3.7 Personvern, GDPR og skadevare

Virksomheten som bestemmer hvorfor og hvordan personopplysninger skal behandles — og som derfor har det rettslige ansvaret.

Det er kommunen, skolen, bedriften eller sykehuset som samler inn opplysningene. Ansvaret følger av at man bestemmer formålet, ikke av hvem som trykker på tastene.

Ansvaret kan ikke settes bort. Bruker virksomheten en skyleverandør, blir leverandøren en databehandler — men den behandlingsansvarlige beholder ansvaret overfor de registrerte og overfor myndighetene.

Den faste feilslutningen, og den mest testede påstanden i sjangeren: at en virksomhet «slipper ansvar» ved å bruke en ekstern leverandør. Det gjør den ikke. Den får i stedet en plikt til å velge en leverandør som gir tilstrekkelige garantier, og til å regulere forholdet i en avtale.

Den som behandler personopplysninger på oppdrag fra den behandlingsansvarlige — typisk en skyleverandør, et driftsselskap eller en leverandør av et fagsystem.

Databehandleren har ingen selvstendig rett til å bestemme formålet. Den skal gjøre det avtalen sier, og ikke mer.

Forholdet reguleres i en avtale som blant annet fastsetter hva som kan gjøres, hvilke sikkerhetstiltak som kreves, og hva som skjer ved avslutning.

Skillet å ha klart: den behandlingsansvarlige bestemmer, databehandleren utfører. Ansvaret ligger hos den som bestemmer.

Den registrertes rett til å få vite hvilke opplysninger som er lagret om hen, hva de brukes til, og hvem de eventuelt deles med.

Retten gjelder overfor den behandlingsansvarlige — altså virksomheten, ikke skyleverandøren. Har kommunen satt bort driften, er det fortsatt kommunen du henvender deg til.

Sammen med innsynsretten hører retten til retting av uriktige opplysninger, og i mange tilfeller retten til sletting.

Den faste feilslutningen: å tro at innsyn bare gjelder det virksomheten selv har skrevet. Retten gjelder alle personopplysninger som behandles om deg, uansett hvor de kom fra.

Skadevare som sprer seg selv over nettverk, uten at noen trenger å gjøre noe.

Den finner sårbare maskiner, kopierer seg dit, og fortsetter derfra. En orm kan spre seg over hele verden på timer.

Kjennetegnet er selvspredningen. Det er dette som skiller den fra viruset, som trenger en vertsfil, og fra trojaneren, som må bæres inn av brukeren.

Målene som brytes varierer med hva ormen gjør når den er inne — men selve spredningen belaster nett og maskiner og rammer ofte tilgjengelighet i seg selv.

Skadevare som fester seg til en vertsfil og spres når filen kopieres eller kjøres.

Det trenger altså en bærer og en handling: noen må kopiere filen, sende den videre eller åpne den.

Kjennetegnet er vertsfilen. Skillet mot ormen er avgjørende og testes ofte: ormen sprer seg selv, viruset må bæres.

I dagligtale brukes «virus» om all skadevare. I faget er det én bestemt type, og en oppgave som ber deg koble typer til beskrivelser, forventer det presise skillet.

Skadevare som graver seg dypt inn i systemet og manipulerer det slik at den selv ikke er synlig — verken i prosesslista, i filsystemet eller i loggene.

Kjennetegnet er skjulingen. Et rootkit er ikke definert av hva skaden består i, men av at systemet ikke lenger forteller sannheten om seg selv.

Målet som brytes: integritet. Selve systemet er ikke til å stole på.

Den faste feilslutningen: å svare konfidensialitet fordi ordet høres ut som spionasje. Skillet mot trojaneren er også verdt å ha klart: trojaneren skjuler seg i innpakningen før installasjon, rootkitet skjuler seg i systemet etterpå.

Skadelig kode som ligger i ro til en betingelse er oppfylt — en bestemt dato, et bestemt antall kjøringer, eller at en bestemt bruker forsvinner fra lønningslistene.

Kjennetegnet er utløseren. Koden gjør ingenting før betingelsen inntreffer, og er derfor vanskelig å oppdage ved vanlig testing.

Logiske bomber er klassisk innsidearbeid: de plasseres gjerne av noen som har lovlig tilgang, og utløses etter at vedkommende har sluttet.

Mottiltakene er de samme som mot andre innsidetrusler: minste privilegium, arbeidsdeling på kritiske endringer, og gjennomgang av kode.

En skjult inngang som omgår den vanlige innloggingen.

Den kan være lagt inn av en angriper etter et innbrudd — for å komme lett inn igjen senere — eller den kan være en glemt testadgang som aldri ble fjernet.

Kjennetegnet er omgåelsen. En bakdør bryter ikke passordet ditt; den går utenom hele mekanismen.

