Mens vi andre holdt sommerferie blev en amerikansk netværksadministrator arresteret.
Søndag den 13. juli satte politiet Terry Childs i forvaring, efter at han havde nægtet at oplyse adgangskoderne til routere og switche i San Franciscos kommunale lysledernetværk.
En uge senere fik han besøg af byens borgmester, som kunne forlade fængselscellen med de ønskede adgangskoder.
Terry Childs står nu anklaget for at have forsøgt at skade computerne på San Francisco lysledernetværk, som han var administrator for. Anklagerne mener, at han tog netværket som gidsel, fordi han frygtede at miste sin stilling.
Eneste med adgang
De adgangskoder, som han ikke ville oplyse, giver adgang til at konfigurere netværksudstyret. Han var den eneste medarbejder, der havde koderne. Og han havde konfigureret enhederne sådan, at al adgangskontrol blev styret lokalt.
Oven i købet havde han slået muligheden for at nulstille password fra: Hvis man gjorde det, ville konfigurationen samtidig forsvinde, så enheden ikke længere ville virke.
Det er en kompliceret sag.
Ifølge anklagerne er Childs en hævngerrig, utilfreds ansat, der med vilje konfigurerede systemet til at bryde ned, hvis der opstår et strømudfald.
Ifølge en kollega er han snarere en ekstremt pligtopfyldende administrator, der frygter, at hans netværk bliver ustabilt, hvis andre piller ved det.
I sin blog på Infoworld refererer Paul Venezia således en anonym kollega til Childs. Han forklarer, at Childs reelt opbyggede byens lysledernetværk.
Han indkøbte, konfigurerede og installerede routere og switche. Terry Childs har Ciscos højeste netværkscertificering, Cisco Certified Internetwork Expert.
Ifølge samme kilde var cheferne i bystyret indforstået med, at han som den eneste havde adgang til at konfigurere netværksudstyret.
Fordel viden og ansvar
Uanset hvad sandheden er, kan vi lære noget af sagen.
Det er altid en god ide at undgå såkaldte "single points of failure" - og det gælder, hvad enten vi taler programmer, hardware eller mennesker. Hvis kun én person har en oplysning, er organisationen fuldstændig afhængig af vedkommende.
Hvad ville Terry Childs' chefer have gjort, hvis han blev slået ihjel i en ulykke? Så var der ingen jordisk mulighed for at konfigurere udstyret uden at nulstille det.
Passwords til andet end personligt udstyr skal opbevares, så alle relevante brugere kan få adgang til dem.
Mens vi venter på afgørelsen i sagen mod Terry Childs, kan vi glæde os over, at det sjældent kommer så vidt, at administratorer ligefrem bliver sat i fængsel.
Men mon ikke du også kender til it-systemer, der reelt er afhængige af, at en bestemt person er tilgængelig?
DK-CERT (www.cert.dk) er det danske Computer Emergency Response Team. I samarbejde med tilsvarende CERT'er over hele verden indsamler DK-CERT information om internetsikkerhed. DK-CERT udsender advarsler og tager imod anmeldelser af sikkerhedsrelaterede hændelser på internettet.
DK-CERT's leder, Shehzad Ahmad, opdaterer den sidste fredag i hver måned Computerworlds læsere med de seneste tendenser inden for it-sikkerhed.
