Information vill vara fri

För nästan fyrtio år sedan myntade den amerikanske författaren Stewart Brand (foto nedan) uttrycket ”Information vill vara fri”, enligt uppgift under en diskussion på den allra första så kallade Hacker-konferensen i Marin County, Kalifornien. Inte helt oväntat snappades uttrycket ganska fort upp som ett slags stridsrop av olika typer av teknikaktivister, exempelvis den så kallade cypherpunk-rörelsen (inte att förväxla med den litterära subgenren cyberpunk, som också influerades av detta numera anrika citat).

Stewart Brand. Foto: TED / Marla Aufmuth

Ja, jag vet vad ni tänker: ”Vänta lite…vad är det här för flummigt hippie-nonsens? Inom informationssäkerhetsområdet vill vi ju kontrollera informationen, inte släppa den fri, för guds skull!”

Sant. Men om vi backar tillbaka bandet en aning så skulle jag vilja börja med att förtydliga att Stewart Brand egentligen inte uttryckte sig på det här sättet – ovanstående citat representerar nämligen bara en del av vad han faktiskt sa.

Vad han egentligen sa var följande (fritt översatt):

”Å ena sidan vill information vara kostsam, eftersom den är så värdefull. Rätt information på rätt plats kan förändra ditt liv. Å andra sidan så vill information vara fri, eftersom kostnaden för att distribuera information hela tiden blir lägre och lägre. Så dessa två storheter för en ständig kamp mot varandra”.

Med andra ord bör citatet från Brand inte uppfattas som en smått anarkistisk uppmaning att helt sonika ignorera lagen om upphovsrätt och börja distribuera information i form av filmer, musik eller mjukvara illegalt. Snarare utgör citatet – i sin helhet – en filosofisk reflektion kring förhållandet mellan två motstridiga informationsaspekter: och desto högre värdet på information är, desto högre blir också kostnaden för att kontrollera – eller skydda – informationen.

Vad gör information värdefull?

Från ett informationssäkerhetsperspektiv framstår detta förstås som ganska självklart, åtminstone i teorin; när vi implementerar våra skyddsåtgärder, oavsett om dessa huvudsakligen är tekniska eller organisatoriska, så är det de högst värderade informationstillgångarna som är kostnadsdrivande.

Men vad är det då som egentligen gör information värdefull? I praktiken är detta alltid beroende av det specifika sammanhanget, så ur det perspektivet kan det kanske kan vara relevant att tydligare definiera vad vi egentligen menar när vi talar om värde. I grund och botten vet vi ju alla att det finns många olika typer av värde, men fokus hamnar ändå ofta på den mest uppenbara formen: det allestädes närvarande monetära värdet. Av förklarliga skäl är det monetära värdet naturligtvis alltid centralt ur ett affärsperspektiv, men det är samtidigt viktigt att komma ihåg att det finns andra sätt att prata om och definiera värde.

I exempelvis sammanhang där man vill skydda information som berör Sveriges säkerhet så ligger inte fokus primärt på kostnadsaspekten, utan på de negativa konsekvenser som kan uppstå i händelse av att olika typer av säkerhetsskyddsklassificerad information röjs för obehöriga. Och för organisationer som samordnar och levererar humanitära hjälpinsatser kan korrekt geografisk information i praktiken betyda skillnaden mellan liv och död.

Personligen brukar jag ofta tänka på värde i termer av användbarhet. Ur mitt perspektiv har värde – av ekonomisk eller annan karaktär – vanligtvis en mer eller mindre direkt koppling just till informationens användbarhet; ju mer användbar en specifik informationstillgång är i ett specifikt sammanhang, desto högre är vanligtvis också värdet på informationen.

Ur ett informationssäkerhetsperspektiv leder detta resonemang oss direkt till den klassiska CIA-triaden. Även om vi använder oss av dimensionerna konfidentialitet, integritet och tillgänglighet för att bedöma olika aspekter av vår information i samband med klassificering, så är det i praktiken informationens användbarhet som vi utvärderar. Och när allvarliga brister uppstår hos någon av dessa dimensioner blir konsekvensen i regel också att informationens användbarhet påverkas negativt. Ni kommer väl ihåg ”Operation Pathway”?

Varför håller jag då på och resonerar kring begrepp som fri information, värde och användbarhet på det här sättet? För att vara helt ärlig är detta primärt en sorts post-it-lapp till mig själv – en vänlig påminnelse om vad kärnan i informationssäkerhetsarbetet i grund och botten handlar om, och varför jag anser att det är så viktigt att lägga tid och kraft på. När man är mitt uppe i det dagliga, löpande arbetet är det dessutom alldeles för lätt att fokus i alltför hög grad hamnar på de enskilda pusselbitarna – istället för att med jämna mellanrum ta ett steg tillbaka för att byta perspektiv och påminna sig själv om hur de olika delarna passar in i och bidrar till helheten.