It-risker

Förlegad fördom kvar i it-världen

Det är ingen hemlighet att Boxholm inte är centrumet för de mest slipade knivarna. Hissen går sällan hela vägen upp. Alla Indianer är inte i kanoten. Ljuset är på ? men ingen är hemma. Alla chips är inte i påsen? Ja ni förstår.

Jag bodde i tonåren några år i Mjölby och fick då inpräntat att invånarna i den mindre granntätorten Boxholm inte var lika smarta som vi. Några år senare gick ljuset upp för mig att det var på samma sätt som Linköpingbor såg på oss Mjölbybor. Och ironiskt nog som Boxholmsbor såg på invånarna i grannbyn Strålsnäs.

Ungefär samma resonemang finner jag ofta hos enskilda medarbetare på it-avdelningarna i Sverige när outsourcing till Indien kommer på tal: "de måste ha detaljerade instruktioner", "man får sju indier till priset av en svensk, men man får ju vad man betalar för", "de ifrågasätter aldrig och bara trycker in skit i koden".

Det som sammanfattar en svensk it-medarbetare med den attityden, är att de aldrig satt sin fot i Indien. Tiotusenkronorsfrågan är naturligtvis vad globala företag tycker om svenska it-medarbetare. Det jag har hört är: "jobbar långsamt", "förändringsobenägna", "fortutbildar sig inte direkt".

Allt för många outsourcar inte bara sin it utan även sina problem. Att kunna skriva tydliga projektplaner och instruktioner är grunden för ett lyckat it-projekt. Svensk - och även andra i-länders - it-industri missar runt 80 % av sina projekt (enligt ständigt återkommande studier och för den delen en och annan revision) då de drar ut på tiden, kostar mer, inte leverera kvalité etc. Att då kritisera it-kollegor i Indien känns främmande. Kanske bör vi titta på vad indierna får för instruktioner från oss?

Det finns dock många svenska it-medarbetare som med intresse, engagemang och vilja ser världen så global som den faktiskt är. Är du en av dessa - ta då mer plats och träng undan pessimisterna som nu dominerar debatten!

Jag är väl medveten om att det finns initiativ i Indien som inte gått enligt plan men jag har sett tillräckligt starka leveranser för att säga att jag är imponerad. Nu väntar jag dock med spänning på utvecklingen i Kina. För kineserna kan ju inte det här med it och de behöver alltid en jäkla massa instruktioner. Eller? Kanske dags för ett besök i Kina. Och Boxholm.

Företag missar affärer pga dålig infrastruktur

EUs it-kommissionär Viviane Reding menar att infrastrukturen för e-handel byggs ut för långsamt och att onlinehandeln går för trögt. Jag är villig att hålla med henne!

Leverantörer av e-handelslösningar växer i takt med det ökande antalet företag som vill sälja varor och tjänster online. Men vad många leverantörer inte lyckas med är att skapa lösningar som fungerar över landsgränserna och för mig som enskild konsument. För att ta ett exempel: Företaget X i Storbritannien säljer en T-shirt som jag vill ha, men köpet går inte igenom eftersom deras system inte kan verifiera mitt VISA-kort.

Hur kan det gå så långsamt? Resebranschen har i många år sålt resor till vem som helst hur som helst och det fungerar oftast alldeles utmärkt. Jag saknar proaktivitet i andra branscher och döläget mellan IT och att affärsverksamheten bryts.  

Sociala medier - risk vs affär

Idag är Facebook förbjudet på många arbetsplatser p.g.a. IT-säkerhetsrisker. Jag får aldrig frågor om Facebook från CIOer men däremot lite då och då från andra chefer utanför IT.

Hur stor är då risken med Facebook? Är risken större än risken att förlora kundkontakter? Låt mig förklara. Företag driver kampanjer kring personlig bankman Lotta, din fastighetsmäklare Johan, Sune är din kontakt för affärsresor etc etc. Skulle Lotta, Johan och Sune bli irriterade om deras kund sökte dem genom Facebook? Om så är fallet så borde de kanske söka annat jobb. För om du har din personliga bankman som Facebook vän ökar eller minskar sannolikheten att du är trogen honom/henne? Jag tror att du får trognare kunder och då bör IT kunna hantera risken.

