Dags för en ny säkerhetsarkitektur?

Vi har nu under några dagar upplevt stora och allvarliga informationsläckage som förorsakar stor skada för  enskilda människor, företag och deras varumärken. Jag tänker nu på Gunneboläckan och Vastaamo-fallet

Skyddet av informationen har inte fungerat trots kännedom om de stora riskerna och att IT-säkerheten följt "best praxis". Vi kanske måste ompröva etablerade sanningar och säkerhetsarkitekturer. Kanske åter titta på hur de manuella processerna som fanns före "IT" fungerade och hur man kan återvinna deras styrkor.

"Information at Your Fingertips" var ett uttryck som Bill Gates, Microsoft använde flitigt under 1990-talet och beskrev intentionen att ha all information direkt tillgänglig som behövdes för att fatta beslut och kunna jobba effektivt.

Det som var en god intention på 90-talet är i stor utsträckning förverkligat genom att värdefull verksamhetsdata har samlats i stora centraliserade "skattkistor" i form av databaser som gjort informationen lättillgänglig för behöriga. Det verkliga värdet av "skattkistorna" är ofta okänt eller underskattat men uppenbart så högt att kontrollen över dessa avgör verksamhetens möjlighet till överlevnad.

För att skydda sin "skatt" har succesivt nya verktyg för detta skapats, inledningsvis fysisk skalskydd runt information och personal, senare mer och mer sofistikerade logiska skalskydd i form av brandväggar, behörighetssystem, intrångsdetektering o.s.v. Men ändock så drabbas högprofilerade verksamheter av informationsläckage, i bland så allvarliga som inledande exempel som i förlängningen kan vara döden för de utsatta verksamheterna. Dessutom ofta med allvarliga konsekvenser för oskyldiga människor och verksamheternas samarbetspartners. 

Skydden har inte räckt till och IT-säkerhet är en kamp med tiden och de som vill ta kontroll över informationen.

Att samla allt av värde i en "skattkista" har historiskt alltid varit förenat med hög risk. Så fort de varit kända har det alltid funnits de som vill stjäla den och ju större värde den uppskattas innehålla ju större har lockelsen varit. Men information har länge inte betraktas som speciellt utsatt för att det inte har ett materiellt värde vilket har gjort att informationssäkerhet har hanteras styvmoderligt.

Vad var bättre förr och som idag skulle minska riskerna för informationsläckage?

1. Informationen var ofta spridd geografiskt och organisatoriskt och i stor utsträckning saknades kopior.
1. Uthämtning av inforation var ofta manuell, man var tvungen att efterfråga specifik information där flera personer var inblandade i processen. Gav ofta oacceptabel tröghet och svårigheter att hitta rätt då indexeringen inte var speciellt omfattande. Men för någon utomstående så var det i det närmaste omöjligt att stjäla större mängder information.
2. Objektorientering rådde även om uttrycket lanserades långt senare. En patientjournal rörde en patient och hade läkaren tillgång till denna så var det nog för vården. Däremot ett stort hinder för forskning då diagnoser, provsvar m.m. var inkapslade i journalen.
3. Man visste att man hade orginalhandlingen när den var manuellt signerad.
   
   
2. Behörighet var förr ofta informell men få, även högt upp i organisationerna hade direktaccess till arkiv. Ofta gick begäran om dokument till högt betrodda tjänstemän och arkivarier som förväntades larma om misstänkt missbruk. Att få ut dokument i någon större utsträckning tog mycket tid för kopiering eller fotografering. Risken för obehöriga att få tillgång till information var låg och ett läckage var ofta lätt att spåra till person(er).

Lösningen för att minska informationsläckage kan vara en arkitektur där informationen är spridd på många "skattkistor"/containers där nycklarna skiljer sig åt. Där nycklarna måste kvitteras ut och loggas inför varje access och att behörigheten är dynamisk, beroende på personenens roll, arbetstider, behov av tillgång till specifikt objekt m.m. D.v.s. mycket nytt tänkande behövs men bidrar det till en tröghet att få ut volymer av känslig information så kan det vara värt arbetet och kanske även ett mer tungarbetat system.

Är riskanalysen den största risken i ett systematiskt informationssäkerhetsarbete?

Ett systematiskt informationssäkerhetsarbete är i de flesta verksamheter ett önskemål eller krav. Ofta benämns det som ett LIS, Ledningssystem för Informationssäkerhet och bygger på en standard, vanligtvis baserat på ISO-standarden för LIS; ISO/IEC 27000-serien. Syftet med LIS är att minimera risken för oönskade händelser eller incidenter i verksamhetens information med ett brett perspektiv.
En central del i arbetet med att bygga upp och underhålla LIS är riskanalyser. Att förstå och prioritera vad man vill skydda och mot vad.
Jag har genom åren deltagit i och lett ett större antal riskanalyser men sällan varit nöjd. Det format för riskanalyser som normal används inom informationssäkerhet (“Scenario-based risk identification”) börjar ofta med ett seminarium om en halv till en dag med upp till 10 deltagare från olika roller i verksamheten. Till detta en seminarieledare som kanske saknar verksamhetskunnande.
Gruppen får inledningsvis uppmaningen att lista risker de ser i verksamheten, dessa grupperas sedan och man går igenom listade risker, värderar med vilken sannolikhet de slår in och då vilken konsekvens som de kan orsaka. Seminarieledaren dokumenterar vad som kommit fram och levererar efter några dagar en riskanalys som rapporteras inför beställaren som i sin tur beslutar om ev. åtgärder för att minska skaderisker.

Men...
Hur är det med kvalitén på analysen. Den kan svårligen bli bättre än de "indata" som redovisats vid seminariet. Jag ser följande problem:

1. Historik, incidenter som skett tidigare i samma domän i den egna verksamheten eller hos andra kommer bara med om någon deltagare har minnen av något sådant.
2. Vilka risker som kommer med är i huvudsak beroende på deltagarnas fantasi utöver den historik som redovisas.
3. Värdering av sannolikheten att någon oönskat och kanske okänt kan inträffa blir ofta vilda gissningar som i analysen läses som fakta.
4. Beskrivningen av konsekvenser och kostnader för en incident blir ofta mer realistiska, framförallt om man orkar inkludera de följdfel en incident skapar så här är problemen mindre men även här finns osäkerhet.
5. Formatet på analysen är ofta detsamma för perifera delar av verksamheten som för dess kärna. Att belysa risker som kan påverka verksamhetens existens skall också klaras av på en dag.

Så...

För ett framgångsrikt informationssäkerhetsarbete behövs oftast bättre riskanalyser än vad som görs idag. Men det kan vara svårt att motivera kostnaden för detta. Redan att avsätta tid för kanske 10 anställda under en dag och dessutom betala för någon som leder och dokumenterar analysen kan uppfattas som dyrt. Men vad är dyrt om det kan förebygga att verksamheten i värsta fall går under?

