Vad gör vi när cyber-armeerna anfaller?

Kära makthavare,

Alla som jobbar inom IT idag är fullt medvetna om det ständigt ökande hotet av både cyber-kriminella och cyber-armeer som ofta både försörjs och premieras av främmande makter och andra organisationer med politisk agenda.

Precis som det i denna oroliga värld är extremt viktigt att vi rustar vårt fysiska försvar så är det minst lika viktigt att vi rustar vårt digitala försvar. För att kunna skydda civilsamhällets digitala möjligheter att fortsätta fungera under digital kris och krig har ni makthavare ett stort ansvar.

Detta har bara aktualiserats än mer med den senaste tidens händelser där olika centralicerade system har slutat fungera på grund av överbelastningattacker och så vidare. Den senaste bekymmersamma händelsen är belastningsattackerna på Bank-ID där deras tjänst slutar att fungera och inverkan på samhället blir enorm. Ur ett IT perpektiv är ju detta fullkommligt oacceptabelt med en "single point of failure", påverkan för civilsammhället blir förödande. Betänk också situationen om och när ett intrång lyckas i ett centralt system som detta. Denna situation skulle innebära att majoriteten av samtliga invånares Bank-ID transaktioner skulle spridas på internet och denna data avslöjar massor av personlig information, enkla analyser som många inloggningar på 1177 innebär troligt att individen har hälsoproblem men det finns naturligtvis mycket mer ingående analyser att genomföra som ger en mycket större exakthet i profilering på individnivå.  

Det blir bara mer och mer viktigt att det finns alternativ till en ensam stor spelare och det är där som statligt nationellt e-id har möjlighet att bli ett bra försvar i en orolig digital värld. För att statligt e-id ska kunna förbättra situationen krävs dock att man tänker igenom riskerna och möjligheterna för att kunna skapa ett robust och tillförlitligt system. För att nå framgång är det flertalet lösningar som behöver beaktas och nyttjas i implemenationen. För det första så måste invånare känna tilltro till systemet och en viktig del i detta är att all källkod är öppen och alla har möjlighet att se in i systemet och att allt inte bara är en svart låda utan insyn vilket fallet blir med stängd källkod. Med öppen källkod finns även möjlighet för samhället att hjälpa till med buggar samt att oberoende parter kan göra säkerhetsaudit på källkoden for att hitta säkerhetshål i systemet, fler ögon ger ett säkrare system.

Den andra stora avgörande lösningen för att kunna minska risken med att tjänsten slutar fungera är att systemet byggs decentraliserat och federerat,det vill säga det finns inte längre en "single point of failure", tas en nod ner så går det alltid att ansluta till en annan nod. Med en decentralicerad lösning kan man också ha flera aktörer som kör olika noder vilket gör att man inte blir beroende av just en enda aktör. Riskspridning!!

Jämför en centralicerad lösning med att vårt fysiska försvar förvarar alla vapen, pansarvagnar, flygplan, försvarssystem osv. i samma hangar och det då endast behövs en ända välriktad attack för att slå ut hela vårt försvar, med en decentralicerad lösning blir det mycket svårare att slå ut ett system och gissningsvis liknande hur vårt fysiska försvar arbetar.

Ett stort ansvar ligger på er makthavare att ta de rätta besluten och ställa de rätta kraven så att vi står rätt rustade vid ett digitalt krig.

Nästa gång du som makthavare blir uppvaktad av en lobbyist fråga varför deras lösning inte beaktar högre säkerhet och varför de inte använder öppen källkod och decentralicerade system.

Trots allt är ju allt detta publika pengar så självklart borde koden också vara publik!

Medborgarna förtjänar att känna trygghet i att e-id systemet fungerar även under kris och krig!