Public Key InfrastructureKan ett systeminförande med PKI förbättra rutiner

avseende IT-säkerhet?

Examensarbete utfört inom området data- och systemvetenskap vidLuleå Tekniska Universitet

avLena WesterlundÅsa Åström

Luleå 01-05-21

Handledare:Dan Harnesk, Luleå tekniska universitet

Institutionen för industriell ekonomi och samhällsvetenskap

Avdelningen för Data- och systemvetenskap

Sammanfattning

Detta examensarbete behandlar PKI (Public Key Infrastructure) och säkerhet.Syftet med rapporten var att undersöka om ett systeminförande med PKI i ettföretag, kunde förbättra vissa rutiner rörande IT-säkerhet. Vi ville se om rutin-förändringen har medfört att arbetet har underlättats för den som utför rutinen.Vi har försökt skapa oss en helhetsbild av ämnesområdet genom litteraturstudieroch fallstudie. Fallstudien har omfattat intervjuer med IT-säkerhetschef och enanvändare inom Västernorrlands läns landsting. Vi har funnit att landstinget viundersökt har förbättrat säkerheten i och med systeminförandet med PKI. Dennaundersökning har inte kunnat verifiera någon rutinförbättring orsakad av PKI-införandet.

Abstract

This paper deals with PKI (Public Key Infrastructure) and security. The purposeof this study was to examine whether a systemimplementation with PKI in acompany, could improve some routines concerning security. We wanted to seeif the change in routines has made the work easier for the person that performsthe routine. We have tried to make ourselves an overall picture of the subject fieldthrough literature studies and case study. The case study has included interviewswith an IT-security manager and a user within Västernorrlands läns landsting. Wehave found that landstinget we studied has made improvements concerning IT-security when they have implemented a system with PKI. In this study we have notbeen able to verify any improvements in routines caused by the implementationwith PKI.

Förord

Denna rapport är ett resultat av vårt examensarbete på C-nivå (10 p) i system-vetenskap på avdelningen för data och systemvetenskap vid Luleå tekniskauniversitet.

Vi har valt att studera området PKI och säkerhet vid elektroniska transaktioner pgavårt stora intresse för denna nya teknik.

Vi vill rikta ett stort tack till:

• Dan Harnesk, vår handledare vid Luleå tekniska universitet• Annika Holmgren och Kristina Bergström, Avantra AB i Luleå för hjälp och

stöd, och för att resan till Härnösand möjliggjordes• Hans Asplund, IT-säkerhetschef vid Västernorrlands läns landsting, för all hjälp

och för intervjun• Henrik Bjerneld, Sema i Sundsvall, för hjälp med uppstart, tips om fallstudie

och för bildspelet• Eva Andersson, 1:e tandsköterska vid Alnö tandkliniken vid Västernorrlands

läns landsting för intervjun

Luleå den 21 maj 2001

…………………………………………….. …………………………………………

Lena Westerlund Åsa Åström

1 INLEDNING .............................................................................................................................. 1 1.1 BAKGRUND .......................................................................................................................... 1 1.2 PROBLEMOMRÅDE............................................................................................................ 1 1.3 SYFTE .................................................................................................................................... 2 1.4 HYPOTES MED DEFINITIONER...................................................................................... 2 1.5 VARIABLER...........................................................................................................................3 1.6 AVGRÄNSNINGAR .............................................................................................................. 3 1.7 MÅLGRUPP OCH FÖRKUNSKAPSKRAV ........................................................................ 42 METOD ...................................................................................................................................... 5 2.1 ARBETSPROCESS ............................................................................................................... 5 2.2 UNDERSÖKNINGS- OCH FORSKNINGSANSATS.......................................................... 5 2.2.1 Metod – Fallstudie ........................................................................................................... 6

2.3 DATAINSAMLINGSMETOD ............................................................................................... 6 2.3.1 Intervjuer ......................................................................................................................... 7

2.4 URVAL ................................................................................................................................... 73 TEORI ........................................................................................................................................ 9 3.1 SYSTEMINFÖRANDE ......................................................................................................... 9 3.1.1 Syfte med informationssystem.......................................................................................... 9 3.1.2 Vinster vid systeminförande ........................................................................................... 10

3.2 SÄKERHET – BEGREPP OCH DEFINITIONER........................................................... 11 3.2.1 IT - säkerhet .................................................................................................................. 11 3.2.2 Hot ................................................................................................................................ 12 3.2.3 Skyddsåtgärder ............................................................................................................. 13

3.3 PKI ....................................................................................................................................... 15 3.3.1 Vad är PKI? ................................................................................................................... 15 3.3.2 Elektroniska signaturer .................................................................................................. 15 3.3.3 Identifiering .................................................................................................................... 17 3.3.4 Kryptering ....................................................................................................................... 18 3.3.5 Användningsområden för PKI ........................................................................................ 19 3.3.6 Fördelar och nackdelar .................................................................................................. 20 3.3.7 Rutiner. ............................................................................................................................ 20

4 EMPIRI .................................................................................................................................... 23 4.1 VÄSTERNORRLANDS LÄNS LANDSTING.................................................................... 23 4.1.1 Från ”Closed User Group” till PKI..............................................................................23 4.1.2 Pilotprojektet för PKI inom landstinget..........................................................................24

4.2 ANALYSFÖRFARANDE .................................................................................................... 25 4.2.1 Analysens upplägg .......................................................................................................... 25 4.2.2 Faktorer av vikt för datainsamling ................................................................................. 26 4.2.3 Utformning av intervjuguide .......................................................................................... 27 4.2.4 Tolkningsförfarande ........................................................................................................ 27

4.3 RESULTAT .......................................................................................................................... 28 4.3.1 Resultat – IT-säkerhetschef ............................................................................................ 28 4.3.2 Resultat – användare ...................................................................................................... 31

4.4 SAMMANSTÄLLANDE RESULTATTOLKNING ............................................................ 33 4.5 ANALYS................................................................................................................................35

INNEHÅLLSFÖRTECKNING

INNEHÅLLSFÖRTECKNING

5 SLUTSATS................................................................................................................................37 5.1 SLUTSATS............................................................................................................................37 5.2 METODDISKUSSION.........................................................................................................37 5.3 EGNA REFLEKTIONER....................................................................................................38 5.4 FÖRSLAG TILL FORTSATTA STUDIER.........................................................................396 REFERENSLISTA.....................................................................................................41

BILAGA AIntervjusammanställning IT-säkerhetschef.....................................................................................

BILAGA BIntervjusammanställning användare...............................................................................................

BILAGA CLagen om Kvalificerade elektroniska signaturer.............................................................................

BILAGA D Systemöversikt LVN........................................................................................................................

FigurförteckningFigur 1: Infrastruktur för elektronisk signatur………………………………………………. 16Figur 2: Asymmetrisk kryptering……………………………………………...……………...18Figur 3: Resultatmatris................. ……………………………………………………………35

1

1 INLEDNING

1.1 BAKGRUND

Inom det område som vår utbildning specialiserar sig mot, nämligen Interorga-nisatoriska nättjänster, så finns det ett område som vi tycker är viktigt ochintressant, nämligen säkerhet. För att människor ska kunna utbyta varor ochtjänster elektroniskt, så måste man kunna förlita sig på en hög säkerhet.

En av de nyaste teknikerna för att åstadkomma säkra överföringar, är att användaPKI. Det har varit intressant att studera en så pass ny teknik som PKI är och det hargett oss värdefull kunskap. Spridningen av PKI är ännu inte så stor i Sverige, menav datatidningarna att döma så kommer det starkt. Vi tror att detta system kan fåstor användning inom framför allt stora, ekonomiskt stabila företag och myndig-heter. För de företag/myndigheter som har behov av hög säkerhet och har pengaratt satsa, så är detta definitivt något att överväga.

1.2 PROBLEMOMRÅDE

Spridningen av information på elektronisk väg har ökat de sista åren. I takt meddenna ökning uppmärksammas också hoten. Olika hot kräver olika skyddsåtgärderoch det gäller att vara förutseende om man vill undgå att drabbas. Internt inomföretag är det lättare att skydda sig eftersom man oftast känner varandra, men vidinformationsöverföring på oskyddade nät som exempelvis Internet kan man aldrigvara säker på att den man kommunicerar med är den han/hon utger sig för att vara.Exempel på sätt att skydda sig mot dessa hot, är användning av ett elektronisktID-kort för att identifiera sig eller att kryptera informationen innan den sänds.

Elektroniska affärer är ett område som utvecklats mycket under de sista årenoch då framför allt de affärer som görs mellan företag/myndigheter. I en artikeli Computer Sweden (nr 32, 2001), berättades nyligen att utvecklingen för företaginom detta område går dåligt. Bedrägerier slår hårt mot företagens vinst. TomCarthy (refererad i SIG Security, 1999) har gjort en undersökning som visar attmånga företag upplever att ett av de största hindren för att göra elektroniskaffärssamverkan på Internet, är att säkerhetsfrågorna inte är lösta.

INLEDNING

2

Olika system kan användas för att göra överföringar säkra. Under de sista åren haren helt ny typ av lösningar utvecklats. Samlingsnamnet för dessa är PKI, vilket stårför Public Key Infrastructure. Inom dessa system använder man sig av asymmetriskkryptering i kombination med ett stort regelverk. Detta leder till att man på ett heltannat sätt än tidigare kan förlita sig på andras identitet. Den nya lagen om kvalifi-cerade elektroniska signaturer ger dessutom en juridisk giltighet, vilket bör kunnaunderlätta dessa transaktioner. I boken ”Elektroniska signaturer” av AndreasHalvarsson och Tommy Morin (2000) kan man läsa att analytiker tror att mark-naden för dessa system är mycket lovande på grund av fyra faktorer: juridik,teknik, standard och Internet. Systemen tros även kunna förbättra företagens säker-het och effektivisera rutiner åtskilligt. Men gör de verkligen det? I Västernorrlandsläns landsting pågår sedan 1999 ett pilotprojekt kring PKI. Har deras säkerhetblivit högre och rutinerna blivit förbättrade sedan de införde ett PKI-system? Det ärdetta som vi vill undersöka.

1.3 SYFTE

Vi avser med denna rapport att:

Undersöka hur ett systeminförande med PKI kan påverka vissa rutiner rörande IT-säkerhet.

Med ”vissa rutiner” avser vi de rutiner som kräver ett säkert handhavande. Derutiner vi kommer att undersöka är sådana som respondenterna upplevt blivit för-ändrade.

1.4 HYPOTES MED DEFINITIONER

Den frågeställning vi vill undersöka är:

Kan ett systeminförande med PKI medföra någon förbättring av vissa rutinerrörande IT-säkerhet?

Definitioner

För att en rutin ska få kallas rutin behöver den inte vara dokumenterad. Därförbedömer vi att även en rutin som inte finns dokumenterad i en rutinbeskrivningingår i denna grupp.

Under förutsättning att syftet för rutinförändringen är att underlätta arbetet föranvändaren, kan en förbättring av en rutin enligt vår definition innebära:

INLEDNING

3

• En övergång från en manuell rutin, till en IT-stödd rutin.• Att rutinen åstadkommer en tidsbesparing för den som utför rutinen.

1.5 VARIABLER

För att kunna undersöka rutinernas förändring, har vi tittat på fem variabler. Dessabeskrivs överskådligt nedan. I kapitel 4 beskrivs de tydligare och kopplingen motteori, samt tolkningen förklaras.

• Rutinsteg. Utifrån beskrivningen av hur rutinen utförs delar vi in rutinen irutinsteg. Dessa ställs i analysen mot varandra för att vi ska se vilken föränd-ring som inträffat. Vi räknar även stegen för att se om antalet minskat.

• Övergång från manuell till IT-stödd rutin. Detta är en av våra definitionerför förbättrade rutiner. Vi vill se om denna övergång skett i och med system-bytet.

• Tidsbesparing. Denna variabel kommer också från vår definition av för-bättrade rutiner. Vi avser att undersöka om systembytet lett till någon form avtidsbesparing för berörda parter, i utförandet av rutinen.

• Säkerhet. Eftersom säkerhet är den största anledningen till att göra ettsystembyte till PKI, så vill vi få bekräftat att systemet fortfarande är säkert.

• Orsak till förändring. Om rutinen har förändrats är det viktigt att se vad somär orsaken till förändringen, PKI eller systeminförandet.

1.6 AVGRÄNSNINGAR

Vi kommer att redogöra teoretiskt för grunderna till ett systeminförande i form avsyfte och vinster. Beträffande rutiner kommer vi att redogöra för varför rutiner ärviktigt, samt koppla rutiner till säkerhet och PKI.

Inom området säkerhet kommer vi endast att ta upp de bitar som behövs för för-ståelsen för PKI, nämligen IT-säkerhet. Vi kommer inte att redogöra för denadministrativa säkerheten. Inom områdena hot, risk och skyddsåtgärder, kommervi endast att ta upp de bitar som berör grundkraven inom säkerhet. Vi kommer attredogöra för syftet och grunderna för informationsklassificering, utan att gå in påhur klassindelningen ska göras.

Inom området PKI kommer vi att redogöra för grunderna till elektroniska signa-turer, identifiering, kryptering och signering, och sådant som behövs för att skapaen helhetsbild över detta. Rapportens tekniska bitar ska endast ge en grundför-ståelse, och är därför inte djupt beskrivna. Inom området kryptering kommer vi attredogöra för grunderna för asymmetrisk kryptering.

INLEDNING

4 INLEDNING

Vi kommer däremot inte att gå in i själva krypteringsalgoritmerna, eftersom de ejär nödvändiga för förståelsen av området. Vi kommer ej heller att förklara eventu-ella protokoll som nämns i rapporten. Vi avser ej att mäta i vilken utsträckningrutinen har förbättrats, utan hur den har förbättrats. I vår analys kommer vi inte attundersöka tekniska faktorer.

