Risikostyring i en smart og sammenkoblet verden Har vi kontroll?

Transkript

1 Risikostyring i en smart og sammenkoblet verden Har vi kontroll? Rune Winther Multiconsult og Høgskolen i Østfold

2 Utfordringer vi står overfor En betydelig digital revolusjon - IoT, Big Data - AI, omfattende automatisering - Sammenkobling av «alt» Systemene skal bli både smartere, mer sammenkoblet, og kunne realisere tjenester vi ikke en gang kunne drømme om for kort tid siden Dette vil påvirke alle sider av våre liv, både personlig, i forretningslivet, i det offentlige og i kritiske samfunnsfunksjoner Og dermed eksponere oss for betydelig risiko! 2

3 Jeg vil påstå at Det svært ofte mangler forståelse for at funksjoner/tjenester faktisk er kritiske Mange av de løsningene som utvikles bryter med grunnleggende prinsipper for kritiske programmerbare systemer Risikostyringen er for snever fordi man bare håndterer deler av risikobildet 3

4 Historien

5 Historisk erfaring Del 1 Dampmaskiner 1786 : Watt utvikler en praktisk brukbar (lavtrykks) dampmaskin 1800: Patentet utgår og mange starter produksjon av høytrykks dampmaskiner Fra 1816 til 1848: 233 dampdrevne båter eksploderer og dreper 2500 mennesker Les High pressure steam engines and computers, by Nancy Leveson fra 1992! 5

6 Historisk erfaring Del 2 Digitale flykontrollsystemer Mekaniske kontrollsystemer ble erstattet av «fly by wire» Antall linjer (kritisk) programkode i fly økte dramatisk Flysikkerheten ble forbedret i den samme perioden! Viktig forskjell: Flybransjen benyttet systematisk risikostyring! Myndighetskrav 6

7 Teknologiske revolusjoner kan gjøres sikkert, men det krever god risikostyring! Og litt «oppmuntring» fra myndighetene?

8 Påstand #1 Manglende forståelse for at noe er kritisk

9 Mange skjønner ikke at Det de utvikler faktisk er kritisk Observasjon blir til kontroll og automatisering Triviell informasjon får tillegg av kritisk eller konfidensiell informasjon Overgangen fra «kjekt å ha» til «kritisk» kan være utydelig Det de utvikler for sikkerhet faktisk har betydelige begrensninger Gir bare bedre sikkerhet under visse premisser Dokumenterer ikke at sikkerhetsfunksjonene er tilstrekkelig pålitelige Og i mange tilfeller er det ikke enkelt å avgjøre om en funksjon er kritisk eller ikke Det vil ofte kreve en systematisk analyse, og spesiell kompetanse for å utføre slike analyser! 9

10 Påstand #2 Nye løsninger bryter med grunnleggende prinsipper for kritiske programmerbare systemer

11 Grunnleggende prinsipper for kritiske programmerbare systemer High cohesion low coupling Verifiserbarhet Standardiserte utviklingsmiljøer Utviklingsprosesser med sterke krav til sporbarhet og etterprøvbarhet Unngåelse av unødig funksjonalitet Bruk av velkjente løsninger mm. Det er etablert en rekke standarder som stiller krav til hvordan kritiske programmerbare systemer skal utvikles 11

12 Den nye digitale revolusjonen er preget av at Alt er koblet til alt Systemer lærer selv og tilpasser seg Utviklingsprosessene er raske Dokumentasjonen er begrenset Nye teknologiske løsninger tas i bruk fortløpende Veien fra konsept til produkt er kort Egenskaper man normalt ikke ønsker når kritiske systemer skal utvikles 12

13 Påstand #3 Risikostyringen er for snever

14 Vi må ha fokus på flere «dependability»-egenskaper Samtidig! Security Tilsiktede handlinger Kritisk/sensitiv informasjon Pålitelighet Systemet/tjenesten fungerer som ønsket Safety (sikkerhet) System/tjeneste eksponerer ikke mennesker, miljø, etc. for uakseptabel risiko for skade 14

15 Innenfor smarte byer synes risikostyring primært fokusert på security Security er åpenbart svært viktig, og vi må være robuste mht. tilsiktede handlinger MEN De fleste systemer er i stand til å feile helt av seg selv - Uten at noen nødvendigvis forsøker å få dem til å feile - Og spesielt hvis de er komplekse og basert på ny teknologi Med den kritikaliteten digitale systemer og tjenester får nå vil dårlig pålitelighet kunne ha betydelige negative konsekvenser Når smarte systemer i stadig større grad tas i bruk i f.eks. helsesektoren og kritisk infrastruktur, vil feil og uønskede hendelser kunne medføre betydelig skade - Vi må ha kontroll med safety! 15

16 Hva er problemet? Risikostyringsprinsippene er til dels forskjellige i security og pålitelighet/safety Uten harmonisering av risikostyringen på tvers av disse områdene er ikke en helhetlig risikostyring mulig Helhetlige risikostyringsprinsipper finnes, men brukes i for liten grad - Men mer kompetanse og tilpassede metoder er nødvendig 16

17

18 Så Har vi kontroll? Nei, ikke egentlig

19 Hva kan/bør vi gjøre med det?

20 Erkjennelse: Alle som utvikler, bruker eller bestiller digitale systemer må ta inn over seg at feil og uønskede hendelser kan ha betydelige negative konsekvenser Helhetlig risikostyring: Risikostyringen må dekke alle risikoforhold, og benytte egnede metoder og prosesser Kompetanse: Både utviklere og bestillere må bli i stand til å vurdere risiko på en adekvat måte Utvikling og design: Utviklingsmiljøer må i større grad benytte prinsipper egnet for kritiske systemer Fordi flere systemer kommer til å bli kritiske! Regulering: Vi trenger sterkere myndighetsstyring, og må ansvarliggjøre de som utvikler (de facto) kritiske systemer/tjenester 20