Blå Blok vil bryde NETS monopol - Hvad vil de opnå?

Både Berlingeren og Børsen kommenterer i dag Nets-sagen og det giver sig som altid udslag i nogle meget hurtige politiske udmeldinger, som f.eks. Michael Aastrup Jensen, der udtaler at flere selskaber skal stå for driften af NemID, fordi den øgede konkurrence vil medføre større fokus på sikkerhed og oppetid og medvirke til at gøre driften billigere.

Før vi ser på hvad der er op og ned i de påstande, må vi træde et skridt tilbage og konstatere hvad det var, der gik galt og hvordan en kriminel person kunne få adgang til fortrolige data over en så lang periode, uden at nogen fattede mistanke. I samme runde kan vi jo så passende stille spørgsmålet om hvordan en svensk hacker i mange måneder kunne få adgang til CSC's kørekort database og mulige andre, CPR-relaterede databaser.

Sikkerhed i IT systemer

har traditionelt været fokuseret på den sidste type angreb, d.v.s udefra kommende angreb, og har derfor forsøgt med opbygningen af alle mulige firewalls, antivirussystemer - og ikke mindst med autorisationsystemer, som skal sikre, at kun de, der har en legitim adgang til systemet rent faktisk KAN komme ind. Oftest er det derefter meget avancerede adgangskontrol-mekanismer, der checker brugeren, hans rolle, hvilke applikationer/programmer han kan få adgang til - og i bedste fald også hvilke data og registre han får lov at se. De bedste installationer har desuden løbende kontroller - audits - af hvordan sikkerheden fungerer, og nøglemedarbejdere checkes løbende og i visse tilfælde udskiftes de efter en periode.

Hvor kommer truslerne fra?

Men trusselbilledet har ændret sig fra dengang alle medarbejdere sad i samme bygning eller på samme intranet, og alle data og programmer blev afviklet på een mainframe. I vore dage har medarbejdere hjemmearbejdspladser, mobile arbejdspladser eller bare mobiltelefoner, der giver adgang til virksomhedens data.

Og virksomhedens datacenter er blevet outsourcet og afvikles nu på en virtuel maskine, der fysisk kører sammen med 10-20 eller flere andre virksomheders systemer. Og nu bliver det meget mere interessant for eksterne hackere at angribe sådan en godbid, og der sættes i visse lande store ressourcer af til at prøve at penetrere den slags systemer. Og det lykkes forbavsende tit.

Det foregår som regel ved såkaldte fishing angreb, hvor (betroede) medarbejdere i de firmaer, som 'fiskerne' har fokuseret på, modtager falske e-mails, der er udformet så de tilskynder modtagerne at hente et attachment eller trykke på et link. Herefter downloades typisk en trojansk hest, der efter kortere eller længere tid giver sig til at undersøge sine omgivelser, jagte passwords eller aflure tryk på tastaturet.

Hver eneste dag bliver der sendt mere end 150 millioner fishing mails, hvoraf 16 millioner uden problemer passerer det før omtalte sikkerhedsfilter og når frem til interne medarbejdere. Omkring halvdelen af dem bliver åbnet, og ca. 800.000 klikker videre på det inficerede link.¹

Hvert halve år angribes mellem 80.000 og 115.000 domæne navne.

En af de mest skræmmende og teknisk kompetente grupper benævnes APT1 og er med meget stor sandsynlighed styret og støttet af den kinesiske regering. Formålet er spionage og industrispionage. Man formoder at der er mere end 1000 højt professionelle hackere/spioner i denne gruppe. Det amerikanske firma Mandiant følger løbende denne udvikling og udgiver (gratis) oversigt over indikatorer for gruppens tilstedeværelse på virksomhedernes servere.

Udover disse meget professionelle grupper er der et væld af spammers og andre hackere, der søger at lokke penge ud af private og virksomheder på meget fantasifulde metoder. Herhjemme har vi set falske breve fra Skat og enkelte forsikringsselskaber, der fortæller at man har penge til gode. Også betalingskortselskaberne benyttes ofte som udgangpunkt, hvor man beder folk at genåbne deres 'lukkede' kort ved at indtaste kortnummer og pinkode.

Selvom det for professionelle ser højst primitivt ud, er der konstant nogen, der falder for tricket.

BYOD - Bring You Own Device - men tag hovedet med på arbejde

Og har hackerne fået fat i en PC'er, der tilhører en betroet medarbejder i en virksomhed, er porten til data åben. Mandiant mener at kunne påvise, at APT1-netværket har stjålet flere hundrede terrabyte dat fra mindst 141 organisationer. Hvad værre er, at disse angreb iflg. Mandiant i gennemsnit har stået på mere 356 dage, og en enkelt organisation var sågar udsat i hele 4 år for angreb før de opdagede det.

