Danish Biometrics

I over 2 år har mere end 600 eksperter og en plenarforsamling på 65 medlemmer fra hele Europa i et åbent forum under European Security Research and Innovation Forum (ESRIF) debatteret aspekter af europæisk forskning og innovation med det formål at styrke borgerens sikkerhed. Resultatet foreligger nu i en diger rapport på 323 sider og er dermed det største bidrag af sin art i Europa til dato.

ESRIF, der er etableret i 2007 på vegne EU-kommissionen og de 27 medlemslande, har haft til formål at kortlægge en dagsorden for forskning og innovation i sikkerhed med følgende pejlemærker:

• Sikkerhedsperspektiver på mellemlangt og på langt sigt (op til 20 år)
• Europæiske, nationale og regionale perspektiver, der bygger på tidligere EU rapporter
• Øget koordinering med andre institutioner, der er involveret i forskning og innovation i sikkerhed
• Samfundsmæssige og teknologiske aspekter af sikkerhedsforskning
• Fremme inovation som grundlag for et europæisk sikkerhedsmarked, der udnytter stordriftsfordele på europæisk plan
• Vejledning for interessenter, der forbereder sikkerhedsrelevante forskningsprogrammer i Europa

I rapportens indledning hedder det bl.a. : “Med afsæt i behovet for en langsigtet fremtidsforskning er ESRIF gået til opgaven ved at udarbejde et sæt af sammenhængende scenarier, der er baseret på at kombinere nuværende tendenser med henblik på at skabe alternative fremtidige scenarier med en 2030 tidshorisont. Disse scenarier har omfattet en række risici, fra naturlige til menneskeskabte hændelser og er blevet brugt til at teste og identificere hvordan risici og udfordringer på kort- og mellemlang sigt, kan kan udvikle sig på lang sigt.

Forebyggelse er nøglen til at minimere virkningerne af disse risici. ESRIF har indtaget en holistisk tilgang til sikkerhed og med anvendelse af den bredest mulige definition af sikkerhed og undersøgt, hvordan dette kan opnås i forhold til selve selve samfundet og de friheder man ønsker at bevare eller styrke.

Det er ESRIFs opfattelse, at denne fremgangsmåde skaber afsæt for den fremtidens sikkerhed i Europa; en videnskabelig, teknologisk og industriel base, hvorfra det nødvendige udstyr, teknologi og best practices lader sig uddrage med henblik på at levere sikkerhed samt et stærkt socialt engagement, der sikrer et ansvar for anvendelsen så vel som en akcept af sådanne løsninger.

Mange spørgsmål såsom klimaændringer, råvareknaphed, virkningen af nano-teknologi eller det omfattende cyberspace-miljø skaber nye risici men fjerner sjældent radikalt de gamle. Disse it-netværks stigende evolutionære kompleksitet og indbyrdes afhængighed forstørrer deres virkning og nedbrud på samfundet og det bliver derfor vanskeligt at forudse og forstå effekter af disse trusler.

ESRIF formål er at tilvejebringe en fælles forståelse af sikkerhed, forskning og innovation med henblik på at støtte en mere ensartet procedure. Derfor foreslår ESRIF at styrke den europæiske fremstillings- og servicesektors rolle og evne til at investere i væsentlige forsknings-og udviklingsaktiviteter. Med såvel national som europæisk støtte vil denne investering give et solidt grundlag for at løse fremtidige risici, uden at diktere en bestemt løsning for en given udfordring.”

ESRIF anbefaler, “at den eksterne dimension af sikkerhed bør stå højt på dagsordenen for enhver efterfølgende sikkerhedsforskning og innovationspolitik. EU og dets medlemsstater er en del af en meget indbyrdres afhængig og kompleks verden. Fejlslagne stater, grænsestridigheder, miljømæssig migration og ressource-konflikter har alle i stigende grad interkontinentale, hvis ikke globale konsekvenser. Europa kan ikke ignorere disse eksterne risici og trusler eller deres virkning på sin indre sikkerhed.”