Företagsledningar, ta reda på vad som gäller hos er, risk vs affär och fundera på hur ni kan få era medarbetare att ta ett steg till i relationsbyggande.

Gemensamma globala processer

I dagarna har en kund till oss fått direktiv att komma in med en lägesrapportering avseende globala processer. Datacenterchefen ska bl.a.svara på frågan om gemensamma processer och verktyg finns på plats så att ett datacenter kan täcka upp för ett annat. Själva tanken med datacenter i USA, Indien och Europa (t.ex.) är bl.a. att skydda sig för fysiska svårigheter i form av naturkatastrofer, krig och annat otrevligt.

När det blir skarpt läge så är det intressant att se hur det går med tanken att datacenters ska täcka upp för varandra. En hel del lyckas bra och de är glädjande. Dock finns det lite för många datacenters som tickar kostnadskronor utan att kunna uppvisa substantiell intern kontroll. Det känns konstigt att hålla igång några hundra indier, svenskar eller amerikanare utan att ha nytta av dem när det väl behövs.  

PCI standarden – hur långt är ett snöre?

Ja, så har det nu hänt. En företag som utfärdat och granskat ett PCI-intyg har blivit stämt.

Inte så konstigt i min mening. När de största revisionsföretagen väljer att inte utfärda PCI-intyg är det ett tecken på att något inte är som det ska med denna standard. För hur kan vi granska en standard när det inte finns något att revidera mot? Det är som att svara på frågan om hur långt ett snöre är. Två centimeter? Tre meter?

I grunden tror jag emellertid att PCI är bra för aktörerna (inkl. privatpersoner) på marknaden. Dock har införandet gått snett och i värsta fall kommer PCI tappa i förtroende och då är vi tillbaks på ruta ett. Det finns nu en möjlighet att tydliggöra vilka krav som ställs och göra det möjligt att revidera mot dessa krav. Notera att det inte är den tekniska delen av PCI-standarden som jag ifrågasätter. Här finns det, inte minst i Sverige ett par företag som är duktiga, utan det är den processorienterade delen.

Det är min förhoppning att stämningen inte ses som en enskild händelse utan som ett varningstecken på att en standard är illa ute.

http://en.wikipedia.org/wiki/Payment_card_industry

IT möter lågkonjunkturen

Året var 2005 och jag var på ett datacenter för att förbereda dem på revision avseende IT-risker.

På en whiteboard i korridoren stod det:

Förr                       Nu
Prästen                   Ekonomen
Kyrkan                    Börsen
Exekutionen            Revision
Alkohol                   Losec


Datacenterchefen höll sig för bröstet och suddade ursäktande ut texten. Jag var dock van vid att tala för döva öron avseende vikten av intern kontroll. Men de som faktiskt lyssnade då är i dag de företag som är mest framgångsrika i sin IT drift idag. De företagen har också städat ut de frifräsare i datahallarna som inte följer riktlinjer genom att helt sonika skickat dem på mindre viktiga uppdrag. Back to basic, back to Präster, Kyrkan, Misshandel (snällare översatt) och fylla. Där vi hittade frifräsarna från början helt enkelt.

En hel råttfarm i pizzan

Historierna om databrott, intrång, förlorad data och virusattacker slutar aldrig hagla. Kreativiteten i vad historierna kan innehålla är sjumila värre än vad mina kollegor på Skatterådgivningen någonsin kan komma upp med inför en CFO. Hur är det då? Vem har CFOs öra, skattechefen eller informationssäkerhetschefen?

