Kategoriarkiv: forskningsrapport

nov 1 2010

Ny dansk forskning i biometri og databeskyttelse

Stud. jur.  Bénédicte Lunde-Christensen, Juridisk Fakultet, Københavns Universitet, har netop afleveret sin specialeafhandling, der er en vurdering af biometri i gældende ret, herunder en indkredsning af hensyn mv. til persondatabedømmelse af brugen af biometri.

Danish Biometrics hilser det mere end velkommen at der i Danmark forskes i biometri. Det siger sig selv at en effektiv brancheudvikling og en frugtbar innovationskultur forudsætter et tæt samarbejde mellem virksomheder og universiteter. Afhandlingen kan også ses som et nyt dansk bidrag til den internationale forskning om biometri.  

Afhandlingen fremdrager nogle interessante og fremadrettede aspekter af konstruktiv biometrisk implementering. Således fremhæves sondringen mellem identifikation og verifikation og at sidstnævnte er en mindre indgribende foranstaltning. Spørgsmålet om identifikation ved hjælp af biometri alene kan ske ved lovhjemmel er under overvejelse i Norge, og vil i givet fald være en stramning af den nugældende norske persondatalov, der som det eneste land i Norden har specifikke bestemmelser om brugen af biometri. Autentificering (verifikation) i form af fingeraftryk eller andre biometriske metoder kan ifølge det norske forslag gennemføres i henhold til enten lovhjemmel eller samtykke. Der anbefales visse krav til indholdet af et såkaldt gyldigt samtykke, herunder at der tilbydes alternative fremgangsmåder for personer, som ikke ønsker at blive autentificeret ved hjælp af biometri. Spørgsmålet om såkaldt informeret samtykke berøres i rapporten i forbindelse med  Crazy Daisy-sagen (side 49). I den sammenhæng kunne man for så vidt angår webtjenester efter min opfattelse også gerne afgrænse brugen af advarsler i rette øjeblik ved tilvalg/fravalg (opt-in/opt-out) informationspraksis. At der også bør være et reelt brugervalg er en vigtig pointe, fordi der ikke bør være tale om en “take it or leave it situation”.  

Bénédicte plæderer udmærket for udarbejdelsen af en biometrisk adfærdskodeks, som et nyttigt middel til at præcisere nogle af persondatalovens bestemmelser og som en god mulighed for at Datatilsynet kan etablere et udbytterigt samarbejde med branchen. Danish Biometrics bakker op bag denne ide.

Rapporten giver et fyldestgørende og let tilgængeligt overblik over den retlige tilstand for biometri og vil kunne indgå som et nyttigt værktøj for branchen og den er derfor anbefalelsesværdig læsning for især udbydere og brugere af biometriske løsninger samt alle andre der har  interesse for retlig regulering af teknologianvendelsen.  Download den her. 

okt 13 2010

Kritisk men konstruktiv rapport om biometri fra National Academies

Rapporten med titlen “Biometric Recognition: Challenges and Opportunities” er udgivet af  the National Academies, der kan sammenlignes med Teknologirådet, og offentliggjort 24. september 2010.

Rapporten fastslår i et sammendrag, som en af de første konklusioner, at biometriske systemer, designet til automatisk at genkende personer på grundlag af biologiske og adfærdsmæssige egenskaber såsom fingeraftryk, håndaftryk, stemme- eller ansigtsgenkendelse, er indbygget med fejl. Yderligere forskning er nødvendig for at forfine videnskaben og forbedre systemeffektiviteten på stort set alle niveauer af design og drift.

“I næsten 50 år, har løftet om biometri overhalet anvendelsen af teknologien,” siger Joseph N. Pato, formanden for det udvalg, der har udarbejdet rapporten og Palo Alto, teknolog hos Hewlett-Packards HP Laboratories, Californien udtaler: ”Mens nogle biometriske systemer kan være effektive til specifikke opgaver, så er de er ikke nær så ufejlbarlige som en populærvidenskabelig fremstilling kunne antyde. En styrkelse af videnskaben er afgørende for at opnå en fuldstændig forståelse af styrker og svagheder ved disse systemer.”

Rapporten har to hovedpointer:

  • Udviklere og analytikere skal være opmærksom på, at systemer til biometrisk genkendelse er meget komplekse
  • Biometriske systemer er af probabilistisk natur

Biometriske systemer anvendes i stigende grad til at regulere adgangen til faciliteter, information og andre rettigheder eller fordele, men der sættes stadig spørgsmålstegn ved effekten som sikkerheds- eller overvågningsmekanisme. Systemerne giver “probabilistiske resultater”, hvilket betyder, at tilliden til resultaterne skal styrkes ved en forståelse af den iboende usikkerhed i et givent system, hedder det i rapporten. Det noteres, at når sandsynligheden for en bedrager er sjælden, så kan selv systemer med meget præcise sensorer og matchkapaciteter have en høj andel af falske alarmer. Det kan blive omkostningskrævende eller endda farligt i systemer, der er designet til at give øget sikkerhed; for eksempel kan operatører blive lemfældige med behandlingen af potentielle trusler.