1.6 MÅLGRUPP OCH FÖRKUNSKAPSKRAV

Med denna rapport vänder vi oss främst till personer som arbetar med eller ärintresserade av säkerhet vid elektroniska transaktioner. Exempel på personer somrapporten lämpar sig för är:

• dataansvariga inom företag• IT-säkerhetsansvariga inom företag

Det är även tänkbart att en användare med goda datakunskaper, kan ta del av vissadelar av rapporten.

Tyngdpunkten i teoridelen i vår rapport ligger inom områdena systeminförande,säkerhet och PKI. För att aktivt kunna ta del av innehållet i rapporten bör manbehärska centrala begrepp inom säkerhet, data- och datorkommunikation.

5

2 METOD

I detta kapitel beskriver vi arbetsprocessen, som lett fram till det färdiga arbetet,vår undersökningsansats, forskningsansats och datainsamlingsmetod.

2.1 ARBETSPROCESS

Vår studie påbörjades med litteraturstudier inom vårt tilltänkta problemområde.Utifrån litteraturen identifierade vi problemområdet som vi skulle arbeta inom.Problemområdet, syftet och hypotesen formulerades i skrift. Huvudområdet förstudien beslutades tidigt, men den specifika inriktningen och hypotesen har viredigerat.

Litteraturstudier och nertecknande av teoriavsnittet inom området har pågått underhela vårterminen, parallellt med arbetet att hitta den exakta inriktningen. Eftersomantalet fallstudieföretag inom vårt område var få, så fattade vi beslut om lämpligtföretag innan den exakta hypotesen var klar. Efter att ha diskuterat med en personpå företaget, kunde vi med litteraturen som grund hitta en lämplig frågeställningatt undersöka.

Datainsamlingen utfördes på företaget och därefter påbörjades analysen av detinsamlade materialet. Analys och tolkningar av resultat, återspeglar teori-bakgrunden som finns i rapporten.

Det hela avslutades med att slutsatsen fastställdes och sammanställdes i rapporten.

2.2 UNDERSÖKNINGS- OCH FORSKNINGSANSATS

Avsikten med denna rapport var att undersöka hur ett systeminförande med PKIpåverkar ett företag. Vi ville då specifikt se om detta kunde medföra en förbättringav vissa rutiner rörande IT-säkerhet.

Vi valde fallstudien som metod för att verifiera, alternativt falsifiera vår fråge-ställning.

METOD

6

2.2.1 Metod – Fallstudie

För att pröva vår hypotes valde vi att göra en beskrivande fallstudie, eftersom viville få fram hur ett företag förändrat sina rutiner i och med ett systeminförandemed PKI.

”A case study is an empirical inquiry that investigates a contemporaryphenomenon within its real-life context, especially when the boundariesbetween phenomenon and context are not clearly evident”(Yin, 1994, sid. 13).

Vi insåg att med tanke på våra begränsade kunskaper inom detta nya område somPKI är, så skulle en fallstudie kunna ge oss de data som vi var intresserade av attsamla in. Eftersom tekniken är relativt ny så fanns det inte så många lämpligaföretag att välja bland. Vi ansåg att det skulle räcka med ett företag som infört PKI,om vi valde ett där användare hade hög kunskap om säkerhet och relativt storerfarenhet av att använda datorer.

Vårt problemområde består av faktorer som ska beskrivas och av personliga hand-lingssätt. Därför har vi använt en metod som ger kvalitativa resultat.

I den kvalitativa metoden använder man sig inte av siffror eller tal, utan iställetverbalaformuleringar, enligt Jarl Backman (1998).

2.3 DATAINSAMLINGSMETOD

För att samla in data valde vi att göra litteraturstudier och intervjuer.

Litteraturstudierna har omfattat teorier kring systeminförande, rutiner, säkerhet ochPKI. Med dessa som grund har vi arbetat med problemformulering, datainsamlinggenom fallstudie, sammanställning av data och analys av denna. Litteraturen tillstudierna har huvudsakligen varit böcker, och till viss del artiklar. Vi har haft vissasvårigheter att hitta generell litteratur avseende systeminförande, men Andersen(1994) och Flensburg m. fl. (1999) beskriver relativt enkelt detta område, varför vii huvudsak har refererat till dem. Inom området säkerhet har det funnits ett stortantal böcker att välja mellan, medan det inom området PKI har varit svårare atthitta litteratur som ger en helhetsbild över ämnet. Eftersom detta område är mycketviktigt för myndigheter, så har Statskontoret gett ut ett antal rapporter rörande PKIoch säkerhet vid elektroniska överföringar. I huvudsak har vi använt oss avHalvarsson & Morin (2000), och kompletterat med Statskontorets rapporter.Litteratur avseende rutiner har varit ett stort problem och vi har därför använt ossav ett antal böcker.

METOD

7

Eftersom antalet respondenter var få, bedömde vi att fallstudien skulle genomförasmed hjälp av personliga intervjuer. Detta för att ge oss ett tydligt resultat. Att väljaenkät som intervjumetod ansåg vi olämpligt, då det kräver större antal respon-denter för att ge den typen av undersökning giltighet. Enkät utesluter oftast möjlig-heten att få fram de svar av beskrivande karaktär, som vi var intresserade av attanalysera.

2.3.1 Intervjuer

Vi ville göra en jämförelse mellan de faktorer vi hittat i litteraturen, och i verklig-heten. Detta möjliggjorde vi genom formuleringen av våra intervjufrågor.Rutinernas förändring tydliggjordes genom att respondenterna fick beskriva vadrutinen bestod av och hur den utfördes. Detta gjordes så utförligt som möjligt, föratt vi skulle kunna räkna de steg rutinen bestod av. Vi ville dessutom få framinfomation om eventuell tidsbesparing, övergång till IT-stödd rutin, om säkerhetenupplevdes förbättrad, samt orsaken till förändringen. Detta analyserades sedankvalitativt och sammanställdes i form av en matris.

Intervjuerna har gjorts med två yrkeskategorier inom företaget, IT-säkerhetschefoch användare. Detta för att få ett bredare perspektiv över den påverkan införandetkunde ha. Eftersom den data vi ville få fram var av beskrivande karaktär, såförsökte vi att inte styra frågorna för respondenterna. Där vi såg att respondentenskunskaper i ämnet var stora, så lät vi han/hon berätta relativt fritt.

Intervjuerna utfördes på plats hos respondenterna, för att vi skulle ha möjlighetatt studera denna nya teknik. Intervjuerna berörde ämnen i teoriavsnittet, menutformades lite olika beroende på respondenternas kunskaper.

2.4 URVAL

Målet med vår datainsamling var att få veta vilka effekter ett systeminförandet medPKI haft på vissa rutiner i ett företag.

Vid valet av företag att studera var urvalet ej speciellt stort, eftersom tekniken vivalt att studera inte är spridd i Norrbotten. Den existerar i övre Norrland endast iform av pilotprojekt på några orter. När vi med hjälp av en konsult inom områdetfått information om vilka tillgängliga företag som fanns, så var valet ganska lätt.Den huvudsakliga anledningen till att vi valde landstinget, var att organisationenhär är hierarkisk och att kunskaperna inom säkerhet här var höga. Inom en hierarkihar olika yrkeskategorier olika behållning från ett datasystem och även olika typerav rutiner som kan förbättras.

METOD

8

Detta borde ge oss ett bredare perspektiv över problemet. Beträffande kunskaperhade vi av den vidtalade konsulten fått veta att detta företag hade de mest kunnigaanvändarna.

Vi kontaktade landstinget och förvissade oss om att de uppfyllde våra kriterier,nämligen att de testat PKI under en period och att de dessutom var intresserade avatt ställa upp på vår undersökning. Kravet vid val av respondenter var att perso-nerna i fråga varit med innan det nya systemet infördes, eftersom vi ville göra enjämförelse mellan det gamla och det nya systemet.För att få en förståelse för vad PKI innebar beträffande teknik och säkerhet, valdevi att först utföra en intervju med IT-säkerhetschefen på landstinget. Eftersom handessutom varit projektledare under hela projektet, så satt han inne med mycketkunskap och förstod vilken påverkan detta införande hade i organisationen. För attytterligare få mer djup i insamlad data, kändes det viktigt att intervjua någon somanvänder denna teknik och vet hur användare påverkas av systeminförandet.Det är inte alla på varje arbetsplats som använder PKI utan endast ett fåtal. PKI-användarna på alla tandkliniker utför däremot samma arbetsuppgifter och vi ansågdärför att det skulle räcka att intervjua en användare. Efter att ha utfört intervjunmed användaren, har vi sedan vänt oss till IT-säkerhetschefen för att från honom fåmer information om rutinernas koppling till systeminförandet/PKI.

METOD

9

3 TEORI

Vi kommer i detta kapitel att redogöra för sådant som gäller generellt vid system-införande. Vidare kommer vi att redogöra för de krav som ställs på ett system förelektroniska transaktioner, hur detta kan uppfyllas, samt teorier och begrepp somfinns inom områdena säkerhet och hot. Vi kommer också att beskriva grunderna förPKI, samt koppla säkerhet och PKI till rutiner.

Avsikten med vårt teoriavsnitt är att ge en helhetsförståelse för dessa områden.

3.1 SYSTEMINFÖRANDE

Ett införande av ett nytt system i ett företag påverkar hela företaget. Vi kommerdärför under denna rubrik att redogöra för syftet med ett systeminförande och vilkavinster som kan uppnås med systeminförandet.

3.1.1 Syfte med informationssystem

Det finns enligt Flensburg och Friis (1999) tre syften med att införa ett informa-tionssystem. Dessa är rutin, kontroll och styrning, samt stöd.

Det första syftet rutin, innebär att vissa rutiner i arbetet kommer att effektiviserasnär datasystemet införs, det blir både snabbare och säkrare än om rutinen skulle hautförts av människor. Flensburg m.fl. (1999) menar att när de rutinbetonade arbets-uppgifter införs i ett datasystem kommer den mänskliga kapaciteten frigöras.

Kontroll och styrning innebär att upplysningar i datorn kan användas i andrasammanhang. Exempelvis så kan affärsstatistik användas av ledningen till besluts-stöd. Problemet var förut att begränsa informationsmängden. Behov av att kunnagöra rapporter som inte innehöll överflödig information uppkom.

För att hantera problemet med informationsöverflöd finns det två lösningar. Denena innebär att man försöker styra informationsresurserna, så att beslutsfattaren fården information han/hon behöver. Den andra är att underlätta framtagandet avad-hoc rapporter. Detta har lett till att 4GL-verktyg har utvecklats. Personerna somanvände dessa lösningar upptäckte att det gick att använda dem till annat. De kundegöra individuella system som användes till att stödja den personliga databehand-lingen. Dessa system kallas stödsystem.

Inget system har enligt Flensburg m.fl. (1999) enbart ett av dessa syften, utan deinnehåller en liten del av alla tre dimensionerna.

TEORI

10

3.1.2 Vinster vid systeminförande

Andersen (1994) beskriver fyra olika vinster som kan uppnås vid systeminförande.Dessa beskrivs nedan.

RationaliseringsvinsterMeningen med system som vill uppnå rationaliseringsvinster är att man vill görakostnadsbesparingar. Manuella rutiner överförs till datorstödda rutiner. På det sättetfår man snabbare och mer korrekta resultat, en mindre personalinsats kan ocksåutföra arbetsuppgifterna. En typisk rationaliseringsvinst är de administrativa hjälp-funktionerna, såsom bokföring och lönehantering.

StyrningsvinsterStyrningsvinster innebär att man använder datorstöd för att få den information somhjälper personalen med att fatta bättre beslut. Dessa beslut ska ge intäktsökningareller kostnadsreduktioner. Ett exempel på styrningsvinster är informationssystemför material- och produktionsstyrning.

OrganisationsvinsterFör att uppnå en organisationsvinst i företaget, måste ledningen först beskriva hurverksamheten ska fungera. Då datorstöd används på ett sådant sätt att ledningensönskemål uppfylls internt i verksamheten, kan man säga att en organisationsvinsthar uppnåtts.

MarknadsvinsterDå datorstöd används till att ge företaget en positiv profilering, som i sin tur kanleda till att verksamheten kan få en fördel i förhållande till konkurrenterna påmarknaden, talar man om marknadsvinst. Ett exempel på en marknadsvinst är dådatorstöd leder till att man kan utveckla nya produkter och tjänster, som exempel-vis bankomater med självbetjäning för kunder.

TEORI

11

3.2 SÄKERHET – BEGREPP OCH DEFINITIONER

För att kunna utföra säkra elektronisk transaktioner krävs att säkerhetsproblemenlöses. Dessa är idag de största hindren för tillväxten inom den elektroniskahandeln enligt Tom Carthy (SIG Security, 1999). Deltagarna i elektroniska transak-tioner måste få vissa försäkringar om att information överförs säkert.

Under denna rubrik kommer vi att redogöra för några begrepp som finns inomområdet IT-säkerhet, nämligen datasäkerhet och kommunikationssäkerhet. Vikommer att klargöra vad som menas med hot, sårbarhet och risker. Vi tar ävenupp informationsklassificering samt redogör för begreppet skyddsåtgärder ochdess basstrategier.

3.2.1 IT - säkerhet

Informationssäkerhet relateras både till traditionell datasäkerhet och till säkerhetsom hanterar information. Om inte informationen hanteras på rätt sätt kan enligtStatskontoret (1997:29a) verksamheters framtida fortlevnad äventyras. Både öppenoch känslig eller hemlig information måste skyddas från obehörig förändring.