Jag har sett analyser som sannolikt uppskattar risker som hundrafaldigt fel eller överhuvud inte tagits upp. 

Jag ser att vi behöver kanske bättre och mer genomarbetade riskanalysmetoder med vetenskapligt stöd i metodportföljen för informationssäkerhet. Att en riskanalys som kan medverka till att förbygga verksamhetens hädanfärd faktiskt får kosta mer en de enkla vi gör idag.

Jag ser riskanalyser inom flyg, kärnkraft och medtech som föredöme i kvalitet. Där rör det sig direkt om människors liv och hälsa men informationssäkerhet kan indirekt beröra detsamma. Förutsättningar, historik m.m. är annorlunda i nämna branscher men man tillåter också att riskanalyserna får kosta.

Kan vi förändra synen på nyttan med riskanalyser och vad de får kosta så att vi kan göra bättre?

1177 och ansvar

Vi i Sverige har möjlighet att få kvalificerad rådgivning om sjukvård dygnet runt genom att ringa telefonnummer 1177 oavsett var i landet vi befinner oss. Beroende på var så kopplas vi till den rådgivning som varje av de 21 sjukvårdsregioner valt. 18 regioner hanterar det i egen regi och med egna journalsystem och köper telefonitjänsterna från Inera AB. Inera ägs av Sveriges Kommuner och Landsting (SKL) vilket är en medlemsorganisation för landets samtliga regioner och kommuner.
Tre av landets regioner har dock valt att upphandla rådgivning av MedHelp AB. Det är dessa tre regioner, Stockholm, Sörmland och Värmland som drabbats av läckande patientuppgifter. Hur stort läckaget är kan inte sägas för dagen men någonstans mellan 55 och 2,7milj rådgivningssamtal har läckt, den lägre siffran är vad MedHelp medger, den högre vad som fanns tillgängligt på internet.

MedHelp AB är av Inspektionen för vård och omsorg (IVO) registrerad vårdgivare och här därmed rätt att ge råd för häls- och sjukvård. IVO är också tillsynsmyndighet vad gäller vårdkvalitet och dess förmåga att leva upp till del lagar och förordningar som reglerar sjukvård. Vad gäller person- och patientinformation gäller dataskyddslagen, den svenska anpassningen av GDPR/dataskyddsförordningen och patientdatalagen (PDL). För GDPR och PDL är Datainspektionen (DI) tillsynsmyndighet och skall bevaka efterlevnaden av båda dessa lagar. Tillsyn görs dock normalt bara efter misstanke eller anmälan om brott mot lagarna.

Eftersom MedHelp är av IVO godkänd vårdgivare så kunde regionerna, om det föregåtts av en korrekt upphandling, tryggt teckna avtal med MedHelp. Som vårdgivare är MedHelp både enligt PDL och GDPR fullt ansvariga för hantering och skydd av person- och patientuppgifter. MedHelp har också fullt ansvar  för hanteringen de uppgifter som ev. underleverantörer behandlar.  Regionerna har inte rätt att få insyn i en vårdgivares patientdokumentation och kan därmed inte heller granska hanteringen. Det kan bara tillsynsmyndigheterna göra.

Men har då inte regionerna något ansvar för att läckaget kunde hända? Jo det har man vid upphandling, kravställning på informationssäkerhet och uppföljning av denna bör göras mycket tydlig. Något som uppenbart inte gjorts i de ursprungliga upphandlingarna 2013. Man kan ställa detaljkrav på säkerhet och t.ex. krav på riskanalyser där beställaren är involverad. Men man bör också ställa krav på systematiskt säkerhetsarbete i form av ledningssystem för informationssäkerhet (LIS) där även regelbunden uppföljning ingår och där beställaren också kan ta del av uppföljningarnas resultat. Hade ett fungerande LIS funnits på plats så hade sannolikt läckaget inte hänt.

Vilket ansvar har då SKL/Inera för det som hänt? Inledningsvis så drabbades Inera av misstankar om att de medverkat till informationsläckaget vilket inte var korrekt i att de 18 regionerna som använde Ineras telefonilösning inte var drabbade.

Men... Inera äger varumärket "1177" och är därmed, i varje fall moraliskt, ansvarig för hur varumärket används. Varje region har uppenbart varit fri att använda varumärket för sin rådgivning även om de haft olika lösningar för detta. Den som ringer 1177 förväntar sig nog samma kvalitet och säkerhet på tjänsten oavsett var i landet man befinner sig.
När läckaget blev känt så smutsades varumärket och förtroendet för detta ner även för regioner som skött sig väl p.g.a. av att en leverantör till tre av de 21 regionerna hade misskött sitt uppdrag. Här har Inera ett ansvar för hur varumärket 1177 hanterats. Jämför man med starka varumärken som på franchisebasis låter andra utnyttja det så brukar franchisegivarna ställa mycket detaljerade krav på de man låter använda varumärket. Detta bl.a. för att en franchisetagare som inte sköter sig kan orsaka mycket stor skada för varumärket. Tänk tanken att en McDonaldsresturang skulle välja en underleverantör med dåligt kött och att kunder blir sjuka. Det får bara inte hända.
Här har Inera missat, de har ett ansvar för hur varumärket används och kan inte avsvära sig den badwill de nu råkat ut för.

Dataskyddsförordningen och SkuggIT

SkuggIT (Shadow IT) är informationsbehandling som ofta görs och beslutas av enskilda medarbetare för att de skall kunna lösa sina uppgifter effektiv. Det är en realitet i de flesta verksamheter och är ofta accepterat i det tysta.

Dataskyddsförordingen (GDPR) som blir lag i maj 2018 sätter nytt fokus på fenomenet då även personuppgifter i ostrukturerad form omfattas av lagen. Att åtgärda detta kan bli svårt och åtgärderna kan introducera nya risker.

Jag vill här belysa fenomenet i ett mer filosofiskt perspektiv. 

-- 

Vi har fört anteckningar och skickat brev i generationer. Ofta har de sparats under långa tider. I dessa har både subjektiva och objektiva tankar och uppgifter nedtecknats. D.v.s. det som GDPR betraktas som ostrukturerade personuppgifter.

Därmed så tvingas vi av lagen att i princip in i att göra ostrukturerad information till strukturerad, endera i lagringen eller m.h.a. verktyg som extraherar och strukturerar personinformation vid sökning. GDPR ger, om inte annan lagstiftning är överordnad, rätten för den omskrivna att få del av noteringarna, rätt att få dem ”rättade” eller borttagna. 