Rapporten peger på en lang række kilder til usikkerhed, som man skal tage i betragtning i systemdesign og drift af de biometriske systemer. For eksempel kan biometriske kendetegn variere i et menneskes liv på grund af alder, stress, sygdom eller andre faktorer. Tekniske spørgsmål vedrørende kalibrering af sensorer, nedbryde data, og brud på sikkerheden kan også bidrage til en variation i disse systemer.

Biometriske systemer skal udformes og evalueres i forhold til deres specifikke formål og i den sammenhæng, hvori de bliver brugt, hedder det videre i rapporten. Overvejelser om system-niveau er afgørende for en vellykket indførelse af biometriske teknologier. Effektivitet afhænger i lige så høj grad af faktorer som den enkelte operatørs kompetence, så vel som den underliggende teknologi, teknik, og testregimer. Veltilrettelagte processer til at styre og korrigere problemer skal være på plads.

Rapporten konstaterer, at biometrisk genkendelse nøje skal overvejes som en del af en samlet sikkerhedssystem. Fordele og risici ved biometrisk genkendelse i forhold til andre identifikations- og autentifikationsteknologier bør nøje overvejes. Ethvert biometrisk system, der er udvalgt til at tjene et sikkerhedsformål, bør gennemgå en grundig risikovurdering med henblik på at fastslå dets sårbarhed over for direkte angreb. Tillid til den biometriske genkendelsesproces kan ikke baseres på hemmeligholdelse af data, eftersom et menneskes biometriske karakteristika kan blive offentlig kendt. Desuden siger rapporten, at sekundære screeningsprocedurer, der anvendes i tilfælde af en systemfejl, bør være lige så godt designet som det primære system.

Rapporten peger på flere funktioner, som et biometrisk system bør indeholde. Systemer bør udformes med henblik på at forudse og planlægge for fejl, selv om de forventes at være sjældne. Yderligere forskning inden for alle aspekter af design og drift er nødvendig, fra at studere fordeling af biometriske karakteristika i en given befolkning til at forstå, hvordan folk interagerer med teknologierne. Desuden kan sociale, juridiske og kulturelle faktorer få betydning for disse systemers effektivitet og accept, som det hedder det i rapporten.

Rapporten opstiller en række principper for implementering af et biometrisk system som er følgende:

  • Biometri har begrænsninger
  • Best practice for testning og evaluering
  • Best practice for design og udvikling af biometriske systemer og operationsprocesser
  • Systemkrav skal være kontekstorienteret
  • Sociale, retlige og kulturelle faktorer skal være en del af systemdesignet
  • Yderligere forskning på alle niveauer er nødvendig, fordi biometrisk genkendelse har national betydning

Af særlig interesse kan det nævnes, at rapporten understreger, at andre autentifikationsteknologier som passwords og tokens placerer tillid hos brugerne ved at lade dem selv fremvise hvad de ved eller har på sig. Men disse andre former for autentifikation beskytter ikke mod at dele eller videregive en token eller hemmelighed, hvorimod et biometrisk kendetegn er bundet til et bestemt individ, specielt noget det pågældende individ er eller gør.  En konsekvens heraf er imidlertid, at en utilsigtet afsløring af biometriske data kan medføre mere seriøse konsekvenser eller til konsekvenser, som er vanskeligere at afhjælpe end tabet af en token eller afsløring af et password.

Endvidere er det fundamentalt sådan, at et biometrisk match ikke repræsenterer en sikker genkendelse, men en sandsynlighed for en korrekt genkendelse, fordi det implicerer både en automatiseret genkendelse og en menneskelig fortolkning heraf.  Et såkaldt falsk match og et såkaldt falsk ikke-match vil forekomme.

En anden vigtig ting, som rapporten drager frem er at have et bredt funderet systemoverblik, når man skal vurdere et biometrisk systems præstationsevne. Såvel begejstring som bekymring for biometrisk genkendelse synes at fokusere snævert på adfærdsmæssige og biologiske karakteristika, menneskelig interaktion med biometriske sensorer eller hvordan indsamlet information skal behandles. Imidlertid indebærer den effektive brug af biometri mere end simpel konstruktion af et system af disse basiskapaciteter, nemlig en korrekt funktionalitet af et bredt system med mange elementer, herunder den menneskelige datakilde, de menneskelige systemoperatører, miljøet for dataindsamling, biometriske sensorer, kvaliteten af systemets forskellige teknologiske komponenter, den menneskelige-sensor-miljø interaktion, databasen for den biometriske reference information og kvaliteten og integriteten af de opbevarede data, systemets security og tilgængelighed, systemets kommunikationsnetværk og systemets fejlhåndtering og processer for fejlafhjælpning.

