Tjall på linan

En bekant, som läst mitt inlägg "Lösa trådar" om e-handel och säkerhet, reagerade och tipsade mig om en artikel i Kvällsposten, Expressen. Den handlar om bristen på säkerhet med fax. En åkare i Svedala har fått fax med hemliga provsvar, namn och personnummer på vårdtagare vid universitetssjukhuset i Malmö står det. Se hela artikeln på adressen 
kvp.expressen.se/nyheter/ .1.1209738/akare-far-fax-med-hemliga-uppgifter     
Den verkar vara publicerad 25 juni 2008, men är lika intressant för det.



Den här typen av fel förvånar mig inte alls. Stora företag brukar ha en växel där man måste slå en nolla för att komma ut på linjen och sedan slår man önskat telefon- eller faxnummer. Glömmer man nollan, hamnar man inte hos den man tänkt sig. Det händer ofta med fax, eftersom åtskilliga inte vet att fax fungerar som telefon.  

Inte trodde jag att vårdcentraler o.dyl använde sig av så osäkra kommunikationer. Nog bör det väl finnas en möjlighet att spärra dessa faxapparater från fria nummer? I stället bör de ha kortnummer, som man kan slå till det fåtal mottagare, som man över huvud taget ska få faxa konfidentiella uppgifter till.
 
Dessutom ska de ta ut kvitto på alla avsända fax. Annars finns inget bevis på att de skickat uppgifterna över huvud taget. Den säkerheten behövs. Mottagaren kan påstå att fax aldrig kommit och patienten blir helt bortglömd.
Kan det vara det som menas, när man säger att en patient "fallit mellan stolarna"?

Lösa trådar

Det är bra att man kan göra mycket via internet, men försöken att hålla en hög säkerhet verkar närmast fjolliga ibland. Jag har två exempel.

1. Spara allting elektroniskt och du hittar ta mig sjutton ingenting längre

Ge leverantören anvisning om att skicka varorna till Malmö och fakturan till Haparanda, för att ta dessa orter som exempel. Hur logiskt verkar det? I Haparanda skannas fakturan och sparas någonstans. Att den skulle vara säkrare där än hos kunden i Malmö har jag lite svårt att förstå. I Malmö försöker man läsa den kraftigt förminskade fakturan på datorns bildskärm i ett ekonomisystem för att kontrollera, kontera och attestera den i en lång kedja inom företaget innan den slutligen kan betalas. Det går inte undan precis.

Behöver man titta på någon detalj som t ex telefonnummer eller bankgiro, är det alldeles omöjligt eftersom texten är för liten och suddig efter skanningen. Undrar en person inom företaget lite senare över någon detalj i fakturan, är den stora frågan hur man ska veta vilken faktura som avses och hitta den. Enda möjligheten är att söka med ett verifikations- nummer. Hur ska frågeställaren veta vilket verifikationsnummer fakturan hade fått? Någon kanske har förstorat upp den skannade bilden av fakturan, skrivit ut den och sorterat in kopian i en pärm. Då kan man hitta uppgifterna. Nog är det lite enklare att bläddra i en pärm där fakturorna är sorterade i datumordning, för man minns ungefär vid vilken tid man köpte varan och kan bläddra sig fram. Man känner igen logotypen och stannar upp inför rätt faktura. Någon liknande möjlighet att bläddra bland fakturorna finns inte i ekonomisystemet.

Tidigare fick kunden fakturan direkt till sig, registrerade några data, skickade betalningsorder till banken omgående och sorterade in fakturan i en pärm utan diverse förstoring, hardcopy och utskrift. Nog verkar omvägen via Haparanda lite onödig och försvårande i många lägen.

2. Gör ett seriöst intryck genom att be kunden lägga upp ett konto med lösenord

Vi ska beställa alla varor via nätet numera. Ringa eller skriva går inte. Inte ens mail duger fastän det går via nät. Jag skulle beställa almanackor hos ett företag vi fått avtal med. Jag hittade hemsidan, registrerade mig och inväntade lösenord. Det kom via mail, som knappast är särskilt säkert - men okey då. Jag gick in på hemsidan igen, loggade på mig och prickade för önskade varor. Framme vid "kassan" visade det sig att priserna inte alls stämde med avtalet. Då avbröt jag beställningen.

Mina försök att få kontakt med företaget och nå en överenskommelse om lämpligt sätt att beställa varorna till avtalade priser har inte lyckats. Skulle jag händelsevis få ett mailsvar om att rätt priser lagts in på hemsidan ifråga, kan jag försöka den metoden igen. Då uppkommer frågan om jag har lösenordet i färskt minne. Mailet med lösenordet har jag naturligtvis raderat, för det ska man göra. Inte har jag skrivit upp det någonstans, för det ska man inte heller göra. Allt enligt IT-avdelningens säkerhetsanvisningar.

Om vi händelsevis fortfarande har avtal med samma företag om ett år och jag ska göra en  beställning av almanackor, har jag redan ett konto. Är det troligt att jag kan påminna mig användaridentiteten och det lösenord jag hade fått?

Faktum är att jag inte upplever dessa rutiner som säkra. Vem som helst bör kunna lägga upp konto i vårt firmanamn, få ett lösenord och beställa varor. Någon kontroll verkar inte ske hos leverantören, utan ligger på oss i samband med kontroll av skannade fakturor på bildskärm. (Tänk om jag skulle försöka faxa in en beställning. Behöver jag be om lösenord då också?) 

Alla företag verkar ha sådana här eller liknande rutiner numera. Jag ska nog skaffa mig en gammaldags kortlåda med ett kort för varje leverantör och fylla i mina uppgifter om användar-id och lösenord till var och en så att jag enkelt hittar dessa "topphemliga" uppgifter när jag behöver. Ett modernare sätt är naturligtvis att göra ett register i Excel och spara det på en server. Den kan jag kanske inte nå då, när förbindelsen troligen ligger nere av någon outgrundlig anledning. Det förekommer. På PCn får jag nog inte ha registret med tanke på eventuell diskkrasch. Allt ska man tänka på när det gäller "säkerheten" - ack ja.