Åpenhetens dilemma

Abstract

Åpenhetens dilemma innen IT sikkerhet handler om at deling av informasjon og erfaringer er viktig for å beskytte landet mot trusler, samtidig som deling kan avsløre sårbarheter og svakheter hos virksomhetene som deler informasjonen. Denne oppgaven tar i bruk intervjuer for å få svar på spørsmål knyttet til rutiner og erfaringer relatert til IT-sikkerhet, og kan brukes til å identifisere faktorene som påvirker virksomheter i valget om åpenhet overfor både Nasjonal sikkerhetsmyndighet (NSM) og offentligheten. Undersøkelsen viser at virksomhetene sin opplevelse av relevans og ønske om å hjelpe andre er de største faktorene som påvirker deling til både NSM og media. Deling overfor NSM gjøres også mye fordi virksomhetene ønsker å få hjelp til å håndtere hendelsene. Lovverk går igjen som årsak til at virksomheter har delt en hendelse, men også ikke delt. Ulike sektorer påvirkes ulikt av sitt lovverk. Vurderingen rundt å gå ut med informasjon om en hendelse påvirkes også av hvordan virksomheter tror det vil påvirke offentlighetens syn på virksomheten.

The dilemma of openness within the information technology security community is about sharing information and experiences to protect the country against threats, whilst being considerate of the weaknesses that can be exposed for the companies who choose to share information. This thesis uses interviews to find out which routines and experiences different companies have with IT security, and use the information to identify the factors that affect organizations in the choice of being open towards both Nasjonal sikkerhetsmyndighet (NSM) and the public. The research revealed that how relevant the companies perceive the incident, and their desire to help others, are the factors that affect sharing an incident with NSM and the media the most. Openness towards NSM is also affected by the level of help the companies need to handle the situation. Laws are repeatedly listed as the reason for organizations sharing an incident, but also when they do not share it. Different sectors are affected differently by various laws and regulations. The choice of sharing information is also influenced by how organizations believe the incident will affect the public's opinion of the company.