Undersøgelsen er blevet finansieret af the Defense Advanced Research Projects Agency, Central Intelligence Agency (CIA) og U.S. Department of Homeland Security, med bistand fra National Science Foundation.

I en kommentar til rapporten vil jeg gerne fremhæve, at selvom National Academies er en meget velanskrevet organisation og selvom rapportens forfattere er meget kompetente, så er de problemstillinger som rapporten tager op gammelkendte. Det er især ikke nogen revolutionerende opdagelse, at biometri ikke er ufejlbarlig. Det er der ingen teknologi der er. Man kan så med en vis ret spørge, hvorfor de biometriske systemer ikke fungerer mere tilfredsstillende og har et langt større marked ? Hertil er at sige, at teknologien faktisk er forbedret signifikant i de seneste år på trods af dens kompleksitet og til trods for at biometri som noget ganske enestående (men med rette) står overfor social-etiske og retlige udfordringer.

Men biometriens unikke egenskab gør, at man ikke bare skal skrotte den, men at man tværtimod skal udnytte den på en teknisk så vel som social-etisk forsvarlig måde. Rapporten tjener hermed to gode formål, nemlig dels at fremme mere forskning og udvikling af nye løsninger og dels at fremhæve en række pointer om biometri, som ofte går tabt i den løbende debat.

IBIA, der tilsyneladende opfatter rapporten som unødvendig kritisk og mindre konstruktiv, har på den baggrund fundet det betimeligt at reagere på industriens vegne med en pressemeddelelse, som der henvises til her.

Et sammendrag af rapporten (31 sider) kan downloades her, mens hele rapporten (183 sider) mod forregistrering er tilgængelig her.

jul 26 2010

Privatlivsfremmende teknologier savner økonomiske incentiver

Som optakt til konferencen PrivatTek 2010, der gennemføres 10. september 2010 kl. 9.00-13.00 i Fællessalen på Christiansborg, er der god anledning til kort at omtale sammendraget fra en netop offentliggjort rapport med titlen “Study on the economic benefits of privacy enhancing technologies (PETs)”.

Rapporten, der er på 259 sider, er udarbejdet af London Economics på foranledning af Europa-Kommissionens Generaldirektorat Retfærdighed, Frihed og Sikkerhed med det formål at gennemføre en undersøgelse om de økonomiske fordele af privatlivsfremmende teknologier for organisationer og institutioner, der anvender og opbevarer personlige data (de dataansvarlige). Undersøgelsen har særlig fokus på små og mellemstore virksomheder (SMV´ere) samt specifikke emner som:

  • hvorvidt og hvordan virkningerne af disse teknologier kan måles
  • om samarbejde/fælles tiltag, såsom offentlig-private partnerskaber mellem dataansvarlige med myndigheder eller internationale organisationer vil manifestere de økonomiske fordele

Undersøgelsen har været baseret på en tostrenget analyse, nemlig dels en teoretisk, der giver et overblik over PET-teknologierne og determinanterne for implementering af PET´s ud fra et økonomisk perspektiv, dels en empirisk, der baserer sig på interviews af forskellige interessenter, indsamling af data fra en række virksomheder i 12 medlemslande, herunder Danmark samt detaljerede casehistorier. Analysen afsluttes af en oversigt over optioner for et samarbejde mellem den offentlige og private sektor med henblik på at optimere fordelene ved PET´s for de dataansvarlige.

Rapporten præciserer PETs som et kompleks koncept, der omfatter en bred vifte af individuelle teknologier af forskellig modenhed. PETs udvikler sig hele tiden ofte som svar på nye avancerede trusler. Der er kun tale om at PETs er datasikkerhedsteknologier, såfremt de benyttes til at styrke privacy. Det fremhæves, at dataminimering og samtykke mekanismer er vigtige dele af PETs og at mange PETs kombinerer diverse teknologier, herunder databeskyttelsesværktøjer (f.eks. kryptering) og “rene” PETs (som eksempelvis dataminimeringsværktøjer) for at danne integrerede PET-systemer af varierende kompleksitet.

Forskellige klassifikationer af PETs først og fremmest baseret på teknologiske egenskaber er fra tid til anden blevet foreslået, mens en klassifikation ud fra økonomiske karakteristika endnu ikke har set dagens lys, muligvis fordi det er umuligt på grund af den kontekstspecifikke natur af de økonomiske virkninger af PETs.