Selvom det nok er vanskeligt, er der altså i højeste grad brug for en pædagogisk indsats for at få hr. og fru Jensen til at interessere sig for deres sikkerhed, og så vidt muligt anvende sig af SSL (Secure Sockets Layer) og EV = Extended validation. Det er sådan, at firmaer eller websites, der anvender EV SSL certifikater vises på en browser med et grønt felt og med navnet på den certificeringsmyndighed, der har godkendt det.

Trusler mod borgerne

Identitetstyveri er en reel og stigende trussel for private mennesker. Ifølge en undersøgelse, som Københavns Universitet har lavet for Det Kriminalpræventive Råd, sker det for mere end 46.000 danskere hvert år. Dette omfatter ikke svindel med betalingskort, men tilfælde hvor en persons identitet misbruges f.eks. til at købe varer, rejser, oprette lån etc. Tallet stiger kraftigt - en fordobling på 4 år. Det hænger sammen med vores tiltro til, at de profil oplysninger vi lægger ind på Facebook, twitter, Linkedin etc. ikke benyttes kriminelt. Men jo flere personlige data der ligger tilgængeligt på nettet, desto nemmere er det at kunne udgive sig for en anden. Og hvis man er sløset med sine CPR-numre, kan det gå rigtigt galt. (Læs hvordan Identitetstyveri virker i praksis)

Tys-Tys kilden - datatyveriet fra Nets

Lad os nu vende tilbage til vores kriminalsag fra Nets/IBM. Vi taler altså om en medarbejder, der som en hel del andre, havde adgang til 'produktionsdata' , d.v.s. data vedrørende betalingskorttransaktioner. Det var disse informationer han solgte til Se & Hør, så vidt det er oplyst for en fast månedsgage på 10.000 kr. Vi ved på nuværende tidspunkt ikke, om han havde systemadministratoradgang til mange andre systemer, noget som politiet og IBM undersøger.

Uanset hvad han i kraft af jobbet har haft adgang til, har han under alle omstændigheder gjort sig skyldig i noget strafbart i kraft af en betroet stilling, ligesom de 'hælere', der havde ham ansat, også står til straf.

'Security breaches are inevitable - being a headline is not' (Mandriants hjemmeside!)

Jeg og med mig mange sikkerhedseksperter vil påstå, at man kan lave IT systemerne så sofistikerede, at det bliver meget svært at omgå dem selv for en 'insider', men det kan aldrig blive 100% sikkert. Vi kan forlange at de organisationer, der passer på vores data, logger alle adgange og regelmæssigt kører statistik på log data, så man kan se evt. mønstre, vi kan gøre det meget besværligt at få adgang til ukrypterede data, men nogen skal på et eller andet tidspunkt kunne få denne adgang, og selv i hæderkronede firmaer med en traditionel høj arbejdsmoral kan man ikke gardere sig mod egentlig kriminel adfærd. (Når medarbejdere som tys-tys kilden bliver 'body shoppet' fra eet firma til et andet, er loyaliteten for firmaet måske heller ikke den bedste - og fyrede medarbejdere er ofte de værste skadevoldere)

Hvad skal vi så gøre ved det?

Er det logisk at sikkerhedsniveauet vil blive højere, hvis 3 uafhængige organisationer hver især skulle kunne få adgang til vores personlige data? I min optik er risikoen for en kriminel insider bare 3 gange højere. Og hvad værre er, hvis infrastrukturen varierer fra udbyder til udbyder, vil een af de 3 uvægerligt være det svageste led i et eksternt hacker-angreb.

Det er forståeligt, at man ved næste udbudsrunde i 2015 (som er lige straks!) skærper kravene til sikkerhed, så den leverandør, der på dette tidspunkt vinder NemID-kontrakten, allerede ved at barren er blevet løftet. Men at 3 forskellige skulle kunne se en forretningsmæssig fordel i det, og ovenikøbet som Michael Aastrup og Mike Legarth forventer, gøre det billigere - det kræver mere end normal nytænkning - eller en ekstra bevilling, som jeg ikke tror at selv en borgerlig regering vil stå på mål for.

Hvordan kan man tjene penge på infrastruktur?

