ITEK og DIs vejledning om beskyttelse af data mod fremmede landes overvågning

ITEK og DIs vejledning om beskyttelse af data mod fremmede landes overvågning

Udgivet af: DI ITEK og DI Redaktion: Henning Mortensen ISBN: 978-87-7353-753-4 0.12.08 2

Beskyttelse af nationalstatens borgere og territorium Terrorisme er på den politiske dagsorden overalt i verden. Politisk er der hos stort set alle parter et behov for at vise handlekraft mod terror og dæmme op overfor terroren og dens konsekvenser. Midlerne hertil er mange spændende fra små lokale sociologiske initiativer over retningslinier for den økonomiske politik til national overvågning af borgerne i bred forstand. Terror kan defineres som et uacceptabelt voldeligt middel til at opnå et politisk mål 1. Det er naturligvis væsentligt for et demokratisk samfund at politiske mål kan nås uden anvendelse af voldelige midler og derfor er indsatsen mod terror vigtig. Der skal gøres en indsats for at beskytte såvel en nations borgere som selve nationens territorium inklusive nationens infrastruktur. Nogle af midlerne, der tages i anvendelse for dæmme op for terror, er imidlertid kritisable i den betydning at de har nogle andre uheldige konsekvenser for samfundet. Det kan f.eks. være en indskrænkning af privatlivets fred blandt borgerne eller et pres på eller en decideret underminering af retssikkerheden. Det kan også være overvågning af virksomheder, som i bedste fald ikke ved, om deres data kan holdes fortrolige, og i værste fald ved at deres data aflyttes og bruges mod virksomheden som industrispionage. Nogle af midlernes effektivitet i forhold til at bekæmpe terror kan også drages i tvivl, fordi vi ved så lidt om, hvordan terrorister agerer 2. I disse tilfælde får vi overvågning, spionage og privacykrænkelser uden reel effekt mod terror. DI ITEK har været aktiv i debatten om informationssikkerhed, privatlivets fred, retssikkerheden og industrispionage på mange forskellige fronter i de senere år. Alle vores vejledninger og politiske dokumenter kan findes på vores sikkerhedshjemmeside 3. Der er gennem de senere år sket en forandring i det internationale miljø. Mange landes efterretningstjenester har fået til stadighed flere værktøjer til at beskytte deres borgere og territorium i relation til at dæmme op for terror. Hvor trusler fra udenlandske myndigheder tidligere var forbundet med spionage af typen skæg, hat og blå briller, er der nu - under henvisning til truslen om terror - taget initiativer, som under særlige omstændigheder gør aflytning af andre landes borgere og virksomheder officiel og lovlig. Disse nye og delvist officielle redskaber har skabt en ændring i trusselsbilledet for danske virksomheder, som virksomhederne bør forholde sig til. Nærværende vejledning har til formål at give en introduktion til det ændrede risikobillede, som udenlandsk overvågning giver anledning til for danske virksomheder. Vejledningen vil blive afsluttet med en række værktøjer, som virksomhederne kan bruge, for at beskytte sig mod overvågning fra udenlandske myndigheder. Listen over værktøjer er ikke udtømmende, og den bør bruges efter en konkret vurdering af situationen. Et ændret risikobillede Overvågning og spionage er blandt de ældste erhverv i denne verden. Derfor er beskyttelse af informationer også blandt de ældste erhverv. I starten forsøgte man at skjule sine budskaber en disciplin der kaldes steganografi. Et eksempel på dette kendes fra Histaios, der barberede håret af sin budbringer, skrev sin besked og lod budbringeres hår vokse ud igen, således at han trygt kunne rejse af sted med begrænset risiko for at budskabet blev fundet 4. En mere avanceret måde at 1 http://www.pet.dk/upload/sprogbrug_og_terrorbekæmpelse.pdf 2 http://www8.nationalacademies.org/onpinews/newsitem.aspx?recordid=10072008a 3 http://www.di.dk/virksomhed/it/informations-sikkerhed+og+privacy/ 4 Simon Singh, Kodebogen, p. 19, Gyldendals Bogklubber 3

