mypapers/drafts/friprog-itsikkerhet.txt

   1 Sikker IT-infrastruktur krever bruksrettigheter
   2 ===============================================
   3 av Petter Reinholdtsen, leder i foreningen NUUG
   4
   5 Den 15. desember 2006 lanserte regjeringen IKT-meldingen "Eit
   6 informasjonssamfunn for alle", der et helt kapittel er viet
   7 IT-sikkerhet.  IT-sikkerhet har mange fasetter, men en av dem blir
   8 ofte oversett.
   9
  10 For å ha IT-sikkerhet er det viktig at IT-brukeren har full råderett
  11 over sitt eget sitt utstyr.  Kontrollen over utstyret må ligge hos den
  12 som eier og skal bruke utstyret, ikke hos leverandøren eller
  13 produsenten for å sikre at infrastrukturen fortsetter å fungere
  14 uavhengig av enkeltleverandører.  I dag er det ikke alltid slik, og
  15 jeg vil peke på noen saker der leverandørrettighetene på utilbørlig
  16 vis har gått på bekostning av brukernes rettigheter.
  17
  18 Alle kommuner må ha et regnskapssystem, helst IT-basert. Når en
  19 kommune har betalt millioner for å kjøpe et regnskapssystem ville en i
  20 utgangspunktet tro at de har sikret seg retten til å bruke det til
  21 systemet ikke lenger fyller deres behov. For kommunene Evenes og
  22 Tjeldsund var det dermed en overraskelse da de i 2002 med en halvt års
  23 varsel ble fratatt retten til å bruke regnskapssystemet sitt.
  24 Leverandøren Ergo Ephorma ville ikke lenger vedlikeholde det.
  25 Kommunene kunne ikke velge en annen leverandør til vedlikehold, da
  26 opphavsrettsloven gav leverandøren monopol på dette.  Kommunene måtte
  27 kjøpe nytt regnskapssystem for 1.75 millioner, selv om det gamle
  28 fungerte utmerket.  De ble fratatt bruksretten til sitt eget
  29 regnskapsystem.
  30
  31 I fjor kom det to nye eksempler.  Et av dem er historien om et
  32 automatisert parkeringshus, der innkjøringsrampene er borte og bilene
  33 løftes på plass ved hjelp av robotteknologi.  Kommunen i Hoboken, New
  34 Jersey, eide huset og hadde kjøpt inn kontrollsystemet fra en
  35 leverandør av slike.  Kommunen var ikke fornøyd med leverandøren og sa
  36 opp kontrakten, hvorpå leverandøren trakk tilbake kommunens tillatelse
  37 til å bruke kontrollsystemet.  Hele parkeringshuset sluttet ved dette
  38 å fungere.  En rekke biler ble holdt som gisler inntil kommunen etter
  39 noen dager gikk med på vilkårene til leverandøren og parkeringshuset
  40 slapp bilene ut.  Det var ikke mulig for kommunen å fortsette å bruke
  41 kontrollsystemet uten avtale med leverandøren da leverandøren hadde
  42 monopol på systemet og kunne sperre det av hvis de ikke var fornøyd
  43 med sin kunde.  Kommunen manglet rett og slett bruksretten til sitt
  44 eget parkeringshus, og var prisgitt godviljen til leverandøren.
  45
  46 Et siste eksempel fra i fjor er diskusjonen rundt innkjøp av nye
  47 jagerfly til det norske forsvaret.  Mens en i Norge diskuterer hvor
  48 store gjenkjøpsavtaler norsk industri får glede av under utviklingen
  49 av Joint Strike Fighter, har Storbritannia krevd fullt innsyn i og
  50 råderett over datasystemene, slik at de ikke blir avhengige av USAs
  51 godvilje for å ha full kontroll over flyene.  Lord Drayson,
  52 innkjøpsminister for det britiske forsvaret, slo fast at hvis de ikke
  53 får tilgang til kildekoden vil britene ikke kunne kjøpe Joint Strike
  54 Fighter, mens britiske parlamentsmedlemmer besøkte Washington for å
  55 gjøre det klart at de ikke kunne godkjenne kjøp av fly der det
  56 britiske flyvåpenet ikke hadde full kontroll over alle deler av
  57 flyenes kontrollsystem.  Hvis en ikke mener det er en god ide at det
  58 norske flyvåpnet kan fjernstyres fra USA, bør vi i Norge gjøres som
  59 Storbritannia, og kreve fullt innsyn i, og alle bruksrettigheter til,
  60 kontrollsystemet for neste generasjons jagerfly.  På samme måte som
  61 kommunene bør kreve fullt innsyn i og ikke-tidsbegrensede
  62 bruksrettigheter til sine regnskapssystemer og andre viktige
  63 infrastruktursystemer.
  64
  65 Det vil i mange tilfeller være mulig å sikre viktige bruksrettigheter
  66 gjennom kontraktsfesting, men dette er en krevende og kostbar øvelse.
  67 Å kartlegge og prioritere alle nåværende og fremtidige behov er i
  68 praksis ikke mulig, og selv det å forsøke er tidkrevende og dyrt.
  69 Leverandøren skal deretter ha betalt for å binde seg til å støttte
  70 kundens behov, i tillegg til at selve kontraktutformingen blir dyrere
  71 når flere eventualiteter skal dekkes. Og i endel tilfeller vil
  72 interessekonfliktene mellom leverandør og kunde gjøre det umulig å sikre
  73 essensielle rettigheter for kunden til en akseptabel pris.
  74
  75 En bedre måte å sikre slikt innsyn og fulle bruksrettigheter er å
  76 velge systemer basert på fri programvare, der hver bruker og
  77 systemeier har rett til å se hvordan systemet er bygget opp, bruke det
  78 som en vil, distribuere systemet til hvem en vil, og også distribuere
  79 forbedringer og endringer.  Fri programvare sikrer brukerne disse
  80 rettighetene på bekostning av produsentens og leverandørens enerett
  81 til å kontrollere bruken av et IT-system.  En slik enerett kan som jeg
  82 har gitt noen eksempler på gi uakseptable ulemper for det offentlige,
  83 og det offentlige bør sikre at de ikke er avhengige av
  84 enkeltleverandørers godvilje for å kunne fungere.
  85
  86 Evenes og Tjeldsund mister retten til å bruke regnskapssystemet sitt i 2002
  87   http://www.fremover.no/lokale_nyheter/article255248.ece
  88   https://init.linpro.no/pipermail/skolelinux.no/linuxiskolen/2002-December/007322.html
  89   http://www.evenes.kommune.no/organization_map.aspx?topid=0&orgMapid=37&title=R%c3%a5dhuset
  90   http://rubyurl.com/8ZA  - snakk med AsbjÃ?rn Johansen
  91
  92 Biler holdes som gissel i leverandørkrangel i Hoboken, New Jersey
  93   http://www.wired.com/news/technology/0,71554-0.html
  94
  95 Storbritannia krever fullt innsyn i kontrollsystemene til JSF
  96   http://www.vg.no/pub/vgart.hbs?artid=237687
  97   http://www.digi.no/art296245.html
  98
  99 Stortingsmelding 17 "Eit informasjonssamfunn for alle"
 100   http://www.regjeringen.no/nb/dep/fad/dok/regpubl/stmeld/20062007/Stmeld-nr-17-2006-2007-.html?id=441497