Begreppet IT-säkerhet innehåller skyddsåtgärder av teknisk karaktär och inkluderarbåde kommunikationssäkerhet och datasäkerhet. För att komplettera helhetsbildentillkommer förutom dessa två även den administrativa säkerheten. Den administra-tiva säkerheten beskriver och definierar regler och rutiner för styrning och kontrollav IT-resurserna. (Statskontoret 1997:29a)

Datasäkerhet

”Med ADB-säkerhet eller ibland bara datasäkerhet menas säkerhet som rörsjälva behandlingen och/eller lagringen av data (program och information)”.(Statskontoret 1997:29a sid. 7)

I ett säkert datasystem upprätthålls enligt Pfleeger (2000) tre karakteristiskafaktorer som är absolut nödvändiga:

• Konfidentialitet skyddar tillgängligt datasystem så det bara är tillgängligt förbehöriga parter. Tillgängligheten gäller bland annat läsning, granskning ochutskrift av data.

• Integritet ser till att mottagen information är densamma information somskickades, det vill säga integriteten skyddar informationen så inget har lagts till,tagits bort eller ändrats. I modifikationen inkluderas skrivning, ändring, ändringav status, borttagande eller skapande.

TEORI

12

• Tillgänglighet verifierar identiteten hos en entitet (användare eller service) såatt en behörig part kommer åt det data den har rätt att komma åt.

Kommunikationssäkerhet

”Kommunikationssäkerhet avser säkerhet vid överföring av data via någotkommunikationsmedium.” (Statskontoret, 1997:29a sid. 7-8)

National Computer Security Association (NCSA) har enligt Turban m.fl. (1999)identifierat fyra huvudpunkter för säkra transaktioner, dessa är:

• Autenticitet skyddar mottagaren av ett meddelande. Autenticiteten garanteraratt sändande part av ett meddelande är den han utger sig för att vara.

• Avskildhet/sekretess skyddar meddelandets innehåll så det bara är känt försändaren och mottagaren. Brott mot sekretessen kan uppstå både under självatransaktionen och efter det att transaktionen är utförd. När ett meddelande ärmottaget, måste sändaren vara säker på att innehållet förblir hemligt.

• Integritet skyddar meddelandet så det inte ändras under transaktionen. Dettakan vara medvetet eller omedvetet.

• Icke förnekande betyder att en sändare inte ska kunna förneka att han sänt ettmeddelande, likaså ska inte en mottagare kunna förneka att han har tagit emotett meddelande. Lösningen till icke förnekande är en ”signatur” som gör detsvårt för någon part (sändare och mottagare) att förneka att de är involverade iutbytet av ett meddelande.

3.2.2 Hot

När man inför effektiv IT-säkerhet, är det nödvändigt att känna till vilka hot somfinns mot systemet. Den här kunskapen är enligt Statskontoret (1997:29b) nöd-vändig för att kunna välja de mest kostnadseffektiva säkerhetsåtgärderna.

”Ett hot kan i korthet sägas vara en möjlig, oönskad ändelse som, om deninträffade, skulle få negativa följder”. (Statskontoret 1997:29b sid. 15)

Huvudtillgångarna i ett datasystem är enligt Pfleeger (2000) hårdvaran, mjukvaranoch data. Det finns fyra typer av hot mot säkerheten i ett datasystem. Alla fyrahoten exploaterar sårbarheten hos tillgångarna i datasystemet:

• Avbrott är där någon resurs i ett datasystem blir okontaktbar, otillgänglig elleroanvändbar. Till exempel kan ett program eller en datafil ha blivit raderad.

TEORI

13

• I ett Intrång har en obehörig part fått access till en resurs i systemet. Denobehörige parten kan vara en person, ett program eller ett annat datasystem.Exempel på detta är avlyssning av nätverkstrafik och kopiering av filer för attkomma åt data.

• Modifikation betyder att en obehörig part inte bara har fått access till en resursutan även manipulerar denna resurs. Exempel kan vara någon som ändrarvärden i en databas eller modifierar funktionaliteten i ett program såprogrammet skickar data till obehöriga.

• Tillverkning betyder att en obehörig part kan förfalska och införa objekt i ettdatasystem. Exempel är tillägg av poster i en databas eller tillägg av ickeönskvärda transaktioner i ett nätverk.

Sårbarhet

”Sårbarhet är en punkt där ett hot kan skada systemet. Sårbarhet är såledesen svaghet som ett hot kan utnyttja för att åstadkomma skada”.(Statskontoret 1997:29a sid. 19)

Enligt Summers (1997) är sårbarhet en brist i ett system som kan orsaka att säker-heten kan missbrukas. Pfleeger menar att det finns tre kategorier av systemresursersom kan påverkas av sårbarheten. Dessa tre är hårdvara, mjukvara och data.

Risk

”Risk är sannolikheten för att hotet ska realiseras.”(Statskontoret 1997:29a sid. 19)

Statskontoret (1997:29c) skriver i sin rapport att det är viktigt för verksamheten attinte underskatta olika risker, både oavsiktliga och avsiktliga. De oavsiktligariskerna är oftast den egna personalen som förorsakar att händelser inträffar, dettapå grund av bristande utbildning eller stress. För att undvika både oavsiktliga ochavsiktliga hot krävs att administrativa säkerhetsrutiner tillsammans med skydds-åtgärder tillämpas.

3.2.3 Skyddsåtgärder

Skyddsåtgärder används för att möta speciella hot. För att hoten ska kunna bekäm-pas effektivare kan skyddsåtgärderna enligt Statskontoret (1997:29b) behöva sam-verka med varandra. När det gäller IT-säkerhet är det svårt att välja en kombinationav skyddsåtgärder som både är kostnadseffektiv, användbar, effektiv, kompatibeloch samtidigt kan möta de förväntade hoten i önskad grad.

TEORI

14

För att öka säkerheten kan enligt Summers (1997) skyddsstrategier sättas in påolika sätt. Hon menar att det finns fyra skyddsstrategier:

• Undvikande betyder att man inte exponerar tillgångarna mot hoten. Man för-söker organisera uppgifterna så hoten kan undvikas. Istället för att exempelskriva ut känsliga uppgifter på en skrivare kopplad till ett nätverk, skriver manut uppgifterna på utrustning som inte är kopplade till ett nätverk.

• Förebyggande av hot är den bästa strategin. Att förebygga hot innefattar att ut-arbeta och upprätthålla en säkerhetspolicy. Säkerhetspolicyn inkluderar bådesäkerheten mot hårdvaran och säkerheten mot mjukvaran.

• Upptäckande betyder att man försöker upptäcka missbruk eller felaktiganvändning samtidigt eller omedelbart efter det att skadan har skett. Det finnsnågra syften till varför man använder strategin upptäckande. Den ska avskräckamissbruk. Den ska upptäcka olika hot i tid för att minska skadan. Den skaidentifiera inkräktare och åtala denne, och den ska avslöja sårbarheter.

• Återställande följer en säkerhetsbrytning. Återställande innefattar att återställaskadade resurser och försöka minimera sårbarheten som tillåter säkerhets-brytningen.

Informationsklassificering

Statskontoret (1997:29b) menar att det är viktigt att fastställa en säkerhetsnivå föratt kunna tillgodose olika intressenters krav. Flera brister i IT-verksamheten berorpå att bearbetad information inte har klassificerats.

En informationsklassificering görs enligt Statskontoret (1997:29b) för att man skakunna fastställa i vilken omfattning informationen behöver skyddas. Man försökerbestämma vilka skydd som behövs, d.v.s. skyddsnivån.

Det finns olika krav till varför information måste skyddas enligt Statskontoret(1997:29b). Man måste ta hänsyn till lagar såsom datalagen och sekretesslagen,olika säkerhetskrav och övriga krav som exempelvis ekonomiska krav. Utgångs-punkten vid informationsklassificering är att olika information ska relateras tilllagstiftningen, gruppers intressen och verksamhetens krav. Bedömningen skerutifrån riktigheten i informationen, hur tillgänglig informationen är för behörigaparter, hur informationen är skyddad från obehöriga (sekretess) och hurspårbarheten till individer/program går att härleda.

TEORI

15

3.3 PKI

Under denna rubrik försöker vi ge en helhetsförståelse för begreppet PKI. Vikommer här att redogöra för de viktiga funktionerna i ett PKI-system, elektroniskasignaturer och dess grunder i form av identifiering, kryptering och signering. Vikommer även att ta upp lite kring den praktiska biten med implementation, samt deför- och nackdelar som ses med detta system.

3.3.1 Vad är PKI?

PKI som står för Public Key Infrastructure, är inte ett specifikt system utan ettsamlingsnamn för flertalet lösningar där kryptering används. Enligt författarnaHalvarsson och Morin (2000), åstadkommer dessa lösningar ett system där identi-fiering, kryptering, kontroll av integritet kan ske, och stödjer på så sätt använd-ningen av elektroniska signaturer. PKI är inte enbart ett tekniskt system, utan det ären kombination av teknik, juridik och standard. Det är denna kombination som gördet så speciellt.

Det är framför allt tre viktiga funktioner, som en PKI innehåller. Dessa är:

• Certifiering - att skapa ett certifikat.• Verifiering - att kontrollera ett certifikat för att se giltigheten, och att det ej är

indraget.• Revokering - att återta ett certifikat. Görs exempelvis om en anställd slutar och

inte längre får använda sina gamla tjänsteverktyg.

3.3.2 Elektroniska signaturer

Det går inte att ge någon entydig definition på begreppet elektroniska signaturer,enligt Statskontoret (2000:7). EG-direktivets ramverk för elektroniska signaturer ärvisserligen en definition, men det är inte infört ännu. På detta sätt förklarar de be-greppet elektronisk signatur:

”Uppgifter i elektronisk form som är fogade till eller logiskt knutna till andraelektroniska uppgifter och som används som en metod förautenticering”.(Statskontoret, 2000:7, sid. 20).

Så här förklarar Halvarsson m.fl. (2000, sid. 19) begreppet:

TEORI

16

”Elektroniska signaturer är den lösning som ska kunna vara en digitalersättning för en juridiskt bindande namnteckning, t.ex. på ett kontrakteller annan avtalshandling”.

Ibland talas det om digitala signaturer, men detta begrepp avser en teknik. EU villatt ”elektronisk signatur” ska vara det begrepp som används, och det avser mer denjuridiska biten. När man talar om kvalificerade elektroniska signaturer, så är detännu mer regler som styr.

Grunden till en elektronisk signatur är:

• Identifiering – ska visa mottagarens/sändarens identitet.• Kryptering – gör informationen säker.• Signering – ger ett dokument en laglig status.

Figur 1. Infrastruktur för elektronisk signatur (enligt Halvarsson m.fl.).

Dessa grundstenar i kombination med PKI (se figur 2) kommer enligt Halvarssonm.fl. (2000) att göra e-handeln säker.

SigneringVid signeringen skapar enligt Statskontoret (2000:7) användarens program enchecksumma (hash) av dokumentet eller meddelandet som man tänkt skicka.Kryptering sker av checksumman med hjälp av en privat nyckel. Detta resultat ärden digitala signaturen. När mottagaren har fått meddelandet, så kan han/hon i sintur kontrollera signaturen. Detta görs genom en dekryptering med den publikanyckeln, så att checksummorna kan jämföras.

TEORI

17

3.3.3 Identifiering

När man talar om identifiering så finns det två viktiga termer att redogöra för,nämligen CA och Certifikat.

CAEnligt Statskontoret (2000:7) är CA en central part i PKI. CA står för certificationauthority, och är den administrativa enhet som sköter om den infrastruktur somkrävs för att hantera privata och publika krypteringsnycklar, dvs. hantera denpublika nyckelinfrastrukturen (PKI). CA har ansvar för att utfärda certifikat förpublika nycklar, samt att handha dessa under kortets hela giltighetstid. CA beskrivsäven av Halvarsson m.fl., som en betrodd part som flertalet användare litar på.Exempel på CA är Telia och Posten.

Processen kring utlämnandet av certifikaten är noggrann enligt Statskontoret(2000:40). Personen som ska få certifikatet måste någon gång infinna sigpersonligen, så att identitet kan fastställas. Detta kan exempelvis göras ”genom attett aktivt kort eller lösenord till ett certifikat kvitteras ut i en bank, eller på postenmed ett rekommenderat brev. Identifiering med arbetsgivares hjälp kan ocksåförekomma” (sid. 15).

CertifikatEtt certifikat är:

”en signerad digital handling utfärdad av en betrodd tredje part, en s.k. CA”.(Halvarsson, 2000, sid. 37)

Det finns enligt Halvarsson m.fl. två typer av certifikat, nämligen mjuka ochhårda certifikat. Båda innehåller samma säkerhetsfunktioner, men den mjukalagras i en fil på diskett eller på en hårddisk, medan den hårda är ett elektronisktidentitetskort. Rent tekniskt är det elektroniska ID-kortet ett aktivt kort, eller såkallat smart kort, som innehåller ett chips där ett digitalt certifikat och användarensprivata nyckel lagras. För att man ska kunna använda elektroniska ID-kort somidentifikation, krävs dessutom att användaren kan använda rätt privat nyckel. Denskyddas genom en personlig kod, vanligtvis en PIN-kod, men det kan även röra sigom biometriska metoder som exempelvis fingeravtryck.

Det är väl standardiserat vilka uppgifter ett certifikat ska innehålla. En vanligstandard för detta är ISO-standarden X509v3 (Halvarsson m.fl., 2000).

