Därför blir it-system osäkra

Publicerad 8 februari 2014 | Inga kommentarer ännu

It-register i Stockholms stad har ”bristande säkerhet” enligt SvD idag.

Det handlar om ”Paraplysystemet”, ett heltäckande socialregister för ärenden inom både äldreomsorg, handikappomsorg och individ- och familjeomsorg inom Stockholms stad och alla stadsdelsnämnder.

Rubriken är lite oegentlig; man har inte konstaterat något läckage. Däremot befarar man att systemet kan missbrukas:

”Så många som 636 personer har i it-systemet fått behörighetsgraden ’verksamhetschef’ eller ’sektionschef’ – långt många fler än det antal som faktiskt har de rollerna. Att användare har en högre behörighetsgrad än vad de egentligen ska ha är en brist som påpekas upprepade gånger i rapporten.”
IT-register läcker känsliga uppgifter (SvD, 8 feb 2014).

Jag har granskat verksamhet i flera kommuner och andra organisationer – och kan bekräfta att så här ser det verkligen ut i många fall.

Men varför? Två skäl: När it-systemen konstrueras och sätts i drift är det ledning och it-projektledare som sätter roller i systemet. De har sällan tillräcklig kontakt med de verkliga användarna och verksamheterna. De roller som sätts blir därför teoretiska regelbok-skonstruktioner, som stämmer dåligt med hur arbetet verkligen bedrivs.

I de flesta verksamheter måste man nämligen ofta dela på arbetsuppgifterna, för att det ska funka i praktiken. I alla skolor jag undersökt har till exempel rektor varit tvungen att dela behörigheter med sin administratör: för att det ska funka i praktiken. Förvaltningen kan till exempel ringa och kräva besked om någon detalj samma dag. Om rektor är borta måste någon annan göra jobbet. Andra absurda fall var att administratören hade ansvar för lönerna för vikarierna, men till hennes behörighet hörde inte att få se avtalet där det stod vilken lönen var.

(Det är lika i många branscher. Min vän Tommy jobbade en sommar som vikarierande redigerare på en kvällstidning. ”Jag hade ett helt gäng lösenord – inklusive nattchefens samt politiska chefredaktörens – för att arbetet skulle fungera”, berättar han.)

Det viktigaste orsaken i dagens verksamhet är i sin tur den snabba och starka ökningen av administrativa uppgifter, som gjort att chefer i de flesta verksamheter inte har en chans i världen att göra allt de åläggs. De måste delegera.

Man kan jämföra lite med förr i tiden. En chef kunde ge en bunt fakturor på småbelopp eller enklare beslut till sin assistent att hantera, medan hen själv behöll de viktiga papperna hos sig.

När nu allt ligger i besluts- och ekonomisystem, är konsekvensen att medarbetaren får bli ”chef” i systemet. I stället för att ge assistenten en begränsad bunt enkla fakturor får hen ”nycklarna till kassaskåpet” – en hög inloggningsbefogenhet.

Problemet är alltså egentligen inte ”dåligt säkerhetsmedvetande” hos användarna, som ofta försöker göra det bästa av för höga och motstridiga krav. Problemet är dålig insikt hos ledningar och it-projekt om hur verkligheten är beskaffad.

”Strängare säkerhet” i traditionell it-mening är därför en till stor del meningslös eller till och med kontraproduktiv åtgärd. (Se till exempel Allt fler anställda rundar it-säkerheten, CIO Sweden 21 sep 2012.)

Ska man komma tillrätta med denna säkerhetsrisk, krävs att man tänker om och bättre studerar hur arbetet verkligen utförs – och framför allt, minskar kraven på administration.

Bild: Chenthil Mohan/flickr under cc-licens.

Kommentarer