Rapporten fastslår herefter, “at beskyttelse af EU’s befolkning og infrastruktur skal afspejle god regeringsførelse, økonomisk fornuft og respekt for grundlæggende rettigheder og Europas kulturelle værdier”. For så vidt angår ESRIF “skal en konkurrencefordel og førende position for Europa på det globale sikkerhedsmarked reflektere europæiske værdier”. På den baggrund opremser rapporten en række hovedbudskaber som følger:

• Samfundsmæssig sikkerhed
Europas sikkerhed er uadskillelig fra de sociale, kulturelle og politiske værdier, der adskiller Europæisk levevis i al dets mangfoldighed. Forskning i sikkerhed og innovation skal løse disse værdiers langsigtede sårbarhed ved europæiske økonomiske, kulturelle, politiske og teknologiske systemer.

• Samfundsmæssig modstandskraft
I betragtning af en uforudsigelighed i menneskeskabte og naturlige trusler, bør forskning og innovation i sikkerhed fokusere på at styrke Europas iboende ukuelighed og evne til effektivt at overvinde kriser ved at styrke sammenhængskraften og robustheden af samfundsmæssige systemer og deres grænseflader til sikkerheds-teknologier.

• Tillid
Sikkerhed forudsætter at der opbygges tillid mellem mennesker, institutioner og teknologier. Under forhold med trusler styrker tillid åbenhed og social integration. Det spiller en afgørende rolle i krydsfeltet mellem borgere og regeringer, velfærdsydelser og institutioner, informationstjenester, IKT og andre teknologiske systemer, og lokale og globale markeder.

• Interoperabilitet
Sikkerhedsorganisationer står i stigende grad over for tekniske, operationelle, og menneskelige spørgsmål om interoperabilitet i forhold til deres geografiske og organisatoriske grænser. En stærk politisk vilje til at dele aktiver og standarder over hele Europa vil give os alle mulighed for i fællesskab at håndtere sikkerhedsproblemer i forbindelse med en stadigt mere indbyrdes forbunden verden.

• En systematisk tilgang til kapacitetsudvikling
Den stigende kompleksitet i sikkerhed kræver stadig mere sofistikerede strategiske fremsyn og risikovurderinger, modulære generiske funktioner og løsninger på det system til system niveau.

• Industripolitik
Europa har en meget omfattende industri kapacitet og videngrundlag på sikkerhedsområdet, men udgør kun et fragmenteret marked. At rette op på dette vil åbne døren til en førende position på det globale sikkerhedsmarked og gøde en effektiv europæisk industri og tilbyde vort samfunds bedste sikkerhedsløsninger til hele verden. Denne ambition kræver et klart politisk valg og en overbevisende europæisk industripolitik.

• Innovation
For at bevare sikkerheden i Europa, er der behov for stærke interne videnskabelige, teknologiske og industrielle kompetencer. Det er vigtigt at udnytte denne viden gennem pooling af midler og klyngedannelse for at maksimere synergien mellem forskellige teknologier, interessenter og services og ved at etablere et systematisk samspil mellem udbud og efterspørgsel for at sikre, at sikkerhedsløsninger er effektivt skræddersyet til at opfylde operationelle behov.

• Security by design
At sikre fremtiden, vil kræve, at sikkerheden behandles som en integreret del af et givent system, proces eller drift fra tidspunktet for konceptualisering. Nuværende add-on sikkerhedsløsninger er ikke længere tilstrækkelig. Europa har brug for en systemisk tilgang til sikkerhed.

• Awareness gennem læring og uddannelse
Uddannelse og scenarie-baseret undervisning vil bidrage betydeligt til en generel anerkendelse og erkendelse af, at sikkerhed er et fælles ansvar for alle aktører, især for politiske beslutningstagere, lovgivere og borgere.”