TEORI

18 TEORI

3.3.4 Kryptering

Halvarsson m.fl. (2000, sid. 46) definierar begreppet kryptering som:

”att kryptera, att överföra information till hemlig kod”.

Detta görs för att man ska kunna manipulera information i exempelvis en blankettpå ett kontrollerat och väldefinierat sätt, så att ingen obehörig kommer åt informa-tionen. De komponenter som man använder vid själva krypteringen är en matema-tisk krypteringsalgoritm och en krypteringsnyckel. Med hjälp av dessa får enblankett ett helt nytt utseende.

Det finns enligt Halvarsson m.fl. två huvudtyper av kryptering, symmetrisk ochasymmetrisk kryptering. Det är endast den asymmetriska krypteringen som påver-kas av PKI, eftersom PKI som namnet anger handlar om en infrastruktur förpublika nycklar. I den symmetriska krypteringen används endast privata nycklar.

Asymmetrisk krypteringI detta system får varje användare ett så kallat nyckelpar, vilket alltså består av tvånycklar, en publik och en privat. Den publika nyckeln kommer att vara tillgängligför alla via elektroniska kataloger, och den privata hålls hemlig på exempelvis enskyddad hårddisk eller ett aktivt/smart kort. De kan endast användas tillsammans.Krypteringen sker med den publika nyckeln, medan dekrypteringen sker med mot-tagarens privata nyckel. Det positiva med denna kryptering är att nyckel-hanteringen blir enklare, eftersom vem som helst kan använda nyckelkatalogerna.Man behöver därför inte känna sin affärspartner. Denna kryptering kräver däremotmer datorkraft. Se figur 2.

Figur 2. Asymmetrisk kryptering (enligt Halvarsson m.fl.).

19TEORI

3.3.5 Användningsområden för PKI

Eftersom en PKI är skalbar så kan PKI införas på försök i liten skala, och sedanutökas när tiden är mogen. Detta är möjligt eftersom säkerhetsfunktionerna isystemet är likformiga oavsett på vilket sätt infrastrukturen ska användas.

Halvarsson m.fl. (2000) ger dessa exempel på vad PKI kan användas till.

• E-blanketter – elektroniska signaturer kan användas till signering av fakturor,tidrapporter, reseräkningar, avtal och inköpsorder. Dessa blanketter, somexempelvis hämtas från ett företags hemsida, är ”intelligenta” och kan själv ut-nyttja säkerhetsfunktioner som baseras på PKI. När blanketten är ifylld kan densigneras och skickas tillbaka. Här rekommenderas användning av MS Word somblankettformat, eftersom det är en mjukvara som är väl spridd och känd av deflesta.

• Elektronisk handel – existerande säkerhetssystem som bygger på att motpartenär känd, kan bytas ut mot en PKI-lösning i och med lagen om kvalificeradeelektroniska signaturer.

• E-bank – flertalet banker har idag någon Internettjänst, som underlättar förkunderna att göra affärer dygnet runt.

• ”Mobile business” – användning av handdatorer, mobiltelefoner eller bärbaradatorer för att göra affärer, dvs. trådlös elektronisk handel.

Det protokoll som används av standardprogramvaror för e-post och webbläsare ärSSL och S/MIME. (Statskontoret 2000:40)

Införandet av en PKI i ett företag kan variera från företag till företag. SIG Security(1999) jämför etableringen av ett PKI-projekt med andra tekniska infrastruktur-projekt. De faser som man måste gå igenom är ungefär de samma som i ett vanligtIT-projekt, nämligen:

• förstudie• kravsammanställning• framtagning av förfrågningsunderlag• utvärdering av anbud• implementering• uppföljning

Den tyngsta fasen är implementationsfasen, vilken innefattar både teoretiskt ochpraktiskt arbete med att utveckla och införa/uppdatera riktlinjer, policy och rutiner.Även utbildningsbehovet för användare måste ses över, samt underhållsrutiner ochtekniska miljöer.

20TEORI

En av de viktigaste punkterna att titta på under förstudien, är frågan om vem somska ansvara för den publika nyckelinfrastrukturen. De valmöjligheter som finns äratt göra det i egen regi eller via outsourcing till någon leverantör av PKI-tjänster.

3.3.6 Fördelar och nackdelar

Vid en implementation av en PKI, är kostnadsfrågan naturligtvis viktig. Initial-kostnaderna kan upplevas som stora. Exempelvis uppger Statskontoret (2000:40)att ett kort kostar ca 500 - 700 kronor och kortläsare inklusive drivrutiner kostarca 400 - 600 kronor per användare. En totallösning går att köpa i vissa fall förca 1 300 kronor per användare. Om man ser på hur verksamheten utvecklas, så kandet ändå bli en ren vinst. De vinster man kan göra enligt Halvarsson m.fl. (2000) äratt:

• säkerhetsökningen underlättar informationshanteringen• organisationens inre effektivitet ökar• man kommer att få stora samordningsvinster• säkerheten gör att man kan ta bort kostsamma manuella rutiner och ersätta dem

med effektivare IT-rutiner• trovärdig relation med bl.a. kund och användare

3.3.7 Rutiner

Rutiner är en viktig del i vår undersökning. Därför kommer vi kort att redogöra förvikten av att ha rutiner, och sedan koppla det till säkerhet och PKI.

Vad är en rutin och varför skapar man rutiner? Andersen (1994) skriver att ”enrutin är en sammanhängande kedja av arbetsuppgifter”. Man upprättar en rutin omman vill lösa en uppgift som verksamheten har blivit ställd inför. SAOL beskriverdet som ”vanemässigt arbets- eller tillvägagångssätt”.

Lindström-Myrgård (1997) skriver detta om rutiner (sid. 87):

”Att intressera sig för rutiner är inte lika tjusigt som att syssla med mål ochstrategier. Men - man bör komma ihåg att rutinerna är ett företags livsnerv.Att skapa rutiner som fungerar på alla nivåer i organisationen är därför enutmaning. Löser man det problemet har man kommit en bra bit på väg iriktning mot en effektiv organisation”.

Det är alltså viktigt att ha rutiner för arbetsuppgifter man utför. Dataföreningen iSverige (1997) ger följande exempel som pekar på vikten av att ha rutiner avseendesäkerhet.

21TEORI

Att fax hamnar fel är mycket vanligt. Fel nummer kan leda till allvarliga konse-kvenser. ”Skickar du känsliga fax, kontrollera alltid att faxet kommer fram till rättadress”.(sid. 63) Man kan inte betrakta ett faxat dokument som original annat änom telefaxet är försett med en digital signatur.

E-postsystemet måste jämföras med vanlig posthantering. Administrativa rutinermåste utformas kring detta, så att den stora mängd e-post som förväntas, kanhanteras.

Rutiner bör finnas inom många områden. Statskontoret (1997:29c) tar bland annatupp följande exempel:

• administration av behörighet bör kunna ske centralt• definition av rutiner för hur krypteringsnycklar ska handhas• rutiner för hantering av aktiva kort bör göras• eventuella kryptossystem bör godkännas av IT-säkerhetschef• rutiner bör finnas för hur man ser till att personal som slutat anställning tas ur

systemen

Freese (1993, sid. 62) skriver att det är viktigt att ”skyddsåtgärder blir en del avden dagliga rutinen”, och att de ”upplevs som meningsfulla”.

Han skriver även att:

”Säkerhetsrutiner i form av administrativa åtgärder, både väl synliga ochmindre märkbara är ett viktigt rättesnöre i det dagliga arbetet inom flertaletverksamheter. När administrativa rutiner utarbetas, måste de sörja för attsäkerhetsaspekterna tas tillvara” . (sid. 93f)

Halvarsson m.fl. (2000) menar att säkerheten gör det möjligt att använda IT efter-som man har en garanterad säkerhetsnivå. Säkerhetsnivån gör det lättare att byta utkostamma och ineffektiva rutiner mot en IT-lösning. Näringsdepartementet (2001)skriver i sin redogörelse att den offentliga förvaltningen får möjlighet att införaeffektivare rutiner och öka tillgängligheten i och med den nya lagen om kvalifi-cerade elektroniska signaturer. Syftet med lagen är att ge en ökad tillit till deelektroniska signaturerna och även öka användandet av de elektroniskakommunika-tionerna.

22 TEORI

23EMPIRI

4 EMPIRI

I detta kapitel kommer vi att redogöra för hur delar av datasystemet i vårt fall-studieföretag var uppbyggt tidigare. Vi kommer även att förklara anledningarna tillsystembytet, och hur PKI används idag. Därefter kommer vi att redogöra för huranalysen är upplagd och vilka resultat vi har kommit fram till i undersökningen.Uppgifterna kring landstinget som finns beskrivna i nedanstående kapitel har vi fåttfrån IT-säkerhetschefen för Västernorrlands läns landsting.

4.1 VÄSTERNORRLANDS LÄNS LANDSTING

Västernorrlands läns landsting (LVN) är ett typiskt norrländskt landsting, där storadelar av sjukvårdsenheterna ligger utanför centralorten. I detta landsting ingår bl.a.16 tandvårdskliniker, samt ett antal vårdcentraler och distriktssköterskmottag-ningar, som ligger utanför de centrala enheterna. Det finns på dessa kliniker ettbehov av att komma åt information, som finns lagrad centralt.

4.1.1 Från ”Closed User Group” till PKI

Tidigare var tandklinikerna uppkopplade till dessa centrala resurser via ISDN. Manhade en ”Closed User Group” med en egen modempool för ISDN. Denna hetteMaxpro. En sluten användargrupp innebär att ingen utomstående ska kunna ta sigin i systemet. Man var här beroende av hur Telias spärrar för systemet var satta,och det visade sig att de inte alltid fungerade. Det hände att utomstående kunde tasig in. Inloggningen till systemet var en standardinloggning och ingen krypteringanvändes. En sluten användargrupp var inte en perfekt lösning i detta fall, och detfanns ett visst missnöje hos systemets användare. Missnöjet rörde både säkerhetoch tillgänglighet, eftersom dessa behov hade förändrats.

I samband med att man närmade sig år 2000, slutade leverantören av systemet attge support på detta, eftersom det inte höll för millennieskiftet. Landstinget var i detläget tvungen att ge sig ut och leta efter en annan typ av system som uppfyllde desskrav. Redan 1996 hade IT-säkerhetschefen för landstinget under en konferens iFrankfurt kommit i kontakt med smarta kort. Eftersom han upplevde det mycketintressant, så bevakade han utvecklingen i Sverige avseende dessa kort. Under1999 fick han så kontakt med ett konsultföretag, som hade en expert inom områdetoch detta ledde till att man beslutade sig för att satsa på PKI.

24 EMPIRI

4.1.2 Pilotprojektet för PKI inom landstinget

I september 1999 startades ett pilotprojekt inom landstinget. För att möjliggöra ensäker överföring av information mellan enheterna inom landstinget beslutade manatt införa PKI. Denna överföring skulle dessutom bli snabbare än den tidigare. IT-säkerhetschefen på Västernorrlands läns landsting har varit projektledare för dettaprojekt.

Från början togs tre alternativa tekniker för PKI tillämpning fram. Säker e-post,mobil sjukvård (VPN-lösning = Virtual Private Network) och LVN Extranet (seäven bilaga D). Därefter gällde det att hitta tillämpningar och användarprojekt föratt utveckla nya arbetssätt och rutiner.

• Säker e-post. Här används Novells e-post Groupwise och krypterings protokollet S/MIME (Secure Multipurpose Internet Mail Extension). Certifikatet med den privata nyckeln lagras i personens stationära dator. Den publika nyckeln hämtas från Posten ABs server i Stockholm.• Mobil sjukvård. Distriktssköterskor och tandkliniker använder detta. Man har nu VPN tunnling till de centrala resurserna via Internet med ISDN som bärare. Authenticeringen av användare och tunnel görs med PKI och elektroniskt ID- kort från Posten och med deras CA-funktioner. IP Security används för att förse Internetprotokollet med vissa säkerhetsmekanismer.• LVN Extranet. Extranet är ett sätt att utifrån nå resurser via webbgränssnittet. Det finns webbapplikationer som kan användas tex. hjälpmedelssystem som är intressant för kommunernas ordinatörer. Man använder protokollet SSL (Secure sockets layer), för att autenticera och etablera en krypterad förbindelse. Till detta kan inloggning ske på tre sätt. Valet avgör vilken säkerhetsnivå användaren får.

• Användarnamn och lösenord, vilket ger en relativt låg säkerhet. • Användarnamn och lösenord i kombination med engångskod via mobil telefon (SMS). Detta ger en ganska hög säkerhet. • Med hjälp av hårt eller mjukt elektroniskt ID (EID), vilket ger en mycket hög säkerhet.

Virtuellt EID kort är ett mjukt certifikat som har samma klient och installation sommed ett smart card. Den hemliga nyckeln och det egna certifikatet lagras på hård-disken. Skillnaden är att man inte behöver kortläsaren (200 - 500 kr ) och EID -kortet som kostar 430 kr. Detta innebär att med mjukt certifikat förberett för EID -kortet blir det 800 - 900 kr billigare per klient. Säkerhetsklassningen avgör vilkakort som används var. De billigare korten kan användas inom lasarettets nät, medanman vid inloggning mot LVN använder smarta kort, vilka har högre säkerhets-klassning.

25EMPIRI

Under innevarande år uppdateras IT-säkerhetspolicyn från 1995 för att passa förPKI. Många rutiner blir lite ”ad hoc” från början, men man arbetar med att skapaetablerade rutiner och utse särskild personal som har detta som sin ordinarie arbets-uppgift. Man har avvaktat lite med detta eftersom man precis gjort en omorganisa-tion och först under våren 2001 beslutat att gå vidare med PKI.

