Det fremadstormende it-sikkerhedsfirma CSIS, der håndterer sikkerheden for størstedelen af de danske pengeinstitutter, har tilsyneladende brugt den trademark-beskyttede betegnelse CERT i ugevis uden at have fået lov.
Skiftede navn
Det fremgår af materiale postet flere steder på nettet af ukendte afsendere, som spiller på stilelementer brugt af hackergruppen Annonymous.
Materialet viser, at sikkerhedsfirmaet CSIS i forbindelse med lanceringen af en ny sikkerhedstjeneste efter omkring tre uger ændrede reklamematerialet og navnet på tjenesten.
I første omgang kaldte CSIS tjenesten for CSIS-CERT (Computer Emergency Response Team), men efter tre uger hedder tjenesten i det nye reklamemateriale pludselig CSIS-CSIRT (Computer Security Incident Response Team).
De to udgaver af reklamematerialet er overordnet set stort set identisk, men ordet CERT er skiftet ud med CSIRT, ligesom der er mindre ændringer i beskrivelserne.
Kan søge om brug af CERT
Det er det amerikanske universitet Carnegie Mellon, som ejer rettighederne til CERT-navnet, og som bestemmer, hvem der kan få tilladelse til at bruge den trademark-beskyttede betegnelse.
Der er tilsyneladende i øjeblikket højst omkring 60 institutioner i verden, som har lov at kalde sig CERT, fremgår det af en liste på hjemmesiden hos Carnegie Mellon.
Universitetet oplyser på hjemmesiden, at "interesserede Computer Security Incident Response Teams, der deler vores engagement omkring forbedring af sikkerheden for internet-forbundne net, kan ansøge om at få lov at bruge "CERT"-mærket i deres navn."
Som udgangspunkt er det gratis at bruge, og det er typisk myndigheder, men også en række private firmaet, som har opnået ret til at kalde sig CERT.
Tester ikke kvalitet
I Danmark har eksempelvis den statslige it-sikkerhedsmyndighed GovCERT opnået officiel tilladelse til at benytte betegnelsen.
En tilladelse fra det amerikanske universitet til at benytte betegnelsen CERT er imidlertid ikke det samme som en blåstempling af den faglige kvalitet ved den givne myndigheds eller private firmas it-sikkerhedsinstitution, der i stedet foregår gennem medlemskab af andre sammenslutninger, erfarer Computerworld.
Fodfejl
Hos CSIS bekræfter teknisk direktør Jan Kaastrup, der har ansvaret for den nye tjeneste, at firmaet har ændret navnet på tjenesten efter lanceringen.
"Vi har lavet en fodfejl, fordi vi ikke har været opmærksomme på, at CERT-navnet er trademark-beskyttet," siger han.
Jan Kaastrup fortæller, at CSIS meget hurtigt blev kontaktet af Carnegie Mellon, der stille og roligt sendte firmaet en ansøgningsformular i forbindelse med, hvad Jan Kaastrup kalder en meget positiv dialog.
"Men vi besluttede os så for at kalde os CSIRT i stedet for CERT, hvilket i virkeligheden også er mere sigende," siger han.
Han fortæller, at CSIS trods navnekiftet alligevel har søgt om lov til at bruge CERT-trademarket, men at firmaet holder fast i det nye produktnavn CSIRT, selvom de eventuelt får lov at benytte CERT-betegnelsen.
"Det er mere for at få lov til at bruge deres logo på hjemmesiden," siger han.
De ukendte afsendere af CSIS-kritikken på nettet er med stor sansynlighed ikke fra Anonymous.
Det afslører afvigelser i den velkendte ideologiske signatur, som Anonymous almindeligvis benytter.
Her står der normalt:
We are Anonymous
We are Legion
We do not Forgive
We will not Forget
Expect us.
Men i materialet om CSIS står der:
We are not Anonymous.
We are not Legion.
We do forgive.
We do not forget.
We will be watching.
Expect us.