Der er nemlig ikke mange penge i infrastruktur. Jeg var særdeles involveret i begge de 2 runder udbud om digital signatur, der er kørt indtil nu, og kan se de problemer, som de bydende virksomheder havde med at se forretningen i løsningen. TDC, der vandt den første runde af de såkaldte OCES-certifikater, forventede at business casen skulle bæres af medarbejdercertifikater og registreringssystemer til private virksomheder, men det blev kun meget langsomt indfaset, og TDC måtte betale bøder, fordi de ikke levede op til de oprindelige estimater for udbredelse.

Den 2. runder udbud blev gennemført efter forhandling. Det konsortium, jeg var med til at koordinere, fik sammen med TDC og PBS/Bankerne udleveret det endelige udbudsmateriale. Da vi havde vurderet det, trak vi os! Og det endte som bekendt med at TDC gik sammen med PBS og overlod sin (skrantende) OCES-forretning til det, der senere blev NETS.

Der var kort sagt ingen penge i det. Og det vil der langt mindre være, hvis 3 skal deles om opgaven.

Når PBS var klart overlegen, var det netop i kraft af, at de allerede havde store dele af infrstrukturen betalt af kreditkortselskaberne og bankerne. Skulle man starte forfra, vil det være dyrt - også selvom IT-løsninger er faldet i pris.

Har vi en plan B?

Så hvad er vejen ud af dilemmaet? Alle politikere fokuserer på Se & Hør sagen, hvor de langt større trusler kommer fra fremmede regimer, profesionelle fishere og fra et voksende pres i form af identitetstyveri. Det er en typisk men beklagelig rygmarvsreaktion. Det er gået ud over en række kendte personers privatliv, det er stækt ulovligt, men tys-tys kilden er tilsyneladende ikke stukket af med arvesølvet. (Med forbehold for hvad politiets undersøgelse kan bringe, naturligvis)

Ja, Version 2 kan have en pointe i at '289 danske registre med personfølsomme data er uden for myyndighederne kontrol' - baseret på at man mener, at den amerikanske stat kan tvinge CSC, IBM, Microsoft, Facebook etc. til at udlevere persondata til USA - ovenikøbet uden at meddele det til danske virksomheder. Så er løsningen at forbyde outsourcing ? Næppe. Så mange og så omkostningstunge medarbejdere og systemer kan vi ikke forvente at skatteyderne er tjent med.

Det problem, som Version2 peger på, kan kun løses ved at EU indgår en klar aftale med USA, der bygger på menneskerettighedserklæringer, og som gør det klart for USA at udlevering af data om andre borgere kun kan finde sted efter gensidig overenskomst - for eksempel i fortsættelse af interpol-samarbejdet - ellers ikke.

Kan EU udarbejde retningslinier for at styrke medlemsstaternes datasikkerhed?

Jeg tilbragte i sidste uge 2 dage med Teknologirådet i en gruppe eksperter fra EU lande, der havde til opgave at vurdere om og hvordan man kunne udstikke retningslinier til kommissionen for brug af 'Cloud Computing'. Kommissionen ser nemlig gerne, at europæiske virksomheder får del i den bølge af 'cloud teknologi', der skyller ind over os, og hvor amerikanske firmaer har et solidt forspring.

Vores konklusion er indtil videre, at der ikke er noget, der kan kaldes 'Cloud Teknologi', og at de sikkerhedskrav man ville stille hertil, ikke adskiller sig fra de krav og checklister (TLA'er) man med rimelighed ville kunne forlange overholdt af enhver outsourcing leverandør uanset nationalitet.

Så opgaven i vores optik går snarere på at udvikle 'teknologineutrale' krav til sikkerhed, kryptering, autorisation, kontrol med nøgleprocesser og -personer og særlige revisionskrav, hvor data bruges på tværs af 'domæner', d.v.s. ved anvendelse af 'big data' teknikker.

Lad os lave NemID version 3

Her kan man begynde at nytænke. Og så kunne man passende lave hele vores personregistrering om til noget meget mere tidssvarende. At vi danske ikke ser noget problem i at bruge vores CPR nummer til alle mulige formål bør være slut. Der er ingen grund til at man ved en enkelt identitet kan misbruge det til at checke alle forekomster i alle virksomheder- fra RKI til Forsikringsselskaber, detailhandelskæder.... Ja, vores selvkontrollerende skattesystem bygger jo på en eentydig identifikation af personer - men det kan man godt etablere på anden vis. Man kunne for eksempel erstatte vores pap kort med et smart card, der også indeholdt biometriske data (krypterede fingeraftryk, ansigtsdata). Og så kunne man skele til den måde, tyskerne har implementeret ID på: på kortet kan man vælge at afsløre f.eks. alder, adresse, kørekortsinformation, sygesikringsinfo, bankinfo, donor info etc. Man skal som borger selv kunne styre hvor meget man vil afsløre om sig selv. Og det bør se - i modsætning til vores nuværende NemID - være international accepteret og skal kunne bruges på kryds og tværs af EU. (Se beskrivelse af EU initiativ om coss border ID - Stork 2)