4.2 ANALYSFÖRFARANDE

I detta avsnitt kommer vi att presentera vårt analysförfarande i form av upplägg,faktorer, intervjuutformning och tolkning.

4.2.1 Analysens upplägg

Rapportens huvudsakliga syfte har varit att undersöka hur ett systeminförande medPKI påverkar vissa rutiner rörande IT-säkerhet. Vi har formulerat en frågeställningdär vi vill undersöka om ett systeminförande med PKI kan medföra någon förbätt-ring av vissa rutiner rörande IT-säkerhet.

För att uppfylla vårt syfte har vi:

• bestämt vilka faktorer som påverkar vårt problemområde. Dessa är valdautifrån hypotesens definitioner av förbättring av en rutin, samt från teorinkring säkerhet och PKI, som återges i kapitel 1.4, 3.2 och 3.3.

• kartlagt de faktorer som avsågs att kontrolleras. Kartläggningen har baseratspå datainsamlingstekniken intervju.

• tolkat resultaten utifrån datainsamlingen.

Utifrån vår analys kommer resultatet i sin helhet att presenteras under rubrikenResultat (kapitel 4.3).

26 EMPIRI

4.2.2 Faktorer av vikt för datainsamling

Vi har i våra intervjuer bett respondenterna beskriva hur rutinerna utförts i detsystemet som fanns före PKI infördes. De har även fått beskriva hur rutinernautförs i PKI-systemet. Detta har respondenterna gjort så utförligt som möjligt, föratt vi ska kunna göra en indelning i rutinsteg. Detta utgör en av grunderna för våranalys:

• Rutinstegen ställs mot varandra för att vi ska se vilken förändring som in-träffat vid övergången från den gamla rutinen till den nya. Vi räknar ävenstegen för att se om antalet minskat.

Enbart en stegräkning kan inte visa om en rutin förbättrats, eftersom stegen kan hablivit längre. Utifrån vår hypotesdefinition, samt från teoriavsnittet har vi därfördessutom tagit hänsyn till följande faktorer, som utgör en av grunderna för vårdatainsamling.

• Övergång från manuell till IT-stödd rutin. Vi har i teorin funnit att garan-terad säkerhet möjliggör en övergång från manuell till IT-stödd rutin, vilketkan förbättra rutiners utförande. Vi vill i vår undersökning se om detta är falletäven i empirin.

• Tidsbesparing. I teorin har vi även funnit att ett systeminförande kan medföra en effektivisering i form av snabbare och säkrare rutiner. Vi avser därföratt undersöka om systembytet lett till någon form av tidsbesparing för berördaparter i utförandet av rutinen.

Eftersom säkerhet är en anledning till att installera ett PKI-system, så analyserar viäven nedanstående punkt:

• Säkerhet. Vi har i teorin funnit att den ökade säkerhet som PKI ger, kan förbättra utförandet av rutiner. I vårt teoriavsnitt har vi beskrivit den säkerhetsom gäller vid elektroniska transaktioner. Detta kopplas nu till de rutiner viundersöker, så att vi ska kunna se om systemet fortfarande är säkert.

Om ovanstående punkter bekräftas, så finns det en punkt som är avgörande. Harförbättringen i rutinen åstadkommits genom PKI, eller är det systeminförandet i sigsom åstadkommit detta. Därför analyseras även denna punkt:

• Orsak till förändring. Vad har åstadkommit förbättringen i rutinen? Är detPKI i sig, eller har man i samband med PKI-införandet gjort ett annat system-införande och det är detta som gjort förändringen.

27EMPIRI

4.2.3 Utformning av intervjuguide

För att uppfylla vårt syfte och verifiera alternativt falsifiera vår hypotes har vi ut-fört två intervju. En har varit med IT-säkerhetschefen i vårt fallstudieföretag, ochden andra har varit med en användare i samma företag. Vi har till dessa intervjuerutformat frågor som passat respektive person. Detta för att i det gamla systemetoch i det nya värdera de faktorer som vi fastställt. Faktorerna som beskrivs i kapitel4.2.2 har utgjort grunden för utformningen av våra frågor.

Vi har också utifrån teoribakgrunden utformat frågor rörande säkerhet, hot,informationsklassificering och risker. Därför valde vi att se hur detta ser ut iempirin.

4.2.4 Tolkningsförfarande

Vid tolkningen av resultatet har vi arbetat utifrån en deduktiv ansats.

”Deduktion innebär att man drar en logisk slutsats som betraktas som giltig omden är logiskt sammanhängande. Däremot behöver den inte nödvändigtvis varasann i den meningen att den överensstämmer med verkligheten.” (Thurén, sid. 23)

Under denna rubrik kommer vi att beskriva tolkningen av de faktorer som vi valtatt analysera i vår fallstudie.

Rutinsteg – Om de steg vi indelar rutinen i har minskat i antal, så tolkar vi det somatt ett av våra krav för förbättring av rutinen har blivit bekräftat.

Övergång från manuell till IT-stödd rutin – Om respondenten beskriver att enrutin har genomgått denna övergång, så tolkar vi det som att denna rutin blivitförbättrad i ett avseende.

Tidsbesparing – Om respondenten beskriver att rutinens förändring har inneburiten tidsbesparing, så tolkar vi detta som att rutinen blivit förbättrad i ett avseende.

Säkerhet – Om respondenten beskriver att säkerheten har blivit bättre, så tolkar videt som om säkerhetskraven för elektroniska transaktioner är uppfyllda.

Orsak till förändring - Om respondenten uppger att PKI är orsak till förändringeni rutinen, så tolkar vi detta som om PKI åstadkommit förändringen. Om respon-denten beskriver att PKI inte åstadkommit förändringen, så tolkar vi det som att detär systeminförandet i sig som åstadkommit detta.

28 EMPIRI

Om säkerhet har blivit bekräftad enligt beskrivningen av faktorerna, antalet rutin-steg har minskat och vi dessutom kan bekräfta en eller båda övriga faktorer, såtolkar vi detta som att rutinen blivit förbättrad. Därefter tar vi hänsyn till den sistapunkten ”orsak till förändring”, för att kunna avgöra om rutinens förändring berorpå PKI eller på systeminförandet.

4.3 RESULTAT

Här presenteras resultatet av fallstudien. För att ta del av alla uppgifter från IT-säkerhetschef, se bilaga A. För att ta del av alla uppgifter från användare, se bilagaB. Eftersom IT-säkerhetschefen har kännedom om övriga rutiner och vet hursystemen är upplagda, så redogör vi för hans kommentarer kring alla rutiner underpunkt 4.3.1.

4.3.1 Resultat – IT-säkerhetschef

De rutiner vi har tagit fram från denna intervju är administrationen av användare,som görs av systemadministratören. Den analyseras först utifrån stegindelning.I det gamla systemet bestod rutinen av dessa steg, som gjordes i alla system somanvändarna skulle ha behörighet till:

••••• inloggning i systemet• uppläggning av användare i systemet• byte av lösenord gjordes en gång per månad

I det nya systemet med PKI, består rutinen av dessa steg:

••••• inloggning i systemet• uppläggning av användare görs enbart i en katalogAnvändare ansvarar själv för lösenordsbyte.

Om vi ställer dessa två rutiner mot varandra, kan vi se att det nya PKI-systemetbestår av färre rutinsteg. Om det enbart gäller ett system blir skillnaden inte så stor.Den stora skillnaden blir när användarna ska ha behörighet till flera system, vilkethänder ibland.

Vad beträffar övergången från manuell till IT-stödd rutin, så finns det ingensådan enligt respondenten.

29EMPIRI

Vad beträffar tidsbesparing anser respondenten att det gamla systemets adminis-tration av användare var mycket mer tidsödande. Systemadministratören fick gå ini varje system och lägga upp användare. Det fanns ingen standard för användar-IDoch lösenord skulle då bytas varje månad. Många glömde också bort sina lösen-ord. Det gick åt mycket tid till denna administrering och flera tjänster behövdes.

I det nya systemet är detta mycket enklare. Administratören använder Novellse-direct katalogtjänst där användare läggs upp. Man har ett standardiseratanvändar-ID och ett lösenord. Det är lättare att minnas, och lösenordet behöver intebytas varje månad. När systemet är infört fullt ut, så kommer detta att innebära enstor arbetsbesparing för systemadministratören jämfört med det gamla systemet.Detta är inte fallet ännu. IT-teknikerna i driftsorganisationen kommer också attvinna mycket på administrationen av användare.

Säkerhet i hela systemet

Eftersom säkerhet gäller hela systemet, kommer vi att redogöra speciellt för det.

Vår respondent uppger på frågan om vad datasäkerhet är för honom:

”Att skydda sekretess. Att data är riktigt och kvalitetsmässigt. Tillgänglighet, dvs.att ett system ska fungera och inte ligga nere i flera veckor”.

De hot han upplever finns mot landstinget i Västernorrland, är vanliga standardhotfrån Internet, som exempelvis virus. Han uppger att dessa hot ses dagligen. Detskydd man har mot dessa är virussystem som automatiskt uppdateras. Man harmailläsare som är proaktiva för virus som ej är kända sedan förut. De är alltsåfördefinierade för kommande virus. Han uppger att det är vanligt att personalensprider virus via egna disketter, men detta begränsas oftast till en enhet somexempelvis en vårdcentral.

Ett annat hot som han upplever finns är hackers. För att skydda sig mot dem har des.k. ”intrusion detection”. Denna sniffar på kända attackmönster och slår larm omde upptäcker något sådant. Mönstren finns samlade i en databas.

Han uppger att man även har interna hot. Dessa består exempelvis av personal, somgår in och läser otillåten information som patientjournaler, och sedan sprider infor-mationen. Idag går det bra att spåra detta genom loggning, och det finns exempelpå personer som blivit fällda för detta, eftersom det dessutom begränsas i lag.

För att kunna besluta vilken säkerhetsnivå man ska ha måste man göra eninformationsklassificering. På landstinget klassas informationen i tre klasser:

30 EMPIRI

grund, hög och mycket hög. Detta bestämmer enligt respondenten hur starkt skyddinformationen behöver. I grundklassen ingår enligt respondenten öppna intranät,webbsidor med handböcker och annan information. I de två översta klasserna finnstillämpningar som exempelvis journaler, ekonomisystem och e-post. Inom denhögre av dessa två klasser finns psykiatri och kuratorer och smittskydd som HIV.Denna information är enligt respondenten mycket känsligare om den sprids.Smarta kort, PKI och kryptering behövs som skydd av informationen i de högstaklasserna.

På frågan om intrång (se 3.3.2 Hot) i det gamla och nya systemet (totalt sett)svarade han:

”Visst har vi haft tecken på intrång, men inget allvarligare. Det går inte att sägaom det är någon skillnad på detta sedan det nya säkerhetssystemet infördes”.

Beträffande tandvårdsklinikernas gamla system uppger respondenten senare i inter-vjun att man ser en skillnad i säkerheten. I det gamla systemet loggade användarein med användar-ID och lösenord. Ingen kryptering användes då. Man hade ensluten användargrupp, så ingen utomstående skulle kunna ta sig in i systemet. Attdet fungerade hängde enligt respondenten på hur Telia lade sina spärrar och detvisade sig att det inte alltid var rätt gjort. Utomstående kunde ta sig in. I det nyasystemet görs autenticering av användare och tunnel med PKI och elektroniskaID-kort från Posten och med deras CA-funktion. Detta system är enligt respon-denten mycket säkrare. På tandklinikerna använder man hårda certifikat i form avelektroniska ID-kort. Allt detta visar på att säkerheten är högre i detta system.

Beträffande orsak till förändring så uppger respondenten att administrationen avanvändare orsakas av PKI. Uppläggningen i kataloger är däremot inte fullständigännu, och detta innebär att en del gamla rutiner finns kvar. Detta leder till attvinsten inte är märkbar ännu. När man har infört SSO (Single Sign On) fullstän-digt, så kommer det att innebära en förbättring både för administratör och använ-dare. Med endast en inloggning kommer man att ha åtkomst till alla applikationer.Inloggningskatalogen kommer att visa alla rättigheter. Även inloggningsrutinenpåverkas helt av PKI. Användning och skapande av elektroniska ID-kort är direktkopplat till PKI.

Rutinen för beställning av förbrukningsartiklar påverkas av PKI endast vidinloggningen till systemet. De flesta kör denna rutin utan PKI. Alnö tandklinik fickdenna rutin samtidigt som PKI, men det är inte PKI som orsakat denna förbättring.Inloggningen kan idag göras på tre sätt. För den högsta säkerhetsnivån används ettsmart kort med digitalt certifikat på för att en identifiering ska ske innan använda-ren kan komma åt systemet.

31

Rutinen för tidbokning och rådgivning via e-post orsakas inte heller av PKI, för-utom inloggningen till systemet. I en framtid ser respondenten möjligheten till enPKI-baserad lösning för kommunikation med patienter i all vård. Eftersom ingapatienter i dag har smarta kort, så är detta inte möjligt nu. I e-postfunktionen inomlandstinget har man ett inslag av PKI, genom att man har asymmetrisk krypteringoch använder CA-funktionen för att komma åt de publika nycklarna. Dennapåverkar däremot inte tidbokningsrutinen, eftersom patienter inte använder detta.

Genom att använda PKI med kryptering och signering, möjliggör man att rutinersom tidigare inte varit lagliga eller säkerhetsmässigt möjliga att utföra på Internet,nu kan utföras. Exempelvis intyg om sjukdomar till försäkringskassan/bolag skavara underskrivna. Att skicka utdrag från patientjournaler som bilaga till e-post ärmöjligt om båda parterna använder PKI. Detta är på gång, men inte infört ännu.Det finns mycket att vinna här både avseende tid och bättre stöd vid patient-behandling. Fler exempel finns, men alla bygger på att båda parterna har PKI.

