
  73 når flere eventualiteter skal dekkes. Og i endel tilfeller vil
  74 interessekonfliktene mellom leverandør og kunde gjøre det umulig å sikre
  75 essensielle rettigheter for kunden til en akseptabel pris.
  76
  77 En bedre måte å sikre slikt innsyn og fulle bruksrettigheter er å
  78 velge systemer basert på fri programvare, der hver bruker og
  79 systemeier har rett til å se hvordan systemet er bygget opp, bruke det
  80 som en vil, distribuere systemet til hvem en vil, og også distribuere
  81 forbedringer og endringer.  Fri programvare sikrer brukerne disse
  82 rettighetene på bekostning av produsentens og leverandørens enerett
  83 til å kontrollere bruken av et IT-system.  En slik enerett kan som jeg
  84 har gitt noen eksempler på gi uakseptable ulemper for det offentlige,
  85 og det offentlige bør sikre at de ikke er avhengige av
  86 enkeltleverandørers godvilje for å kunne fungere.
  87
  88 Evenes og Tjeldsund mister retten til å bruke regnskapssystemet sitt i 2002
  89   http://www.fremover.no/lokale_nyheter/article255248.ece
  90   https://init.linpro.no/pipermail/skolelinux.no/linuxiskolen/2002-December/007322.html
  91   http://www.evenes.kommune.no/organization_map.aspx?topid=0&orgMapid=37&title=R%c3%a5dhuset
  92   http://rubyurl.com/8ZA  - snakk med AsbjÃ?rn Johansen
  93
  94 Biler holdes som gissel i leverandørkrangel i Hoboken, New Jersey
  95   http://www.wired.com/news/technology/0,71554-0.html
  96
  97 Storbritannia krever fullt innsyn i kontrollsystemene til JSF
  98   http://www.vg.no/pub/vgart.hbs?artid=237687
  99   http://www.digi.no/art296245.html
 100
 101 Stortingsmelding 17 "Eit informasjonssamfunn for alle"
 102   http://www.regjeringen.no/nb/dep/fad/dok/regpubl/stmeld/20062007/Stmeld-nr-17-2006-2007-.html?id=441497