brucescneier.jpg

"Vi laver smarte it-sikkerhedsafvejninger - og her mener jeg prioriteringer til fremme af den virkelige sikkerhed, hvor der er overensstemmelse mellem tryghed og sikkerhed. Når de to er i ubalance, går vi galt i sikkerheden."

RFID om foden - imod kidnapning

Da jeg besøgte nogle venner og deres nye baby på et hospital i sidste uge, bemærkede jeg et lille stykke interessant sikkerhed. For at forhindre kidnapning havde alle babyer fået et bånd med en rfid-tag omkring anklen. Ved dørene var der sensorer, så afdelingen kunne alarmeres, hvis en baby blev båret ud gennem døren.

Bortførelser er ingen reel risiko

Babybortførelser (i USA) er sjældne, men stadigvæk en risiko. Over 22 år er der registreret 233 bortførelser af nyfødte i USA. Der fødes hvert år omkring 4 millioner babyer; det resulterer i en risiko på een ud af 375.000. Sammenlign det med spædbørnsdødeligheden i USA, som er en til 145 - og det bliver klart, hvor den virkelige risiko er.

Hertil kommer, at 1 til 375.000 ikke er risikoen i dag. Bortførelseskvoten er faldet drastisk de senere år, mest i kraft af uddannelsesprogrammer på hospitalerne.

Så hvorfor beskæftiger hospitalerne sig med RFID-ankelbånd? Jeg tror, at de primært prøver at berolige mødrene. Mange gange under min vens ophold skulle lægerne fjerne babyen til den ene eller den anden undersøgelse. Gennem millioner af år er der udviklet meget stærke bånd mellem de nye forældre og den nye baby; RFID-båndet er en billig måde at gøre forældrene mere trygge på, når babyen er ude af deres hænder.

Sikkerhed som realitet og som følelse

Sikkerhed er både en realitet og en følelse. Sikkerhedens realitet er matematisk, baseret på sandsynligheden for forskellige risici og effektiviteten af forskellige modforholdsregler. Vi kender bortførelseskvoten og ved, hvor meget den vil kunne blive påvirket af ankelbånd med RFID-tags. Vi kender også omkostningerne ved ankelbåndene og kan på den måde regne ud, om foranstaltningen er omkostningseffektiv eller ej. Men sikkerhed er også en individuel fornemmelse, der baserer sig både på risiko og modforanstaltninger. Og de to ting er forskellige: Du kan være sikker nok selvom du ikke føler dig tryg, og du kan være tryg, selvom du i virkeligheden ikke er sikker.

IT-sikkerhedsteatret

RFID-ankelbåndene er det, jeg er kommet til at kalde sikkerhedsteatret: Sikkerhed, som først og fremmest er designet til at få dig til at "føle" dig mere tryg. Jeg har sædvanligvis sygeliggjort sikkerhedsteatret som spild, men ikke altid og ikke fuldt og helt.

Det er kun spild, hvis du udelukkende ser på sikkerheden som virkelighed. Der er tilfælde, hvor folk føler sig mindre sikre end de i virkeligheden er.
I disse tilfælde - som med mødre og truslen om babybortførelse - ser vi et lindrende modforholdstræk, som primært forøger tryghedsfornemmelsen - lige præcis hvad lægen har brug for.

Tryghedsskabende foranstaltninger

Medicinpakninger, som er svære at forfalske, dukkede op i 1980erne som svar på nogle meget omtalte forgiftningstilfælde. Som modtræk er det i det store hele teater. Det er nemt at forfalske både fødevarer og medicin direkte gennem forseglingen - med en sprøjte, for eksempel - eller ved at åbne pakningen og lukke den igen godt nok til, at den ubekymrede forbruger ikke ville opdage det. Men i 19080erne var der en udbredt frygt for tilfældig forgiftning af medicinpakker, så den sikre indpakning skaffede en ny overensstemmelse mellem folks opfattelse af risikoen og den aktuelle risiko: den var minimal.

Efter 11. september: Nationalgardister med geværer, uden ammunition

Det meste af 11. september - trygheden kan forklares ligesådan. Jeg har ofte talt om Nationalgardisters tilstedeværelse i lufthavnene lige efter terrorangrebene og den kendsgerning, at de ingen kugler havde i deres geværer. Som sikkerhedsforholdsregel gav deres tilstedeværelse ingen mening.
De havde ikke den nødvendige træning til at forbedre sikkerheden ved checkpoints eller endda muligheden for at være et par andre nyttige øjne. Men for at forsikre den skræmte befolkning om at det er OK at flyve gjorde man sikkert det rigtige.

Modtræk mod retsforfølgelse

Sikkerhedsteateret tjener også som redskab overfor risikoen for retsforfølgelse. Retssager afgøres (i USA, o.a.) ultimativt af jurier eller forliges på grund af truslen om en åben retssag, og juryer har det med at afgøre sager lige så meget på basis af deres følelser såvel som på basis af fakta.
Det er ikke nok for at hospital at gøre opmærksom på bortførelseskvoten og med rette hævde, at RFID-bånd ikke er pengene værd; modparten vil sætte billedet af en grædende mor på piedestalen med følelsesmæssige argumenter. I de sager viser sikkerhedsteatret
en reel modforholdsregel overfor en juridisk trusel.

Sikkerhedsteatrets omkostning

Ligesom ægte sikkerhed har sikkerhedsteatret en omkostning. Det kan koste penge, tid, koncentration, frihed og så videre. Der kan også komme omkostninger i form af indskrænket handlefrihed. Det meste af sikkerhedsteatret er en dårlig forretning, fordi omkostningerne er større end fordelene. Men der er tilfælde, hvor et gran af sikkerhedsteater giver mening.

Vi laver smarte it-sikkerhedsafvejninger - og her mener jeg prioriteringer til fremme af den virkelige sikkerhed, hvor der er overensstemmelse mellem tryghed og sikkerhed. Når de to er i ubalance, går vi galt i sikkerheden.

Afskriv ikke sikkerhedsteatret fuldstændigt

Sikkerhedsteatret er ingen erstatning for virkelig sikkerhed, men rigtigt anvendt kan sikkerhedsteatret være en måde at bibringe en fornemmelse af tryghed på, som passer godt til den faktiske sikkerhed. Det giver os en mere tryg følelse, når vi rækker vores babyer ud til læger og sygeplejersker, når vi køber medicin over disken, og når vi flyver - nærmere den tryghed vi burde føle, hvis vi tog alle de matematiske fakta med i beregningen og regnede den rigtigt ud.

Selvfølgelig vil for meget sikkerhedsteater og vores fornemmelse af tryghed kunne blive større end sikkerheden i virkeligheden - og det er også dårligt. Og andre: politikere, store firmaer og så videre - kan bruge sikkerhedsteatret til at føle sig mere trygge uden at udføre det hårde arbejde, der består i virkelig at gøre os sikre. Det er den måde, sikkerhedsteatret normalt bruges på, og det er derfor, jeg så ofte forbander det.

Men at afskrive sikkerhedsteatret fuldstændig vil være at ignorere følelsen af tryghed. Og så længe folk er beskæftiget med sikkerhedens kompromiser, går det ikke uden-

Artiklen er dediceret af Bruce Schneier til hans nye gudsøn, Nicholas Quillen Perry.

http://www.wired.com/news/columns/0,72561-0.html

Infant abduction:
http://www.saione.com/ispletter.htm

Blog entry URL:
http://www.schneier.com/blog/archives/2007/01/in_praise_of_se.html