kommunikere sine fortrolige budskaber på er at anvende kryptografi. Hvordan dette i dag fungerer i praksis skal ikke berøres i denne vejledning, men et historisk eksempel er det såkaldte Cæsarcipher, hvor Cæsar krypterede sine meddelelser ved at rykke bogstaverne i alfabetet tre pladser, så ordet: kryptografi bliver til: nuøswrjudil, hvis man bruger det danske alfabet 5. Med de nuværende teknologiske muligheder er kompleksiteten i det at skjule sine budskaber på en sikker måde, som ikke kan brydes af uvedkommende, øget. Disse muligheder er blevet flittigt anvendt af såvel terrorister som myndigheder men også af almindelige borgere og virksomheder for at beskytte deres informationer mod dem, som de til enhver tid måtte betragte som uvedkommende. Vores egne og fremmede landes myndigheder har for at beskytte egne borgere og eget territorium fået mulighed for at foretage systematisk overvågning i en grad som hidtil ikke har været kendt. Flere eksempler på allerede vedtagne initiativer i ind- og udland illustrerer dette: - FRA-loven 6 er et eksempel på en svensk lovgivning, som påvirker danske virksomheder. I loven specificeres det, at den svenske myndighed, Försvarets Radioanstalt, kan overvåge udenlandsk telefoni og internet, som switches eller routes ind over den svenske grænse. Overvågningen omfatter såvel trafikinformation som selve trafikken. Det vil sige, at de svenske myndigheder kan se, hvem der udveksler information med hvem, og hvad selve informationen indeholder. Dermed går denne lov videre end den danske logningsbekendtgørelse, som kun logger trafikinformationerne. Den svenske lov medfører, at al trafik skal afleveres til myndigheden, som så på baggrund af et filter med forbudte ord udvælger, hvilken trafik der skal anvendes konkret. Loven er blevet vedtaget i foråret 2008, men ændret allerede i efteråret 2008 7, således at svensk indenrigstrafik ikke længere er omfattet. Det skyldtes voldsomme protester internt i Sverige. Loven overvåger altså nu alene udenlandsk trafik. Der er flere interessante aspekter ved loven i forhold til danske virksomheder. For det første kan danske virksomheder ikke undgå, at trafikken routes eller switches ind over den svenske grænse. Det skyldes den måde, som tele- og internettet er bygget op på, hvor trafik routes eller switches den hurtigste og bedste vej for at sikre effektiv tilgængelighed for brugerne. Denne vej kan udmærket gå over den svenske eller for den sags skyld andre landes grænse. For det andet kan de oplysninger, som opsamles af svenskerne, deles med andre lande, og man ved derfor ikke, hvor ens oplysninger ender. Principielt set kunne de komme tilbage til de danske efterretningsmyndigheder, for hvem det ikke er lovligt at gennemføre en sådan type overvågning. For det tredje har danske virksomheder ingen garanti for, hvad svenske myndigheder bruger oplysningerne til. Der er ganske vist specificeret et formål i den svenske lovgivning, men der er for danske virksomheder ingen muligheder for at sikre - eller få indsigt i - om dette formål overholdes. Loven har været ganske meget omtalt i svenske og danske medier 8. Data som transmitteres ukrypteret over såvel telefon- som internet kan dermed ikke betragtes som værende fortrolige. - Grundig visitation ved flyrejser på tværs af grænser bliver mere og mere udbredt. I USA er Transportation Security Administration, som blev dannet efter den 11. september 2001 og er 5 Simon Singh, Kodebogen, p. 24, Gyldendals Bogklubber 6 Regeringens proposition 2006/07:63, En anpassad Försvarsunderrättelsesverksamhet, http://www.regeringen.se/content/1/c6/07/83/67/2ee1ba0a.pdf 7 http://www.regeringen.se/sb/d/10911/a/112332 8 Se Computerworlds artikler om loven: http://www.computerworld.dk/search/sverige%20overv%c3%a5gning 4

