Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den Computerworld d. 3. december 2004.
Virksomheder og kommuner viser interesse for at samle it-sikkerheden med den fysiske adgangskontrol og indbrudsalarmer i ét system.
I disse dage sidder folk i IBM Danmark og ser nærmere på, hvorledes en kundes it-sikkerhed og hele den fysiske sikkerhed kan håndteres af ét system. Kunden betaler foranalysen.
Også i et andet af landets største it-selskaber, KMD, ses nærmere på problemstillingen. En kommune ønsker ét centralt system til adgangskontrol, og det skal gælde både fysisk adgang og adgang til it-systemerne.
Fra Computer Associates lyder meldingen, at der forløbig køres test i et isoleret miljø af en samlet løsning for kunder i den danske finanssektor.
Fra alle lyder imidlertid, at interessen er langt større, end antallet af konkret kunder indikerer.
- Interessen er bestemt til stede. Et fælles system er jo med til at højne sikkerheden og effektivisere administrationen, siger Martin Grundtvig, der står i spidsen for IBM's sikkerhedsgruppe på godt 100 personer.
Interessen har fået KMD, der har alle kommuner i kundekredsen, til at satse på udviklingen af en standardløsning, som kommunerne kan trække på.
- Der er jo megen sund fornuft i at tjekke, om den, der identificerer sig ved kontorets pc, forinden har identificeret sig ved døren til virksomheden, siger Peter Schjøtt, der er it-sikkerhedskonsulent hos KMD og CISSP - Certified Information Systems Security Professional.
Men det klares langt fra med et snuptag. Den infrastruktur, der bruges til den fysiske sikkerhed, skal laves om. Kommunikationen til dørsystemer, brand- og indbrudsalarmer, videoovervågning og meget andet skal over på et intranet.
Hele den fysiske side af sagen er en medvirkende årsag til, at selskabet Vitani er med i det KMD-projekt, der er rettet mod en konkret kommune. Vitani arbejder med IP-baserede (Internet Protocol) alarmsystemer, der også anvender sig af VPN-teknologi (Virtual Private Network - en sikker transmissionsform).
- I sikkerhedsbranchen har man typisk valgt at have en proprietær indstilling. Man tjener mere ved at tvinge kunderne til at holde sig inden for ens standard. Men udviklingen gør, at det er fornuftigt at arbejde mod åbne standarder, siger salgschef Rasmus Pedersen, Vitani.
Firmaet favner bredt. Lige fra systemer til videoovervågning af serverrum, hvis kun én person er til stede i rummet, til brandalarmsystemer og til biometriske adgangskontrolsystemer baseret på fingeraftryk. Et sådant har Vitani installeret i et større dansk selskab.
Computer Associates har flere kunder i USA på sit fællessystem, oplyser Per Kogut, der står i spidsen for det danske selskab. Også IBM melder om amerikanske kunder, og IBM selv tager også medicinen.
Verdens største it-selskab er i gang med at få en kombineret, standardiseret ordning, og det sker i samarbejde med blandt andre General Electric. Blandt de foreløbige resultater er, at IBM i dag har 11 sikkerhedsservere mod tidligere 230. Og vedligeholdelsesomkostningerne for sikkerhedssystemerne er faldet fra over 15 millioner dollars til tre millioner.
I projektet indgår, at medarbejderne på et tidspunkt skal have, hvad der kaldes single sign on til it-systemerne - de skal altså kun logge sig på én gang.
- Hos IBM Danmark er det samme system, der styrer rettighederne til fysisk adgang og til systemadgang, omend vi i dag stadig bruger to adgangskort. Men når man oprettes i vores Identity Management-løsning tildeles man begge former for adgang. Og tilsvarende slettes man begge steder, når man holder op i IBM, siger Martin Grundtvig, der tilføjer at der endnu går nogen tid inden man er færdig med sammensmeltningen herhjemme.
Umiddelbart kunne man frygte, at prisen for bedre sikkerhed også bliver øget sårbarhed. Hvis nu nettet skulle gå ned.
- Sårbarheden øges ikke, for det har man taget højde for i systemerne. Opstår der problemer ét sted, kan problemet isoleres der, siger Martin Grundtvig.
Sektioneringeren af net og it-udstyr skal afspejle værdien af området.
- De vigtigste forretningsprocesser skal være tilgængelige, selv hvis det værste uheld er ude, siger Grundtvig.
Den største hovedpine ligger ifølge ham i identiteten - i at give folk en ny identitet, hvis kortet mistes.
I den lille virksomhed er problemet til at håndtere. Problemet opstår i de store virksomheder, hvor det måske kun har været muligt at få single sign on for en vis gruppe systemer.
Martin Grundtvig tror, at mange vil vælge at outsource overvågningen af det samlede system. Allerede i dag står IBM for overvågning af kunders it-systemer 24 timer i døgnet, syv dage om ugen, hele året.
Billedtekst:
identitetsproblemer
- Hovedpinen er identiteten - det at give folk en ny identitet, hvis de har mistet kortet, siger Martin Grundtvig, der står i spidsen for IBM's sikkerhedsgruppe
Boks:
Sikkerhedsteknologier: Fokus på it-sikkerhed er så stort som nogensinde, men Computerworld går et skridt længere, idet der også er en voksende interesse i at se på den samlede sikkerhed. Oveni kommer det påtrængende behov for, at få gjort it-sikkerhed langt enklere at håndtere.