Min spaning är då att GDPR kan få en förlamande effekt på organisationer. Många ”personuppgifter” kommer att flyttas till de flyktiga och opålitliga databaser som våra hjärnor är. Det som idag är data blir tyckande. Jag är rädd för att GDPR, om lagen tolkas bokstavligt, resulterar i en dataminimering som kommer att ge oss sämre beslut och en historielöshet.

Jag gillar i princip GDPR, det ger människan ett anständigt skydd mot myndigheter och företags informationsmissbruk. Men ”SkuggIT” är förmodligen ett nödvändigt inslag i en fungerande organisation, stryps den så riskerar verksamheten att dö.

Är "e-röstning" bra?

I dagens Svenska Dagbladet, e-upplagan skriver Tuve Johannesson och Karin Ehnbom-Palmquist en debattartikel under rubriken ”E-röstning skulle öka valdeltagandet”. Argumenten som förs fram är att grupper som idag har svårt att komma till en vallokal skulle ges bättre möjligheter att lägga sin röst. Vidare pekas på ett antal möjliga besparingar med "e-röstning", t.ex. mindre åtgång på papper och färre transporter. D.v.s. miljöargument. Dessutom att "digitalisering" ligger i tiden och att flera andra länder har börjat med "e-röstning".

Men är det så enkelt?

1. Vi skall ha fria val, d.v.s det får inte finnas en risk till att någon tvingas till att rösta på ett sätt som inte överensstämmer med den egna viljan.
2. Vi skall ha hemliga val, d.v.s. att det skall vara möjligt att dölja och hålla hemligt hur man röstat.
3. Valen skall vara offentliga, det skall vara möjligt för envar att övervaka hela valproceduren inklusive rösträkning.

Hur är det idag? Nuvarande procedur är väl beprövad, den går att förstå för merparten av väljarna och vi vet dess brister. Det tar t.ex. ett antal dagar innan det slutliga resultatet är färdigräkning och klart. Det brukar bli fel i någon eller några valkretsar vilket kräver omräkning eller i värsta fall ett nytt val i distriktet. Men felen blir kända och det rör sig då ofta om fel på promillenivå som blir rättade. Valhemlighet och "valfrihet" är möjlig även om kritik har framkommit om att man inte kan plocka valsedlar i "hemlighet" i vallokalen. Envar har också rätt att övervaka rösträkningen så länge man inte stör verksamheten. 

Hur kan det då bli vid "e-röstning"?

Det finns idag teoretiska lösningar (algoritmer) som kan garantera valhemligheten om dessa programmeras rätt och att programmen körs på garanterat säkra datorer. Men man kan inte tekniskt skydda att någon står bakom och har synpunkter hur man röstar. Argumentet i debattartikeln att den som inte känner sig trygg med att rösta i hemmet kan ta sig till vallokalen kanske inte är så enkel. Man kan kanske bli tvingad att rösta. 

I den bästa av världar kanske perfekta programmerare och säkra datorer finns. D.v.s. en grundförutsättning att valhemligheten kan garanteras. Tyvärr så finns varken eller. Vi vet att ALLA datorsystem har brister, det är mest bara en fråga hur snart och vem som upptäcker det först. Är det "ägaren" till systemet eller är det någon annan, är det någon god eller någon ond? Kommer bristen att utnyttjas för att manipulera eller misstänkliggöra valet?

Vi vet också att de fyra år som normalt går mellan riksdagsval är utvecklingen inom IT enorm. Tekniken förändras, nya sårbarheter upptäcks så man kan förutsätta att det utvecklingsarbete som gjorts fyra år tidigare förmodligen måste göras om från grunden. Ett projekt som förmodligen hamnar på en kostnadsnivå om minst 100 miljoner kronor.  De besparingar som artikelförfattarna pekar på finns ju heller inte om röstning i vallokal skall finnas kvar som alternativ.

Sista men kanske tyngsta argumentet mot e-röstning och för att behålla vår traditionella process är att valen skall vara öppna och tillåta envar och kanske även utländska valobservatörer att övervaka process och rösträkning. Jag vill påstå att vi i Sverige bara har några 10-tal personer som har förutsättningar att förstå en e-röstningsprocess och samtidigt har förmågan att granska tekniken. Transparensen försvinner helt och risken är då stor att hela valresultatet ifrågasätts och legitimiteten för valet faller.

Så "e-röstning" kan bli ett stort bakslag för demokratin!

Information ger makt!

Delar du ut information så kan du;
1. utnyttjas
2. visa makt
3. skapa förtroende

Så dela med dig kontrollerat!
Det är informationssäkerhet.

Vad är "hemlig dataavläsning"?

Inrikesminister Anders Ygeman presenterade 2015-08-28 Regeringens skrivelse 2014/15:146 "Förebygga, förhindra och försvåra – den svenska strategin mot terrorism".
I den presskonferens som följde pekade ministern på hemlig dataavläsning som ett möjligt tvångsmedels för avlyssning.
Vad är i detta sammanhang "hemlig dataavläsning"? Förmodligen refererar ministern till SOU 2005:38 -- Tillgång till elektronisk kommunikation i brottsutredningar m.m. samt SOU 2012:44 -- Betänkande av Utredningen om vissa hemliga tvångsmedel  där detta begrepp används och föreslås som ett möjlig tvångsmedel.

Värdering av de juridiska argumenten i utredningarna lämnar jag åt sidan och fokuserar på de möjliga tekniker som kan finnas i detta begrepp. Jag uppfattar "hemlig dataavläsning" som riktade åtgärder mot en eller ett fåtal personer beslutad av domstol. D.v.s. inte den allmänna lagringen som teleoperatörer är ålagda att utföra.
Det är alltså frågan om att plantera teknik eller programvara i utrustning som den misstänkte förfogar över. Detta kräver att myndighet på något sätt får tillgång till utrustningen, fysiskt eller via internet. Fysiskt kan det vara fråga om att ansluta loggningsutrustning som keyloggers eller sniffers som samlar ihop information, lagrar och levererar till myndighet. Att göra fysiska ingrepp i misstänktas utrustning eller bostäder är förenat med problem och risken för att det skall upptäckas är stor. Ett par alternativ står då till buds, endera utnyttja sårbarheter i produkter och dess programvaror som illasinnade hackers har för vana. Ett andra är att helt enkelt lura användaren att installera avlyssningsprogramvara. Det senare förutsätter någon form av undercoververksamhet som nog inte är förenlig med svensk rättstradition. Att någon med ont uppsåt är beredd att klicka på en länk i ett mail från Polisen är knappast troligt.

Att utnyttja sårbarheter för hemlig dataavläsning.