Så kunne vi måske åbne for konkurrence om udstedelse og/eller drift af NemID 3.0

Ved at lægge andre data - pas, kørekort, sygesikring etc. ind - kan man måske - MÅSKE - gøre det forretnings,æssigt attraktivt for mere end een leverandør at byde på løsningen, så man kunne ved denne nytænkning måske komme Michael Aastrup og Mike Legarth imøde samtidigt med at man forhøjede personsikkerheden og man fik forbedret den digitale ID-infrastruktur. Prisen er at vi skal anskaffe smart card læsere, som nu er kommet så langt ned i pris, at de er billigere end en USB-stik.

Men denne type løsning har fungeret i snart 10 år i Estland, så hvorfor ikke?

Lad Teknologirådet fremkomme med forslag til krav til næste udbudsrunde og NemID 3.0 jo før jo bedre!

Regering tager livet af teknologirådet

(Det er IKKE kundskabens træ, Regeringen har spist af!)

Det fremgår af en pressemeddelelse om finanslovsforhandlingerne, at Teknologirådet er faldet ud af den kommende finanslov, og flere medier har kommenteret nyheden: Ingeniørens Ugebrev , LO m.fl.

Det er besynderligt, at ikke af én af finanslovsforhandlerne har så stort et overblik, at de er i stand til at vurdere hvilken skade de forvolder. For de årlige 6 mio kr. som hvert år bevilges til Teknologirådet (uden dyrtidsregulering siden 2002), har vi i Danmark en institution, der er internationalt anerkendt, har fungeret som koordinator for tilsvarende organisationer i EU, deltager i en række internationale projekter (pt PACITA, DESSI m.fl.)(med medfølgende ekstra-finansiering), som netop har modtaget en større bevilling fra Villum-fonden for at støtte Teknologirådets globale projekt World Wide Views on Global Warming, der viste sin værdi før COP15 konferencen og nu løbende benyttes til at høre borgernes observationer og forslag til imødegåelse af klimaændringerne.

Men ser vi kun på de projekter, der er finansieret af de danske bevillinger, må det være klart, at Teknologirådet IKKE befinder sig i omegnen af Bjørn Lomborgs tilgang til klima, men derimod gennem årene har bidraget særdeles positivt til den danske forståelse for teknologiens muligheder og kommet med en række konkrete anbefalinger. Teknologirådet har som princip 'rettidig omhu', d.v.s. at være på forkant af såvel trusler som muligheder og er en uafhængig organisation, med en bestyrelse og et repræsentantskab, der afspejler HELE det danske samfund -fra erhvervsorganisationer, faglige organisationer, NGO'er, forskningskredse og det politiske liv.

Ser vi på de projekter der i de seneste 10 år er udkommet fra Teknologirådet, finder vi en stribe projekter, der på et tidligt tidspunkt hjalp til en informeret meningsdannelse hos borgere, politikere og erhvervslivet. Se den samlede liste over projekter her:

Vi kan bl.a. nævne følgende projekter: Bonnerup rapporten fra 2001: Hvorfor fejler offentlige IT projekter?, Open Source rapporten fra 2002, der satte dagsorden og markerede begyndelsen til udbredelse af OpenSource SW i DK, diverse projekter om sundhed og teknologi, herunder opfindelsen af begrebet Velfærdsteknologi med rapporten om teknologi i ældreplejen, rapporter om EPJ og prioriteringer indenfor sundhedssektoren, genteknologi, det manglende katastrofeberedskab (stadig ikke på plads), en række projekter om IT sikkerhed og beskyttelse af privatlivets fred, en lang række rapporter med konkrete anbefalinger indenfor energi og energiforsyning, intelligente byer og bygninger, effekten af klimaændringer omkring det baltiske hav , fremtidens vandforsyning (6 mdr. før skybruddet!)– læs selv listen over aktiviteter og tænk på, hvor meget hver enkelte rapport ville have kostet, hvis den skulle udarbejdes til dagsraten og med et tungt administrativt udvalgsarbejde under sig. For sølle 6 mio om året sparer man nu en pladshund væk, der udover at være langt mere dynamisk end ABT-fonde, innovationsråd, grundforskningsfonde osv. samtidigt er anerkendt for sin store viden om metoder til at håndtere teknologiske spørgsmål og diskussioner.

Paradoksalt nok er Folketinget stor-aftager af Teknologirådet som organisator af en lang række høringer.