Den strategiplan for de næste 20 år der er baseret på ovennævnte hovedbudskaber benævnes i rapporten ” the European Security Research and Innovation Agenda” eller ESRIA og er struktureret i 5 klynger. 11 arbejdsgrupper har på tværs af de 5 klynger ydet bidrag med hensyn til kapacitet og teknologi. Kapacitet defineret som evnen til at udføre en specifik opgave eller funktion har været det primære grundlag for arbejdet ud fra en tæt analyse af sikkerhedsrisiko og udfordringer. Kapaciteter er katalogiseret efter deres hastende karakter som:

• Umiddelbare tiltag
• Handlinger, der kræves på kort til mellemlang sigt samt
• Foranstaltninger, der skal støttes på lang sigt

På grund af det enorme antal kapaciteter, der er genereret af arbejdsgrupperne, og af hensyn til variationsgraden af granularitet og beskrivelsens omfang, er disse arrangeret i funktionelle grupper for at lette visualiseringen. Med relevans for Danish Biometrics vil jeg koncentrere mig om klyngen vedrørende sikring af identitet, adgang og transport af mennesker og gods samt de dertil knyttede arbejdsgruppers input. Til slut opsummeres med rapportens anbefalinger.

Imidlertid er der grund til at hæfte sig ved den første klynge, der er beskrevet i rapporten under betegnelsen: Sikkerhedscyklus, forhindre, beskytte, forberede, reagere og afhjælpe.

Det understreges således,”at overvågning i stigende grad er et centralt element i security management og finder sted ved hjælp af en række virkemidler, fra CCTV til forskellige biometriske værktøjer. Eftersom disse redskaber allerede er udviklet, forbliver indvirkningen dårligt forstået på europæiske værdier i forholdet mellem overvågning og friheds- og menneskerettigheder, placeringen af de nye teknologier i samfundet, deres rolle i forbindelse med sikkerhedskriser samt deres konsekvenser for den enkelte. Fremtidig forskning og innovation bør nøje vurdere disse samfundsmæssige spørgsmål og deres relation til Europas sikkerhed.”

I samme afsnit fremhæves det også, “at testning og evaluering af nye teknologier af first movers er afgørende. Der er ikke nok muligheder for at arbejde med teknologier, der stadig er i udviklingsfasen. Dette er en fremtidig prioritet for innovation, således at nye teknologiske løsninger kan optimeres under virkelige forhold i et tæt samarbejde mellem udviklere og brugere.”

Til slut i dette afsnit nævnes det, “at en effektiv behandling af ofre kan kræve biografiske og biometriske oplysninger. På samme måde som oplysninger om redningsmandens identitet, kompetencer og kvalifikationer er nødvendige for at facilitere et effektivt interoperabelt kommando-og kontrol-samarbejde. Derfor må de almindelige standarder for databeskyttelse tilpasses nødsituationer. En række krisetyper har regionale eller internationale virkninger: management bygger på flere forskellige instanser. Koordinering mellem disse instanser rejser specifike spørgsmål om deres forskelle i organisation, metoder, sprog og kultur. Interoperabilitet på kommunikationsniveau er nøglen. At forbedre vores forståelse for evnen for sådanne organisationer til at samarbejde fleksibelt er en prioritet.”

I afsnittet om at sikre identitet fremføres det, “at der er behov for at udvikle proaktive metoder til behandling af ID-tjeks og kontrol, herunder brog af mobile teknologier. Forskning er nødvendig for at forbedre nuværende biometriske systemer til identifikation af personer. Derudover er der brug for en holistisk tilgang til grænse-management og en forståelse af grænseaktiviteter inden- og udenfor Europas grænser for at sikre en effektiv grænsekontrol. Det poienteres, at brugervenlige løsninger er et ultimativt output for forsknings- og innovationsinitiativer.”

I lyset af store tab i forbindelse med identitetstyveri og -bedrageri anbefaler ESRIF som et højtprioriteret forskningstema, “at forbedre biometriske devices nøjagtighed ved at udvikle stærk autentificerings-processer og teknologier og ved at forbedre metoder til at sikre online autentifikation af personer uafhængig af hvilket digitalt element de gør brug af.”