Stor del av de problem vi har med virus, trojanska hästar, "maskar" under samlingsnamnet "skadlig kod" (malware) beror på att de produkter vi använder har sårbarheter (buggar) som tillverkaren inte känner till vid leverans. Det pågår en ständig kamp och kapplöpning mellan de som söker sårbarheter som kan användas i onda syften och leverantörernas förmåga att rätta och distribuera rättningarna (patchar). I denna kamp finns också antivirusföretagen som tillverkar och säljer programvara för att bromsa spridning av och skadeverkning från skadlig kod.

Det finns en internationell marknad för handel med upptäckta men ännu inte allmänt kända sårbarheter som förmodligen omsätter stora belopp. Denna marknad är i huvudsak svart men ibland blir en grå verksamhet känd. På försommaren hackades det italienska "säkerhetsbolaget" Hacking Team som specialiserat sig på att sälja okända sårbarheter (Zero-day) till polis och underrättelsetjänster i många länder. Då även amerikanska myndigheter fanns på kundlistan så det är troligt att det är denna typ av företag som svensk polis behöver anlita för att köpa verktyg för "hemlig dataavläsning".

Ett ytterligare alternativ som förekommer, framförallt i USA, är att med lag tvinga IT-företag att medverka till att skapa produkter eller tjänster där myndigheter har bakdörrar för avlyssning alternativt att IT-företagen själva åläggs att selektivt eller brett avlyssna och leverera informationen till myndigheter.

Men Snowden-avslöjandena har gjort att IT-företagen har blivit ovilliga att medverka. De ser en internationell motvilja mot produkter som USA har avlyssningsmonopol på. De lägger in krypton i sina kommunikation för att försvåra avlyssning. De skapar som t.ex. Apple lösningar där det inte är möjligt att gå runt krypteringen, inte ens för Apple själva. Tjänsten iMessage är idag avlyssningssäker så länge ingen fysiskt har haft möjlighet att gå in i telefonen (iPhone) och detta är ett förhållningssätt som fler IT-företag håller på att ta efter.

För att svensk polis och andra myndigheter skall kunna genomföra "hemlig dataavläsning" där tekniken som skall avlyssnas i huvudsak är amerikansk krävs ett nära samarbete med USA och dess arbete med avlyssning. Motviljan hos konsumenter och andra kunder till att köpa utrustning med bakdörrar som i varje fall amerikanska myndigheter har tillgång till kommer nog att få IT-företagen att vara fortsatt motvilliga till detta.

Har du makt? Har du fiender?

Informationskrigföring är nu en realitet. Det utövas av både politiska och ekonomiska skäl. Det kan vara en del av organiserad brottslighet, det kan också utövas av stater eller terroristorganisationer.
Gemensamt för dessa operationer är att de oftast angriper någons eller någon grupps trovärdighet genom att sprida falsk information eller illasinnade rykten.
Informationskrigföring är ett mycket billigt sätt att föra "krig" och möjligheten att spåra källan till angreppen kan vara begränsad. Vi kan därför förutse att detta sätt att utöva makt kommer att eskalera kraftfullt och att metoderna blir fulare.

Så har du makt, tänk igenom vilka anklagelser du skulle få svårt att värja mot.
Tänkbart är t.ex. att bli anklagad för eller påkommen med att syssla med barnpornografi.
Att plötsligt få besök av Polisen som gör husrannsakan, tar med din dator och anhåller dig. Att detta sedan följs av rubriker i media om att du är föremål för förundersökning om barnpornografibrott. Hur ser din framtid ut nu? Hur ser den ut om det dessutom hittas "bevis" på din dator och du kanske blir fälld för brottet?

Allt detta kan ske utan att du gjort något olagligt.
Det är som känt svårt att skydda sig mot datavirus och skadlig programkod. Det är dessutom i princip omöjligt om det är ett riktat, kvalificerat angrepp som någon är beredd att lägga lite pengar på. Det går att ta över din dator, plantera lämpliga bevis, radera spåren och därefter se till att Polisen och media får lämpliga tips. Därefter blir det svårt att hävda sin oskuld. Även om bevisen inte räcker för en fällande dom, ja att det rent av går att bevisa att du inte är skyldig så kommer du att vara skadad och dömd av många enligt uttrycket "ingen rök utan eld".

Kan man skydda sig mot detta? Helt är nog svårt men man kan göra så gott man kan. Konsekvent leva efter de råd om god datorhygien som finns. T.ex. använda starka lösenord, unika på varje tjänst, aldrig använda öppna wifi-nät, aldrig använda publika datorer (internetcaféer, bibliotek m.m.), aldrig klicka på mailade länkar även om de ser ut att komma från kända avsändare. Bara öppna väntade bilagor i mail. Inte låna ut den dator där du läser dina mail, inte ens till familjemedlemmar.
Sedan skall man vara förberedd på att den här typen av anklagelser kan komma och ha en genomtänkt strategi för hur dessa skall hanteras.

Nätneutralitet och sårbarhet

Dagens Nyheter skriver idag om ett tidigare beslut i EU-parlamentet att nätet skall vara neutral och all trafik skall behandlas lika. EU:s ministerråd går emot detta beslut och vill att "speciella tjänster" skall prioriteras såsom självkörande bilar och medicinska tjänster.
Men öppnas denna möjlighet till prioritering kommer också värdering av tjänster och dess samhällsnytta att behöva göras. Här kommer förmodligen kommersiella aktörer arbeta för att deras tjänster får prioritet och därmed bli mer kommersiellt attraktiva. Är självkörande bilar ett samhällsintresse eller ett affärsintresse?
Men en annan risk med prioritering är säkerheten i de tjänster som prioriteras. Bygger dessa på att de ges bättre prestanda och svarstider i nätet så är de sårbara. Nätverksaktörerna kan bara garantera en viss del av den tillgängliga kapaciteten. Men är nätet inte tillgängligt p.g.a. tillfälliga fel får inte inte heller de prioriterad tjänsterna någon kapacitet. System eller tjänster som bokstavligt är nödvändiga för liv och hälsa (såsom just självstyrande bilar och medicinska system) får inte vara beroende av kontinuerligt tillgång till internet. De behöver byggas med redundans och autonomi d.v.s. att de kan fatta rätt beslut under ett avbrott i internetförbindelsen.
Att utformat system med förutsättningen att man alltid har tillgång till prioriterad koppling till internet är en stor risk i sig. Bygger man säkert så faller behovet av prioritet.

Prioriterad internetförbindelse är bra för kommersiella tjänster där man kan få konkurrensfördelar, t.ex. film och annan trafik som kräver hög kapacitet.
"Samhällsnyttiga" tjänster får inte bli beroende av prioriterat nät, skulle de bli det kan de bli farliga den dag nätet är oåtkomligt!

Värdet av osäkra webbtjänster

Detta kommer att vara en ganska cynisk bloggpost men tyvärr, det är allt för ofta sant.