Derfor hjelper det ikke å bytte passord når det finnes en bakdør. Den må finnes og fjernes, og det er en av grunnene til at et system som har vært kompromittert, ofte må settes opp helt på nytt.

Enhver opplysning som kan knyttes til en enkeltperson.

Navn og fødselsnummer er åpenbare eksempler. Men også IP-adresse, unik enhetsidentifikator, karakterer, helseopplysninger og posisjonsdata regnes som personopplysninger når de kan knyttes til en bestemt person.

Den faste feilslutningen: å tro at en opplysning må inneholde navn for å telle. Kriteriet er om den kan knyttes til noen, ikke hvordan den ser ut.

Alt man gjør med opplysningene: samle inn, registrere, lagre, endre, søke i, dele, overføre, sperre eller slette.

Begrepet er bevisst vidt. Også ren lagring er behandling, og også sletting er behandling.

Konsekvensen: reglene gjelder fra det øyeblikket opplysningene samles inn, ikke først når noen «gjør noe med dem».

Virksomheten som bestemmer hvorfor og hvordan personopplysninger skal behandles.

Ansvaret følger av å bestemme formålet — ikke av hvem som drifter maskinene eller trykker på tastene.

Ansvaret kan ikke settes bort. Bruker virksomheten en skyleverandør, får den i tillegg en plikt til å velge en leverandør som gir tilstrekkelige garantier, og til å regulere forholdet i avtale.

Dette er den mest testede enkeltpåstanden i sjangeren, og svaret er alltid det samme.

Den som behandler personopplysninger på oppdrag fra den behandlingsansvarlige — skyleverandøren, driftsselskapet, leverandøren av fagsystemet.

Databehandleren har ingen selvstendig rett til å bestemme formålet, og skal bare gjøre det avtalen sier.

Skillet i én setning: den behandlingsansvarlige bestemmer, databehandleren utfører. Ansvaret ligger hos den som bestemmer.

Den registrertes rett til å få vite hvilke opplysninger som er lagret om hen, hva de brukes til, og hvem de deles med.

Retten gjelder overfor den behandlingsansvarlige — altså virksomheten, ikke leverandøren. Innbyggeren skal ikke måtte finne ut hvem kommunen har satt bort driften til.

Sammen med innsynsretten hører retten til retting av uriktige opplysninger, og i mange tilfeller retten til sletting.

Å samle inn bare det som er nødvendig for formålet.

Trenger skjemaet bare postnummer, skal det ikke be om full adresse og fødselsdato. Trenger tjenesten bare en e-postadresse, skal den ikke be om telefonnummer.

Prinsippet gjelder uansett hvor trygt opplysningene lagres. Det er derfor et system kan ha perfekt konfidensialitet og likevel bryte personvernet.

Opplysningene skal samles inn til et uttrykkelig angitt formål, og ikke brukes til noe annet senere.

Adressen du oppga for å få tilsendt en pakke, kan ikke uten videre brukes til markedsføring. Det er et annet formål og krever et eget grunnlag.

Den faste forvekslingen: lagringsbegrensning handler om hvor lenge opplysningene beholdes. Formålsbegrensning handler om hva de brukes til. Begge prinsipper finnes, og en distraktor bytter dem gjerne om.

Opplysningene skal være korrekte og oppdaterte, og uriktige opplysninger skal rettes.

Det er dette prinsippet retten til retting følger av: oppdager du at en virksomhet har feil opplysninger om deg, kan du kreve dem rettet.

Merk skillet mot integritet som sikkerhetsmål: integritet handler om at ingen har endret opplysningene; riktighet handler om at de faktisk stemmer. En opplysning kan være uendret siden registreringen og likevel gal.

Opplysningene skal ikke lagres lenger enn nødvendig for formålet.

Er saken avsluttet og oppbevaringsplikten utløpt, skal opplysningene slettes eller anonymiseres.

Prinsippet er en av de vanligste svakhetene i praksis: systemer samler opp data over år uten at noen tar stilling til når de skal bort.

Sikkerheten skal stå i forhold til risikoen. Jo mer følsomme opplysninger, jo strengere krav.

De tekniske tiltakene kjenner du fra kap. 3.1: kryptering, tilgangskontroll, sikkerhetskopi, logging.

De organisatoriske er like viktige: rutiner, opplæring, arbeidsdeling, avtaler med leverandører. Kravet handler ikke bare om teknologi.

Samtykke er ett av flere lovlige grunnlag for behandling — ikke det eneste, og ofte ikke det som brukes.

En kommune som fatter et vedtak, en arbeidsgiver som utbetaler lønn, og et sykehus som fører journal, bygger alle på andre grunnlag.

Dessuten: et samtykke som er en forutsetning for å få tjenesten, er sjelden gyldig, fordi det ikke er frivillig.