Det er medarbejderne i Teknologirådet, der besidder en helt unik viden om hensigtsmæssige metoder til afdækning af interessenters positioner, borgerinddragelse hvor det er relevant, udfaldsrum for fremtidige scenarier. Denne unikke viden, der beundres af de øvrige europæiske lande, er nu på vej til at forsvinde hastigt.

Jeg kan ikke nok opfordre den nye regering til at tænke sig om en ekstra gang. Der er masser af andre mennesker, der burde være hørt, end de, der i dag sidder og forhandler i Finansministeriet.

E-Valg: Hvordan Danmark fortsat har til hensigt at sakke agterud i den digitale udvikling

Teknologirådets længe ventede rapport om 'e-Valg – en udfordring for demokratiet?' blev lanceret ved et møde den 21.3, hvor arbejdsgruppen under ledelse af Christian Werner-Tougaard, Rådet for større IT-sikkerhed, fremlagde rapporten for 2 politiker-paneler, først Indenrigs- og Sundhedsminister Bertel Haarder flankeret af Københavns overborgmester, tidligere Teknologiminister Frank Jensen, og i anden runder for Frederiksbergs Borgmester Jørgen Glenthøj og Socialdemokratiets IT-ordfører Yldiz Ardogan. Fremmødet var usædvanligt talrigt, og en række kommunale, indenrigsministerielle specialister var til stede sammen med IT-folk, journalister m.v.

Baggrunden for rapporten var bl.a. den tidligere videnskabsminister Sanders og økonomiminister Bendt Bendtsens begejstring for det estiske on-line valg i 2007 (Og igen i 2011) og det første forsøg på e-valg, som Bertel Haarder faktisk gennemførte til menighedsrådsvalget i efteråret 2008.

Som tidligere omtalt har Teknologirådet afhoildt 2 arbejdsmøder, som jeg havde fornøjelsen at deltage i, og med færdiggørelsen af rapporten skulle vejen nu være banet for at man i Danmark kan begynde at arbejde med digitale valg. De 2 borgmestre fra København og Frederiksberg var begge ivrige for at komme i gang, og rådets anbefaling om at gennemføre e-Valg til kommunalvalget i 2013 i mindst 3 kommuner, ser ikke ud til at mangle villige kommuner.

Men hvad er det så, teknologirådet anbefaler? I udfaldsrummet mellem særligt udstyr i lukkede, kontrollerede miljøer og en helt åben on line afstemning fra enhver PC (eller mobiltelefon, iPad etc), har man valgt at anbefale en løsning baseret på PC'er, der ikke er opkoblet, og som installeres enten i et valglokale eller i en valgbus, hvor man kan stemme på digitale valglister, så man f.eks. også kan stemme på kandidater i andre kommuner, end der hvor valgbussen holder.

For at styre dette stiller man følgende krav til 'valgbox-PC'en': (Citat fra rapporten)

”Den digitale valgboks klargøres i kommunerne med en programpakke leveret fra en central myndighed. For at sikre, at der er kontrol med pc’en, må der ikke være installeret anden software på den under valget. Programpakken indeholder et standard styresystem, et valgprogram og et sikkerhedsprogram. Pc’en skal være “hærdet” – det vil sige, at man ikke skal kunne forandre terminalen, når denne først er klargjort. Ligeledes skal ekstern tilgang blokeres (USB, CD/DVD-drev etc. skal digitalt afblændes).

De digitale valgbokse skal hele tiden befinde sig i et kontrolleret miljø – enten i form af sikret opbeva

ring, en bemandet valgbus eller et valglokale.

Der foretages en permanent opkobling til det centrale e-valgsystem eller ved hver stemmeafgivning. Pc’en kan kobles trådløst på internettet og kommunikerer via en VPN-linje (Virtuel Private Network), hvor data bliver krypteret, og der er sikkerhed for, at stemmer modtages fra en autoriseret valgboks. Ved stemmeafgivningen printes ligeledes en papirstemmeseddel.”

Årsagen til at man har valgt denne tunge og arbejdsintensive løsning er, at man især har hæftet sig ved, at enhver usikkerhed om afstemningsmetoden vil have en negativ effekt på tiltroen til demokratiet, og ved ydermere at 'nøjes' med at kalde dette for 'en udvidet brevstemme-model', er det håbet, at man gradvist vil kunne bevæge sig mod mere sofistikere løsningsmodeller i takt med befolkningens digitale modenhed og – fristes man til at sige – kommende krav om en moderne

valghandling fra post-facebook generationen.