Det kommer regelbundet rubriker om att kända företag och organisationers webbtjänster är "hackade"  eller har svåra sårbarheten som kan ha utnyttjas av utomstående. Ofta visar det sig att det underleverantörer i form av webbtjänsteföretag som haft dålig säkerhet. De kända varumärkena som som då svärtas är det en obehaglig överraskning för. De hade valt en tjänst som funktionellt fungerade väl till ett acceptabelt pris. Tjänsteföretaget verkade seriöst och kanske redan hade bra referenser från andra kända varumärken.
Helt plötsligt uppdagas det att tjänsteföretaget blivit "hackat" och att känslig personlig information kan ha läckt ut för tusentals användare och att det varit möjligt att avlyssna deras trafik under en tid.

• Hur kan detta hända?
  Det är svårt att skapa "säkra" webbtjänster, programmeringen måste vara mycket disciplinerad och utvecklarna måste vara välutbildade i säker applikationsutveckling. Sedan upptäckts hela tiden sårbarheten i operativsystem, webbservrar m.m. som kan utnyttjas för intrång. Det behövs  en mycket aktiv förvaltning för att hantera dessa sårbarheten.
  Sedan finns det också en ovana och kanske okunskap om hur man ställer säkerhetskrav på tjänsteleverantörer och ofta, om sådana krav trots allt ställs, en ointresse från tjänsteleverantören att avtal om detta.

• Vilka drabbas?
  Först och främst de som får sina personliga uppgifter exponerade och kanske utnyttjade. Sedan kan förtroendet för de som i god tro köpt tjänsterna. Varumärkesskadan kan bli omfattande.
  
• Varför uppdagas liknande gång på gång?
  Säkra webbtjänster är inte enkla att skapa. Många utvecklare kan skapa funktionella tjänster, få av dem klarar också av att utveckla säkra tjänster. Här ligger nog problemet. Det är lätt att hitta utvecklare som snabbt och billigt tar fram bra funktion. Sedan är "time to market" viktigt för att snabb skapa ett kassaflöde i tjänsteföretaget. Säkerheten blir då medvetet eller omedvetet eftersatt, det finns inga pengar i att satsa på säkerhet. Så länge det går bra flödar pengarna in och genom tjänsteföretaget. Ofta är det ganska litet kapital bundet i företaget så skulle det värsta hända så kan man ta en konkurs och starta om med nytt namn.
  Det kommersiella värdet är helt enkelt högre för en osäker tjänst.
  
• Hur kan man då som köpare av webbtjänster minska risken att bli "hackad", förlora kunder och användares förtroende och i värsta fall sin verksamhet?
  I första hand ställa krav på tjänsteleverantören, att kontraktera skadestånd om tjänsten blir hackad. Vidare skall krav på leverantören att ha standardiserade processer för säkerhet t.ex. enligt IEC/ISO 27001. Att man följer de rekommendationer som organisationen OWASP ger för säkra webbapplikationer. Hanterar tjänsten personuppgifter så skall också ett personuppgiftsbiträdesavtal tecknas. När man kommit så här lång med sin tjänsteleverantör så inser man att priset förmodligen blir mycket högre än vad konkurrenten tar för samma funktion. Men vad kan en osäker webbtjänst kosta din verksamhet i slutändan?

"Colossal Cave Computer Center" eller grottan som var grunden till internet i Sverige

I den här bloggposten kommer jag inte att beskriva nutid eller göra framtidsspaningar utan gå tillbaks till något som nog har varit avgörande för att Sverige skulle få en ledande roll för internets utveckling.
Jag hittade för några dagar sedan ett exemplar av Digital Equipments svenska kundtidning från juni 1989. Tidningen har en artikel om Peter Löthberg och datorföreningen Stacken på KTH men främst är det ett reportage om Peters datorhall; "Colossal Cave Computer Center" (CCCC) på Torkel Knutssonsgatan i Stockholm.

Själv var jag bara "hangaround" i detta sammanhang, jag saknade tid och fokus för att aktivt kunna delta men jag förstod att det här var stort. Det visade sig också att det blev än större, i denna källare skedde en informell kompetensutveckling som medförde att det fanns en grupp av mycket färgstarka och självständiga personer som var redo att snabbt bygga upp internet i Sverige på ett sätt som få länder lyckats med. Vad som hände efter CCCC beskrivs väl i boken "De byggde Internet i Sverige", läsning rekommenderas. 

Artikeln från "Aktuellt från Digital"

"Peak Internet"

Trendspaning -- “Peak Internet” 

“Peak Internet” travesterar “Peak Oil” som är ett begrepp som syftar på när jordens maximala oljeproduktion inträffar. “Peak Internet” är den tidpunkt när synen på Internets möjligheter och dess säkerhet går från optimistiskt till pessimistisk i användarnas ögon.

---

Jag hade en spaning för några år sedan med rubriken “The new era of trust” efter att ett antal “Certificate authoritys” (CA) hade blivit korrupta och de certifkat de delat ut blivit opålitliga. 

Spaningen byggde på att en en ny decentraliserad och stabilare infrastruktur behövde byggas upp som alternativ till klassisk PKI. 

Detta har dock inte skett, det gick relativt smärtfritt att spåra och rensa ut dåliga certifikat och stänga dåliga CA:s. Branschen läkte och liknande incidenter har därefter uteblivit.

Men det syns nya moln på himlen. Edward Snowden har under senaste året visat upp dokument som visar att stora delar av det vi ansett som säkert på Internet har varit medvetet manipulerat och därmed mera osäkert. Krypteringsalgoritmer med brister har förordats av vissa myndigheter, implementationer av säkra protokoll och krypton har visat sig ha bakdörrar som kan ha används för avlyssning. Förtroende för Internet (och berörda myndigheter) har sjunkit. 

Men något som nu gjort att tilltron till Internet har fått en ny och allvarligare knäck är “heartbleed-buggen”. Ett fel som funnits spridd i flera år i miljontals kopior på Internet och gett möjlighet till avlyssning av krypterad trafik.  De samlade skadorna av “heartbleed-buggen” har ännu ingen fått grepp om och så kommer det förmodligen att förbli. Alla ställen där felet finns kommer inte att rättas utan buggen kommer att gäcka oss och ge bristande förtroende för Internet under lååång tid framåt.

I detta ligger spaningen; förtroendet för Internet som bärare av “säkra” lösningar är skadat. Insikten om att ett mycket litet fel i en komponent (som dock finns i många miljoner kopior) kan förstöra förtroende för Internet innebär också en insikt i att det kan finnas fler, och att ytterligare kan komma utan att de upptäcks. Är detta en sanning så kommer inte Internet i nuvarande form kunna användas där säkerhetskraven är höga.  Nya tekniker och alternativa kanaler för information måste skapas innan vi kan fullfölja de visioner vi hittills haft för “nätet”.