Når det drejer sig om udveksling af patientinformation lægges der vægt på, at beskytte den personlige identitet og privacy-rettigheder på samme tid. ESRIF går ind for at gennemføre en databeskyttelse baseret på “privacy by design”, der bør være en del af informationssystemets arkitektur fra start. “For at sikre en reel effektivitet, bør denne “privacy by design”-beskyttelse kombineres med en generel kontrol af personoplysninger, en adskillelse af data fra forskellige datastreams, privacy-management systemer samt effektiv “anonymisering” af persondata. Forskning på disse områder skal videreføres for at sikre, at effektive løsninger er tilgængelige så hurtigt som muligt.”

Herefter fremhæves i rapporten biometrisk forskning i en lang række sammenhænge. f.eks. i sammenhæng med videnskabelige discipliner indenfor efterforskning. Screening- og overvågningssystemer med biometrisk genkendelse ved boarding skal være i stand til uafbrudt at monitorere store menneskemængder med hurtig fokus for at kunne spore potentielt mistænkte uden at misten synet af menneskemængden. Dette forudsætter trådløse/standoff sensorer/scannere, men det fremhæves, at fjernbiometri stadig er i en tidlig udviklingsfase. Derudover forudsætter det sikre metoder til at validere rejsedokumenter, metoder til at afsløre biometrisk spoofing. standardisering samt mobile decvices og high-speed trådløse forbindelser for ID-tjek i buser, toge osv. Rapporten opstiller et mål om, “at et komplet ID-tjek og kontrol inklusive databaseforespørgsel ikke må tage mere end 10 sekunder.” Derudover opstiller rapporten en række forskningstemaer i relation til teknologien især med henblik på at forbedre de biometriske devices robusthed og nøjagtighed.

Det nævnes imidlertid også i rapporten, “at en nøgleudfordring er, at etablere tillid hos brugeren og at netop biometriske systemer repræsenterer nye muligheder for at forbedre et systems effektivitet og security.” WG8 har identificeret 5 topemner, herunder brug og evaluering af biometri i forbindelse med ID management:

• Tillid til biometriske systemer
• Biometrisk performance
• Behov for detektion af animerede egenskaber/anti-spoofing detektion
• Data beskyttelse
• Biometrisk tilbagekaldelse
• Certificering af biometriske systemer
  

I forbindelse med identifikation af katastrofeofre fremhæves brug af biometrisk og biografisk fusion.

I ID-tyveri kontekst fremføres biometri desforuden som et næste sikkerhedsniveau i forbindelse med ebanking, herunder at integrere biometri for adgang til kortdata. Men samtidig gøres der opmærksom på, “at beskyttelse af biometriske data er nøglen til tillid og at befolkningens bekymring for biometri ofte beror på en manglende viden om teknologien og mistillid til organisationer, som leverer eller administrerer biometriske applikationer.” Særlig opmærksomhed rettes på det såkaldte match-on-card koncept med de deraf følgende privacy fordele.

Med det formål at tilvejebringe en automatiseret grænsekontrol anføres det at biometri for eksempel kan bruges til:

• En fremskyndet forundersøgelse af registrerede rejsende eller brugere (f.eks ansatte) ved bl.a. grænsekontrolpunkter eller hurtige tracks ved grænseovergangssteder
• Medvirke til at reducere forebyggelse af svig for højrisiko grupper såsom flygtninge og asylansøgerbehandling
• Medvirke til at reducere forebyggelse af svig ved kritiske processer som immigration og statsborgerskab
• Frembringe effektive of fleksible overvågningslister, der giver større effektivitet og grundig sikkerhedsbehandling
• Behandle flertallet af rejsende gennem automatiske e-porte

Et interessant bidrag i rapporten er fremhævelsen af kravet om, at indsamlet biometrisk data kun må anvendes til det tekniske og lovlige formål, som er associaret med de registrerede data og at truslen for misbrug af denne information skal adresseres. Det nævnes udtrykkeligt i rapporten, at EU-kommissionen har klassifiseret som en privacy enhancing technology og det fremhæves, “at integration af privacy design i nye security teknologier og systemer vil være en konkurrencemæssig fordel for den europæiske sikkerhedsindustri. Det bør være muligt, at implementere dette design på sådan måde i fremtiden, at mere security ikke betyder mindre privacy.” Rapporten anbefaler endvidere, at der udvikles best practices-modeller samt etiske kodeks.

