Behov av styrning och kontroll (i positiv bemärkelse) framförs inte bara av säkerhetsprofeter och säkerhetschefer, utan även av it-chefer som har börjat intressera sig mer och mer.

Att användarna ska medvetandegöras om säkerhetsfrågor, utbildas och även tekniskt skyddas från att göra misstag har varit en okontroversiell åsikt en längre tid.

Mot denna bakgrund är det chockerande att läsa Gartners trendbeskrivning i artikeln ”Användarna tar över ”, CS 8/11 -06.
Slutsatserna och beskrivningarna från Gartner verkar slarvigt underbyggda och jag undrar varifrån och hur underlaget tas fram och hur åsikter inhämtas.

Den företagskultur som beskrivs är möjligen ett amerikanskt fenomen även om vissa tendenser kanske finns här också.

Vad som möjligen är intressant är att it-cheferna beskylls för att försöka skapa ordning och reda och inte säkerhetsfolket som vanligtvis brukar få skulden vid försök med standardiserade arbetsplatser och liknande.

Att ta upp universiteten som goda exempel på lösningar kan väl knappast vara något att rekommendera ur ett säkerhetsperspektiv heller. Det finns skäl till varför incidentarbetet där har så pass god resurstilldelning har jag förstått.

Steve Prentices uppfattning och naiva tro att ”användarna måste ta mer ansvar” skulle jag gärna vilja se i praktiken inom överskådlig tid. Det största skälet till att tekniska kontrollsystem har kommit fram är ju just motsatsen – användarna tänker sig inte för.


Däremot är det känt och ständigt framfört att säkerheten byggs både av fastställda och relevanta regelverk, medvetna och utbildade användare samt tekniskt stöd – allt detta i förening. Enbart tekniska lösningar kan inte skapa god säkerhet.

Jag förstår inte heller hur ett större ansvarstagande (= mer eget arbete för användaren) skulle frigöra resurser.
Som avslutning får man ta tröst av en av rubrikerna i CS 10/11 -06 där man kan läsa ”Håll koll på användarna”.

Att tvångsstyra våra användare kanske inte är populärt, inte heller nödvändigt alla gånger (exemplet med e-postlådans storlek) men tills vidare måste vi leva med det faktum att alla inte är lika upplysta, lika eftertänksamma och lika respektfulla inför beslutade och kommunicerade regelverk.

Vi ska inte heller glömma bort vem som är ansvarig för företagets resurser och information.

Kent Larsson
informations­säkerhetschef, Stockholms stad