4.3.2 Resultat – användare

De rutiner vi kan identifiera i denna intervju är:• inloggning till systemet och utloggning• beställning av förbrukningsartiklar• tidsbeställning och avbokning

Vi börjar med att redovisa resultatet av inloggningsrutinen utifrån stegindelning.Följande steg består den gamla inloggningen och utloggningen av:

• inmatning av användar-ID och lösenord• inloggning genom ”Enter-tryck”• standardutloggning via menyn sker

I PKI-systemet består inloggningen och utloggningen av dessa steg:

• kort sätts i kortläsare• inmatning av användar-ID och lösenord• inloggning genom ”Enter-tryck”• verifiering före utloggning• kort tas ur kortläsare

Här består alltså den nya rutinen av fler steg

EMPIRI

32

Nästa rutin vi ska titta på är beställningen av förbrukningsartiklar. Dessa stegbestår den gamla rutinen av, om beställaren ska vara säker på att få det som önskas:

••••• beskrivning och beställningsnummer slås upp i pärm••••• beställningslista skrivs manuellt••••• faxning av beställningslista••••• för att säkert veta att varor finns hemma, krävs ett telefonsamtal för att

kontrollera leveranstider från leverantör och att beställning anlänt

Den nya rutinen sker enligt följande:

••••• inloggning till leverantörs hemsida• produktbeskrivning, beställning och information om leveranstid fås genast• utloggning

Här kan vi konstatera, att under förutsättning att beställaren ska vara säker på attvarorna anländer i tid, så har vi fått en minskning av stegantal i och med den nyarutinen.

Nästa rutin är tidsbeställning och avbokning. Följande steg ses i den gamla rutinen:

••••• mottagande av telefonsamtal flera gånger under dagen• kontroll eller justering i bokningslista

Följande steg ses i den nya rutinen:

••••• hämtande av e-post en gång per dag, och telefonsamtal några gånger per dag• kontroll och justering i bokningslista

Dessa steg är ungefär jämbördiga. Skillnaden ligger i att i den gamla rutinen varpersonal tvungen att svara i telefon flera gånger per dag, vilket stjäl tid. I den nyarutinen minskas antalet telefonsamtal, genom att en del sköts via e-post. Skillnadenligger alltså i hur många gånger per dag rutinen utförs.

Vad beträffar övergången från manuell till IT-stödd rutin, så finns det en manu-ell rutin som tagits bort sedan det nya systemet installerades. Det är beställningarav förbrukningsartiklar som förut faxades, och nu används intranätet och beställ-ningar sker direkt. Det fungerar mycket bra. Användarna har fått överskådlighet,genom att de direkt ser om varan finns inne och får veta leveranstiden. Tidigarefick de först titta i pärmar och skriva beställningen innan den faxades, och över-skådlighet saknades. Patienternas tidbokning och rådgivning som tidigare sköttesper telefon, kan numera göras via e-post.

EMPIRI

33

Vad beträffar tidsbesparing så kan man vid beställningsrutinen numera spara enhel del tid i form av säkrare leveranstider och överskådlighet. Respondenten menaratt beställaren inte behöver ha lika lång framförhållning avseende förbruknings-artiklar numera. Det är lättare nu då respondenten kan se priser och om varan ärinne på en gång.

Det gamla systemet upplevdes som mycket segt att jobba med. Det fungerade intebra. Ibland kom användarna inte ens ut på nätet. Det nya systemet upplevs somkrångligt, eftersom användarna lider av tidspress och att gå in i systemet gör maninte bara i en handvändning. Däremot är det inte lika segt som förut, och detfungerar mycket bättre nu.

Vad beträffar säkerhet är inloggningen till systemet nu säkrare.

Orsak till förändring kan denna respondent inte ha någon kunskap om eftersomdet kräver systemkännedom.

4.4 SAMMANSTÄLLANDE RESULTATTOLKNING

På grund av att de två intervjuerna pekar mot överensstämmande resultat, väljer viatt sammanföra det slutgiltiga resultatet under en gemensam rubrik.

De rutiner vi tittat på är:

• inloggning och utloggning till systemet• administration av användare• beställningar av förbrukningsmaterial• tidsbeställningar och avbokningar

Den första rutinen som vi tittat på är administration av användare i systemet.Eftersom användare själv handhar lösenord i det nya systemet, så ses en minskningav steg totalt. Antalet steg har även minskat de gånger det är flera system somanvändare ska läggas in i. Det har inte inneburit någon övergång från manuell tillIT-stödd rutin. Respondenten påtalar att säkerheten är högre i systemet. Tids-besparingen är i dagsläget relativt sett oförändrad, eftersom denna förändring inteär klar för alla användare. Denna rutinförändring är orsakad av PKI.

Den andra rutinen är inloggning till systemet och utloggning. Antalet steg har härinte minskat, snarare ökat. Detta förklaras med att det nya systemet är säkrare.Denna har inte heller inneburit någon övergång från manuell till IT-stödd rutin.Säkerheten är mycket högre, eftersom kortläsare och elektroniska ID-kort har

EMPIRI

34

högre säkerhetsklassning än vanligt lösenord. Någon tidsbesparing har vi intekunnat påvisa. Systemet upplevs som krångligt att logga in på, varför det aldriggörs vid tidsbrist. Även här har PKI avgörande betydelse.

Beställningsrutinen har inneburit en minskning av antalet steg. Eftersom det ärviktigt att få en bekräftelse på att beställda varor anländer i tid, så är det helt klarten stegminskning. Det har även skett en övergång från manuell till IT-stödd rutin.Säkerheten är högre i det nya systemet. På grund av tillgängligheten till korrektinformation, så kan här även göras en tidsvinst. Däremot orsakas denna förändringej av PKI utan av systeminförandet som sådant.

Tidsbeställnings- och avbokningsrutinen har delvis minskat i steg. Det är bero-ende på hur många telefonsamtal som sker per dag. Rutinen har delvis övergåttfrån manuell till IT-stödd rutin. Tidsbokning sker fortfarande delvis manuellt pertelefon. Patienter som bokar och avbeställer via Internet har en hög säkerhet pågrund av att elektroniska signaturer används. För den som handhar tidbeställningarinnebär det nya systemet en tidsvinst, eftersom en del av bokningarna görs viaInternet och ansvariga kan ta hand om dessa när det passar dem bäst. Antalet tele-fonsamtal bör minska härigenom. Det är systeminförandet som åstadkommit dettaoch inte PKI.

Sammanfattningsvis kan vi säga att rutinen för beställning av förbrukningsartiklaruppfyller de krav vi ställt, men är inte orsakat av PKI. Tidsbeställningsrutinenuppfyller i vissa fall de krav vi ställt, men orsakas ej heller av PKI. Administrationav användare och inloggning uppfyller inte samtliga krav, men är däremot orsakadeav PKI.

Vi har utifrån de sammanställda intervjuerna bedömt huruvida respondenten haransett att de analyserade punkterna förändrats. Detta har vi gjort enligt nedanstå-ende skala.

1 = Sämre2 = Oförändrat3 = Bättre/delvis bättre

Beträffande den sista punkten krävs endast en 2-gradig skala.

Ja =PKI har orsakat förändringenNej =Systeminförandet har orsakat förändringen

EMPIRI

35EMPIRI

gninggolnI noitartsinimdAeradnävnava gninllätseB gninkobdiT

gninksnimgetS 1 3 3 3

llitgnågrevÖdöts-TI 2 2 3 3

gnirapsebsdiT 1 2 3 3

tehrekäS 3 3 3 3

llitkasrOgnirdnäröf aJ aJ jeN jeN

tatluseR jeN jeN jeN jeN

Figur 3. Resultatmatris

4.5 ANALYS

Vi har analyserat resultatet som framkommit från intervjun med IT-säkerhets-chefen, och gör här några teorikopplingar.

Säkerheten är den viktigaste punkten i ett PKI – system. Detta är också anled-ningen till att vi först kopplat säkerhet till vår hypotes som en grund. Att IT-säkerhetschefen vid intervjun visat sig ha en uppfattning om säkerhet, som över-ensstämmer med de teoretiska grunder kring säkerhet som vi har konstaterat,tycker vi är mycket viktigt. Det visar på att den faktorn var mycket användbar isammanhanget. Vi har sett att beträffande datasäkerhet stämmer hans uppfattningbra överens med de faktorerna konfidentialitet, integritet och tillgänglighet, som vibeskrivit i kapitel 3.2.1 – IT-säkerhet. De hot respondenten upplever finns motorganisationen överensstämmer även de mycket bra med de hot Pfleeger (2000)beskriver (se 3.2.2). Även de skyddsåtgärder man har mot dessa hot och hurinformationsklassificeringen görs, stämmer väl mot vad vi redogjort för i kapitel3.2.3 Skyddsåtgärder. Vi kan alltså säga att det finns en klar teorikoppling utifrånempirin sett avseende detta område.

Resultatet har förts in i matrisen för att tydliggöra resultatet.

36EMPIRI

I teorin har vi funnit att ett systeminförande ger olika slags vinster (se 3.1.3). Vi seri empirin att i och med det systeminförande som undersökts i vår fallstudie, så harvinster gjorts i form av förbättringar av rutiner, då rutinen övergått från manuell tillIT-stödd. Vi tror detta beror på att säkerheten i och med införandet av PKI harförbättrats. Detta stöds också av teorin. Andra vinster man gjort är framför alltmarknadsvinster i form av en positiv profilering beträffande det nya PKI-systemet.Även rationaliseringsvinster har åstadkommits om än syftet inte var det huvud-sakligen. Vi ser även att syftet med informationssystem (3.1.1) har en stark teori-koppling. Framför allt gäller detta den första punkten om rutin.

Inom området PKI har vi i teorin funnit att den säkerhetsökningen som fås genomPKI, kan underlätta informationshanteringen. Genom att säkerheten ökar, kan manockså ta bort kostsamma manuella rutiner, och ersätta med effektivare IT-stöddarutiner. Vi ser i empirin att systeminförandet med PKI har förbättrat säkerheten.Vi har i kapitel 4.1 redogjort för hur CA-funktionen hanteras inom organisationen,samt hur de använder PKI. I resultatredovisningen (kapitel 4.2) beskrivs vilka för-och nackdelar man inom landstinget upplevt med PKI. Vi ser att detta stämmermycket väl med vad vi beskrivit i kapitel 3.3.3 - Identifiering och 3.3.5-3.3.6. Detsätt som man inom landstinget använt vid in-förandet av systemet, stämmer välöverens med vad vi funnit i teorin. På grund av sin höga komplexitet, införs PKIlämpligen i liten skala och utökas efterhand. Det är m.a.o. skalbart. Man har inomlandstinget gjort ett pilotprojekt kring PKI, där man har infört det i liten skala,utvärderat och har nu under våren 2001beslutat att gå vidare med detta.Utvecklandet av riktlinjer, uppdaterande/införande av policy och rutiner har mannu börjat med och detta är ett mycket omfattande arbete, så även utbildnings-översyn och underhåll. Beträffande ansvar för nyckelinfrastruk-turen har man valtoutsourcing och låtit Posten AB ta hand om detta.

Beträffande varför det är viktigt att skapa rutiner ser vi att inom vårt fallstudie-företag har man klart för sig varför det ska göras. Vi har i litteraturen hittat sådantsom vi kan koppla till de rutiner vi undersökt, som visar varför det är viktigt medsäkra rutiner. Teorin säger att PKI och elektroniska signaturer kan effektiviserarutiner. Vi ser att flera rutiner har blivit bättre, om än de inte uppfyllt alla våra krav.

37

5 SLUTSATS

Under denna rubrik presenterar vi våra slutsatser och diskuterar valet av metod fördatainsamling. Vi delger även våra egna reflektioner kring vårt arbete, samtkommer med förslag på fortsatta studier som kan göras inom ämnet.

5.1 SLUTSATS

Vi har i vår rapport arbetat utifrån syftet:

Att undersöka hur ett systeminförande med PKI kan påverka vissa rutinerrörande IT-säkerhet.

Vi har genom deduktion funnit att det företag vi gjort vår fallstudie i har fått enförbättrad säkerhet i och med systeminförandet med PKI. Detta har lett till en för-bättring av vissa rutiner beträffande minskning av rutinsteg, tidsbesparing ochövergång till IT-stödd rutin. Däremot ser vi att förändringen i rutinerna inte alltidär orsakade av PKI. Undersökningen har visat att rutinerna inte i något fall uppfylltde kriterier som gör att rutinen bedöms förbättrad. Vi får därmed anse vår hypotesfalsifierad.

5.2 METODDISKUSSION

Vi har i vår fallstudie arbetat enligt deduktiv metod. Eftersom antalet respondenterär få i vår fallstudie beroende på att den teknik vi avsett att studera är relativt ny, såanser vi att en induktiv metod är olämplig. Detta på grund av att den induktivametoden kräver en kvantifiering, och i vårt fall skulle det vara svårt att åstad-komma.

Litteraturen har ibland varit svår att välja. Emellertid så har vi konstaterat att fleraförfattare har ungefär samma teorier om områdena kommunikation och säkerhet.De bör därför betraktas som valida. Inom området PKI har mängden litteratur intevarit stor eftersom området är relativt nytt. Däremot finns här ett antal rapportergjorda av Statskontoret, och vi anser att dessa har hög validitet. De uppgifter somfinns i övrig litteratur överensstämmer mycket väl med dessa rapporter, varför ävende måste anses ha hög validitet.

