ISACA Sweden Chapter

Nyhet – nej, bekymmersamt – nej

Professor Erlands Jonsson (Chalmers) var i CSO Sweden nyligen under rubriken “Omöjligt mäta säkerhet“. Vad Erland egentligen sa var att det inte finns, eller kommer finnas inom överskådlig framtid, ett (1)  heltäckande mått som fångar hela begreppet säkerhet. En åsikt som framhävs som kontroversiell i artikeln. Men det är den inte. Man har varit tämligen överens om detta sedan millennieskiftet, åtminstone i akademiska kretsar. Det är tex en av slutsatserna från denna workshop.

Det spelar ju inte heller så stor roll i praktiken. Det finns ganska mycket i vår värld som vi inte lyckats fånga i ett enda heltäckande mått. Hälsa till exempel. Precis som alla har en känsla för vad som god hälsa och vad som är sämre hälsa kan man ha en känsla för om ett system har god säkerhet eller inte. Men begreppet hälsa har man vridit och vänt på sedan de gamla grekernas tid. Precis som för säkerhet finns det olika definitioner av vad begreppet innebär och det finns inte ett heltäckande mått som fångar hela begreppet.

Det finns dock etablerade, beprövade och validerade sätt att mäta om man är vid god hälsa eller inte (den medicinska vetenskapen är ju förhållandevis mogen). Olika typer av blodanalys kan till exempel göras för att hitta hälsoproblem. Det finns sätt att mäta säkerhet (eller avsaknaden av den) också. Den stora skillnaden är hur validerade och etablerade och beprövade dessa mätmetoder är. Det är här man ska bli bekymrad.

Erland har handlett en doktorand vid namn Vilhelm Verendel som tittat på just valideringen av metoder för att mäta säkerhet.  Vilhelm har undersökt hur mätmetoder publicerade mellan 1981 och 2008 har validerats. Från 140 artiklar om säkerhetsmätning valde Vilhelm ut de 90 mest intressanta (radundanta togs bort osv). Sen letade han efter hur dessa hade validerats. Bara för en handfull metoder hade försök till validering gjorts i operationell miljö med empirisk data. För merparten består valideringen av ett fiktivt exempel eller liknande.

Efter sin licentiatavhandling bytte Vilhelm forskningsområde. Men artikeln artikel är läsvärd, den finns här och här. Man kan också låna hans licentiatavhandling.

Själv tycker jag att man kan ta avsaknaden av ett enda heltäckande mått på säkerhet med ro. På samma sätt som vi kan leva utan ett (1) endaste mått på hälsa klarar vi oss utan ett på säkerhet. Men man bör nog fundera på vad man egentligen mäter, vad dessa mätningar egentligen indikerar, och hur säker man är på det.

/Teodor  Somemstad (FoU) (KTH)