en del af Homeland Security, ansvarlig for, at USA's transportsystem fungerer på sikker vis 9. I et informationssikkerhedsperspektiv betyder dette, at de amerikanske grænsemyndigheder på vilkårlig vis kan få adgang til at analysere indhold på en hvilken som helst bærbar computer, der føres over grænsen ind i USA. Det har ikke været muligt via TSA s egen hjemmeside at finde en annonceret politik på dette område! Flere af medlemmerne i DI ITEKs udvalg for informationssikkerhed har fra egne virksomheder kendskab til, at noget sådant finder sted. Hvis man slækker lidt på kildekritikken, kan man finde masser af eksempler på, at TSA inddrager bærbare computere og undersøger dem uden passagerens mulighed for at holde øje med, hvad der sker 10. Man får indtryk af, at der er to typer af analyser: En type som skal afgøre, om computeren kan fungere som et element i en bombe og en anden type, som skal sikre myndigheden kendskab til indholdet på harddisken. Som det fremgår af disse kilder, er USA et af de mest omtalte lande, hvor dette foregår. Eksempler på tilsvarende tiltag er imidlertid også kendte fra grænseovergangene til andre lande f.eks. Kina. Data, der er placeret på bærbare lagermedier ved indrejse i et andet land, kan derfor ikke betragtes som fortrolige. - Vender vi os mod danske regler, er der også de senere år set flere eksempler på overvågning, som rammer både danske og udenlandske statsborgere. Logningsbekendtgørelsen 11 sikrer f.eks., at alle trafikoplysninger i den danske del af internettet skal logges, så de efterfølgende kan bruges af myndighederne til at opklare forskellige forbrydelser. Dette følger af et EUdirektiv, som Danmark i forhold til de fleste andre EU-lande - bortset fra Sverige - har valgt at fortolke ganske stramt. Men logning vil gå igen i et vist omfang i andre lande, og derfor vil mange forskellige politimyndigheder få adgang til data om deres respektive statsborgere og virksomheder. Vi har også set en ny TV-overvågningslov i Danmark, som udvider rummet for TV-overvågning 12. Hertil kommer flere andre initiativer i terrorlovene fra 2002 og 2006. Udviklingen med mere omfattende overvågning må forventes at fortsætte, hvilket illustreres af mere science-fiction-agtige forslag som f.eks. EU's ideer om ubemandede overvågningsdroner og andre overvågningstiltag 13, EU s bevilling i det 7. rammeprogram til Detection of abnormal behaviour og Small area 24 hours surveillance 14 samt USA's ideer om satellitovervågning af eget territorium 15. Særligt interessant bliver det, hvis myndighederne i visse lande ønsker at få direkte indsigt i, hvordan produkter er blevet til. Dette kan potentielt dels bruges til overvågning af egne 9 Mere information om TSA på http://www.tsa.gov. Se specielt deres 20-lags sikkerhedsmodel: http://www.tsa.gov/what_we_do/layers/index.shtm 10 http://www.tsa.gov/blog/2008/01/gripes-grins.html, http://articles.latimes.com/2008/jun/26/business/fi-laptops26, http://www.usnews.com/articles/news/national/2008/06/24/seizing-laptops-and-cameras-without-cause.html og http://www.dailymail.co.uk/news/worldnews/article-1040812/airport-threat-laptop-u-s-gets-power-seize-ipodsmobiles-new-anti-terror-measure.html. Foruden disse kilder bruges i praksis også en ældre amerikansk dom om børnepornografi til at fastslå at grænsemyndighederne har ret til at få adgang til indholdet af tilfældige bærbare computere: http://www.ca9.uscourts.gov/ca9/newopinions.nsf/d4958baaf34b2292882571b500580f96/$file/0410648.pdf?opene lement. 11 https://www.retsinformation.dk/forms/r0710.aspx?id=2445 12 https://www.retsinformation.dk/forms/r0710.aspx?id=2652 13 http://www.statewatch.org/news/2008/jul/eu-futures-jha-report.pdf 14 Begge emner er beskrevet i det 7. rammeprogram for forskning, Cooperation, Security, call 1, initiativ: SEC-2007-2.3-03 og SEC-2007-2.3-04, http://cordis.europa.eu/fp7/dc/index.cfm?fuseaction=usersite.cooperationdetailscallpage&call_id=34#infopack 15 http://www.comon.dk/news/usa.vil.satellitovervaage.sine.borgere_37922.html 5

