Forsømt udvikling, for cpr-nr. er blot en brik i dag

Om:
-Lækket af 900.000 cpr-numre og reaktioner derpå
-Sygesikringskortet, Dankortet og NemID
-Historikken, der ledte til dumnærighed
-Stagnation
-Backlash ved centralisering
-Øget sårbarhed
-Manglen på visioner og sikkerhedskompetance

900.000 cpr-numre lagt åbne en stund af et ministerium. Dumt, dumt, dumt.

Men. At udbasunere ethvert tyveri af cpr-nummer som, at nu stjæles din identitet også, er overdrevet, styret af politiske eller forretningsmæssige motiver eller af uvidenhed.

Jovist, der foreligger en vis risiko for tyveri, men der er sgutte nogen ”garanti” derfor.

Prisen på et cpr-nummer med navn og adresse er næppe høj på markedet. Kombinationen åbner jo ikke for de vigtigste it-systemer, der er de kriminelles foretrukne mål. Her er risikoen for at blive fanget mindre, end ved indbrud i den fysiske verden.

Hjælp til de ramte

Der er mennesker, der oplever at få stjålet deres identitet. Årsagen kan f.eks. være tyveri af sygesikringskortet, afluring af Dan-/kreditkortet eller andet hack, og politikerne burde for længst have sikret disse borgere ét sted at få en kompetent hjælpende ånd, men det er en anden sag.

Cpr-nummeret eksistens som noget, der skal være tys-tys, er imidlertid for længst forbi.

Reelt set er cpr-nummeret blot blevet en brik til identifikation af dig på linje med dit navn og din adresse. Et nummer, der gør alt så meget lettere i en digitaliseret verden, også for dig.

Eliminerer misforståelser

Cpr-nummeret eliminerer de misforståelser, der kommer af forskellige stavemåder, når det gælder navne og adresser, og er tit den letteste vej til betjening over telefonen. For dig og for den i den modsatte ende. Ville du være foruden?

Problemet er, at alle de fordele, som cpr-nummeret har givet dig og samfund, ikke i tide er vejet op mod både den teknologiske udvikling og udviklingen rent mentalt set. Folk sjusker, lader sig besnakke – tager et stjålet cpr-nummer for gode varer.

Centraliseringens farer

Vi kører stadig med i høj grad centraliseret sikkerhedskontrol, både hvad angår cpr-nummer og den digitale underskrift NemID. Centralisering betyder ét sted at tappe, ét sted at angribe.

Du og jeg har ingen kontrol, men det burde vi have, hvis vi ønsker det. Måske i form af et chipkort, så jeg alene har min nøgle. Så den ikke hænger i et “nøgleskab” hos det offentlige.

Konstruktionen af personregistre afspejler imidlertid også mental dovenskab (sikkerhedsmæssig inkompetence). Cpr-nummeret er primær nøgle og oftest koblet direkte til navn og adresse sammesteds. Det var nok den fornuftige løsning i databehandlingens barndom, men det er altså 50 år siden.

En sikker it-arkitektur forudsætter andre veje, herunder nok mellemregistre til at koble mellem andre nummersystemer, men lyt til eksperternes bud. De få ørenlyd midt i denne miseere.

Dumnærighed

Det fysiske cpr-bevis? Sygesikringskortet? Dumnærighed (eller inkompetence) er vel årsagen til, at der ikke en gang er et foto af dig på dit sygesikringskort – cpr-nummerbeviset – ej heller en chip. Smart 1990’ser teknologi, som dem, der stjæler kortet, må slå sig på låret af grin over.

Også derfor ser vi i den fysiske verden reelle ID-tyverier takket være sygesikringskortet, lige som vi har set fiktive tyverier med formålet at få overskrifter om cpr-nummerets elendighed.

Sært nok var der protester fra både borgere og butikker, da bankerne skiftede strategi og sparede at bruge foto på de nye Dankort, mens det offentlige altså er sluppet af sted med hverken at have foto eller chip på sine fysiske identifikationskort.

Tidsrejse

Tag med mig tilbage i tiden for at forstå, hvor kæden hoppede af – eller rettere, hvor jeg tror, at kæden er hoppet af.

