– Vi trenger nye metoder for å analysere og vurdere tillit, sier Ketil Stølen, sjefsforsker ved Sintef IKTs Avdeling for samvirkende og tiltrodde systemer.

Derfor tok han initiativet til et prosjekt hvor det er blitt utviklet en metode for å analysere tillit i forhold til risiko i den digitale tidsalderen.

Det er også utviklet et språk for å dokumentere resultatene av en slik analyse, og språket kan brukes til å lage retningslinjer for håndteringen av digital tillit i organisasjoner.

Forskerne har dessuten vurdert hvordan risiko og tillit skal håndteres i forhold til kontrakter.

– Psykologer og filosofer har studert tillit i mange år, men i dag har vi fått behov for å vite hva det betyr at en datamaskin kan stole på en annen. Etter hvert som ulike datasystemer blir flinkere og flinkere til å samhandle, tar de stadig flere avgjørelser selv.

– Det har skapt et veldig behov for å forstå hvordan vi kan bygge systemer som kan gjøre dette på en sikker måte, sier Stølen.

Tillit er mer enn sikkerhet

– De fleste nettbankløsninger er laget på en veldig sikker måte, men samtidig vet vi at datasystemer aldri blir 100 prosent sikre.

– Derfor vil du sannsynligvis kreve noe mer enn datasikkerhet for å ha tillit til nettbanken, for eksempel i form av lover og regler som sikrer at sparepengene dine ikke blir borte selv om noen hacker seg inn i nettbanken. Eksemplet viser at tillit er et mer generelt begrep enn sikkerhet, sier Stølen. 

Databehandleren Stølen inviterte derfor både juristen Jon Bing ved Universitetet i Oslo og filosofen Dag Elgesem ved Universitetet i Bergen med i prosjektet, som veiledere for to doktorgradsstipendiater.

– Eksemplet med nettbanken illustrerer behovet for juridisk kompetanse når vi skal jobbe med digital tillit.

– Filosofikompetansen var også viktig, fordi humanvitenskapene har studert tillitsbegrepet og bygd opp solide kunnskaper lenge før begrepet «tillitsstyring» (trust management) dukket opp i IKT-bransjen i 1996, forteller Stølen.

Validering av sertifikater

Den nye metoden blir nå anvendt i et prosjekt ved Det Norske Veritas (DnV), som er i ferd med å utvikle et dataprogram som skal kunne validere elektroniske sertifikater.

– Tenk deg at du skal kjøpe noe fra en netthandel i for eksempel Latvia og ønsker å sjekke kvaliteten på det elektroniske sertifikatet som er nødvendig for å gjennomføre handelen.

 – Ideen er at man kan sende sertifikatet til DnVs valideringsprogram, som skal kunne avgjøre om sertifikatet er til å stole på. Prosjektet omfatter en stor analyse hvor DnV og Sintef bruker vår metodikk til å sammenlikne to alternative løsninger, forklarer Stølen.

Ketil Stølen påpeker at det alltid er viktig å analysere hvor komplekse dataløsninger som trengs i forhold til det målet som ønskes oppnådd.

– Det vi ser i praksis, er at systemer som gjøres for sikre, med for mye kompleksitet, kan føre til at mange begynner å lete etter måter å omgå systemet på.

– Hvis IT-avdelingen for eksempel bytter passord for ofte og krever at de skal være for komplekse, ender det med at brukerne skriver passordet på en lapp, og da blir sikkerheten svekket istedenfor styrket.

– Derfor gjelder det alltid at man må velge rett løsning, med rett kompleksitetsnivå, ut fra den målsetningen man har, sier Stølen.

Lenke:

Forskningsrådets program: IKT sikkerhet og sårbarhet (IKTSOS)