Värderingar bakom informationssäkerhet

Transkript

1 Värderingar bakom informationssäkerhet Fredrik Karlsson, Informatik, Handelshögskolan vid Örebro universitet

2 Agenda Varför är värderingar av intresse? Metod för att analysera värdekonflikter Tre exempel från sjukvården Identifierade värdekonflikter Klassificering av regelföljande och regelbrott

3 Kontrollbaserat regelföljande Anställda skall styras och regleras

4 Värdebaserat regelföljande Bör vi förstå argumenten bakom anställdas handlande?

5 Mål och värderingar styr informationssäkerhetsarbete Måll Värderingar Måll Värderingar Kravställer till Systemutvecklare Skapar Informationssäkerhetsansvarig Måll Värderingar IT-system Policies Skapar Faktisk situation Bedömer Handlar Resultat Medarbetare

6 Vad grundas argument i? Typ av handlande Mental process Typ av rationalitet Traditionsbaserad Icke rationell - Affektuellt Icke rationell - Värde-orienterat Instrumentellt Beslut baseras på ett värdesystem som är kontextberoende Mål-medelberäkning Användning av teoretiska modeller Substantiv Praktisk, Formell Teoretisk

7 Värderkonflikter? Måll Värderingar = Måll Värderingar Medarbetare vs Informationssäkerhetsansvarig Måll Värderingar Måll Värderingar Medarbetare Informationssäkerhetsansvarig

8 Metod för att analysera värdekonflikter i informationssäkerhetsarbete 1. Bestäm avgränsning 2. Samla in policydokument 3. Analys av handlingsföreskrifter [Behov av fler dokument] 4. Intervju med policyutvecklare 5. Analys av designrationalitet [Behov av fler intervjuer] 6. Samla data om faktiska informationssäkerhetshandlingar [Behov av mer data] 7. Analysera faktiska informationssäkerhetshandlingar 8. Analys av användningsrationalitet 9. Analys av regel- och värdeföljande

9 Exempel: ett svenskt sjukhus

10 Lösenordshantering Föreskrivet handlande p1. Låna inte lösenord p2. Byt lösenord om du tror någon känner till lösenordet p3. Ett lösenord skall väljas noggrant. Undvik namn, bilnummer och allt som kan associeras till dig som person. Mål: g1. Att säkerställa att endast auktoriserad personal har tillgång till informationen g2. Att veta vem som dokumenterar vad Värden: v1. Det är viktigt att informationen är konfidentiell (konfidentialitet) v2. Det är viktigt att garantera ansvar v3. Det är viktigt med information inte manipuleras (integritet) p3 v1, v3 Värden v4, v5 v2 Stöd Konflikt Faktiskt handlande a1. Vissa lösenord finns på väggeb. a2. Du har ett system för lösenord a3. Du skriver upp lösenordet och har i plåboken. a4. En dator på kontoret är alltid påloggad. En person är alltid. Mål: g3. Att ha enkel tillgång till information g4. Att ha ett användbart passordssystem Värden: v4. Det är viktigt att vara effektiv v5. Det är viktigt att ha enkel tillgång till information p1 p2 Föreskriven handling g1 g2 g3 Mål g4 a1 a2 a3 a4 Faktiskt handlande

11 Uppdatera och gör patientinformation tillgänglig Föreskrivet handlande p1. All viktig patientinformation måste omedelbart dokumenteras i journalen p2. Patientinformation skall dokumenteras omedelbart efter mötet med patienten Mål: g1. Att föra patientjournal g2. Att det skall vara möjligt att följa patientens medicinska historia. Värden: v1. Det är viktigt att informationen är fullständig v2. Det är viktigt att informationen är tillgänglig för behöriga personer v1 Värden v4 v3 v2 Stöd Konflikt Faktiskt handlande a1. Om informationen inte leder till någonting, några åtgärder, eller att det inte finns någon som behöver informationen så tycker jag man kan vänta med att dokumentera. För dokumentera i journalen ger extra arbete för sekreterarna. a2. Man är försiktigt med vad man skriver i journalen. Du skriver inte något som kan avslöja patienten genom att skriva något känsligt eller stötande då andra kan läsa det. Du skriver familjeproblem istället för att skriva exakt vad det handlar om. Mål: g3. Att värna om patientens integritet g4. Att vara effektiv Värden: v3. Det är viktigt att garantera patients integritet v4. Det är viktigt att vara effektiv p1 P2 Föreskriven handling g1 g2 Mål g3 g4 a1 a2 Faktiskt handlande

