Årsmelding 1996
Årsakene til dette kan være at:
Vi har oppdaget at elektronisk kommunikasjon er en effektiv måte å kommunisere på, både når det gjelder å sende informasjon til spesielle grupper eller personer og å hente inn informasjon som skal være allment tilgjengelig.
Tilkobling til Internett gir gode muligheter for å profilere seg gjennom å opprette såkalte hjemmesider.
Det er mulig å drive kjøp og salg og tilby andre tjenester via de globale nettverkene.
Internasjonal handel er blitt avhengig av de globale datanettverkene for overføring av økonomiske data og gjennomføringen av økonomiske transaksjoner. Det er i dag vanskelig å tenke seg hvordan valuta- og børshandel ville fungere uten bruk av elektronisk kommunikasjon.
Kommunikasjonsprotokoll
De fleste av de store åpne nettene som etableres i dag, baseres på kommunikasjonsprotokollen TCP
IP. Protokollen benyttes også på Internett. Dette gjør at disse nettverkene kan bruke den samme teknologien som brukes på Internett, og at nettverkene ganske enkelt kan kobles til Internett. Interne nettverk med TCP/IP- protokoll kalles ofte Intranett.
Intranett velges oftere og oftere som intern kommunikasjonsløsning.
Store nettverk i Norge
I Norge finnes det mengder av store nettverk, som for eksempel de bedriftsinterne nettverkene til Statoil og Kværner, som dekker hele verden. Det finnes sektorvise nett som dekker hele landet. Eksempler er nettverkene til skatteetaten, rikstrygdeverket og toll- og avgiftsdirektoratet. Departementene har sitt nettverk, hvor fylkesmenn og de øvrige sentrale forvaltningsorganene er tilknyttet. Det planlegges også sektornett for helsevesenet og kommunene. Det disse nettene gjerne har felles er at de bygger på den samme teknologien og at de ved enkle håndgrep kan kobles sammen til ett stort nettverk.
Trusler
Ved å koble et tidligere lukket nett til et åpent nett, får en større brukergruppe en potensiell mulighet til å få tak i informasjonen som befinner seg på det tidligere lukkede nettet.
Dette er gjerne informasjon som ikke er ment å være offentlig. Det kan dreie seg om bedriftshemmeligheter eller personinformasjon. Dersom Statoils oljeletingsresultater eller Hafslund Nycomeds forskningsresultater lå ubeskyttet på nettet og informasjonen ble kjent for deres konkurrenter, kunne dette bidra til å skape meget uønskede situasjoner for bedriftene.
Dersom det skal foretas en kobling til åpent nett, må koblingen sikres slik at uvedkommende ikke får tilgang til intern informasjon de ikke skal ha tak i. I dag foregår det organisert industrispionasje via de åpne nettene. Også etterretningsorganisasjonene er aktive på nettene.
Informasjon som kommuniseres i klartekst over nettet, kan avlyttes. Blir bedriftshemmeligheter sendt over nettet, må man nesten regne med at konkurrentene kan få tilgang til opplysningene. Det er enkelt å samle informasjon om all kommunikasjon en person eller en organisasjon deltar i og å bruke eller misbruke denne informasjonen.
Nettbruk gir muligheter for overvåking av andre mennesker. Muligheten finnes også på arbeidsplassen. Aktivitetene på nettet logges og loggene gir en fullstendig oversikt over hva som er gjort i edb-systemet. Enkelte arbeidsgivere kan ha ønske om å bruke denne informasjonen for å kartlegge arbeidstakernes effektivitet. Dette er ikke tillatt. Dersom arbeidsgiver skal kunne kontrollere arbeidstakers bevegelser på nettet, må dette avtales helt spesielt mellom partene i arbeidslivet.
Dersom en person eller organisasjon blir "avhengig" av tilgangen til nettet, er de sårbare for "denial of service "- angrep. Dette et angrep som ved å generere stor trafikk gjør nettet utilgjengelig for personen eller organisasjonen. Brukerens kommunikasjon blir satt ut av funksjon. Flere Internettleverandører har kommet opp i denne situasjonen og nesten gått konkurs etter slike angrep.
Manipulering av informasjon som går over nettet er også mulig. Ved å legge til noen nuller ved en overføring av pengesummer er det fort gjort å bli rik på en uhederlig måte.
Et stort problem er at utviklingen går så raskt at det ikke er mulig å følge den opp. For å overleve på et presset marked sender enkelte programvareleverandører ut programvare som ikke er kvalitetssikret eller som har feil. Dette fører til at det kan oppstå "sikkerhetshull" som uhederlige personer kan utnytte. Vi har sett dette blant annet i løsninger for betalingsformidling på Internett. Sikkerhetsløsninger for Internett og andre globale nettverk bør gjennomgås av et sertifiseringsorgan som kan kontrollere og sikre kvaliteten på produktet som tilbys.
