God it-sikkerhed kan i dag ikke kun opnås, ved beskytte sine systemer med høje mure (perimetersikkerhed). Faktum er, at en virksomheds interne systemer bliver åbnet, når medarbejderne bevæger sig ud af systemerne, ved eks. at tjekke mails på deres smartphones. Et andet element, der åbner systemerne, er den øgede brug af cloud computing.
Der er derfor behov for at videreudvikle it-sikkerheden, så den i højere grad imødekommer disse udfordringer. Samtidig er det nødvendigt at tænke sikkerhed og privatlivsbeskyttelse ind fra starten af løsningsdesignet - at lave forebyggende sikkerhed.
I dette diskussionspapir om nye digitale sikkerhedsmodeller, tages der en første diskussion af, hvordan man kan udforme en sikkerhedsmodel med stærk privatlivsbeskyttelse samt muligheden for at rykke data ud i skyen. Med de nye teknologier åbnes der op for helt nye tjenester og løsninger, som ikke har været mulige tidligere.
Dikussionspapiret beskriver de grundlæggende elementer i en ny sikkerhedsmodel der:
- Giver sikkerhed for alle parter i en transaktion (herunder brugerne).
- Dekobler data fra brugernes fysiske identitet.
- Er baseret på kontekstafhængige akkreditiver og transaktionsisolering
- Går fra et identifikationsbaseret paradigme til et valideringsorienteret paradigme.
Her på digitaliser.dk vil vi starte en debat om nogle af de spørgsmål, der knytter sig til de nye sikkerhedsmodeller. Vi opfordrer jer til at bruge kommentarfelterne nedenfor til at diskutere disse eller andre spørgsmål:
1. Er de nye sikkerhedsmodeller reelt bedre?
- Er der behov for at videreudvikle digitale sikkerhedsmodeller i den retning, som er skitseret i dette papir.
- Er sikkerhedsmodellerne, som beskrevet i dette papir sikre og fleksible nok?
2. Hvordan kommer vi til den nye model – hvilke udfordringer er der?
- Hvilke praktiske udfordringer er der for at iværksætte nye sikkerhedsmodeller?
- Hvad er det for en holdning, der skal gøres op med for at komme i gang med nye sikkerhedsmodeller?
3. Hvor kan den nye model iværksættes enkelt?
- Kan nogen af de principper der er præsenteret i dette papir eksempelvis implementeres i mindre skala?
- Hvilke områder vil det være relevant at anvende de nye sikkerhedsmodeller på?
- Hvordan designes applikationer, så de er forberedt på den nye sikkerhedsmodel?
4. Hvad kræver de nye sikkerhedsmodeller af brugerne?
- De nye sikkerhedsmodeller kan i visse tilfælde forudsætte, at brugeren (eller rettere dennes klient) skal administrere en række nøgler til forskellige tjenester og services. Stilles der for høje krav til brugernes kompetencer til at indgå i interaktionen med applikationen samt træffe valg?
- Det kræver også, at brugerne aktivt tager stilling til, hvilke oplysninger brugeren ønsker at videregive til forskellige services og tjenester. Er det noget, den gennemsnitlige danske bruger vil interessere sig for?
5. Hvilke nye løsninger kan du forestille dig?
For mere information kontakt Morten Jørsum på: mojo@itst.dk
Nedenstående film giver et kort eksempel på hvordan man kan benytte de nye sikkerhedsmodeller:
Filer og referencer