Hvad lavede du i 1968 – altså for 46 år siden?

Jovist, det var året, hvor mange unge gik på barrikaderne, men det var også året, hvor danskerne fik et cpr-nummer.

Det var et par årtier før pc’erne brød igennem, og tre årtier før nettet begyndte at blive bredt udbredt. Databehandling skete centraliseret, på store computere, periodisk.

Det er så også mange år før der for alvor kom eksempler på it-kriminalitet. Den gang, i 1968, var det frygten for overvågning – for Orwells ”1984”, for BigBrother – der herskede og som blev pustet til. ”Med et tryk på en knap ved staten alt om os”.

Tys-tys

Også derfor blev cpr-nummeret helt fra starten noget farligt – noget tys-tys. ”Udlever det ikke til nogen”, lød beskeden. ”Det kan misbruges”.

Men cpr-nummeret var nødvendig entydig identifikation, som computeren måtte have, for den ville blandt andet kløjs i alle de forskellige stavemåder af navne.

Borgerne fik deres cpr-nummer for at sikre, at en automatisering kunne ske i det offentlige, altså hos den statslige Datacentralen og hos de regionale edb-centraler (i 1972 fusioneret til Kommunedata), og cpr blev også nøglen i erhvervslivets personregistre.

Individualiseringer og kontrol

I takt med velfærdssamfundets udvikling, herunder individualisering på ”millimeterniveau” af økonomiske rettigheder og pligter, voksede brugen af cpr drastisk, ligesom den efterfølgende indførsel af kontrolsamfundet (New Public Management, kaldes det vist).

Men. I databehandlingens barndom havde vi en del kompetente, visionære og magtfulde folk, der styrede udviklingen. De havde noget at skulle have sagt, og der blev investeret det nødvendige i både software og hardware. De blev stolet på. (O.k. Jeg ved dette til dels er et skønmaleri, men de negative sider vender jeg tilbage til senere).

Tilliden flyttet til konsulenterne

Sagen er, at politikerne og embedsværket ikke længere stoler nok på egne it-eksperter. Nu stoler de især på eksterne konsulenter, der hyres ind til dyre penge og lægger øre fladt til systemets krav. Brugernes behov og teknologernes fremsyn og bekymringer kommer i anden række, hvis det overhovedet noteres.

Princippet er nok, at jo dyrere et råd, jo rigtigere må det være.

Men teknologierne udviklede sig også. Væk fra den periodiske drift af systemer, væk fra det helt centraliserede off line miljø. Over mod online, og så det åbne internet.

Det betød, at cpr-nummeret ikke længere kunne stå alene som en slags identifikation. Der måtte suppleres med noget, der i højere grad beviste, at man er, hvem man er.

Fra digital signatur til NemID

TDC vandt i 2003 det udbud, der skulle give den nødvendige øgede sikkerhed i form af en såkaldt digital signatur til borgeren, beregnet til brug mod det offentlige.

Løsningen viste sig dog at være for bøvlet at bruge for mange, og siden 2010 har NemID med tilhørende nøglekort været løsningen. Udviklet først og fremmest i banksektoren i håbet om, at NemID også blev valgt som nøglen i det offentlige, og det lykkedes.

Men også NemID sikkerheden er set brudt – og først opdaget for sent, fordi bankerne en overgang sænkede svindel-kontrollen i tiltro til teknologiens overlegenhed.

Egen kontrol ønskelig

Løsningen er imidlertid ganske god, om end jeg selv hader at NemID er indgang til både min netbank og det offentlige (og diverse erhvervsvirksomheder).

Jeg vil selv kunne afgøre, hvor bredt mine nøgler skal kunne bruges, og jeg vil gerne betale for den ekstra sikkerhed, som ligger i, at jeg kunne få en særlig dims, der kører udenom min garanteret ”korrumperede” pc, og som ikke er baseret på Java eller Windows.

Og jeg ønsker som nævnt, at have min nøgle hos mig selv. Ikke i et “nøgleskab” hos et eller andet udenlandsk ejet stort it-serviceselskab.

Cpr en anden sag

Men cpr-nummeret har jeg det relativt afslappet med, om end jeg kan stejle, hvis nummeret afkræves mig i en sammenhæng, hvor jeg ikke ser nødvendigheden. Der har været ruttet med behovet.