En øget implementering af PETs forudsætter at den enkelte er velinformeret og handler rationelt og vil derfor være baseret på

  • den enkeltes risikoaversion
  • risiko for tab af data/indskrænkning i privacy
  • PETs effekt på at reducere denne risiko

Rapporten pointerer, at selvom der er undersøgelser der viser en høj grad af bekymring for privacy online og at brugerne er parate til at betale for privacy under visse betingelser, så er der ringe dokumentation for efterspørgsel af PETs. Empiriske undersøgelser viser også, at tab af omdømme som følge af datatab hændelser er relativ lav og genvindes hurtigt. Adfærdsøkonomiske undersøgelser viser, at en af de vigtigste årsager til en reaktion på privacy krænkelser og dermed et incentiv til PETs, relaterer sig til den ringe sammenhæng mellem aktioner (videregivelse af persondata) og konsekvenser (spam mails, bedrageri, tyveri, profilering osv).

Den dataansvarliges tilslutning til PETs er baseret på de samme faktorer, som ligger til grund for det enkelte individs beslutning, herunder frygt for tab af data for både ansatte, leverandører, kunder osv. En yderligere bevæggrund for dataansvarlige kan være, at der med indførelsen af PETs kan opnås en markedsføringsfordel. Imidlertid vil den elektroniske behandling af personoplysninger også give den dataansvarlige en række benefits. At gøre brug af PETs kan reducere disse fordele. Implementering indebærer en up-front investering i teknologien ligesom træning og vedligeholdelse. Så selvom anvendelsen af PETs kan reducere omkostningerne over tid, så er det de direkte omkostninger ved indførelsen, der er den type af umiddelbare omkostninger, der skal afvejes mod de potentielle fordele. Rapporten giver udtryk for, at eftersom omkostninger og fordele ved PETs til en vis grad er usikker, kan det betyde at virksomheder udskyder indførelsen og afventer yderligere information.

Rapporten udtaler, at imperfektioner, som kan omfatte asymmetrisk information, eksterne omkostninger, manglende videndeling og fejlkoordinering om trusler mod privatlivets fred betyder, at den dataansvarliges individuelle rationelle beslutning ikke nødvendigvis fører til PETs optimale implementering. Det indikerer, at der kan være fordele ved teknologien, som den dataansvarlige for nærværende ikke er klar over. I det omfang at markedssvigt er et problem i forbindelse med teknologien, peger det i retning af en potentiel rolle for den offentlige sektor med henblik på at hjælpe de dataansvarlige til at overvinde de barrierer, der hæmmer anvendelsen af PETs.

For så vidt angår interessenterne (brancheforeninger, forbrugerorganisationer og privacy-fortalere) er der blandt disse enighed om at

  • risikoen der er forbundet med elektronisk behandling af persondata er seriøs og stigende
  • forbrugernes bevidsthed om disse risici er lav og at
  • PETs er effektive værktøjer til beskyttelse mod disse risici

I en generel kommentar til casehistorierne fastslår rapporten, at de fleste PETs består af sammensatte teknologier, der gør brug af enkle sikkerhedsforanstaltninger (kryptering, adgangskontrol) i sammenhæng med andre mekanismer med henblik på at styrke den samlede privacy. Endvidere viser casehistorierne at visse typer af PETs er mere udbredte end andre:

  • dataminimering er et vigtigt aspekt af PET og er realiseret i forskelligt omfang i de teknologier, der er blevet analyseret
  • i modsætning hertil synes mekanismer med henblik på at opnå brugersamtykke at spille en relativ mindre rolle

Af rapportens konklusioner kan det bl.a. nævnes, at enkle PETs, der ikke reducerer funktionaliteten af den applikation, hvortil den er knyttet, ikke møder modstand fra den dataansvarliges side. Imidlertid illustrerer casene klart, at de dataansvarlige ofte er tilbageholdende med at indføre PETs. Hovedårsagerne er:

  • en tilsyneladende mangel på fordele og
  • potentialet for begrænset nytte af personoplysninger, når PETs er installeret.

Forbrugerpres synes ikke at være en vigtig driver for indførelse af PETs. Derimod giver casehistorierne stærke beviser for, at den offentlige sektors rolle er meget vigtig ved at manglende håndhævelse af eksisterende regler om privacy [ persondatabeskyttelse] samt utilstrækkelige sanktioner for overtrædelse, synes at hæmme implementeringen i mange tilfælde. Kravene om samtykke og proportional anvendelse af personoplysninger synes især at være utilstrækkeligt håndhævet. Behovet for at overholde privacy er ofte den mest effektive drivkraft for implementering af PETs.