borgere og dels kunne krænke rettighedshaverne. I denne situation er overvågning ikke det centrale, men virksomhederne står overfor at skulle overholde et formelt krav for at kunne eksportere men dog et krav, som potentielt set kan underminere forretningen 16. Hertil kommer, at nogle af de myndigheder, der overvåger, ikke nødvendigvis er demokratiske og bruger de indsamlede informationer på demokratisk vis. Og selv hvis de er demokratiske, kan indsamlede informationer måske bruges til et andet formål end netop at bekæmpe terror f.eks. til at bedrive industrispionage eller undertrykke en politisk opposition. Endelig er der er altid en risiko for, at de systemer, som lagrer data, kompromitteres gennem hacking eller uhensigtsmæssigheder i administrationen af data. Under alle omstændigheder er det altid vanskeligt for en virksomhed at vide, hvad informationerne bruges til, og der kan derfor være grund til at beskytte data, i henhold til det ændrede risikobillede, vi står overfor. Afgrænsning af trusler Der findes en række overvågningstiltag, som virksomhederne bør overveje at beskytte sig imod. Vi vil ikke i denne vejledning hævde at dække dem alle. For det første ser vi udelukkende på data og altså ikke på fysisk beskyttelse af personer, bygninger eller andet. For det andet vil vi i forhold til data alene se på to grundlæggende typer af tiltag: Det ene vedrører overvågning af elektronisk kommunikation, og det andet vedrører overvågning af data, som er tilstede på en fysisk lagerenhed. For det tredje dækker denne vejledning alene overvågning fra fremmede landes myndigheder og altså ikke angreb fra udenlandske hackere m.v. For en mere detaljeret gennemgang af generelle sikkerhedsmæssige trusler henvises til DI ITEKs publikation: Trusler mod virksomhedens ITsikkerhed 17. Elektronisk kommunikation af data Myndighederne kan være interesseret i at få fat i oplysninger om: - hvem der kommunikerer med hvem (trafikinformation), for på den måde at få et billede af hvem der sammen er i gang med at lægge hemmelige planer - hvad der kommunikeres (indhold), for at finde ud af om de, der kommunikerer, udveksler informationer om noget, der har deres eget samfunds interesse Det, der kommunikeres om, kan være terroranslag, men stater kunne også have interesse i andre ting f.eks. politiske oppositioners synspunkter og planer, religiøse bevægelsers initiativer og forretningshemmeligheder hos fremmede nationer, som kan stille statens egne virksomheder ringere. Adgang til fysisk computer Når en person rejser ind i et land kunne det være med det formål at sprede (demokratisk eller ekstremistisk) politisk propaganda, få produceret en ting eller på anden måde bedrive forretning. Det kunne også være i rollen af turist eller terrorist. Ved grænsen er det derfor en oplagt mulighed for myndighederne at søge informationer på bærbart elektronisk udstyr om, hvad personens formål er. I en række tilfælde tager myndighederne det bærbare udstyr fra den rejsende, bringer det uden for synsvidde og foretager derefter handlinger, der kan have til hensigt at vise indholdet på udstyret. I virkeligheden burde myndighederne revidere denne politik, fordi det er usandsynligt, at en terrorist eller en politisk aktivist vil bringe data med over grænsen på denne måde, når der er mulighed til at uploade til online filservere før rejsen. Effekten af politikken er dermed vanskelig at få øje på. 16 http://www.yomiuri.co.jp/dy/business/20080919tdy01306.htm 17 http://www.di.dk/butik/produktside/produktside.htm?productid=2793 6

Beskyttelse På det generelle plan har virksomheden en værktøjskasse med redskaber, som kan bruges til at beskytte sig mod udenlandske myndigheder i de to skitserede scenarier. Det er virksomhedens ledelse, der på baggrund af en konkret vurdering skal beslutte hvilke initiativer, der skal iværksættes. Risikoanalyse Det helt centrale i denne vejledning er, at virksomhederne overvejer hvilken risiko, de står overfor. Virksomheden bør derfor foretage en risikoanalyse. At foretage en risikoanalyse er et helt grundlæggende sikkerhedstiltag, som ikke kun vedrører andre landes overvågning, men som altid bør foretages i forhold til alle risici, så virksomheden har et reelt billede at agere ud fra. I forhold til den konkrete sag må virksomheden vurdere, om de data, der kommunikeres via nettet eller telefoni eller som virksomhedens ansatte bærer med sig til udlandet, er af afgørende betydning for virksomhedens forretning. Herefter bør virksomheden vurdere, om der er initiativer, som sikrer data tilstrækkeligt i forhold til den aktuelle trussel samt sandsynligheden for at truslen opstår. Hvis dette ikke er tilfældet må ekstra korrigerende sikkerhedsforanstaltninger