Orme kan føre til offentlig IT-kontrol

Det skriver i IT-avisen ComON i denne uge.

I USA, der indtog førstepladsen, ventes politikerne i Kongressen til efteråret at diskutere et forslag om, at virksomhederne fremover skal redegøre for deres IT- og internetsikkerhed på samme måde, som de i dag indberetter oplysninger om arbejdsmiljø og arbejdssikkerhed.

Set i lyset af hvor stor skade Sobig.F og Blaster gjorde i de danske netværk i august måned, rejser spørgsmålet sig, om ideen skal overføres til danske forhold.

Fra politisk hold finder Socialdemokraternes IT-ordfører, Thomas Adelskov, ideen sympatisk.

»Jeg synes, at der bør overvejes en dansk model. IT-sikkerhed er ikke længere kun et spørgsmål om den enkelte virksomheds egen usikkerhed, men i lige så høj grad et sårbarhedsspørgsmål for hele samfundsøkonomien,« siger Thomas Adelskov.

Men hos HTS - Handel, Transport og Serviceerhvervene frygter man, at en indrapporteringsordning vil lægge yderligere administrative byrder på især de mindre og mellemstore virksomheder.
»Vi er usikre på, hvor stor konkret effekt det vil have. Vi frygter, at det bare vil ende i papirnusseri og endnu mere administrativt bøvl for virksomhederne,« siger afdelingsleder i HTS, Carlos Villaro Lassen.

En af ideerne med forslaget om indrapportering er, at ikke bare den IT-ansvarlige, men også virksomhedens øverste ledelse bliver opmærksom på IT-sikkerheden. Men det argument køber man ikke hos HTS.
»Cheferne vil alligevel sende skemaet ned til IT-afdelingen og bede dem om at udfylde det,« siger Carlos Villaro Lassen.

Ved et virus- eller hackerangreb er det virksomhederne selv, det går værst ud over, og det er derfor i deres egen interesse at sikre sig.
»Et angreb kan lamme virksomheden i flere dage og resultere i mistet omsætning. Det er virksomhederne godt klar over, men samtidig er det dyrt at sikre sig ordentligt, og vi mener det skal være op til virksomhederne at bestemme, hvornår de har råd til de konkrete investeringer i IT-sikkerhed. Myndighederne skal opdrage virksomhederne, men ikke decideret stille krav,« siger Carlos Villaro Lassen.

Men når det er sagt, erkender han også, at kravet om indrapportering af IT-sikkerhed formentlig bliver en realitet en dag.

»Hvis først det starter i USA, så vil det en dag komme til Danmark og blive indført her, ligesom vi har set det med eksempelvis Corporate Governance,« siger Carlos Villaro Lassen.