Rapportens virksomhedsundersøgelse viser, at persondata af forskellig detaljeringsgrad i vidt omfang bliver opbevaret af virksomhederne og det både for så vidt angår SMV´ere og store virksomheder, selvom sidstnævnte har tendens til at opbevare mere detaljerede oplysninger. Visse sektorer er mere dataintensive end andre, f.eks. indenfor finans, social, sundhed og IKT services. Af undersøgelsens resultater kan fremhæves, at SMV´ere bedømmer fordelene ved PETs til at være betydeligt mindre end ikke-SMV´ere hvilket til dels reflekterer det faktum, at disse virksomheder ser et mindre behov for PETs grundet deres mindre brug af større mængder af persondata. Ikke desto mindre er de ikke tilstrækkelig informeret om PETs, hvilket kan bias deres opfattelse af brugbarheden.

Hvad angår virksomhedernes kendskab til PETs afhænger det for det meste af hvilken type teknologi det drejer sig om. Rundspørgen bekræfter, at filter- og blokeringssoftware anvendes i vidt omfang (83 %) ligesom krypteringsværktøj (49%) og sletningssoftware (53%), mens informations- og administrationsværktøjer er mindre kendt, især blandt SMV´ere.

Høje omkostninger og forbrugernes accept af status quo nævnes som de vigtigste faktorer, der begrænser indførelsen af PETs i større virksomheder. For små og mellemstore virksomheder er det faktum, at PETs ikke anses som anvendelig for deres virksomhed, den vigtigste barriere for implementeringen.

Rapportens væsentligste anbefaling er, at den offentlige sektor bør spille en mere fremtrædende rolle i implementeringen af PETs ved aktivt at understøtte de dataansvarlige på følgende måde:

  • fastsætte og håndhæve standarder for privacy
  • støtte udvikling af PETs ved direkte og indirekte finansiering
  • udarbejde certificeringer og godkendelser samt
  • fremme PETs via informationskampagner og løbende kontakt til de dataansvarlige

Fra rapportens konklusion skal blot fremdrages, at PETs på den ene side er teknologispecifik og applikationsspecifik på den anden side. Kompleksiteten af spørgsmålet om de økonomiske fordele gør det umuligt at kvantificere effekten overfor de dataansvarlige af de økonomiske fordele ved indførelsen af PETs. Snarere tyder det på, at den økonomiske nettofordel af PETs skal vurderes fra tilfælde til tilfælde.

Teorier om teknologi adoption synes at vise, at tilegnelse af PETs følger et S-formet mønster, hvilket betyder, at den nuværende lille udbredelse vil udvikle sig hurtigere i fremtiden i takt med at teknologierne modnes og bliver mere kendt.

Rapporten kan downloades her.

I en kommentar til rapporten kan det anføres, at den uden tvivl vil blive et vigtigt bidrag til EU-Kommissionens bestræbelser på at fremme PETs generelt i EU samt mere konkret i forbindelse med at integrere PETs anbefalinger i revisionen af persondatadirektivet. I øvrigt henvises til nylige EU-rapporter om persondatabeskyttelse, der ligeledes berører PETs og privacy by design-principper.

Der vil givetvis være tale om at anvende både gulerods- og stokkemetoden til fremme af PETs. Soft-law initiativer kan f.eks. være statsstøtte, tilskud, finansiering, offentlige udbudsbetingelser eller graduering af forsikringspræmier. Men jeg vil gerne benytte lejligheden til at understrege, at udgangspunktet for den enkelte virksomhed/organisation må være at opstille eksplicitte retningslinjer og strategiske mål, der omfatter en bred vifte af faktorer for implementering af privacy enhancing technologies, idet denne tilgang med langt større sandsynlighed vil resultere i en nøjagtig og velkvalificeret teknologiudvælgelse i overensstemmelse med de forretningsmæssige målsætninger.

Teknologiimplementering bør desuden omfatte brugerinvolvering, som efter min opfattelse vil være en lige så naturlig forudsætning som i innovationsprocesser til skabelse af nye IKT baserede produkter og ydelser. På linje med undersøgelser af effekten af anden CSR-innovation er det nærliggende at antage, at der er et selvstændigt økonomisk incitament for at iværksætte brugerdreven PET innovation. Sidstnævnte aspekt og perspektiveringen i relation til virksomheders samfundsansvar (Corporate Social Responsibility) overses tilsyneladende i rapporten.

Jeg er desuden helt enig i, at det vil fremme den almene forståelse for en teknologisk/teknisk beskyttelse af brugerens persondata og privacy, at der introduceres andre mere tilgængelige termer end det noget nørdede ”privacy enhancing technologies”. Begreber som “privatlivsfremmende teknologier”,  ”databeskyttelses-værktøjer”, “dataminimeringsmekanismer”, “datakontrolprogrammer”, “brugerkontrol-applikationer” eller en helt anden term er værd at overveje som enten samlebetegnelse eller differentierede begreber i stedet for.

