Blog: It-sikkerhed: Hvor mange gange skal der råbes ‘Ulven kommer’?

Efter DR Nyheder’s seneste afsløring om Energinet.dk’s sikkerhed, eller manglen på samme, kan jeg ikke lade være med at tænke på, om folkene bag virkelig ikke tænker på sikkerhed.

Det kan da ikke passe, at man forbinder en enhed til internettet uden at have kortlagt, hvem der kan tilgå enheden, og om det i virkeligheden er nødvendigt for denne enhed at have internetforbindelse.

Det er over 4 år siden, vi læste om, hvor meget skade Stuxnet-ormen kunne gøre. Det er over 2 år siden, at Henning Mortensen fra ITEK advarede om lige præcis dette. Og igen tidligere i år kunne vi læse om manglende sikkerhed ved trafiklys. Er det bare normen, at de mest vitale systemer i vores samfund ikke behøver sikkerhed? Hvor mange gange skal der råbes “Ulven kommer”?

Er det, fordi it-branchen er en relativt ung branche, og landets love ikke har formået at følge med udviklingen? Skal der en større katastrofe til, før vi tager it-sikkerhed seriøst? Skal vi have en Fukushima inden for it-sikkerhed, før man begynder at lukke systemernes internetadgang og får styr på, hvem der har adgang?

Jeg synes, man burde kræve, at der bliver indført undervisning i it-sikkerhed, svarende til mindst 5-­10 ECTS-point, på alle it-uddannelser, så næste generation af it-folk har et minimum af basisviden om emnet.

Er det bare mig, der synes, at det burde være strafbart med så ligegyldig sikkerhedshåndtering? Ville det ikke være en ide at have en lovpligtig it-sikkerhedsrevision, som kunne påbyde en virksomhed at rette ind, eller, i værste tilfælde, politianmelde den pågældende virksomhed? Endvidere kunne man have en whistleblowerordning til denne revision, hvor medarbejdere kunne tippe anonymt.

Nu vi står foran et folketingsvalg, kunne det være interessant at se, om nogle af partierne har nogle konkrete bud på disse. Om den næste regering vil sætte som mål at f.eks. inden for 2­3 år skal landets mest vitale infrastruktur være sikret og underlagt en revision. At inden for 5 år skal alle virksomheder følge en pågældende standard inden for sikkerhed og håndtering af data.

Så er spørgsmålet, om det er ønsketænkning og uvirkeligt at realisere dette inden for denne tidsramme. Jeg er overbevist om, at det kommer – spørgsmålet er bare hvornår, og om den store katastrofe rammer før …