sættes i værk. DI ITEK anbefaler, at virksomhederne foretager en risikoanalyse. Risikoanalysen bør også omfatte mulighederne for, at udenlandske myndigheder kan opsnappe virksomhedens data. Dataklassifikation Et andet generelt middel til at beskytte de data, som er vigtigst, er dataklassifikation. Typisk vil det ikke være nødvendigt eller omkostningsmæssigt fornuftigt at beskytte alt lige godt. Derfor skal der foretages en klassifikation af data. De data, som er vigtigst skal beskyttes bedst. DI ITEK har omtalt dataklassifikation mere uddybende i publikationen: Forøg virksomhedens informationssikkerhed. Her henvises der til overvejelserne i den danske sikkerhedsstandard DS484 og Statsministeriets cirkulære nr. 204 af 7. december 2001vedrørende sikkerhedsbeskyttelse af informationer. I praksis vil der typisk være behov for fire klasser: - offentlige informationer, som er tilgængelige for alle - interne informationer, som er tilgængelige for ansatte i virksomheden - følsomme informationer, som er tilgængelige for særligt betroede medarbejdere - fortrolige informationer, som er tilgængelige for ledelsen og enkelte betroede medarbejdere i en konkret situation Typisk vil de fortrolige informationer være tegninger, opskrifter eller patenter, som udgør rygraden i virksomhedens forretning. Der kan desuden være tale om regnskabsdata, som viser, hvem der er kunder, og til hvilke priser produkter købes og sælges. DI ITEK anbefaler, at virksomhederne foretager en klassifikation af deres data. Da der kan være ganske mange data i en virksomhed, anbefales det at starte med at klassificere data om forretningsstrategi, regnskab og data fra HR- samt sikkerheds-, forsknings- og udviklingsafdelinger. Kryptering Kryptering af data er et vigtigt middel til at undgå, at uvedkommende kan læse data, som de retmæssigt eller uretmæssigt får adgang til herunder at fremmede myndigheder kan læse data. Det gælder både data på et medie og data under transport. Ved at anvende særlig stærk kryptering vil sandsynligheden for at krypteringen kan brydes indenfor en rimelig tid være forsvindende lille, selv 7

om forsøget gøres på en af verdens hurtigste computere. I praksis er det vigtigt, at virksomhederne forholder sig kritisk til, hvilken kryptering der anvendes, og hele tiden holder sig opdateret omkring hvilken standardkryptering, der er brudt eller forventes brudt. Kryptering kan bruges på såvel data, der transmitteres som data, der er lagret. Det vil sige, at man ved at anvende kryptering kan sikre sig imod såvel den overvågning af transmission, der finder sted på tværs af grænser, som den overvågning, der vil finde sted, hvis en myndighed i en lufthavn beder om at få udleveret bærbart elektronisk udstyr. Der er blandt de fleste virksomheder kryptering af transmissionen mellem virksomhedernes lokationer og hjemmearbejdspladser, fordi netværksforbindelserne imellem disse er krypteret VPN 18 (f.eks. ved anvendelse af IPsec), hvilket giver en væsentlig del af beskyttelsen i forhold til f.eks. FRA-loven omtalt ovenfor. I stedet for at anvende VPN kan virksomheder kryptere deres kommunikation på anden vis. En ofte anvendt metode er at anvende SSL 19. VPN med IPsec eller SSL over protokoller som f.eks. webtrafik, er altså kryptering af kommunikationslinjerne. Krypteringen kan som nævnt også ske af den enkelte fil, mens denne er lagret. På denne måde kan man altså opnå to lag af kryptering et på filniveau og et på transmissionsniveau. Trådløse netværk er i en række sammenhænge krypteret. Igen afhænger sikkerheden af, hvor kraftig krypteringen er. WEP-kryptering må betragtes som helt usikker i dag. WPA og WPA2 kryptering er i skrivende stund rimeligt sikre, men er udfordret på længere sigt 20. Særligt er der indikationer i retning af at WPA kan skulle opdateres i en ikke alt for fjern fremtid 21. Også i denne sammenhæng er det vigtigt at vælge sikre passwords i forbindelse med valideringen, da disse bedre kan beskytte netværket mod indbrud og misbrug. Der kan være behov for at supplere trådløse netværk med hårdere kryptering af indholdet (altså de enkelte