Rapporten omtaler ikke biometri i nævneværdig grad. Det kan dog som et kuriosum nævnes, at der i gengivelsen af den danske casehistorie om Crazy Daisy, i en note henvises til et tidligere blogindlæg på Danish Biometrics (side 120).

Danish Biometrics vil gerne bidrage til forskning og udvikling af PETs eller “databeskyttelsesværktøjer”, idet biometri vil være en oplagt integreret del af flere privatlivsfremmende teknologier og Danish Biometrics bidrager gerne til at formilde et tættere samarbejde mellem relevante aktører og brugere samt tilslutter sig anbefalingen om en aktiv rolle for det offentlige med henblik på at fremme forståelsen og udbredelsen af disse løsninger.

Det er således anledningen til at Danish Biometrics er en af initiativtagerne til konferencen PrivatTek 2010, som meget aktuelt vil tage nogle af de emner op til debat, som rapporten kommer ind på.

apr 24 2010

Ny ENISA risikoanalyserapport om flyrejser med it-i-alting og RFID berører biometri

Med titlen Flying 2.0 – Enabling automated air travel by identifying and addressing the challenges of IoT & RFID technology, har ENISA netop offentliggjort en undersøgelse af Internet of Things og RFID i flytrafikken.

ENISA (Det Europæiske Agentur for Net- og Informationssikkerhed) er oprettet i 2004 og har fortrinsvis til opgave, at indsamle relevant information til gennemførelse af en analyse af eksisterende og nye risici, navnlig risici, der kan få følger for de elektroniske kommunikationsnets modstandsdygtighed og tilgængelighed og for autenticiteten, integriteten og fortroligheden i forbindelse med denne kommunikation. Agenturet skal ligeledes udvikle “fælles metoder” til forebyggelse af sikkerhedsspørgsmål, bidrage til bevidstgørelse og fremme udvekslinger af “den aktuelt bedste praksis” og “metoder til varsling” samt risikovurderinger og forvaltnings-aktiviteter.

IoT (Internet of Things), der også kan betegnes som it-i-alting, pervasive computing, ubiquitous computing, ambient intelligence eller smartdust, er et koncept der går ud på at forbinde alle mulige objekter med hinanden via trådløse eller kabelforbundne kommunikationsnetværk uanset hvor de befinder sig. Man forestiller sig, at hvis alle ting i vores dagligdag, fra yoghurt til en flyvemaskine, er udstyret med RFID-tags, så kan de identificeres og forvaltes af computere på samme måde som vi mennesker er i stand til. Det skønnes, at IoT skal kode og følge mellem 50-100 billioner objekter. Ethvert menneske er omgivet af mellem 1.000-5.000 genstande.

Som opfølgning på Europa-Kommissionens handlingsplan for Europa om IoT , har ENISA identificeret og vurderet de nye og fremtidige risici, der aktiverer IoT og RFID-teknologi og som specifikt er forbundet med fremtidige flyrejser, hvor rejsende, lufthavnspersonale og bagage skaber et stigende, løbende samspil mellem intelligente enheder. Det indebærer udveksling af store mængder af følsomme oplysninger og eftersom der er ca 28,000 flyvninger i Europa hver eneste dag (eller ca 10 mill. pr. år), så er betydningen af flyrejser let at forstå, som det hedder i pressemeddelelsen i forbindelse med rapportens offentliggørelse.

På baggrund af en omfattende risikovurdering baseret på en lang række scenarier der involverer IoT og RFID, identificerer rapporten væsentlige sikkerhedsrisici, privacy, sociale samt juridiske konsekvenser og kommer også med konkrete administrative, forskningsmæssige og juridiske anbefalinger. Risici omfatter “brud på retningslinjer for flyrejser, frustration hos de rejsende og ringe social accept, tab og krænkelser af borgerns/passagerens privacy samt social udstødelse”.

Enisa´s direktør Dr. Udo Helmbrecht har i øvrigt følgende bemærkninger til rapporten: “For til fulde at kunne udnytte fordelene ved IoT, er det nødvendigt at identificere de udfordringer og risici som IoT indebærer på en proaktiv måde. Disse risici har ikke altid noget at gøre med teknologien som sådan, men derimod med den måde, vi bruger den på”.