SLUTSATS

38

En möjlig svaghet i vår undersökning, kan vara att PKI-tekniken är relativt ny ochdet har lett till att undersökningen inte har kunnat göras på ett stort antal företag.Vi kan dock inte anse att vårt låga antal intervjupersoner har försämrat rapportenstrovärdighet, eftersom de personer vi intervjuat har haft hög kunskap om derasspecifika område. Vi anser att vår undersökning skulle få likadant resultat, om detutfördes under samma betingelser vid ett senare tillfälle, och därför har högreliabilitet.

5.3 EGNA REFLEKTIONER

Vi har i vår rapport inte kunnat visa att en förbättring av vissa rutiner i ett företagär möjlig, i och med ett systeminförande med PKI. På grund av att tekniken i vårtfallstudieföretag inte ännu är fullt utvecklad, har vi inte hittat rutiner som påverkasav PKI-införandet. Vi är däremot övertygade om att när man på Västernorrlandsläns landsting har kommit längre i systeminförandet, så kommer det att finnasrutiner som tack vare PKI blivit förbättrade.

Inloggningsrutinen upplevdes av användare som krånglig och tidsödande. Det varolämpligt att gå in i systemet vid tidsbrist. Vi tror att detta till stor del är en erfaren-hetsfråga. Vår respondent har stor erfarenhet av datoranvändning, men varjesysteminförande har ändå en inkörningsperiod innan man känner sig helt säker påsystemet. Det är mycket troligt att hon efter att ha använt systemet ytterligare ett årupplever det helt annorlunda, i och med att hennes erfarenhet från PKI-systemethar ökat avsevärt.

Inom landsting, kommun och andra myndigheter tror vi att många grupper kan hastor användning och vinning av detta system. Användare som är långt från de cen-trala enheterna, och som har behov av säkra transaktioner kan utnyttja systemet tillinformationsåtkomst på ett säkert sätt. Ett exempel på detta är de distriktsköterskoroch läkare som arbetar ute på fältet, och här besöker patienter i hemmet. De kan fåtillgång till journaler medan de är på hembesök och även göra dokumentationendirekt på plats. Detta ökar säkerheten både för patienten och den som utför arbets-uppgiften.

Ett system som PKI, har givetvis inte bara positiva sidor. Till de negativa kan vinämna kostnaderna och komplexiteten. Initialkostnaderna är stora, speciellt vadavser hårdvara. Vårt fallstudieföretag har haft stora problem innan de kommitunderfund om vilken hårdvara och mjukvara som är kompatibel med detta system.Detta har tagit lång tid, och vi inser att ett införande av ett system som detta inte ärnågot som görs snabbt. Man är tvungen att göra det i liten skala, precis som Väster-norrlands läns landsting har gjort, och därefter utöka det. Beträffande kostnaderna

SLUTSATS

39SLUTSATS

så är det just initialkostnaderna som avskräcker. I längden finns det möjlighet atttjäna på det, men det är svårt att yttra sig om när det blir. Detta innebär i praktikenatt det främst är stora företag och myndigheter som kan tjäna på systemet. Ett litetföretag och privatpersoner har sällan den ekonomin att det är möjligt. Vår under-sökning är en jämförelse mellan ett PKI-system och ett annat. Det är möjligt attvissa delar av resultatet skulle bli annorlunda om vi valt att jämföra PKI mednågot annat system, eftersom de rutiner som jämförs kan se annorlunda ut. Vi äremellertid övertygade om att en förbättring sker avseende säkerhet, närhelst mangår från ett ”osäkrare” system till PKI.

Den användare vi intervjuat upplevde att det gamla systemet var segt att arbetamed. Man hade långa väntetider och ibland gick systemet inte att använda. Detta ärbättre nu i och med PKI-systemet. Till viss del kan förbättringen bero på PKI-systemet, men vi tror även att uppkopplingen spelar en stor roll till att det är lättarenu.

PKI är ett komplext system, som kräver användare med IT-förståelse. Det är alltsåinte helt lätt att lära sig. Vi tycker ändå att det är ett system som är värt att satsa på,för de som uppfyller de krav vi diskuterat ovan, och där användare dessutom har ettstort intresse av att prova ny teknik.

5.4 FÖRSLAG TILL FORTSATTA STUDIER

PKI är en relativt ny företeelse. De företag/myndigheter som testat det, har gjortdet i liten omfattning. Därför måste det i framtiden när det är mer beprövat gå atttitta närmare på t.ex. rutiner och policy. Vi har valt att inte redogöra för kopplingenmellan datalagring och PKI. Detta kan vara lämpligt att göra i en annan studie, dådessutom arbetet hunnit längre fram.

De elektroniska ID-korten är en ny företeelse. Vi har hittat att ID-korten har ettbrett användningsområde. Finland har beslutat att alla medborgare ska kunna an-söka om detta kort. I Sverige har utvecklingen inte nått fullt så långt, eventuelltberoende på de kostnader som påtalas i vår fallstudie. Umeå startar hösten 2001 ettprojekt med elektroniska ID-kort till innevånarna. Det skulle vara intressant attundersöka i en kvantitativ studie om hur användare utnyttjar ID-korten.

Vi har inte gått in på den mobila sjukvården inom landstinget och hur de använderPKI. Vi tycker det skulle ha varit intressant att titta närmare på det och se vad PKIhar inneburit för användare där. Vad innebär det för sjukvården i kontakt medpatienterna? Har tiden med patienten ökat i och med PKI?

Vi anser att PKI är framtidens område och mycket finns att fördjupa sig i här.

40 SLUTSATS

41REFERENSLISTA

6 REFERENSLISTA

Böcker och rapporterAndersen Erling S., 1994. Systemutveckling – principer, metoder och tekniker.Studentlitteratur. Lund.

Backman Jarl., 1998. Rapporter och uppsatser. Studentlitteratur. Lund.

Dataföreningen i Sverige, 1997. Steg för steg mot bättre IT-säkerhet.Tryckeribolaget. Sundsvall.

Flensburg, P. m.fl., 1999. Mänskligare datasystem – utveckling, användning ochprinciper. Studentlitteratur. Lund.

Freese J., Holmberg S., 1993. Dataosäkerhet. Praktisk handbok för beslutsfattare.Affärsinformation AB. Stockholm.

Halvarsson A., Morin T., 2000. Elektroniska signaturer. Studentlitteratur. Lund.

Lindström-Myrgård, K., 1997. Effektiva arbetsteam.Framsikt AB. Stockholm.

Pfleeger, Charles P., 2000. Security in computing. Prentice Hall. London.

SIG Security, 1999. Elektronisk affärssamverkan mellan företag. Studentlitteratur.Lund.

Statskontoret 1997:29a. Handbok i IT-säkerhet del I – Introduktion. Stockholm.

Statskontoret 1997:29b. Handbok i IT-säkerhet del II – Policy, ansvar ochorganisation. Stockholm.

Statskontoret 1997:29c. Handbok i IT-säkerhet del III – Skyddsåtgärder.Stockholm.

Statskontoret 2000:7. Infrastruktur för säker elektronisk överföring till, från ochinom statsförvaltningen. Stockholm.

Statskontoret 2000:40. Elektroniska signaturer och elektrisk identifiering förmyndigheters e-tjänster. Stockholm.

42

Summers Rita, 1997. Secure computing, threats and safeguards. McGraw-Hill.USA.

Svenska Akademiens Ordlista över svenska språket. 1998, AIT Gjövik AS, Norge

Thurén Torsten, 1991. Vetenskapsteori för nybörjare. Liber AB. Malmö.

Turban, Lee, King, 1999. Electronic commerce – A managerial Perspective.Prentice Hall. London.

Yin, R. K., 1999. Case study research – design and methods. SAGE Publications.USA.

Artiklar:Edlund Jonas, nr 32, 2001. ”Bedrägerier slår hårt mot e-handelns vinst”,Computer Sweden.

REFERENSLISTA

43BILAGA A - Intervjusammanställning IT-säkerhetschef

BILAGA A

Intervjusammanställning IT-säkerhetschef

Respondentens Namn: Hans AsplundRespondentens Befattning: IT-säkerhetschef på Västernorrlands läns landsting

sedan 1995.Respondentens Arbetsuppgift:Ansvara för informationssäkerheten vid Väster

norrlands läns landsting. Projektledare för PKI-projekt inom landstinget, som pågått sedanseptember 1999.

Personlig del – utifrån befattning

Säkerhet

Beskriv vad datasäkerhet är för dig?Svar: Att skydda sekretess. Att data är riktigt och kvalitetsmässigt. Tillgänglighet,dvs. att ett system ska fungera och inte ligga nere i flera veckor.

Vilka hot anser du att det finns mot datasäkerheten inom Västernorrlandsläns landsting, och hur skyddar ni er mot det?Svar: Vanliga standardhot från Internet, som exempelvis virus. Dessa hot ses dagli-gen. Vi skyddar oss mot detta genom att ha virussystem som automatiskt upp-dateras. Mailläsarna är proaktiva för virus som ej är kända sedan förut. De är alltsåfördefinierade. Det är vanligt att personalen sprider virus via egna disketter, mendetta begränsas oftast till en enhet som exempelvis en vårdcentral. Ett annat hot ärhackers. För att skydda oss mot dem har vi ”intrusion detection” som sniffar påkända attackmönster och slår larm om de upptäcker något sådant. Dessa kändaattackmönster finns samlade i en databas. Interna hot finns också och det är då per-sonal, som går in och läser otillåten information som patientjournaler, och sedansprider informationen. Detta går att spåra och det finns exempel på personer somblivit fällda för detta, eftersom det dessutom begränsas i lag.

Vilka säkerhetsmässiga krav har ni på de transaktioner ni utför?Svar: Informationen klassas i tre klasser: grund, hög och mycket hög och dettabestämmer hur starkt skydd informationen behöver. Till grundklassen hör öppnaintranät, webbsidor med handböcker och annan information. I de två översta klas-serna finns tillämpningar som journaler, ekonomisystem och e-post. Inom denhögre av dessa två klasser finns psykiatri och kuratorer och smittskydd som HIV,eftersom den informationen är mycket känsligare om den sprids. Smarta kort, PKIoch kryptering behövs som skydd av informationen i de högsta klasserna.

44BILAGA A

Känner du till om ni haft några intrång i det gamla och det nya säkerhetssys-temet?Svar: Visst har vi haft tecken på intrång, men inget allvarligare. Det går inte attsäga om det är någon skillnad på detta sedan det nya säkerhetssystemet infördes.

Historia

Beskriv hur uppkopplingen till de centrala resurserna skedde förut förtandvårdsklinikerna.Svar: Tidigare var dessa tandvårdskliniker uppkopplade till de centrala resursernavia ISDN i en ”Closed User Group” med en egen modempool för ISDN som hetteMaxpro.

Hur fungerade det säkerhetsmässigt?Svar: Användarna loggade in med användar - ID och lösenord. Ingen krypteringanvändes. Att man har en sluten användargrupp, så innebär det att ingen utomstå-ende ska kunna ta sig in i systemet. Att det fungerade hängde på hur Telia lade sinaspärrar och det visade sig att det inte alltid var rätt gjort. Utomstående kunde ta sigin.

Varför fick ni behov av att förändra detta system?Svar: Maxproservern höll inte för 2000 strecket och leverantören slutade ge sup-port, så vi behövde en ny lösning. Det systemet var inte heller helt bra säkerhets-mässigt och behoven av tillgänglighet hade förändrats.

Varför valde ni PKI?Svar: Det började då jag 1996 var på en konferens i Frankfurt om smarta kort. För-säljare marknadsförde det och jag tyckte det var mycket intressant. Därför har jagbevakat utvecklingen i Sverige och väntat på att systemet med smarta kort skakomma hit. Vi fick sen kontakt med ett konsultföretag, som har en av landets bästaPKI-experter, vilket var mycket bra.

Beskriv hur administrationen av användare var i det gamla systemet?Svar: Den systemadministratören fick gå in i varje system och lägga upp använ-dare. Det fanns ingen standard för användar - ID och lösenord skulle då bytas varjemånad. Många glömde också bort sina lösenord. Det gick åt mycket tid till dennaadministrering och flera tjänster behövdes.

45BILAGA A

Nuvarande system

Beskriv den nya uppkopplingen till centrala resurser för tandvårdsklinike-rna?Svar: 16 tandvårdskliniker är idag uppkopplade via VPN-tunnling via Internet medISDN som bärare. Även distriktsköterskor, enskilda läkare m.fl. arbetar motpatientjournaler. Konsulter har uppkoppling för att ge support. Vissa administrativaenheter inom skolor och kultur har också denna teknik. Ca 80 smarta kort är i bruk.

Hur fungerade det säkerhetsmässigt?Svar: Autenticering av användare och tunnel görs med PKI och elektroniska ID-kort från Posten och med deras CA-funktion. Detta system är mycket säkrare.Tandklinikerna använder hårda certifikat i forma av Elektroniska ID-kort.

Beskriv hur administrationen av användare är i det nya PKI - systemet?Svar: Den är mycket enklare. Vi använder Novells e-direct katalogtjänst där använ-dare läggs upp. Man har ett standardiserat användar - ID och ett lösenord. Det ärlättare att minnas, och lösenordet behöver inte heller bytas varje månad. Försystemadministratören sparar detta mycket arbete om man jämför med det gamlasystemet.

Beskriv CA-funktionen som ni använder och hur har det fungerat?Svar: Vi använder Postens CA-tjänst, så de ansvarar för katalogtjänsten och ska-pande, återtagande och spärrning av certifikat. Det har varit en del problem i bör-jan, eftersom Posten inte var van vid detta och ej hade kundvänliga rutiner. Nufungerar det bra, när Posten också har fått in dessa användarvänliga rutiner. Vi harett mycket bra samarbete nu.