filer), certifikater eller transmissionen via VPN med IPsec hen over enheden, der giver trådløs adgang, og det netværk den trådløse enhed giver adgang til. Kryptering giver naturligvis ingen beskyttelse, hvis medarbejderen lander i en lufthavn og tvinges til at logge på sit udstyr og dermed dekrypterer og giver adgang til data. Omvendt vil man i lufthavnen næppe kunne få adgang til krypterede data, hvis medarbejderen ikke vil logge på. 18 VPN står for Virtual Private Network. VPN skaber en tunnel mellem to links - altså fra punkt til punkt (LAN til LAN eller fra klient til VPN gateway). Dette kan ske både i linklaget eller i netværkslaget. Typisk anvendes IPsec (netværkslaget), som autentificerer de to kommunikerende parter og krypterer IP-pakkerne som transmitteres imellem dem. De to links - altså de to kommunikerende parter vil typisk være en PC hos to virksomheder, men end-to-end kan også være mellem to servere hos de to virksomheder. 19 SSL står for Secure Socket Layer. En nyere udgave kaldes TSL der står for Transport Layer Security. SSL fungerer på transportlaget. SSL krypterer indhold og autentificerer en server men ikke en klient. Hvis både server og klient skal autentificeres skal der bruges PKI / certifikater. 20 http://www.comon.dk/news/traadlos.sikkerhed.kan.vaere.en.illusion_38078.html 21 http://www.networkworld.com/news/2008/110608-once-thought-safe-wpa-wi-fi.html?fsrc=rss-security og http://www.version2.dk/artikel/9013-sikkerheden-i-wpakryptering-falder-fra-hinanden?nyhedsbrev 8

En række af de algoritmer (A5/1 22 og A5/2 23 ), der bruges ved GSM-kryptering, som bruges til mobiltelefoni mellem håndsættet og mobilmasten, er principielt set brudt. En række andre faktorer gør det dog yderst vanskeligt hvis ikke umuligt for menigmand at aflytte en mobiltelefonsamtale. Myndighederne har dog særlige værktøjer til rådighed og kan derfor altid aflytte mobiltelefoni, selv om denne er krypteret. Den del af transmissionen, som går fra basestationen og videre ud i telenettet, er ikke krypteret. Fastnettelfoni er ikke krypteret. I dette lys synes det at være af mindre betydning med al den offentlige omtale, der har været af den brudte GSM-kryptering. GSM mobiltelefoni kan overvejes erstattet af 3G (UMTS) mobiltelefoni. 3G er mere sikkert end GSM af to årsager. For det første autentificerer netværket overfor telefonen, hvad der ikke sker ved GSM. For det andet anvendes som standard A5/3 kryptering, som ikke anses for at være brudt. Afhængig af udbyder og håndsæt kan A5/3 også anvendes på GSM. Igen er den del af transmissionen, som går fra basestationen og videre ud i telenettet, ikke krypteret. Det forventes at 2G langsomt vil blive opgraderet til 3G 24. Der findes enkelte løsninger til kryptering af tale i en mobiltelefon. Betingelsen for at man kan drage nytte af at kryptere sine samtaler, er at modtageren har en lignende telefon, der er i stand til at dekryptere dem. I nogen lande vil serviceudbyderen afvise opkald via GSM, som er krypterede. I lyset af den meget omtale af den brudte GSM-kryptering er der ingen grund til at være urolig over at anvende mobiltelefoni. Men omvendt er det en dårlig ide at udveksle virksomhedens fortrolige oplysninger over mobiltelefon, fordi myndigheder vil kunne få adgang til denne. DI ITEK anbefaler, at man anvender krypterede VPN-netværk mellem en virksomheds lokationer og imellem en virksomhed og dens faste samarbejdspartnere. Det anbefales desuden, at man anvender stærk kryptering ved transmission til andre parter af fortrolige data. Trådløse netværk bør suppleres med VPN eller hård kryptering. Det anbefales, at man anvender stærk kryptering ved transport af fortrolige data på lagermedier ved rejser til andre lande. Myndigheder kan generelt få adgang til telefoni. Det anbefales derfor, at man ikke over almindelig mobil- eller fastnet telefon drøfter fortrolige informationer. Onion-routing Kryptering af den type, der er omtalt ovenfor, giver beskyttelse i forhold til indholdet af en transmission af data, men vil ikke give beskyttelse i forhold til trafikinformationerne altså oplysninger om hvem, der