Rubriken är en variant på Donald A. Normans artikel ”When Security gets in the Way”. Norman forskar inom användbarhet och är förmodligen mest känd för sin banbrytande bok The Psychology of Everyday Things från slutet av 80-talet. Samma bok har i nyutgåvor gått under namnet The Design of Everyday Things. Boken är varmt rekommenderad för den som vill veta varför vi kan irritera oss på allt från gränssnittet i DVD-spelaren till
vanliga dörrar.
Artikeln behandlar det eviga motsatsförhållandet mellan säkerhet och användbarhet, och tar, med all rätt, upp lösenord som ett särskilt stort problem. Lösenord är dock för specifikt, en underliggande missuppfattning är egentligen det mest intressanta problemet:
Missuppfattningen som Norman, möjligen ovetandes, refererar till är att säkerhet bara är funktioner. Detta är helt fel. Säkerhet är inte nödvändigtvis att ha ytterligare ett lås, det är också att ha ett säkert lås. Det finns mängder av exempel på säkerhet som inte påverkar användbarheten; dubbla gipsväggar med en tvåmillimeters plåt på insidan är säkrare än en vanlig gipsvägg, ett tjuvlarm som larmar vaktbolaget automatiskt är säkrare än ett som bara för oljud, om samma larm dessutom använder GSM för uppringningen kan tjuven inte klippa telefonkabeln, och så vidare. Ökande säkerhet behöver absolut inte innebära minskande användbarhet.
Samma sak gäller definitivt inom vårt område – IT. Besökaren på din webbplats märker inte om den sessionstoken som tilldelas har tillräckligt hög entropi, om sessioner rensas ordentligt när hon loggar ut eller om en ny token tilldelas vid inloggning. Faktum är att hon inte kan bry sig mindre. Om sessionshanteringen är säker eller inte har ingen som helst inverkan på användbarheten. Ett inloggningsformulär som inte är sårbart mot SQL-injection är inte svårare att använda än ett som är det. Om krypteringsalgoritmen är stark eller svag gör ingen som helst skillnad på användarupplevelsen. Den här uppräkningen kan pågå länge.
Det är säkerhetsfunktionerna som är i vägen, inte säkerheten. Det är inpasseringskontrollen, lösenordskraven, clean-desk-policyn, förbudet mot USB-minnen, den komplexa rutinen för att återställa ett förlorat lösenord, slöheten i Windows när antivirusprogrammet kör och mailen som försvinner i spamfiltret, som är i vägen. Säkerhet är mycket mer än så.
Säkerhet får inte bara ses som en mängd funktionalitet som läggs på systemet; behörighetsnivåer, kryptering av kommunikation och åtkomstkontroll. Funktionerna som systemet är skapat för att tillhandahålla; transaktioner, beräkningar, lagringsutrymme och kommunikation, ska vara säkra som i att ”inte ha sårbarheter”. Det ska vara omöjligt att kopiera pengar i banksystemet, en debet måste ske i samband med en kredit. Det ska inte gå att lura systemet så att samma beräkning resulterar i olika resultat i olika skeden, det som dras av på ett ställe ska vara samma värde som läggs till på ett annat. Än en gång, det finns mängder av exempel på säkerhet som inte är i vägen. Säkerhet som, om den inte fanns, skulle omöjliggöra till exempel e-handel. Säkerhet som är en ”business-enabler”.
Det är väldigt lätt och ofta berättigat att ge sig in i diskussioner mot säkerhet med argument för användbarhet. Se dock till att skilja på säkerhet som är i vägen och säkerhet som inte är det.
Stefan Pettersson, specialist IT-säkerhet, High Performance Systems AB