Det er værd at hæfte sig ved, at rapporten nævner, “at tillid vedrører den enkeltes tryghed til forskellige sikkerhedssystemer og deres operatører. Når det kommer til stykket er tillid kilden til legitimiteten af de demokratiske imstitutioner, som er betroet vor sikkerhed.”

Rapportens policy og operationelle rekommendationer med henblik på at opnå en stærkere forskning og innovation i sikkerhed er:

• Fælles europæiske kapaciteter
• Nye policy initiativer
• Integreret tilgang til security
• En global dimension
• Fremtidig security forskning

Sidstnævnte anbefaling refererer til European Security Research and Innovation Agenda, som skal ses som et levende dokument, der for at udvikle sig i forbindelse med Europas interne og eksterne trusselsmiljø, forudsætter:

• En åben mekanisme der involverer alle interessenter
• At ESRIA bliver revideret og evalueret jævnligt med særlig opmærksomhed i forhold til rapportens hovedbudskaber

Jeg har ved omtalen af rapporten forsøgt at pinpointe væsentlige passager der kan have interesse for biometriske aktører, men har også haft for øje at sætte teknologien i den rette sammenhæng og fremhævet rapportens hovedformål. Betydelige afsnit og andre vigtige pointer er imidlertid ikke kommet med og derfor kan gengivelsen ikke være fyldelstgørende.

Rapporten er efter min opfattelse et vægtigt bidrag til en dybere forståelse af betydningen for en forstærket europæisk skkerhedsforskning baseret på europæiske værdier. Jeg er især tilfreds med, at den primære opgave for ESRIF er at udvikle kriterier og guidelines for security teknologier og metoder i overensstemmelse med menneskerettighederne i almindelighed og beskyttelsen af privacy. For så vidt angår biometri har jeg ved flere lejligheder selv fremhævet, at teknologien udvikles til netop at beskytte brugerens privacy og at den, implementeret og administreret korrekt på samme tid, kan styrke sikkerheden. Denne dobbelt positive effekt overses desværre ofte i forbindelse med den løbende debat om biometri. Man kan sige, at rapporten ikke fremkommer med væsentligt nyt om biometriens udviklingspotentiale, men det afgørende er, at teknologien fastholdes som en vigtig del af sikkerhedsberedskabet og dermed som en prioriteret del af den samlede forskningsindsats. Om rapportens flotte hensigtserklæringer i almindelighed vil og kan blive efterlevet kan imidlertid kun fremtiden vise.

Rapporten anbefales hermed til læsning og fordybelse med håbet om, at den kan medvirke til at sætte skub i en mere målrettet dansk strategisk forskningsindsats i security. Et tiltag for et par år siden i regi af Innovationsrådet om etablering af en dansk sikkerhedsindustri er så vidt det er mig bekendt ikke realiseret. Men initiativet kan måske i lyset af rapporten blive revurderet. Danish Bioemtrics deltager gerne i disse bestræbelser.

Download rapporten (4,83 MB) her.

Der henvises i øvrigt til rapporten fra Oxford Research fra oktober 2008 ”Om kortlægning og analyse af den danske forsvars- og sikkerhedsindustri”, der kan downloades her.

Om den svenske rapport “NRA SECURITY – Swedish industry proposal for a National Research Agenda for security” udgivet af VINNOVA, Swedish Governmental Agency for Innovation Systems i juni 2008 henvises til følgende link.