Rapporten præsenterer følgende anbefalinger:

Tre policy anbefalinger:

  • Revurdere eksisterende forretningsstrukturer og indføre nye forretningsmodeller. Lufttransportens aktører (f.eks. flyselskaber, lufthavne, logistikfirmaer og myndigheder) bør proaktivt planlægge, designe og være opmærksom på nye forretningsmodeller
  • Brugervenlighed og rummelighed med hensyn til udstyr og procedurer
  • Udarbejde og gennemførere politikker for data management og databeskyttelse

Fem anbefalinger for forskning:

  • Databeskyttelse og privacy
  • Usability
  • Multi-modal autentifikation i forbindelse med biometriske procedurer
  • Foreslå standarder for krypteringsprotokoller og
  • Identificere og forstå en referenceramme for tillid

Tre juridiske anbefalinger:

  • Support til brugerne, f.eks bedre information om behandling af brugernes data og mulighed for bedre at kunne udøve rettigheder som bruger
  • Prioritere information og data
  • Harmonisering af dataindsamling i lufthavnsbutikker samt øge bevidstheden blandt rejsende om indsamling og behandling af data

Tre anbefalinger gives specifikt til Europa-Kommissionen:

  • Håndhævelse og anvendelse af retningslinjer for EU-regelsættet
  • Tilpasning af både industrielle og samfundsmæssige behov i forskningen samt etiske grænser for forskningen
  • Behov for konsekvensanalyser og piloter med hensyn til nye teknologier før implementering

Rapporten oplister følgende risici som de mest betydningsfulde:

  • Svigtende reservation, check-in og boarding procedure – proceduremæssige/ operationelle fejl og andre organisatoriske afbrydelser
  • Problemer i forbindelse med udstedelse/kontrol af e-visa – f.eks. risikoen for staters manglende evne til at udstede og kontrollere brugen af elektroniske visa på grund af systemfejl, svigt af udstyr og identitetstyveri
  • Tab eller brud på borgerens/pasagererens privacy – IoT er karakteriseret ved forekomsten af udstyr, sensorer, læsere, og applikationer, som har potentialet til at indsamle en flerhed af datatyper om enkeltpersoner, der bevæger sig i disse miljøer
  • Kompromittering og misbrug af statsejede person- og passager databaser
  • Genbrug af data/function creep – risikoen for, at data vil blive brugt til formål, enten som supplement eller helt andre, som oprindeligt var angivet
  • Bekymring i forbindelse med sundhedsbehandlinger – Det forventes, at IoT vil skabe betydelige konsekvenser for fremtidig levering af grænseoverskydende sundhedsydelser
  • Bruger frustration og lille grad af brugeraccept
  • Aggressiv profilering og social sortering fører til social udstødelse – I et omfattende interaktivt miljø som IoT er dataindsamling og profilering kendsgerninger som ikke nødvendigvis er negative som sådan. Imidlertid vil overdreven dataindsamling og profilering uundgåeligt føre til social sortering i henhold til kommercielle eller andre formål, der kan føre til udstødelse af mennesker og hindre adgang til forskellige tjenester
  • Lovgivningen halter bagud i forhold til den hurtige teknologiske udvikling
  • Manglende overholdelse af persondatalovgivning

For så vidt angår biometri, som dette indlæg herefter vil koncentrere sig om, omtaler rapporten en række scenarier hvori indgår biometriske procedurer i forbindelse med automatisk autentifikation, der er relevant som en del af de såkaldte fast-track programmer ved check-in og boarding. For at speede boarding proceduren op anvendes såkaldt smart boarding,der er et passager management system, hvor passageren allerede er identificeret på baggrund af det link der er etableret mellem check-in systemet og boarding kontrol via DCS (departure control system). Af eksempler kan nævnes det såkaldte Privium system i Schipol og det automatiske system i gateområdet i Heathrow’s terminal 5. Imidlertid forudsætter et sådant system en forhåndsgodkendelse af det pågældende lands datatilsyn, fordi private firmaer ikke umiddelbart kan få adgang til de biometriske data, der er gemt i e-passets chip, hvilket har fået flere flyselskaber, f.eks. Air France, til at lancere egne proprietære systemer for intra-Shengen flyvninger.

I en præcisering af beskyttelsesværdige materielle værdier fremhæver rapporten som en høj værdi e-pas og ID-kort, der betegnes som ny generation IoT smart ID med embedded RFID, digitalt foto og biometriske data (f.eks. fingeraftryk og irismønstre). Ligeledes betragtes specifikt mobiltelefonen og PDA´en som et medie af høj værdi.

I den efterfølgende fortegnelse af større risici bliver der i underkategorien “organisatoriske og policy risici” gjort en særlig bemærkning om lagring og indsamling af biometriske data i statslige centraldatabaser. Det hedder endvidere, at “en sammenkædning af identitet med biometri ofte er blevet fremført som værende problematisk på grund af risikoen for, at sådanne data kan kompromitteres. Mens passwords eller pinkoder kan ændres, er dette ikke tilfældet, såfremt en identitet er blevet afsløret ved brug af biometri…” Og længere henne hedder det: “Tab eller kompromittering af biometriske data repræsenterer en unik og stor potentiel skaderisiko i form af identitetstyveri” samt at “unøjagtige data kan medføre, at borgerne kan blive identificeret forkert som ‘mistænkte’ (falske positiver), hvorimod faktiske gerningsmænd ikke vil blive behørigt afsløret (falske negativer).” Det bemærkes herefter at “automatiske procedurer med anvendelse af biometri til kontrol i databaser muligvis ikke er det ultimative universalmiddel i forbindelse med identitetsproblemer.”