Datatilsynets rolle
Datatilsynet ønsker å bidra til at personinformasjon sikres best mulig, også når opplysningene er på nett. Dette var bakgrunnen for at Datatilsynet i 1995 ikke fant å kunne godkjenne at Haukeland sykehus koblet sitt interne sykehusnett opp mot Internett via en brannmur. Sikkerhetsløsningen som sykehuset da la fram dokumenterte ikke godt nok at pasientenes helseopplysninger ville være sikret på en betryggende måte.
Datatilsynet fokuserte på at brannmurteknologien var ny og uprøvd og at løsningene bør prøves ut i andre omgivelser før tilkoblingen tillates for så sensitiv informasjon som pasientinformasjon er. Siden den gang har sykehusets dokumentasjon og sikring blitt vesentlig bedre. Da Haukeland sykehus anket saken ble Datatilsynets vedtak omgjort av Justisdepartementet i desember 1996, slik at sykehuset nå kan koble det interne edb-systemet til Internett med brannmur som sikkerhetsløsning.
Datatilsynet har utarbeidet generelle retningslinjer for "Sikkerhetsregulering av delte edb-systemer". Retningslinjene danner grunnlaget for den sikkerheten en organisasjon som behandler sensitive personopplysninger må ha før den kobler seg på et åpent, ekstern nettverk.
Det arbeides også med å utvikle retningslinjer for sikkerheten ved tilkobling til Internett og et regelverk for sikker kommunikasjon av sensitive personopplysninger.
Informasjonen vil aldri være hundre prosent sikret når en organisasjon kobler seg til et åpent globalt nettverk. Datatilsynets retningslinjer bør likevel bidra til at opplysningene sikres best mulig når en kobling foretas. Retningslinjene vil blant annet inneholde krav om kryptering og bruk av sertifiserte produkter.
Informasjonsarbeid
Datatilsynet vil fortsette å drive aktivt informasjonsarbeid om hvilke muligheter for beskyttelse som finnes og om truslene en tilkobling til et åpent ekstern nettverk kan føre med seg.
Ved å informerer planleggere og de som er ansvarlige for å implementere nye nettverk, som for eksempel helsenettet og kommunenettet, kan Datatilsynet bidra til at sikkerhetsløsninger bygges inn i nettene fra første dag. Det vil gjøre bruk av nettene tryggere. Ved å bidra til at beslutningstakere tenker helhetlige sikkerhetsløsninger tidlig i planleggingsprosessen og ved å ligge i forkant av utviklingen, kan mange problemer unngås. Det bør ikke skapes unødvendige konflikter mellom hensynet til personvern og hensynet til effektive tekniske løsninger. Disse synspunktene har Datatilsynet diskutert i flere sammenhenger, blant annet i høringsuttalelsen til rapporten "Bit for bit" som Statssekretærutvalget for IT la fram i 1996.
Datatilsynet har ikke kapasitet til alene å kontrollere sikringen av personinformasjon ved tilkobling til åpne eksterne nettverk. Det er behov for et nasjonalt sertifiseringsorgan som kan sikre IT-produkter og systemer.
Framtiden krever sikkerhetsløsninger
Mer og mer informasjon vil bli tilgjengelig via ulike nettverksløsninger. Dette gjelder for eksempel store databaser som Brønnøysundregistrene, eiendomsregisteret, helseregistre og kanskje etterhvert kredittopplysningsbyråenes registre. En mengde registre vil bli gjort tilgjengelige - ikke for alle brukere, men for de som godkjennes. En stor utfordring ligger i det å holde alle de andre ute.
Økt kommunikasjon vil føre til utbygging av kapasiteten i de åpne nettverkene dersom ikke kommunikasjonen skal gå i stå. Alternative overføringskanaler vil dukke opp. Allerede i dag tilbyr enkelte leverandører tilgang til Internett via kabeltv-nettet.
En forutsetning for en fortsatt økning i bruk av åpne nett og framveksten av nye tjenester som krever betaling via Internett, er at sikkerheten blir ivaretatt. Flere brukerundersøkelser viser at sikkerhetsproblemene er det som holder potensielle brukere tilbake. Gjennomtenkte sikkerhetsløsninger vil kunne bli et konkurransefortrinn og gi økonomisk gevinst samtidig som personopplysninger ivaretas på best mulig måte.