Det med, at et lækket cpr-nummer er ensbetydende med et ID-tyveri! Så havde mindst halvdelen af Danmarks befolkning mærket konsekvensen, taget i betragtning, hvor ofte det offentlige og erhvervslivet har svigtet og lagt cpr-numre frem om på print eller elektronisk. Tag også episoden i 2012, hvor svenske hackere fik suget millioner af data ud af CSC’s danske registre.

Robinson-registret

Men i går kunne dagbladet Børsen så fortælle, at Økonomi- og Erhvervsministeriet selv havde lavet et Big Time læk. Ved en fejl lagde cpr-kontoret 600.000 cpr-numre ud på nettet – en liste leveret af it-serviceleverandøren CSC. En fejlagtig liste, for den var ikke blevet renset for cpr-numre.

Det er den såkaldte Robinson-register, der ellers normalt kun rummer navn og adresse på de mennesker, der ikke ønsker at blive udsat for direkte marketing. På Version2 kan du læse, hvorledes fejlen opstod og om den svigtende kontrol.

Lækket blev – med rette – dagens historie. Skrækscenarierne males også i dag med den brede pensel, men husk, at vi stadig har NemID som primær hegnsvogter i de elektroniske systemer.

Skønmalingens anden side

Og lad mig så komme tilbage til skønmaleriet om de dygtige, visionære og magtfulde it-mennesker fra databehandlingens start.

Problemet er, at monopoler avler råd. Om statsligt, kommunalt, eller privat. Arrogance, bureaukrati, fejhed, internt territorieafpisning, overforbrug, ineffektivitet, opportunisme.

De offentlige it-centraler kom rigtig godt fra start – de var i mange forhold dygtige pionerer, og der var pionerstemning.

Stat i staten

Men den forsvandt, og it-centralerne hvilede alt for længe på rosen fra andre lande og på selvrosen.

Værre var, at de magtfulde mænd fik opbygget noget, der minder om en stat i staten, en stat, der også syntes at være et bundløst hul økonomisk set, og som også kunne lamme det ene og det andet, hvis medarbejderne ikke kunne acceptere overenskomstforhandlingernes resultat.

Solgte it-centralerne

Politikerne tog den letteste vej i relation til ”staten i staten”.

I stedet for at banke dem på plads, solgte de både Datacentralen og senere Kommunedata. Motivet var dels grådighed – andre betalte milliarder for, hvad de anså for at være gode, driftssikre “malkekøer” – men dels også et fantasifoster.

Politikerne og embedsværket bildte sig ind, at de på et frit marked med fri konkurrence ville få systemer og drift leveret billigere, end gennem de tidligere monopoler. Og vel også få lidt færre optakter til lammende arbejdskampe.

Hvad de ikke så i øjnene var, at der på de offentlige it-områder simpelthen er for få kunder, til at få konkurrencen til at fungere, og med deres lovgivningsdiaré, der trods usikre lovtekster skal effektueres af it-systemerne, helst i går, er appetitten heller ikke den allerstørste. Andet end på de letteste opgaver.

Væden i bukserne

Men politikerne og deres embedsværk troede vel blindt på, de besparelser, som købere og outsourcingleverandører lover. Naivt – i hvert fald hvis ens tidsperspektiv går ud over de første par år.

Det offentlige gik i udbud på udbud og valgte typisk det billigste tilbud i udbudsfasen. Ikke sjældent betalte de dyrt oveni, nemlig for alt det, der viste sig ikke at være inkluderet, og for alle de ekstrakrav de selv væltede frem med – for sent. Mon ikke også, man til tider fik løsninger, der blokerede for muligheden for smartere, billigere løsninger andre steder?

Discountstrategi førte til østlande

Discount-strategien i det offentlige førte også til, at leverandørerne flyttede mange del-opgaver over til lavomkostningslande i EU. Det kan være udflytning af drift til f.eks. Polen og Tjekkiet, og udvikling andetsteds.

Der kom derfor led, på led, på led, på led. Aktør, på aktør, på aktør, på aktør.