12 Skydd av patientinformation Föreskrivet handlande p1. [Pappers]journaler skall hanteras och förvaras så att obehöriga personer inte får tillgång till dem p2. Information om patients sociala, medicinska och annan känslig information skall skyddas noggrant för att inte avslöjas. p3. Medicinska journaler skall förvaras i en låst låda eller i ett dokumentskåp. Dokument skall förvaras i en mapp på sjuksköterskornas kontor Mål: g1. Att skydda patientinformation mot avslöjande Värden: v1. Det är viktigt att information är konfidentiell v1 Värden v3 v2 Stöd Konflikt Faktiskt handlande a1. Vi patientinformation och nya ordinationer så har inte tid att läsa all information, därför har vi papperslappar. a2. På kvällen, före vi stänger, så lägger vi fram morgondagens patientjournaler på disken. a3. Listorna på väggen innehåller patientinformation [namn och personnummer] som skall komma på besök under dagen a4. Vi placerar journalerna på ett speciellt ställe när faxen. Det är inte möjligt att låsa rummet. Mål: g2. Att ha enkel tillgång till information g3. Att vara effektiv Värden: v2. Det är viktigt att ha enkel tillgång till information v3. Det är viktigt att vara effektiv p1 p2 p3 Föreskriven handling g1 g2 Mål g3 a1 a2 a3 a4 Faktiskt handlande

13 Analysresultat: Identifierade värden Informationssäkerhetsregelverk Ansvar Konfidentialitet Medvetenhet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Faktiskt handlande Ansvar Användbarhet Effektivitet Konfidentialitet Medvetenhet Personlig integritet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Vårdkvalitet

14 Analysresultat: överensstämmelse Informationssäkerhetsregelverk Ansvar Konfidentialitet Medvetenhet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Faktiskt handlande Ansvar Användbarhet Effektivitet Konfidentialitet Medvetenhet Personlig integritet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Vårdkvalitet

15 Analysresultat: konflikter Informationssäkerhetsregelverk Ansvar Konfidentialitet Medvetenhet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Faktiskt handlande Ansvar Användbarhet Effektivitet Konfidentialitet Medvetenhet Personlig integritet Riktighet Självbestämmande Spårbarhet Tydlighet Tillgänglighet Vårdkvalitet

16 Argumentationsnivån Klassificering av regelföljande och regelbrott Handlingsnivån Regelföljande Icke regelföljande Regelföljande (I) Argumentativ överensstämmelse finns, och handlingen utförs som den skall (II) (I) Argumentativ överensstämmelse finns, men handlingen utförs som den skall Icke regelföljande (III) Argumentativ överensstämmelse finns inte, men handlingen utförs som den skall (III) Argumentativ överensstämmelse finns inte, och handlingen utförs inte som den skall

17 Mer information Urval av vetenskapliga publikationer: Hedström K, Kolkowska E, Karlsson F, Allen JP (2011) Value conflicts for information security management. Journal of Strategic Information Systems, Volume 20, Issue 4, Karlsson F, Hedström K (2008) Exploring the Conceptual Structure of Security Rationale. AIS SIGSEC Workshop on Information Security & Privacy (WISP2008), 13 December, Paris, France. Kolkowska E, Hedström K, Karlsson F (2012). Analyzing Information Security Goals. In Threats, Countermeasures, and Advances in Applied Information Security (Eds. Gupta M, Walp J, and Sharman R), IGI Global, pp