kommunikerer med hvem. Det skyldes, at data transmitteres i små pakker, der indeholder både en lille del af beskeden og et kort med afsender og modtager på. For at pakkerne kan komme fra afsender til modtager, er det typisk relevant, at disse informationer er tilgængelige. Imidlertid kan pakkernes trafikinformationer også krypteres, og pakkerne kan sendes gennem et netværk af forskellige computere til den endelige modtager. Dette kaldes onion-routing, 22 A5/1 hævdes at være brudt, men på trods af den megen omtale i pressen er der endnu ikke set en endelig praktisk demonstration. A5/1 er kun brudt teoretisk og det endelige bevis, der skulle fremsættes er i det mindste i skrivende stund ikke blevet fremsat. 23 A5/2 understøttes ikke længere af GSM-association. Denne anvendes således kun i de særlige tilfælde, hvor både håndsættet er gammelt og hvor GSM-infrastrukturen ikke er opdateret. Dette er kun aktuel muligheden i nogle af verdens fjerneste afkroge. GSMA beskriver algoritmerne her: http://www.gsmworld.com/using/algorithms/index.shtml. 24 GSM-direktivet er ved at blive ændret, så GSM frekvenser også må bruges til andre formål dvs. 3G. 9

fordi det svarer til, at man én for én piller skallerne af et løg indtil pakkerne når frem til den endelige modtager, som kan komme ind til det egentlige indhold. Onion-routing kan være relevant i en række sammenhænge. Men der er løbende debat om, hvor sikkert hele systemet er i sin opbygning. Der er desuden debat om, hvilke initiativer forskellige myndigheder kan tage for at forsøge at tiltrække pakkerne og se, hvem der kommunikerer. Tilsvarende er debat om parter med deciderede fjendtlige hensigter vil kunne lokke trafikken til sig. Formålet med begge dele er at sætte en stump kode ind i de data, som sendes tilbage til modtageren gennem netværket. Hvis modtagerens browser reagerer på denne kode, kan den som sætter koden ind finde ud af, hvem der kommunikerer. For at undgå dette, skal modtageren dermed have meget stor kontrol med sin egen trafik. Som eksempel på en type onion-routing findes det meget omtalte TOR-netværk, som er gratis at bruge. Foruden onion-routing findes der flere typer anonymiseringstjenester, som igen tilbyder at fungere som mellemmand for trafikken. Imidlertid er det meget vanskeligt at gennemskue, hvilken tillid man kan have til disse mellemmænd, og hvilke muligheder andre landes myndigheder har for at få adgang til de pågældende mellemmænds trafik. DI ITEK anbefaler ikke generelt anvendelsen af onion-routing, med mindre det er af afgørende betydning, at man ikke kan se, hvem der kommunikerer hvad der sjældent gør sig gældende for virksomheder. Følsomme og fortrolige data bør ikke transmitteres via onion-routing. Onion-routing er bedst egnet til privat kommunikation og i tilfælde, hvor virksomheden ikke har andre alternativer. Satellit telefoni En måde at få en mobil løsning, som ikke er GSM-baseret, er at anvende satellittelefoni. Med en satellittelefon ringes der direkte op til en satellit uden at anvende en eksisterende teleinfrastruktur. Hvis serviceudbyderen har et globalt dækkende satellitnet anvendes eksisterende teleinfrastruktur ikke til at transmittere meddelelsen. Hvis modtageren også har en satellittelefon anvendes eksisterende teleinfrastruktur slet ikke. Der findes udstyr, som under visse omstændigheder kan opsnappe beskeder, som sendes via satellittelefoni, men det er langt mindre udbredt end udstyr til at opsnappe GSM-telefoni. Satellittelefoni kan kombineres med kryptering af samtaler. Satellitinfrastrukturen kan i visse implementeringer være indrettet sådan, at det er stort set umuligt at opsnappe kommunikationen, fordi den foregår på forskellige frekvenser, der skifter på tilfældig måde hele tiden. DI ITEK anbefaler, at man ikke gennem telefoni udveksler fortrolige oplysninger. Satellit telefoni kan overvejes som en udvej, hvis man ønsker ikke at anvende en teleudbyder i et bestemt land. Retningslinjer for medarbejderne ved udlandsrejser Virksomheden skal have en overordnet sikkerhedspolitik og eventuelt uddybende retningslinier, som gør medarbejderne i stand til at beskytte virksomhedens data i overensstemmelse med det beskyttelsesniveau, som virksomhedens ledelse har vedtaget. Når der skal udformes retningslinier i forhold til rejse med bærbart udstyr indeholdende data, skal virksomhedens ledelse som minimum tage stilling til: 10