Det tjener bestemt ikke sikkerheden, og bestemt ikke innovationen.

Djøf-laget

DJøf-laget havde i høj grad overtaget styringen uden egentlig at fatte, at it-systemer i høj grad er opfindelser – tankeværk, der forudsætter folk, som har forstand på det, og mod til at tale bjerget imod.

Mange af de seje ingeniører og dataloger blev sat på sidelinjen, som en lus mellem embedsværket og konsulentværket, der i øvrigt har tjent svimlende på deres engagement i offentlig it.

Lavt vidensniveau

Det er vel knapt nødvendigt at fortælle, at it-kompetencen, repræsenteret i Folketinget og de vigtigste udvalg, er mikroskopisk. Der er 1 datamatiker, og vist 1 ingeniør blandt de 179 i dag.

Pladsen som ”it-minister” er i årtier blevet brugt som pottetræning for unge politikere, aftrædelsesposter for dem, der skal skubbes ud, og som vennetjeneste til den loyale støtte.

It-kompetencen i de øverste lag i ministerierne? Well. Tjek deres akademiske baggrund, og tjek disse uddannelsers pensum.

Ligger som redt

Danmark ligger, som vi har redt. Taget med bukserne nede, fordi fokus i den grad har været på effektivisering, administration af lovgivningsdiareen, enkeltsagsreaktioner, på besparelser, på kontrol.

Man tog skyklapper på over for, at det en gang så sikre fundament er eroderet af tidens tand. At ville være verdens mest digitaliserede land, burde forudsætte at man også har verdens klogeste sikkerhedsforanstaltninger, hvis det hele ikke skal ende med, at ballonen punkteres. Pufff.

Nul ildsjæle

Summa, summarum. Der har INGEN været, der har gidet tage kompleksiteten i sikkerhed og det nødvendige fremsyn alvorligt. Ingen magtfuld ildsjæl i systemet.

It? Det har vi folk til… nå, ja. Det køber vi os til. Godt nok har vi slet ikke nok herhjemme, men har vores leverandører jo masser at købe i udlandet.

It-sikkerhed? Det har vi folk til… nå, ja. Vi får nok skrabet nogen sammen, selvom disciplinen har været så godt som ikke eksisterende i årtier på universiteterne, bortset altså fra algoritmerne.

Det står bare ikke godt til. I den aktuelle sag tjek blot her her, for at se, hvor lemfældig sikkerheden var omkring Robinson-registret.

De findes

Men, men, men. Jeg påstår IKKE, at der ikke findes gode it-folk i det offentlige. Det gør der. For nogle mennesker er der andre ting, der tæller mere end det private erhvervslivs store lønningspose.

Men der er slet ikke nok, og der lyttes ikke nok til dem, der er.

Problemet i relation til it-sikkerhed er så også, at der findes folk, der gerne giver indtryk af, at den totale sikkerhed er opnåelig. Herunder pressen. Det er at undervurdere menneskehedens opfindsomhed.

At pressen så heller ikke viger tilbage fra at bringe historier, der tyder på, at kilderne har drukket af natpotten, er en anden sag. F.eks. kravet fra Liberal Ungdom kræver, at Margrethe Vestager skal smides i fængsel.

Den vil sikkert gå lige hjem i Robinson reality-showet, men blandt læserne? Nok elsker pressen at nogen kræver ministres afgang, eller sikrer det, men alligevel.

Moralen hos direct-firmaerne

Jeg håber nu, at moralen er på plads i de direct marketing-firmaer, der nåede at få en download af Robinson-listen fra cpr-kontoret. At der i den kreds ikke sider nogle lige lovlig smarte gutter.

Som nævnt er prisen ved salg af cpr-numre dog næppe høj, og i hvert fald langt lavere end for kreditkortdata.

Gad i øvrigt vide, hvor hurtigt der kan reageres, skulle vi se tegn på systematisk misbrug? Har vi faktisk en fordel ved centraliseringen der?

Dit billede?

Det var så mit billede, ud fra jeg hvad har kunnet se gennem årene, og det er bestemt ikke fuldgyldigt. Enhver er velkommen til at supplere med deres billede, om det konflikter med mit, supplerer eller skaber et helt nyt.