Hur används och förvaras certifikat hos er?Svar: De publika nycklarna lagras i en server i Stockholm, där de kan hämtas ifrånnär man ska kommunicera med en viss person. De privata nycklarna har vi i vissafall som ett mjukt certifikat, en fil som kan hämtas ner från Internet av den på före-taget som är ansvarig för detta. Ett mjukt certifikat lagras säkert skyddat som en fili en dator. I andra fall har vi hårda certifikat – elektroniska ID-kort. De beställs ochhämtas ut personligen på Posten. Dessa är personliga eftersom du har ditt foto påkortet. Användaren ansvarar själv för lösenordet.

Vilken typ av information hanterar ni med det nya systemet?Svar: Ekonomiadministration, e-post och webbsidor.

Har några manuella rutiner som du berörs av ersatts med IT?Svar: Nej. Däremot är det en ny teknik, som är säkrare. Den mobila sjukvården ärhelt ny.

46BILAGA A

Hur har det varit att komma igång med att använda PKI?Svar: När projektet startade hade vi först en teknik- PKI. Därefter fick vi hitta til-lämpningar för den tekniken. Vi började med tre delar: säker e-post, mobilt sjuk-vård och LVN-Extranet. Efter att ha sett hur dessa delar fungerar, har vi nu fattatbeslut om hur vi ska gå vidare.

Vilka problem har ni med att komma igång?Svar: Postens problem med kundrutiner har gett besvär. En del hårdvaruproblemhar det varit. Alla datorer är inte byggda för PKI. Installationerna har varit svåra.Det är brist på kompetens och rätt maskiner. Nu fungerar detta bättre, då teknikernakan Windows 2000. Det har varit en del problem med vart man ska vända sig omproblem uppstår. IT-stödet har varit decentraliserat förut och ingen samordning harskett, men nu när man har en organisation så fungerar detta bättre. Tandklinikenhar en egen IT-tekniker.

Hur har det gått att kombinera PKI och e-ID?Svar: PKI är en komplex teknik. Därför är det en del problem under uppstarteninnan man vet hur allt fungerar. Det har varit svårt hitta operativsystem som passar.Windows 2000 har vi funnit vara bäst. NT fungerar ej. Det har varit hårdvarprob-lem. Vissa datormärken går ej att använda. En del kompabilitetsproblem beträffan-de produkter och gränssnitt har det varit. Det underlättar om användare har IT-för-ståelse. Allt är inte färdigutvecklat på detta område. Det finns mycket kvar att göra.

Vilka fördelar har ni haft med införandet?Svar: Det har gett oss bra erfarenheter och vi har ett stort försprång mot andra.Vinsterna ser man inte nu utan de kommer framöver. Vi har lärt oss mycket avdetta.

Vilka skillnader finns mellan dessa 2 system?Svar: Det nya systemet har bättre säkerhet, genom att man kan gå över Internet.Det är billigare uppkoppling. För de distriktssköterskor som kan koppla upp sigmobilt via modem har vi sett en prissänkning.

Uppfyller PKI de behov ni hade eller önskade? Har säkerheten ökat?Svar: Ja, PKI uppfyller våra behov. Det enda jag är besviken på är priset för ID-kort och kortläsare. Det är för mycket med 1000 kr för varje användare. I de nyamaskinerna som byggs ska detta byggas in och det blir bättre. Säkerheten är ocksåhögre i det nya systemet.

Har du sett några klara vinster med PKI?Svar: IT-teknikerna i driftsorganisationen vinner mycket på administrationen avanvändare. I en framtid ser jag möjligheter till att göra stora rationaliseringar i vår-den. De har mycket att vinna på detta system.

47BILAGA A

Kompletterande frågor

Kan du förklara hur PKI kommer in i dessa rutiner: administration av an-vändare, inloggning, beställning av förbrukningsartiklar och tidbokning ochrådgivning?Svar: Administration av användare blir helt klart bättre på sikt när alla finns upp-lagda i katalogen och vi har infört Singel Sign On. I dag med begränsat införandefinns gamla rutiner kvar och då är inte vinsten märkbar. Inloggningen ger en märk-bar förbättring för användaren först när Singel sign on är på plats och användarennår alla applikationer på en inloggning. Detta orsakas av PKI.

PKI med kryptering och signering är en teknik som möjliggör att rutiner kan göraspå nätet som inte varit lagligt eller säkerhetsmässigt möjligt tidigare. För sjukvår-dens del kan nämnas:Intyg om sjukdommar till försäkringskassan/bolag skall vara underskrivna. NärRiksförsäkringsverket är klar med sin del skulle vi kunna starta den rutinen ochvinna i hantering och porto. Skicka utdrag ur patientjournal som bilaga till e-Postär möjligt om båda parter har PKI-stöd i sina e-Postsystem. Vi väntar på att NUS iUmeå skall få det. Mycket att vinna i tid och bättre stöd vid patientbehandlingen.Det finns många fler exempel men alla bygger på att motparten i annan organisa-tion har PKI.

Rutinerna för beställning förbrukningsartiklar är inte beroende av PKI. Den körsutan PKI på de flesta ställen. Tandkliniken Alnö fick denna rutin samtidigt medPKI så de kanske tror att det är så.

Tidbokning och rådgivning via e-post är inte heller beroende av PKI som den an-vänds i dag. I ett framtidsperspektiv tror jag att en PKI baserad lösning för kommu-nikation med patienter (E-post och webbåtkomst personlig information) i all vårdkan ge en stor rationalisering och en bättre patientservice. Patienterna bör då ha ettsmart kort som patientkort och där är vi inte nu.

Vi har ett projekt på gång för informationsutbyte mellan Sundsvalls kommun ochdistriktsköterskor och deras samarbete med vårdcentral i Landstinget. Denna lös-ning bygger på PKI i säker inloggning och kryptering och skulle inte kunna görasutan denna säkerhet. Nu finns ingen utvärdering och praktisk erfarenhet eftersomdet startat i dagarna. Vi räknar med en utvärdering först till årsskiftet då det skallredovisas vilka rutiner som förbättras. Med detta arbetar en elev på Mitthögskolan iSundsvall.

48 BILAGA A

49BILAGA B - Intervjusammanställning användare

BILAGA B

Intervjusammanställning användare

Respondentens Namn: Eva AnderssonRespondentens Befattning: 1:e tandsköterska Alnö tandvårdsklinikRespondentens Arbetsuppgift:Förutom sedvanligt tandsköterskearbete har hon

ekonomiskt administrativt ansvar på sin klinik.

Personlig del – utifrån befattning

Historia

Hur fungerade ert gamla system, rent arbetsmässigt?Svar: Det gamla systemet fungerade med ett vanligt användarnamn och lösenordför att logga in.

Hur upplevde du att det systemet var att jobba med?Svar: Det gamla systemet upplevde jag som mycket segt, vi använde inte datorerså mycket innan. Det fungerade inte bra.

Upplevde du som användare att det fanns behov av ett nytt system?Svar: Vi hade inget speciellt behov annat än att det gamla systemet var segt, ochdet skulle ha varit bättre om vi hade ett system som gick lite snabbare. Ibland komvi inte ens ut på nätet.

Nuvarande system

Vilken typ av information hanterar ni med det nya systemet?Svar: Vi hanterar framförallt beställningar, både kontorsartiklar och rengörings-artiklar och så vidare. Vi använder det också till den ekonomiska administrationen,och förstås e-post. E-posten har ökat i det nya systemet, och patienter använder dettill tidbokning och rådfrågning. Det kan bero på att vi fått en hemsida, där patienterkan gå in och boka m.m. Vi kan också skicka information till dem via e-post. Dettahar minskat telefonsamtalen vissa dagar. E-posten är bra, eftersom man kan ta handom den när man själv har tid.

50 BILAGA B

Hur fungerar det nya systemet arbetsmässigt?Svar: Rent arbetsmässigt fungerar det nya systemet med att jag sätter in mitt kort ikortläsaren, därefter loggar jag in med ett lösenord. Därefter kan jag komma in ivårt intranät. När jag ska avsluta måste jag verifiera innan jag avslutar, sedan tarjag ut kortet ur kortläsaren.

Hur upplever du att det nya systemet är att jobba med?Svar: Jag upplever systemet som krångligt, vi lider ju av tidspress och att gå in isystemet gör man inte bara i en handvändning upplever jag, så man måste ha speci-ellt med tid. Men det är inte lika segt som förut.

Hur ofta använder du PKI?Svar: Vi använder PKI varje dag. Patienter skickar e-post, men det är ännu inte såvanligt.

Uppfyller PKI det behov ni hade eller önskar?Svar: PKI uppfyller behovet bra med beställningar, det är lättare nu eftersom jagkan se priser och om varan är inne på en gång.

Vilka skillnader upplever du som användare att det finns mellan dessa2 system?Svar: Skillnaden är att det inte är segt längre, så det är bra.

Hur förvarar ni era certifikatSvar: Vi förvarar våra certifikat på jobbet trots att det är personligt. De är inlåstapå kontoret.

Har ni kunnat ersätta några manuella rutiner med IT sen PKI infördes?Svar: Det är en manuell rutin som vi tagit bort sedan det nya systemet installera-des. det är beställningarna som förut gjordes med hjälp av en pärm med artikel-nummer och produktbeskrivning. Beställningen skrevs för hand, och faxades sedaniväg. Detta var ingen garanti att varorna levererades, eftersom överskådlighet sak-nades. För att säkert veta att varorna kunde levereras, så var jag tvungen att ringaoch kontrollera innan beställningen skickades. Annars riskerade vi att bli utan vissavaror. Numera går jag in i Intranätet och berställer direkt. Det fungerar mycket bra.Vi har fått överskådlighet, genom att vi direkt ser om varan finns inne och får vetaleveranstiden.

51

BILAGA C

Referenser till bilaga C.Utrikesutskottets betänkande 1999/2000:UU7. Kryptografi [On-line]. Available:http://www.riksdagen.se/debatt/9900/utskott/UU/UU7/UU7.ASP [2000-12-02].

Regeringens skrivelse 1998/1999:116. Kryptografi [On-line]. Available: http://www.riksdagen.se. PROPARKIV. [2000-12-02].

Näringsdepartementet [On-line]. Available: http://www.regeringen.se/informations-material/pdf/vlf_arsk01.pdf , sid. 33 [2001-04-28].

Lagen om kvalificerade elektroniska signaturerEn ny lag om kvalificerade elektroniska signaturer gäller från och med 2001-01-01.Eftersom denna påverkar PKI i och med dokuments giltighet och är en förutsätt-ning för användning av elektroniska signaturer och PKI, så kommer vi att redogöraför denna.

Efter en längre tids arbete med utredningar av Regering och Statskontor har beslutfattats. Den exakta lydelsen av lagen är inte klar ännu, men i Näringdepartementetssammanställning över nya lagar och förordningar, står att läsa bl.a. att syftet medlagen är:

”att skapa förutsättningar för en ökad tillit till elektroniska signaturer och attbidra till en ökad användning av elektronisk kommunikation isamhället”.(Näringsdepartementet, 2001)

Med elektroniska signaturer vill man:

”säkerställa att elektroniskt överförd information inte har förändrats och attavsändaren är den som uppges”. ”Lagförslaget ökar även möjligheterna för denoffentliga förvaltningen att införa effektivare rutiner och att öka tillgängligheten.Alla medlemsstater inom Europeiska unionen kommer att införa motsvarandelagstiftning. De kvalificerade elektroniska signaturerna kommer därför att kunnaanvändas inom hela unionen”.

Utrikesutskottet sammanfattar i ett betänkande (1999/2000:UU7) regeringensståndpunkter från skrivelse 1998/99:116, och menar här att det inte finns något skältill att begränsa användningen av kryptoteknik i Sverige. Import av kryptoteknikska dessutom vara fri. Alla som så vill ska ha rätt till att använda denna teknik .

BILAGA C - Lagen om kvalificerade elektroniska signaturer

52 BILAGA C

Regeringen menar vidare att det finns säkerhetspolitiska skäl till att förhindra enspridning av kryptoteknik till olämpliga mottagare i vissa länder. Om utvecklingenmotiverar, så bör man överväga att skapa möjligheter till att på laglig väg kommaåt krypterad information som är viktig av brottsförebyggande skäl och förkontrollerande myndigheter. Den svenska politiken bör präglas av flexibilitet ochlyhördhet. Syftet med detta är att man vill kunna möta en ökad efterfrågan påkryptoteknik, förändringar i politiken i andra länder och den fortsatta tekniskautvecklingen inom detta område.

Samma utskott redogör vidare för regeringens ståndpunkter kring hanteringen avde digitala certifikaten och kryptonycklarna. En certifieringsinstans som tillhanda-håller signaturtjänster behövs. Vidare så är det viktigt att det inte blir ett tvång attha dessa nycklar, utan allt måste ske på frivillig väg. Regeringskansliet kommer attpåbörja detta arbete i samarbete med bland annat näringslivet i Sverige.

En liten varning riktas från Halvarsson m.fl. (2000) beträffande lagstiftningen.Eftersom det är fri rörlighet mellan olika länder när det gäller produkter för elek-troniska signaturer, så bör man titta på vad lagen säger innan man importerar.Exempelvis USA har en annan lagstiftning, och det är möjligt att deras produkterkan göra mer än vad lagen tillåter.

53BILAGA D - SYSTEMÖVERSIKT LVN

BILAGA D

Denna bild beskriver hur PKI införts i Västernorrlands läns landsting, och är ingenkomplett beskrivning över hela systemet i landstinget.

54 BILAGA D