Sök inte rövarhistorier från diverse säkerhetsföretag som av säkerhetsskäl inte kan avslöja vilket företag det var, ja de vill ju inte att det ska komma ut? Sök kalla fakta, skriv dem i ekonomiska termer och hämta sedan stålarna. Din CFO kommer inte att tveka in sekund inför rätt argument och rätt argument är inte att ett företag i USA fick en jäkla attack som slutade riktigt illa? Hur hade du själv agerat om någon ringde på dörren och skrek som en stucken gris att villabränderna går upp och det är nu dags att investera i en egen pumpstation eller varför inte en hel brandbil som kan stå på garageinfarten.

Heuuwr geööer vij nueh dåe?

Jag har några år i Östergötland bakom mig vilket märks när jag är trött och ibland i glada vänner lag. Orden är dock inte mina utan en kund som tittar på sin rådgivare. Rådgivaren är i detta fallet jag.

PTS skriver i sin Strategiska agenda för 2010: I takt med en ökad konkurrens på marknaden för elektronisk kommunikation finns en risk att enskilda operatörers investeringar i robusthet och säkerhet utöver en kommersiellt motiverad grundnivå, får stå tillbaka.
I en annan del av den strategiska agendan rapporterar PTS om stort nyttjande av deras tjänst, telepriskollen, som innebär att operatörna ställs mot varandra avseende två parametrar; pris och hastighet. Några poäng om säkerheten och robusthet tilldelas inte. Min förhoppning är att det är olika personer som skrivit dessa olika kapitel för då kan PTS samla sina trupper för gemensamma uttalanden. Jag gillar oftast PTS och du kan bara påverka genom att säga vad du tycker. Nu är rapporten ute på remiss:

http://www.pts.se/sv/Dokument/Remisser/2009/Remiss-av-rapporten-Strategisk-agenda-2010/

Made in China

Så var det dags igen. Kinesiska staten vill bevaka Internetanvändare och denna gång genom lagstiftning. Innebär detta att vi ska rekommendera svenska företag att isolera verksamheten i Kina ännu mer än idag? Stänga ner ännu fler accesser, installera fristående system och köra egen mailserver? Vad händer med den outsourcing av IT till Kina? Inom Ernst & Young är vi 7 000 medarbetare som jobbar med IT-revision och IT-risker. Nu är det dags att skapa en enad bild för att möta våra kunders frågor. Läs mer i en bra artikel som sammanfattar läget:

http://computersweden.idg.se/2.2683/1.234429/kina-tvingar-datortillverkare-att-installera-spionprogram

Rätt men riskfyllt

Många företag bygger upp datacenters utanför EU då det finns sköna slantar att spara.
Det är ett ganska omfattande jobb att sätta upp. Ett delprojekt består ofta i att se till att persondata inom EU inte exporteras utanför EU utan medgivande från berörd person.

Dock räknas det som export av persondata om en medarbetare på ett datacenter utanför EU kan koppla upp sig titta på persondata utan att hämta hem den.

Det här är en signifikant risk då hela tanken med datacenters är att de ska assistera varandra mellan centren. Vad värre är att många företag utgår från att export enbart är att skicka data (tanka hem) men i själva verket är det åtkomsten som sådan som regleras. Ganska naturligt vid närmare eftertanke för vem har inte skärmdumpat någon gång? Dock är det inte fullt lika naturligt då hela set-up-investeringen av persondata måste skrotas och ersättas med något annat. Dyrt som bara den och inte nog med det, har du t.ex. anställda eller kunder i Indien så har även Indien på gång en lagstiftnng som reglerar Indiska medborgares rättigheter.

Risken med marknadsekonomi...

.. är uppenbart överhängande om jag ska tolka mina kollegor som menar att operatörerna bör tvingas in i DNSSEC, dvs ett enligt dem säkrare sätt att skydda Internetanvändare från att bli omdirigerade till falska internetsidor. Må så vara men de riskerar också att bli avfärdade för att de inte förstår operatörernas marknadsläge.