Påstanden «samtykke kreves alltid» er en fast distraktor, og svaret er usant.

At en behandling er nødvendig, kan gi et lovlig grunnlag for den. Det fritar ikke fra resten av reglene.

Dataminimering, formålsbegrensning, riktighet, lagringsbegrensning og kravet om egnede tiltak gjelder likevel.

Påstanden «vi kan se bort fra reglene fordi behandlingen er nødvendig» er derfor usann — den blander grunnlag med prinsipper.

Reglene retter seg først og fremst mot virksomheter: det er de som kan ilegges gebyrer, og som må kunne dokumentere at reglene følges.

Privatpersoners rent personlige bruk faller utenfor — en privat kontaktliste på telefonen er ikke omfattet.

Grensen er ikke skarp: en privatperson som publiserer opplysninger om andre offentlig, kan komme innenfor.

Et system kan ha perfekt konfidensialitet og likevel bryte personvernet: samler det inn langt mer enn det trenger, hjelper det ikke at alt lagres kryptert.

Dette er grunnen til at personvern står som et eget mål blant de sju, og ikke som en variant av konfidensialitet.

Virus: fester seg til en vertsfil og spres når filen kopieres, sendes eller åpnes. Trenger en bærer og en handling.

Dette er den hyppigst testede skadevare-forskjellen. Den er lett å blande fordi «virus» i dagligtale brukes om all skadevare — men i faget er det én bestemt type.

Rootkit: skjuler seg i systemet etter installasjon, ved å manipulere det slik at den selv ikke er synlig.

Begge handler om skjuling, men på hvert sitt tidspunkt: trojaneren før installasjon, rootkitet etterpå. En trojaner kan godt bære inn et rootkit.

Skadevare — eller en liten fysisk enhet — som registrerer alt som skrives på tastaturet.

Målet som brytes: konfidensialitet. Passord, meldinger og søk lekker.

En fysisk tastelogger settes mellom tastaturet og maskinen og krever fysisk tilgang. Det er en av grunnene til at fysisk sikring regnes som et datasikkerhetstiltak.

Skadelig kode som ligger i ro til en betingelse er oppfylt — en dato, et antall kjøringer, eller at en bestemt bruker forsvinner fra lønningslistene.

Kjennetegnet er utløseren. Koden gjør ingenting før betingelsen inntreffer, og er derfor vanskelig å oppdage ved vanlig testing.

Dette er klassisk innsidearbeid: den plasseres av noen med lovlig tilgang og utløses etter at vedkommende har sluttet. Mottiltakene er minste privilegium, arbeidsdeling og gjennomgang av kode.

En skjult inngang som omgår den vanlige innloggingen.

Den kan være lagt inn av en angriper etter et innbrudd, eller være en glemt testadgang som aldri ble fjernet.

Passordbytte hjelper ikke. Bakdøren bruker ikke passordet i det hele tatt. Den må finnes og fjernes — og det er en av grunnene til at et system som har vært kompromittert, ofte må settes opp helt på nytt.

Skadevare som krypterer filene og krever betaling for nøkkelen.

Målet som brytes: tilgjengelighet. Filene finnes, men er låst.

Den faste feilslutningen: å svare konfidensialitet fordi angrepet bruker kryptering. Verktøyet og det brutte målet er to ulike ting.

Det viktigste mottiltaket er sikkerhetskopi som ikke er tilkoblet, slik at den ikke krypteres sammen med resten.

To spørsmål skiller alle typene fra hverandre:

1. Hvordan sprer den seg?
- Selv over nett → orm
- Med en vertsfil → virus
- Båret inn av brukeren → trojaner

2. Hvordan skjuler eller utløser den seg?
- Skjuler seg i systemet → rootkit
- Omgår innloggingen → bakdør
- Venter på en betingelse → logisk bombe

Er det ingen av delene, men bare en funksjon — som å registrere tastetrykk — er navnet gjerne beskrivende: tastelogger.

En trojaner er definert av hvordan den kommer inn: skjult i et program som ser nyttig ut.

Hva den bærer inn, varierer — en tastelogger, en bakdør, et løsepengevirus, et rootkit.

Derfor kan to betegnelser være riktige samtidig for samme hendelse: programmet var en trojaner, og det den installerte, var en tastelogger. I en koblingsoppgave skal hver beskrivelse matches mot sitt eget kjennetegn.

1. «Virksomheten slipper ansvar ved å bruke en skyleverandør.» Usant. Den behandlingsansvarlige beholder ansvaret og får i tillegg plikter ved valg av leverandør.
2. «Samtykke kreves alltid.» Usant. Samtykke er ett av flere lovlige grunnlag.

Begge kommer igjen i ulike formuleringer, og begge har alltid samme svar. Kan du dem som ferdige svar, avgjør du to rader i matrisen på sekunder.