De grunlæggende principper for e-Valg som Rådets arbejdsgruppe har opstillet som ufravigelige, er:

• e-Valg skal have central styring og ansvarsplacering

• Der skal nedsætes et uafhængigt organ med rådgivnings- og revisionsfunktion

• De økonomiske konsekvenser af e-Valg bør afklares

• Der bør skabes en valgmodel med mobile valgsteder med internetopkobling til forsøgsprojekt

• Valget bør baseres på fleksible (læs: Elektroniske) valglister og stemmesedler

• Der bør gennemføres et forsøgsprojekt med mindst 3 kommuner i 2013

• Effekterne af forsøg med digitale valg skal evalueres systematisk

• Tag borgerne med på råd

Hvorfor er det så ikke godt nok? Alle tilstedeværende var enige om, at det var en meget fornuftigt løsning, der ikke vil indebære nogen risici, og kommunerepræsentanterne syntes, at det var en overkommelig og praktisk løsning. Yldiz Ardogan, der er tilfordordnet valgstedet på Tingbjerg, syntes især om 'bussen', så man måske kunne få flere indvandrere og efterkommere til stemmeurnerne.

Men efter at have deltaget i Danmark 3.0 møderækken og efter at have set hvad andre lande gør, må jeg sige, at jeg er skuffet over den mangel på initiativ og fremsyn, som både arbejdsgruppen og politikerne udviser. Estlands valg i 2005 og igen i 2011 er baseret på en solid identifikationsmodel for den enkelte borger, og indebærer både sporbarhed, anonymitet overfor selve den foretagne afstemning samt ikke mindst muligheden for konstant at omgøre sin stemme indtil valget lukker, hvilket skulle forhindre familiemæssig eller anden form for stemmepression. 25% af esterne stemte ved sidste valg. At kontrollen virker, fremgår af at det var lykkedes én person at hacke sig ind i systemet, så vedkommende stemte 500 gange. Det blev noteret og slettet.

I Norge gennemfører man i år on line afstemninger i 11 kommuner. Ligesom i Estland med den mulighed, at man kan møde op på valgstedet og omgøre sin elektroniske stemme.

Når man ikke har turdet foreslå den åbne afstemningsform er det efter min mening først og fremmest fordi vores personidentifikationssystem er så rudimentært, at det ville se komplet fjollet ud, hvis man på et valgsted skulle identificere sig selv ved hjælp af et papkort. Hvis Danmark virkelig VIL noget i den digitale Verden er det på høje tid at udskifte vores identifikationssystem med et langt mere robust og differentieret system, som f.eks. det tyske ID-system. Nu har vi så efter eet års forsinkelse fået valgt et meget begrænset system til biometriske pas, hvor muligheden for eksempel for revokering i tilfælde af misbrug eller ønske om anonymisering, godkendt af en domstol, tilsyneladende slet ikke er tænkt ind. Der sker ingen fremskridt på området, før pas, sygesikringskort, ID-kort, kørekort f.eks. tænkes ind i samme løsning. Det bliver ikke i 2013, og det er tvivlsomt om vi kan nå at få egentlige e-Valg inden 2020 med de lave ambitioner på den danske befolknings vegne, som her er demonstreret så klart. At Århus kommune i 2011 forsøger at demonstrere en anden model, rykker måske ikke så meget.

I stedet får vi så en løsning, der kommer til at indebære en masse diskussion og udbud om udvikling af specielt dansk afstemningssoftware, særlige databaser til opbevaring af valglister, uendeligt arbejde med at installere og kontrollere standard PC'er, der skal konfigureres og boltes fast.

Det bliver dyrt, det kommer ikke til at holde mere end én valgperiode, og det ville have været klædeligt, hvis man havde erkendt, at det kun er ved standardiserede sikkerhedsløsninger, man får en bedre fremtid på nettet.

Som effekt anfører man desuden bl.a.:

Den tekniske løsning er fleksibel

Løsningen vurderes at have en fornuftig økonomi

Udvikling og afprøvning af denne løsning åbner mulighed for systemeksport

Den tekniske løsning er ikke fleksibel, hvis man ikke kan bruge f.eks. smartphones, og selv om den SW man udvikler, skal gøres til Open Source, er det ikke det samme som at den automatisk følger med den tekniske udvikling uden en løbende indsats.

Den fornuftige økonomi er for mig et meget stort spørgsmålstegn, da arbejdsindsatsen for at installere, vedligeholde og overvåge løsningen er meget stor i forhold til en generel ID-Management model med tillæg af selve afstemningsprogrammet.

Systemeksport?? De vil grine højt af os – i hvertfald i Estland og i Norge. Næ, hvem vil købe en brugt NemID-løsning om 3 år?