- hvordan medarbejderen skal reagere hvis han stoppes af myndighederne og bliver konfronteret med en BEGRUNDET MISTANKE for at have bedrevet noget ulovligt versus hvis det er en TILFÆLDIG STIKPRØVE medarbejderen er udsat for? - DI ITEK anbefaler, at medarbejderen instrueres i at finde ud af om han stoppes i forbindelse med en konkret mistanke eller som et led i en tilfældig stikprøve - DI ITEK anbefaler, at man altid åbner op for computeren, hvis der foreligger en konkret mistanke, da medarbejderen de fleste steder kan risikere at blive straffet, hvis der ikke samarbejdes! - Hvis der er tale om en tilfældig stikprøve må det bero på virksomhedens øvrige nedenstående politikker, hvad der skal ske. - om medarbejderen må boote computeren op? - DI ITEK anbefaler at udstyret bootes op på forlangende. Dette vil demonstrere overfor myndighederne, at der ikke er tale om en bombe, der i givet fald ville detonere, samtidig med at det ikke giver anledning til at myndighederne får adgang til data - om medarbejderen må give tilladelse til at udstyret fysisk skilles ad? - DI ITEK anbefaler, at medarbejderen giver tilladelse til at udstyret skilles ad, hvis det sker under medarbejderens tilstedeværelse og under forudsætning af, at data ikke kan læses eller kopieres fra lagermediet - om medarbejderen må logge på PC en og vise indholdet? - Det må bero på en vurdering fra ledelsen af hvilke informationer medarbejderen/virksomheden må have på computeren tillige med hvilke sikringstiltag der er foretaget for at beskytte dem om medarbejderen må logge på computeren og vise indholdet - Såfremt der er tale om en tilfældig stikprøve og der på lagermediet findes fortrolige eller følsomme data, som er beskyttet via hård kryptering, anbefaler DI ITEK at der ikke gives adgang til data - hvordan medarbejderen skal forholde sig hvis han nægter at give adgang til udstyret og dermed bliver nægtet indrejse? - Det må bero på en vurdering fra ledelsen foretaget på baggrund af, hvad der er lagret af information, om medarbejderen skal rejse hjem uden sit udstyr eller give adgang til data - om medarbejderen må have data af klasserne fortroligt eller følsomt med på rejse? - DI ITEK anbefaler, at man minimerer mængden af fortrolige eller følsomme data, man rejser med, mest muligt - om lagerenhederne på medarbejderens udstyr skal være krypteret? - DI ITEK anbefaler, at lagerenheder altid er krypterede, hvis der rejses med følsomme eller fortrolige oplysninger - om password må udleveres på forlangende? 11

- DI ITEK anbefaler, at der aldrig udleveres password med mindre dette eksplicit kræves i en situation, hvor der er KONKRET MISTANKE - om medarbejderne kun må rejse med elektronisk udstyr, der ikke indeholder data, men alene applikationer? - DI ITEK anbefaler, at virksomhederne generelt rejser med så få data som muligt - om medarbejderen skal afrapportere en sådan henvendelse fra myndighederne til hovedkvarteret? - DI ITEK anbefaler, at medarbejderen altid rapporterer hjem til modervirksomheden, hvis myndighederne i et land har haft adgang til data. På den måde kan virksomheden støtte medarbejderen og evt. sætte advokater på sagen - om der er forskel på politikken afhængigt af hvilke lande der rejses til? - DI ITEK anbefaler, at virksomheden løbende holder sig orienteret om sikkerhedstilstanden forskellige steder i verden via Udenrigsministeriets hjemmeside. Om virksomheden vil indføre særlige tiltag i forhold til udvalgte lande, må bero på en konkret vurdering foretaget af virksomhedens ledelse - om der er forskel på politikken afhængigt af, hvad hvilket eventuelt formål der er med at få adgang til udstyret? - Om virksomheden vil indføre særlige politikker i forhold til hvilket formål der er med at få adgang til data må bero på en konkret vurdering foretaget af virksomhedens ledelse 12