I sammenhæng med risikoen for aggressiv profilering og social sortering, der kan lede til social udstødelse, nævner rapporten specielt det forhold, at biometrisk udstyr kan udelukke visse kategorier af personer på grund af selve måden de fungerer på. Eksempelvis kan både meget gamle og unge have problemer med at afgive fingeraftryk eller gennemføre iris-scanninger (øjensygdomme osv.). Fingeraftryks- og irisscannere betragtes også som en teknisk risiko, idet de kan være ineffektive i forhold til visse ældre passagerere eller personer med fingerskader. Sådanne risici anses for at være en såkaldt “ikke-ondsindet “fejl” ved de biometriske sensorer og som en teknologisk begrænsning, hvor manuelle processer vil være en løsning heraf.

I listen over sårbarheder og trusler (bilag I) er det interessant, at “overafhængighed af biometri” betragtes som en sårbarhed (v23). Det nævnes, at biometrisk identifikation har relativt høje fejlprocenter (især automatisk ansigtsgenkendelse). Selv om moderne biometriske sensorer (især fingeraftryk og iris) er vanskelige at kompromittere (liveness detection), så er det stadig muligt at spoofe dem. Det er en vigtig sikkerhedsfaktor at have kendskab til mangelfulde biometriske systemer, jfr. Large-scale Biometrics Deployment in Europe: Identifying Challenges and Threats.

Det er også vigtigt at gøre opmærksom på listens angivelse af “statens overvågning af borgerne” som en trussel (t26). en ubegrundet politisk dagsorden fører ofte til en overdreven overvågning af borgerne. Enhver omtalt sag (sandfærdig eller opfundet) svækker på dramatisk vis tilliden til og accepten af teknologi (især biometri og RFID). Endelig kan man nævne “ringe accept af udstyr/procedurer” (t30). RFID opfattes af mange som en trussel mod privacy (“spychips”). I forbindelse med en offentlig EU-høring om RFID var de fleste bekymringer relateret til privacy. Også nogle biometriske teknologier har lav social accept, særligt fingeraftryk, som i almindelighed betragtes som knyttet til strafferetlig efterforskning.

Som det fremgår ovenfor er et af rapportens forskningsanbefalinger såkaldt multi-modal autentifikation. Automatisk autentifikation anses for at være nøglen til en effektiv og sikker operationel procedure i lufttransportsystemet. Erfaringerne viser imidlertid, at de nuværende implementeringer af biometriske systemer stadig viser visse svagheder, selv om de i princippet synes at være lovende. Brug af multifaktor autentificering (f.eks password plus biometri, biometri plus token) har potentialet til at hæve sikkerheden generelt. På samme måde vil multimodal biometri (parallel anvendelse af en flerhed af biometriske teknologier) gøre autentifikationsprocessen mere robust overfor fejl og omgåelse. Et andet aspekt er muligheden for at øge systemets fleksibilitet ved anvendelse af alternative autentificeringsfaktorer i de tilfælde, hvor den primære autentificering ikke er til rådighed (f.eks iris scanning for personer, der ikke har fingeraftryk).

Konklusionen er en anbefaling om mere forskning og udvikling af biometriske procedurer til autentifikation, dels for så vidt angår specifikke teknologier, dels for så vidt angår multimodal løsninger, der kombinerer forskellige teknologier med henblik på at overvinde deres individuelle svagheder.

Enisa-rapporten zoomer ind på 2 vigtige temaer, dels om den stigende betydning af IoT generelt og dels specifikt i relation til den enorme forøgelse af lufthavnssikkerheden i kølvandet på 11. september. Der er tale om menneskeskabte trusler og sårbarheder og ikke om naturskabte, som jo ellers er ret aktuelle med de islandske vulkanske sandkorn. Enisa´s risiko- og sårbarhedsanlyser og i den sammenhæng også de såkaldte PIA´er (privacy impact assessments) er gode værktøjer med henblik på security og privacy awareness om materielle og immaterielle værdier. Det er min opfattelse at der altid bør tages udgangspunkt i den personlige integritet og jeg synes at rapporten er opmærksom herpå. Jeg er også enig i, at der bør forskes mere i multifaktor autentificering og multimodal biometri. Imidlertid er det nærliggende at gøre opmærksom på, at et smart card med biometrisk kryptering kunne være et fremtidigt all in one rejsedokument, der i høj grad vil kunne imødegå en lang række af de opstillede risici i relation til centrale databaser og beskyttelse af den enkeltes privacy og persondata.