Farvel til Teknologirådet ?

Af: Peter Duetoft og Søren Duus Østergaard.
Afgående medlemmer af Teknologirådets bestyrelse, hvor de har siddet siden 2002. Peter Duetoft (S), er udpeget af Forskningsministeren og Søren Duus Østergaard (IBM) er indstillet af DI og DA. Peter Duetoft er tidligere formand for Folketingets Finansudvalg. Han arbejder i dag bl.a. som International Demokrati Specialist. Søren Duus Østergaard er senior eGovernment rådgiver for IBM i Europa, Mellemøsten og Afrika.
----------------------------------------------------------------------------------

Hvis man bruger sit dankort for meget, kan man få en pille mod det! Overrasket? Ja, det var vi. Men medicin mod ludomani kan også bruges til at styre adfærd på andre områder. Det gravede Teknologirådet mere i, og resultatet blev projektet ’Medicin til raske – en syg ide!’. Man kan rejse spørgsmålet: “Hvordan ville verden se ud, hvis Hitler havde haft en sådan adfærdsregulerende medicin?” Det, der er godt i sygdomsbekæmpelsen, kan være slet, hvis det misbruges.

Sådanne modsætninger fører let til grøftegravning i teknologidebatten. Enten elsker man nærmest ukritisk ny teknologi – eller også er man så ræd, at man er ked af at hjulet blev opfundet rundt. Imidlertid er det her som på så mange andre områder mellemvejen, der er den rigtige. Teknologirådet har i en årrække spillet en væsentlig rolle for teknologiforståelsen i Danmark. Rådet har skabt baggrundsviden, rejst debatter og foretaget udredninger, der har medvirket til, at teknologidebatten hverken er endt i den ene eller den anden grøft.

Vi har begge haft fornøjelsen at deltage i rådets arbejde siden 2002, men da man ifølge reglerne kun kan deltage i 2 perioder, er det nu blevet tid til at sige farvel til Teknologirådet. Siden 2000 er der sket en politisk nedprioritering af Teknologirådets budgetter. Vi frygter, at dette meget nemt kan give som resultat, at det ikke bare er os, der skal tage afsked med Teknologirådet.

Teknologirådet skal fremme en bred teknologidebat i Danmark for at skabe indsigt og forståelse for væsentlige teknologiske muligheder og konsekvenser. Rådets opgave er som uafhængigt organ at rådgive regering og Folketing indenfor det teknologiske område.

Teknologirådet fik sin nuværende mission i 1995, hvor rådet afløste Teknologinævnet. For at sikre uafhængighed og en bred forankring i samfundet, har rådets bestyrelse 7 repræsentanter for erhvervsliv, faglige organisationer og kultur/samfundsliv, samt formanden og 3 bestyrelsesmedlemmer der udpeges direkte af videnskabsministeren – i alt 11 medlemmer. Bestyrelsen suppleres af et repræsentantskab på 50 medlemmer, der ligeledes udpeges blandt danske organisationer. Den store bredde i sammensætningen sikrer, at der hvert år kommer en mangfoldighed af ideer til mulige indsatsområder, både fra det direkte bagland, men også fra andre dele af samfundet. Typisk mere end 100 forslag, som bestyrelsen så prioriterer mellem, støttet af sekretariatet.

Rådet som sådan besidder ikke sagkundskab på alle de områder, vi beskæftiger os med. Men sekretariatet er derimod specialister i metoder og processer ligesom det er dygtigt til at finde de relevante eksperter og debatdeltagere. Dermed sikrer rådet resultater, der kan afdække interessekonflikter, finde mulige løsningsområder og skabe en god forståelse for forskellige udviklingsmønstre.

I den periode, vi har haft fornøjelsen at sidde i rådets bestyrelse, har vi været vidne til en strøm af spændende og højaktuelle rapporter, der har formået at sætte dagsordenen indenfor et bredt spektrum af discipliner: Energi: (Når den billige olie slipper op, Energiteknologi som vækstområde, Fremtidens danske energisystem); Miljø (Vandstandsstigning, Nye typer genmodificerede planter, Pris på miljøet, Global borgerinddragelse op til klimakonferencen 2009); Sundhed (Pervasive Healthcare, Prioritering i Sundhedssystemet, Ny teknologi i ældreplejen); IT (Open Source muligheder, Brugernes IT sikkerhed, Sårbarheden i den danske IT-infrastruktur, Sikkerhedsteknologi og privatliv); Trafik (Gratis Offentlig transport?, Morgendagens transportbrændstoffer); Teknologi og globalisering; Teknologi og marginalisering på arbejdsmarkedet; Katastrofeberedskabet; Behovsdrevet innovation; og meget mere … Kig selv videre på http://www.tekno.dk/

Dertil kommer et stort antal høringer, hvor Teknologirådet har assisteret folketingsudvalg og myndigheder med at få overblik over komplekse problemstillinger og eksperternes, borgernes og interesseparternes positioner i debatten.