Vi har därmed nått “Peak Internet” 

Men utvecklingen står inte stilla, vi måste börja om med mycket men vi vet mer så förutsättningarna att göra rätt är goda! 

Kvalitet kontra komplexitetens förbannelse

Jag har i ett tidigare blogginlägg spekulerat över bestående skador efter heartbleed-buggen. Forsätter här med en betraktelse om möjliga orsaker till att några få rader rader felaktig programkod kan få sådana följder, risken för att det kan komma fler och vad man möjligen kan göras för att förebygga dessa.

När Robin Seggelmann postade sin "patch" för OpenSSL den 30:e december 2011 fanns nog bara ett gott uppsåt. Men kvalitetsgranskningen av denna patch brast och "heartbleed-buggen" var ett faktum som sedan distribuerades med OpenSSL version 1.0.1 14:e mars 2012.

När man bygger något så förutsätter man att de ingående delarna eller komponenterna är felfria och har en förutsägbar (lång) livslängd. Fallerar någon del så riskeras helheten. Bilindustrin drabbas regelbundet av att någon bilmodell måste återkallas för att åtgärda felaktiga eller misstänkt felaktiga komponenter. Kostnaderna för detta och den ev. varumärkesskada kan bli mycket höga. Konsekvenserna är dock ofta kontrollerbara då bilbranschen har väl upparbetade distributionskanaler som gör det relativ enkelt att spåra de enskilda, misstänkta fordonen för att erbjuda felrättning. Om bilarna skulle förbli oåtgärdade finns risken för olyckor och incidenter där oskyldiga och ovetande kan bli skadade.

När man bygger IT-system använder man oftast ett stort antal fria eller kommersiella komponenter och förutsätter att de fungerar exakt som deras specifikationer beskriver. Hur kvalitetssäkringen av dessa görs är oftast helt okänd för de som inkluderar dem i sina produkter. Ju fler komponenter av okänd kvalitet som används ju större är risken att bygger en bristfällig slutprodukt.
Man bygger alltså in en risk för att produkten beter sig felaktigt och kanske farligt i vissa situationer.

Bygger man sedan samverkande system av produkter som innehåller okända komponenter ökar riskerna ytterligare för att helheten kommer att bete sig mycket oförutsett och att felsökning av sådant beteende blir svårt och felrättning kanske blir helt omöjligt.

Ytterligare en risk med att bygga komplexa system är att de som designar dem inte bara litar på att komponenter och produkter beter sig enligt specifikation utan att de också designar lösningar som i sig är så komplexa så att, även om de byggs av felfria komponenter,  de kommer få, till en del, oförutsägbart beteende.

Jag kallar ovanstående komplexitetens förbannelse. Av människan byggda system kan snabbt nå en komplexitet som inte längre kan förstås av människor, kanske inte ens av upphovsmännen.

Hur klarar vi då en framtid med dessa dystra förutsägelse?

Det som är enkelt att säga och svårt att leva efter är uttryck som "Keep it simple, stupid" (K.I.S.S.)" eller mitt eget motto; "ju enklare desto bättre".

I verkligheten är det väl snarast att man måste säkra kvaliteten i varje utvecklingssteg och för varje, koncept, arkitektur, komponent, produkt och slutligen det kompletta systemet.

För att säkra kvaliteten gäller först att med bra metoder och kunskap undvika att bygga in fel, nästa är att testa och då inte bara att det önskade beteende uppfylls utan också testa att inget oönskat kan ske.

När så en liten komponent som OpenSSL kan få hela internets trovärdighet i gungning så beror det på "komplexitetens förbannelse"!

Heartbleed-buggen och internets förlorade trovärdighet.

En av de små komponenterna som bygger internet är OpenSSL. OpenSSL är en implementation av internetprotokollet SSL/TLS (IETF/RFC6101) som hanterar hur man sätter upp en krypterad förbindelse mellan två datorer. OpenSSL tillhandahåller också ett antal verktyg för kryptering och framtagning av krypteringsnycklar och certifikat.

OpenSSL är en produkt som de senaste dagarna kommit i rampljuset från att vara något som bara IT-folk känt till. Orsaken till att exponeringen är den s.k. heartbleed-buggen som nu blivit känd och som framställts som ett av de största hoten hittills på internet.

Jag kommer här inte att beskriven buggen eller vilka åtgärder som nu krävs för säkra sina miljöer utan fokusera på möjliga konsekvenser i ett macroperspektiv.

Buggen innebär att information kan läcka från drabbade serverar, information som kan vara känslig och hemlig. OpenSSL är sig en liten komponent men den finns spridd i kanske 100-tals miljoner kopior, många av dessa kan vara inkluderade i produkter som mobiltelefoner, routrar och brandväggar, produkter som kan sakna support eller där det inte är tydligt att OpenSSL ingår. Åtgärder pågår för att reparera felen där de är kända men sannolikt kommer många installationer att bli bortglömda och därmed vara ett fortsatt hot. Det spekuleras mycket om hur mycket information som läckt under de två år buggen har funnit. Svaret på detta finns inte och kommer nog förbli obesvarat.

Vi är nu i ett tillstånd som liknar det som var inför sekelskiftet och den s.k. millenniebuggen. Före sekelskiftet hade man dålig kontroll på hur mycket av världens programvara som inte var förberedd det nya seklet och de konsekvenser som dessa brister skulle kunna medföra. Stora projekt för att granska system och program startades, mycket rättades men ingen visste hur mycket som skulle fallera 2000-01-01. Allt nog, det mesta gick bra, dels var farorna kanske överdrivna men också den metodiska ansatsen att faktiskt göra så mycket som möjlighet för att förbygga problem bidrog nog till att det gick bra.

Vi är nu i ett liknande läge, vi vet inte alls hur många ställen som den dåliga koden finns, vi får leta och rätta men till skillnad mot millenniebuggen kommer inget tillfälle då vi vet att det gått bra. Det kan när som helst i framtiden komma fram information som läckt från tidigare trasiga system eller sådana som ännu inte reparerats. Information som kan komma att användas i onda syften.

Fungerade, pålitligt kryptering är en förutsättning för många tjänster på internet. Vi behöver det för att säkert kunna identifiera oss på nätet, vi behöver det för att veta att ingen manipulerar eller tar del av de data vi utväxlar på nätet. Kryptering är nödvändigt för att hantera banktjänster på nätet, att kunna överföra privat eller sekretessbelagd information m.m.

En stark trend för närvarande är s.k. "identitetsfederationer" där det förutsätts fullt förtroende för övriga parter och att dessa inte har några brister i sin system. Skulle någon medlem i federation ha fel i sina kryptosystem t.ex. p.g.a heartbleed-buggen så kan förtroende för hela federationen ifrågasättas.