För hur ska man annars tolka att endast 22% av världens operatörer (enligt European Network and Information Security Agency) valt att ansluta sig. Jo ren och skär marknadsekonomi med övervägda och kalkylerade risker. En risk operatören hellre tar än att risker att behöva höja priset på ditt 199:- bredbandsabonnemang.

En tid av omvändning

Hej igen,

Idag var jag på SIS (Swedish Standards Institute) årliga konferens Rätt Säkerhet och talade inför informaitonssäkerhetsbranschen. Förra året ställde jag lite frågor till publiken som löd:

1) Om ett företag skulle slarva bort personuppgifter om dig skulle du då vilja veta det?
 
2) IPRED - ja eller nej?

Förra året var det sisodär 40% av branschen som ansåg att man bör meddela om personuppgifter slarvas bort och runt 50% som var för IPRED. I år ansåg en klar majoritet att personuppgiftsslarv bör meddelas samt sisodär 98% mot IPRED. Nu hoppas jag att mina branschkollegor gör sin röst hörd i debatten. Själv är jag glad att branschen äntligen börjar bli human.

Vidare pratade vi lite om Datainspektionen och om den var tandlös eller ej. En man sa att det var inte mer medel som Dataínspektionen behöver utan snarare klarare mandat och riktlinjer. Huvudet på spiken.

(Och slutligen till mina konferensåhörare - kasta ut MS Word-dokumenten genom fönstret och skriv kontroller för implementering i processerna!)

Jäv i IT-branschen

Domaren i Pirat Bay-målet anses jävig av många och så kanske det är. Är så fallet, kommer han avsättas från sitt uppdrag. Men innan vi pekar finger på svenskt rättväsende, som har en lång tradition av att faktiskt pröva jäv, kanske vi ska fundera på hur det ser ut i IT-branschen? Om jäv skulle prövas här hur många skulle då "avsättas"?

Jag har sett:

1. IT-företag A är rådgivare per timme och rekommendera en   produkt de själva får kick back för. Först 100 000 kronor för konsultinsats och sedan 10 000 kronor i kick back. Vardagsmat i IT-bransch men kära bransch -  integritet kan ej köpas för pengar.
   
2. IT-konsultföretaget A har utrett varför en ERP-installation gick snett och kom sedan fram till att det var IT-konsulterna B:s fel och inte ERP leverantören. Det framgår vid närmare undersökning att IT-konsultföretaget A även har ett partneravtal med ERP-leverantören.
   
3. Ett stort IT-konsultbolag får uppdraget att installera ett ERP-system. Dessvärre är det två vakanser på projektledarstolarna vars uppgift är att företräda beställarrollen. Kunden frågar om IT-konsultbolaget kanske kan hjälpa till och visst kan de. Att sitta på två stolar innebär fler debiterade timmar, ökad kontroll och så får IT-konsultbolag B inte in en fot hos kunden. Integritet gott folk, integritet!

IT-branschen lyfter ofta fram att IT bör vara en lednings och styrelsefråga. Om nu IT vill ta steget in i finrummet så slut svära över jäviga domare, direktörer och konkurrenter som sysslar med rackarspel. Städa framför egen dörr först, om du har god hygien så kommer du att bjudas in i ledningen och styrelsen. Fram till dess så hoppas jag att jag att inte budbäraren av detta budskap blir skjuten(!)

Avdelningen för överdrivna risker

Just nu pumpas det ut white papers och pressmeddelanden att ?i lågkonjunkturen tar allt fler personer med sig data från företaget?. Må så vara, men risken för det är liten. Få anställda har information som kan skada sin f.d. arbetsgivare. De personer som arbetar på IT avdelningen har förvisso ibland på tok för höga och för många accesser. Det är dock svårt att veta vad som är imageskadande och eller säljbar information. Kort sagt; den främsta IT-risken är att accesser inte stängs av när medarbetare eller externa konsulter slutar. Företag måste ha 100 procent ordning på sin konsultlista och ett bra samarbete med HR ska vara ett krav. Nu vill jag inte se fler larm från it-företag som skrämmer företag till fel fokus!