Brugerne sætter stor pris på Teknologirådets produkter. Det afspejles direkte i en million besøg årligt på rådets hjemmeside og gennemsnitligt omkring 30.000 downloads pr. publikation.

De større projekter koster i gennemsnit 250 – 400.000 kroner. Budgettet går udelukkende til forbrug, eventuelle konferencer, indkøb af information og materialer. Det er ingen overdrivelse at påstå, at skulle tilsvarende udredninger laves i privat regi, ville omkostningerne hertil være 4 – 6 gange så høje.

Når bevillingen er faldende og nu på 64 % af 2000-niveauet, betyder det færre og færre projekter. Mod tidligere 8-10 store projekter pr. år, er vi i handlingsplanen for 2008 nede på 4! Det er lykkedes Teknologirådet opgavemæssigt at kompensere for det faldende reale finanslovsbidrag ved at udføre betalte opgaver for andre, når det med bestyrelsens billigelse har været acceptabelt og uden forvridning af neutraliteten og upartiskheden. Dertil kommer stadig flere EU-finansierede projekter. Så i realiteten er aktivitetsniveauet fastholdt og endda udvidet i vores bestyrelsestid. Problemet er blot, at det demokratiske velafbalancerede prioriteringssystem, som vi har etableret i det danske Teknologiråd, det bliver sat mere og mere ud af kraft, når initiativet flyttes fra bestyrelsen til de eksterne ’købere’.

Konsekvensen er manglende mulighed for at dække alle de områder, som Danmark kunne være foregangsland for og hvor nye virksomheder skulle kunne opstå. Samtidigt mindskes Teknologirådets mulighed for at lave originale projekter med politiske beslutningstagere i fokus, og for at rådgive omkring de samfundsmæssige udfordringer ved teknologien.

I international sammenhæng har det danske Teknologiråd en fornem placering. Det tværeuropæiske samarbejde med parallelle organisationer i Europa, har klart demonstreret Rådets førerstilling indenfor metodeudvikling og som styringsmodel. Det norske Teknologiråd er direkte kopieret efter det danske, det flamske og schweiziske meget stærkt inspirerede af os, og i en række EU-finansierede projekter er det danske Teknologiråd i en koordinerende eller meget indflydelsesrig rolle. Vores projekter har dannet udgangspunkt for EU-lovgivning og flere europæiske projekter – blandt andet i regi af EU-Parlamentet.

Teknologirådet har en anerkendt ekspertise i borgerinddragelse, høringsteknikker osv. Metoder, der skaber åbenhed og dynamik i vort demokrati, hvilket har en vigtig international betydning. Ét af de store problemer i de nye demokratier rundt om i verden er inddragelsen af borgerne i beslutningsprocesserne. Fra den diktatoriske tid er man jo vænnede til at overhøre borgerne – nu skal de pludselig høres. De metoder, Teknologirådet har udviklet, kan spille en væsentlig rolle i det arbejde og har gjort det i flere lande. Dermed bidrager Teknologirådet til styrkelse af en udvikling, EU, FN og Danmark prioriterer højt. En sådan sideeffekt er ganske væsentlig.

Om 5 år er det farvel til Teknologirådet for altid, hvis man ikke prioriterer Rådets budgetter højere. Bestyrelsen vil til den tid ikke kunne leve op til rådets målsætninger, hvis bevillingens størrelse hindrer gennemførelse af projekter i et vist antal og en vis størrelse. Om 5 år vil bevillingen nemlig være halveret i købekraft i forhold til 2000 og bestyrelsen vil så kun kunne igangsætte et par opgaver årligt.

Der er intet der tyder på, at der vil være et faldende behov for Teknologirådet, absolut tværtimod. Skal Danmark være et teknologisk foregangsland, må man sikre den kvalificerede debat og forståelsen i brede kredse for de muligheder, teknologien i videste forstand kan tilbyde. Det kan rent forskningsprægede aktiviteter og ekspertudvalg ikke sikre. Ej heller kan de statslige institutioner og kampagner. Fremtiden for Danmark er vidensbaseret. Men den fremtid skabes kun med indsigt og folkelig opbakning. Derfor: Kvæl ikke Teknologirådet.