Heartbleed-buggen har dessutom spräckt en myt. Att open-source gör det möjligt för var och en att granska säkerhet i koden. Det är sant men tyvärr verkar det som de flesta förväntar sig att "någon annan" granskar och dessutom i ärligt uppsåt återrapporterar ev. brister. Detta har dock inte skett på två år...

Frågan är hur många andra, för internet viktiga "komponenter" som har allvarliga brister? Man kan nu med rätta ifrågasätta om det som setts som säkert på internet verkligen är säkert och trovärdigt? 

Så arbetet med att spåra och rätta alla ställen där heartbleed-buggen kan finnas måste fortgå. Ny teknik måste förmodligen också fram för att framtidssäkra internet så att vi åter kan få förtroende.
Tillsvidare bör man vara mycket försiktig användning av internet när höga krav på sekretess och riktighet som t.ex. kontakter med media där meddelarskyddet är viktigt, patientjournaler på nätet, allmänna val, vissa ekonomiska transaktioner m.m.

Okrypterade meddelanden på internet jämförs ofta med vykort (som kan läsas av brevbäraren). Krypterade meddelande är kanske som kuverterade brev men det kan ändå vara många som kan öppna och tjuvläsa dessa...

---

Heartbleed-buggen och OpenSSL

De senaste dagarna har det skrivits om det största hotet genom tiderna på internet och att vi alla kan vara drabbade.

Vad har då hänt?
När du besöker en ”säker” webbplats och ser hänglåssymbolen i webbläsaren kopplas du upp via en säker, krypterad kanal till servern så att ingen kan avlyssna det som skickas, t.ex. dina lösenord. Det som upptäckts nu är den s.k. Heartbleed-buggen i krypteringsprogramvaran OpenSSL. Den felaktiga versionen av OpenSSL används av många men långt ifrån alla servrar på internet. Buggen möjliggör att obehöriga kan koppla upp sig mot säkrade servrar och tjuvlyssna på den krypterade trafiken och ev. då hitta lösenord och annan känslig information.
Buggen har funnits sedan mars 2012 men varit okänd eller i varje fall inte offentliggjord förrän 8:e april 2014. Detta gör att det är svårt att säga om någon information har läckts under tiden. När det nu är känt kommer förmodligen många, av olika skäl, att försöka avlyssna krypterad internettrafik varför åtgärder mot detta måste tas omgående. Ägare av servrar på internet har eller håller förhoppningsvis på med att rätta felen enligt de anvisningar som tagits fram. Men även användare bör byta lösenord så snart servrarna är rättade. Det vore därför lämpligt att webbplatser som gjort sina rättningar också visar det på sina hemsidor och uppmanar användare att byta lösenord.

Användbarhetstester och Taylorism

När jag var liten (60-tal) fanns inom verkstadsindustrierna en av industriarbetarna ofta illa ansedd yrkesgrupp benämnd tidsstudiemän. Deras attribut var ofta den grå lagerrocken med Pocket protector, skrivplatta med stoppur och deras lära var Taylorism. En av tidsstudiemän vanligt använd metod var MTM (Methods-Time Measurement) vars mål var att optimera repetitiva arbetsprocesser inom industrin. Man bröt ner processerna i korta men mätbara moment och mätte tid för dessa. Momenten kunde vara; hämta skruv från låda A, passa in skruv i hål B på arbetsstycke C o.s.v. Under tiden kontrollerades om det fanns några onödiga rörelser som t.ex. kunde elimineras genom att t.ex. ändra placeringen av låda A. Att tidsstudiemännen ofta var illa sedda var förmodligen kopplat till att de störde yrkesstoltheten hos de "studerade" och att dessa blev lättare utbytbara när processerna blev nedtecknade.

Nog om historia nu. Jag kom att tänka på detta i samband med användbarhetstester av IT-system. Ofta sker användbarhetstester mot enstaka IT-system för att validera systemets specifikationer, sällan kopplat till de arbetsprocesser som systemen kan vara en del av. Min idé (som kanske finns förverkligad som metod men som jag i så fall är okunnig om) är att tänka lite MTM vid krav och tester av IT-system som är del i arbetsprocesser bland flera andra IT-system och alla icke-IT delar i arbetsprocessen. Det enskilda IT-systemet kanske inte uppvisar några hinder för att användaren skall kunna göra ett bra arbete men i den totala arbetssituationen kan systemet upplevas som mycket ovänligt. T.ex. upprepade in och utloggningar i olika system, möjligheter att klippa/klistra mellan systemen, olika GUI och kortkommandon m.m. påverkar arbetssituationen påtagligt.
Idéerna med MTM och Taylorismen skulle här inte användas för att ifrågasätta användarna utan för att kunna ställa rätt krav vid upphandling och utveckling av IT-system som ingår i större arbetsprocesser och för validering/användbarhetstester av hela processer.

Användbarhetstester bör utgå från användarens arbetsdag och arbetssituation, inte det enskilda IT-systemet "användbarhet"

Kvalitet i projekt

Den här texten berör i princip allt man förädlar för att sedan lämna i från sig men jag har valt att lägga fokus på projektperspektiv och för projektledarrollen.

Som projektledare har man ansvaret för att leverera ett resultat som motsvarar specifikationerna inom överenskommen tidsplan och med de resurser man tilldelats. D.v.s. allt mätbart man kommit överens om med uppdragsgivaren. Men allt är inte mätbart. Mycket av den kvalitet man upplever är subjektiv.

En kvalitetsaspekt är en produkts användbarhet. Användbarhet är svårt att definiera och även finna vad som ger en god användarupplevelse. Men varje person som kommer att använda den kommer snabbt till klarhet i om den är användbar och bra.

Mycket av den icke mätbara kvaliteten kommer från yrkeskunnande, erfarenhet och engagemang hos den eller de som tar fram produkten. Att de som utvecklar produkten dessutom måste förstå hur den skall användas och i vilken kontext är en förutsättning för att nå förväntad kvalitet d.v.s. utöver det som är mätbart.

De som har yrkeskunnande och erfarenhet vet när de tvingas lämna i från sig något som riskerar att ha dålig kvalitet, brister som kanske upptäcks långt senare när leveransen är gjord och projektet upplöst.

Men...

Har beställaren allt för stort fokus på specificerade mål och det samtidigt uppstår problem i projektet kan projektledaren pressas att bara tillgodose specifikationen och bortse från de subjektiva kvalitetsönskemålen och därmed det yrkeskunnande och den erfarenhet som finns i projektet..

