17-åring stäms på halv miljon för civilkurage

Erik, 17, dömdes för att ha försökt säkra kommunens it-system

Det är svårt att inte häpna inför sånt här. När stora IT-företag idag belönar utomstående som hittar och rapporterar svagheter i deras system, så väljer Umeå kommun att anmäla en 17-årig pojke som tagit sig in i kommunala system just i avsikt att göra ansvariga uppmärksamma på hur illa säkrade lösenordsdatabaserna var. (Om det nu är så det var, vi var ju faktiskt inte där.)

Erik dömdes till 35 timmars samhällstjänst, vilket han själv tycker är rimligt, eftersom han formellt sett bröt mot lagen. Det har han också gjort, det är inte lagligt att ta sig in någonstans bara för att det går eller är enkelt, även om syftet är att visa hur dåligt låset är.

Men att polisen genomför tre husrannsakningar och anhåller Erik – i lagens ögon fortfarande ett barn – i ett helt dygn utan att han får prata med sina föräldrar, det låter som en väldigt hård reaktion. Att Umeå kommun dessutom säkrar upp sina databaser en smula och därefter börjar processa efter en halv miljon i skadestånd – jag tycker att det skorrar illa.

Det enda sättet att testa hur säkert ett system är, är att försöka ta sig in. Penetrationstester ska vara sanktionerade och beställda, men när en myndighet inte reagerar på missförhållanden är det inte mycket man kan göra än att försöka få deras uppmärksamhet på annat sätt – eller att snällt vänta på att någon stjäl ens användaruppgifter.

Eftersom målet var att avslöja missförhållanden skulle Eriks hackning kunna jämställas med visselblåsning. Det brukar allmänt anses vara en moraliskt riktig handling. Visselblåsning är inte lagskyddat som sådant, men den som avslöjar missförhållanden för en journalist skyddas av det lagstadgade källskyddet. Erik satt nog inte på ett scoop stort nog för att kunna läcka till en journalist, men kanske borde samhället ändå se till det moraliskt riktiga i en handling istället för att straffa så fort det finns laglig möjlighet? Personligen föredrar jag den hållningen, särskilt när det rör sig om ungdomar. Då är dessutom höga skadestånd extra skadliga, effekterna sitter kvar under många år.

Man kan jämföra med en av januaris mer intressanta nyheter om att det kan vara dataintrång att installera program själv på jobbdatorn, beroende på vad Högsta domstolen kommer fram till. (Marcus Jerräng kommenterar problemen med den frågan bra.)

Myndigheter ska behandla personuppgifter på ett så säkert sätt som möjligt och en nivå på de tekniska lösningarna borde vara garanterad. Brister måste uppmärksammas. Kan vi enas om det?

Missa inget!

Prenumerera på Säkerhetsbloggen via e-post!

No comments

Your email address will not be published.