Boks:
Amerikanerne går længst
IBM's erfaringer hos kunderne viser, at mere end hver fjerde af
USA's største virksomheder er begyndt at satse på én sikkerhedsansvarlig, CSO - Chief Security Officer - der har ansvar for både den fysiske sikkerhed og it-sikkerheden.
Kunderne efterlyser ét kort til al adgang. Adgangskontrollen skal tage udgangspunkt i HR-afdelingens personaleregister, og den skal også kunne bruges til tidsregistrering. Kunderne efterlyser desuden, at der tages radio-baseret teknologi i brug i form af RFID (Radio Frequency Identification), så både udstyr og mennesker kan følges.
IBM spår, at biometri med tiden afløser brug af pin-koder og passwords.
Boks:
Fingeraftryk bedst
De gode gammeldags fingeraftryk er også i den elektroniske verden stadig den mest effektive identifikationsform. Nok findes der teknologier til genkendelse af ansigt, øjets iris og meget andet, men intet slår fingeraftryk. Det viser en amerikansk undersøgelse foretaget af the National Institute of Standards and Technology (NIST).
Systemer baseret på fingeraftryksgenkendelse giver en korrekt identifikation i 99 procent af tilfældene, skriver IDG News Service på baggrund af undersøgelsen. Systemerne afviser dog stadig lidt for mange, men det vigtigste tal er nok, at kun én ud af 10.000 scanninger giver en fejlagtig positiv identifikation. Altså lader det forkerte menneske igennem kontrollen.
NIST testede 34 forskellige fingeraftrykssystemer fra 28 leverandører. Omkring 25.000 personer leverede omkring 50.000 sæt af fingeraftryk - af en finger eller flere - under testforløbet, der omfattede i alt 400.000 digitalt registrerede fingeraftryksbilleder.
Jo flere fingre en person blev identificeret via, jo større præcision. Ved fire eller flere fingre lå præcisionen på 99,9 procent.
Boks:
Giv pengeautomaten fingeren
Den columbianske bank Bancafe giver sine 2,5 millioner kunder mulighed for at trække penge i "kontanten" med fingeraftrykket som identifikation. To tredjedele af pengeautomaterne er allerede opgraderet til at håndtere fingeraftryksscannere sammen med producenten NCR, skriver nyhedstjenesten Cnet. Ifølge banken er den biometriske teknologi nu pålidelig og billig nok til at kunne bruges i bankmiljøet. NCR oplyser, at halvdelen af bankens kunder har tilkendegivet ønske om at give pengeautomaten fingeren.
Boks:
Bekymrede briter
Briterne er bekymrede for planen om tvungne nationale id-kort forsynet med biometrisk information. Chipkortene, der forventes udleveret fra 2010, skal rumme biometriske scanninger af fingeraftryk, iris og ansigt.
Loven, The Identify Cards Bill, der skal bane vejen for id-kortene, blev offentliggjort i mandags. Men borgernes bekymring fik statsminister Tony Blair til at true med fængselsstraf for enhver, der forsøger pille ved den kommende id-database. Straffen går op til 10 år, og enhver, der er involveret i administrationen af id-kort, risikerer at få to års fængsel, hvis de uretmæssigt afslører informationer derfra.
Blair beskriver kortet som et stærkt våben i kampen mod terrorisme, tyveri af identitet, illegal arbejdskraft, illegal indvandring samt mod snyd med bistandssystemet. Ifølge Blair har over en fjerdedel af de 6,4 millioner personer, som det britiske politi har registreret i kriminalregistret skjult sig ind under et alias.
Men kritikere af de nationale id-kort fremhæver netop kriminalregistret som et dårligt eksempel, skriver IDG News Service. Registret er kendt for ikke at være akkurat nok. Analysehuset Ovum mener, at der ved id-kortplanen mangler procedurer, som sikrer, at de data, der lagres, er præcise, eller som giver borgerne adgang til at tjekke deres data.
Allerede fra næste år vil britiske pas i øvrigt rumme biometriske målinger af ansigtstræk.
Boks:
Studerende snød systemerne
Svenske Marie Sandström, der netop er blevet civilingeniør, har spredt skræk i biometribranchen. Som led i sin afhandling snød hun 12 forskellige fingeraftrykssystemer. Alt hvad der skulle til var to uger og 5.000 kroner, skriver Östgöta Correspondenten.
Den unge kvinde havde sat et falsk fingeraftryk, udført i gelatine, på sin finger, og systemerne tog det som et ægte. Metoden? Hun "stjal" et fingeraftryk fra et glas ved først at forstærke det med sod og dernæst "løfte" det fra glasset ved hjælp af et stykke tape over på et stykke papir. Dernæst kom en fotografisk proces, hvor negativbilledet eksponeres på en printplade, der efterfølgende ætses. Gelatinen blev hældt i "formen", og dermed fik Marie Sandström sig et nyt fingeraftryk. Gelatinen lader hudens varme og electricitet trænge igennem.
Boks:
Udfordringerne
I sammenkobling af it-sikkerhed og fysisk sikkerhed ligger mange udfordringer, påpeger IBM. Man skal for eksempel sikre, at de vigtigste forretningsprocesser ikke kan blive forstyrret af hændelser, som vedrører den elektronisk baserede sikkerheds-infrastruktur. Også koblingen mellem de nye typer adgangskontrolsystemer og ældre skræddersyede systemer kan blive et problem. Oveni kommer spørgsmålet, hvorledes man bedst og billigst får lagret de enorme mængder af data, som kommer fra adgangskontroller og overvågningskameraer, og hvordan man bedst kan søge i disse data.