Jag tror att ovanstående är orsak till många av de dåliga och svåranvända produkter vi har i vår omgivning, att kvalitéer som inte är mätbara utelämnas, med- eller omedvetet, i leveranser.

Hotet mot kvalitet är management i allt för rigida former, har inte beställaren förståelse för subjektiv kvalitet och reserverar resurser för detta kommer leveransen också sakna kvalitéer. En ödmjuk (men kompetent) beställare kan nå mycket längre. Förtroende för yrkeskunnande och yrkesstolthet är en förutsättning. Egenskaper som inte kan ersättas med metoder.

Big Data - Hur BIG kan det bli?

“Big Data” är hype men hur stor kan det bli? Vilka kommer att tjäna pengar på detta?

“Big Data” är ett ganska nytt begrepp för att utvinna och härleda information ur stora datamängder. Tidigare har begreppet “data mining” används för att beskriva detta. Men “data mining” har oftast varit kopplad till att analysera det data man “råkar” ha, inte som man mer strategiskt samlat in för att kunna göra bättre analyser.

Om vi tar upp perspektivet leverantör-kund så kan man med “data mining” hitta mönster i vad kunder har köpt och vad potentiella kunder har frågat efter eller vilket mönster de haft när de besökt din hemsida. Du kan med detta underlag kan du anpassa ditt erbjudande.

Men...

Du har svårt att av de data du har tillgång till lära känna din kund utöver den relation ni har. Vilka konkurrerar du med om kundens gunst? Hur är kundens förhållande till dessa? Vad har kunden för andra intressen och hur kan dessa korsa dina? Detta har du svårt att veta utifrån de data kunden lämnat hos dig och din analys blir svår.

Men vilka kan göra en bättre analys om dina kunder än du själv kan? Jo de som vet mer om dina kunder än du själv vet. De som kan se relationen från båda sidor har ett klart övertag. Idag är det få aktörer som är stora på detta, främst är det  Google, Facebook, välfungerande underrättelsetjänster m.f. som sitter på mycket mer data än vad du själv kan samla in. Förmodligen kommer det snart gå att köpa analyser från flera av dessa gigantiska datalager men att köpa obearbetade data för egna analyser blir nog svårare.

Min slutsats är att Big Data bara blir BIG för de allra största.

Det kostar att ha otur när man tänker

Systemutveckling i sammanhanget utveckling av IT-system härrör sig (förhoppningsvis) från en intention i att utveckla någon form av verksamhet m.h.a. IT så att den upplevs bättre. Bättre lönsamhet, effektivitet, produktivitet, miljömässigt eller arbetsmiljömässigt eller anpassning till yttre krav. Intentionen bör vara uttalad och följa genom de projekt som startas.

Utöver projektens mål d.v.s. en formaliserad beskrivning av intentionerna sätts också ramar upp för de projekt som startas. Ramarna består ofta av en tidsplan, med eller utan delmål,  och en beskrivning vilka resurser som projektet får tilldelat.

Ett övergripande sätt att beskriva de steg ett utvecklingsprojekt för verksamheten kan vara:

Ursprunglig verksamhet                        Förändrad verksamhet

Idé--> Design--> Kodning--> Integration--> Leverans--> Förvaltning

Vad som är känt är att ju tidigare ett tankefel introduceras (som inte ifrågasätts och åtgärdas löpande) i projektet ju högre blir kostnaden för att åtgärda felet.

Konceptuella fel, designfel eller kodbuggar beror på “den mänskliga faktorn”, någon har haft otur i sitt tänkande.

För att fånga fel används tester och metoder för test utvecklas löpande. Men... avståndet i tid mellan att ett fel introduceras tills att det upptäcks med hjälp av tester kan vara ganska lång.

Etablerade testmetoder hanterar i huvudsak den kod som levereras i samband med leverans av delar eller hela systemet.

Designfel kanske inte upptäcks förrän integrations- eller leveranstester görs. Idéfel kanske upptäcks först i förvaltningsfasen. Ett designfel kan resultera i ett misslyckat och bortkastat projekt även om alla har gjort ett perfekt arbete i projektets senare skeden.

Ett “perfekt genomfört” projekt kan också betraktas som misslyckat om det inte genererar verksamhetsnytta. Har bakomliggande idé varit dåligt genomarbetad kommer projektet inte att generera förväntad nytta.

Det gäller alltså att så snabbt som möjligt fånga resultatet av de tankefel som de inblandade orsakar och övriga risker som föreligger så att bra beslut kan tas löpande i projekten. För att göra detta behövs bättre metoder för kvalitetssäkring av projektens tidiga faser.

Kvalitetssäkrar man inte alla projektsteg med korta loopar kan “otur när man tänker” bli dyrt.

Riskanalys och agil systemutveckling

• Beslut i projekt skall vara medvetna
• Beslut i projekt tas dagligen
• Beslut skall bygga på bästa möjliga underlag

Beslut tas för att nå ett mål. Vägen till målet kan vara omgiven av risker som kan störa möjligheten att uppnå förväntade mål. För att kunna göra en realistisk bedömning av hur svårt det är att nå målet används riskanalys som ett verktyg. Riskanalys bygger på att använda den kunskap man har till förfogande till att bedöma sannolikheten för störningar och ev. konsekvenser av dessa störningar.

I projekt är det oftast ett krav att man gör en riskanalys innan man påbörjar arbetet. Skulle riskerna bedömmas som stora kan det resultera i att projektet stoppas eller att målformuleringen ändras. Även delprojekt eller specifika egenskaper kan bli föremål för riskanalyser. Men ...oftast sker riskanalyser enbart vid projektstart, tyvärr, för under ett projekt ökar kunskapen kontinuerligt om dess risker och hur dessa kan förebyggas. En riskanalys som görs en tid efter projektstart kan peka åt ett helt annat håll än den ursprungliga och kvaliteten på förutsägelserna är troligen högre.

Agil systemutveckling bygger på en medvetenhet om att allt i en systemutvecklingsprocess inte kan förutses och därmed inte fullt specificeras inför genomförande. Det mesta, utom de övergripande målen, kan behöva förändras i arbetet. Besluten inom projekten kommer därmed att bli större och viktigare varför det också är viktigt att man har bästa och färskaste underlag för dessa beslut, inklusive en riskanalys som stöd.

Kontentan av ovanstående är att inför en beslutspunkt skall finnans en aktuell riskanalys som underlag för ett bra beslut. Att sammakalla till en riskanalysseans inför varje beslut är förmodligen ogörligt. Finns det däremot verktyg för att för att kontinuerligt samla in och värdera risker i form av sannolikhet och konsekvens skulle kvaliteten på del löpande besluten kunna öka.

Mitt mål är alltså att hitta eller skapa en process för löpande analys av risk så att man vid varje beslutstillfälle har bästa möjliga underlag.