Hvað er PCI öryggi?

Í tengdri frétt er skýrt frá því að nýlega hafi Reiknistofa Bankanna hlotið svokallaða PCI vottun um öryggi greiðslukortaupplýsinga. Er þar sagt að Reiknistofan sé meðal fyrstu aðila hér á landi til að hljóta slíka vottun. Það sem er líklega það fréttnæmasta við þetta, en kemur hinsvegar hvergi fram í fréttinni, er spurningin: Hvers vegna er það ekki fyrr en í lok ársins 2011 sem RB, sjálfur miðpunktur greiðslukerfa á Íslandi hlýtur slíka vottun á öryggi kortaupplýsinga?

Starfa minna vegna hef ég í gegnum tíðina stundum komið nálægt útfærslu greiðslukerfa fyrir vefhugbúnað, og hef séð ýmis vinnubrögð sem viðgangast í þeim bransa sem við skulum bara segja að séu misjafnlega traustvekjandi. Á Íslandi hefur um árabil verið starfrækt fyrirtæki, Kortaþjónustan, sem sérhæfir sig í lausnum fyrir rafræn greiðslukerfi, og er nokkuð framarlega á því sviði. Af reynslu minni á þessu sviði get ég óhikað mælt með þeim lausnum sem þar bjóðast. Þar hefur verið unnið samkvæmt PCI stöðlum frá því að ég kom fyrst nálægt slíku fyrir mörgum árum síðan. Á vefsíðu fyrirtækisins er sértök undirsíða tileinkuð umfjöllun um PCI öryggisstaðla:

Staðallinn gerir kröfu um að öll fyrirtæki sem meðhöndla kortaupplýsingar fullnægi viðkomandi kröfum.  Á hverju ári þarf viðurkenndur úttektaraðili að framkvæma heildarúttekt til að votta að staðlinum sé fullnægt.  Auk þess eru gerðar óvæntar árásir minnst fjórum sinnum á ári til að kanna hvort á einhvern hátt sé hægt að komast inn í kerfi viðkomandi fyrirtækja.  Árásaraðilar notast ávallt við nýjustu þekktu aðferðir af FBI og SANS, sem eru helstu upplýsingaöryggisstofnanir heimsins.

Við þetta get ég bætt að meðal skilyrða sem sett eru og skipta miklu máli eru hlutir eins og aðgengismál, dulkóðun og auðkenning samskipta milli þeirra kerfa sem eiga í hlut. Eitt sem er algjört lykilatriði í þessum staðli er að þjónustuaðila er undir engum kringumstæðum heimilt að vista kortanúmer viðskiptavina. Þannig er útilokuð ein stærsta hættan sem steðjar að svona kerfum, það er að einhverjum takist að brjótast inn í kerfið og stela kortanúmerum viðskiptavina til þess að misnota þau.

Dæmi um árásir sem hefði mátt forðast, væri þessum skilyrðum fylgt, eru þegar hakkarahópurinn Anonymous braust inn í tölvukerfi Sony í fyrra og stal þaðan kortanúmerum viðskiptavina sem höfðu borgað fyrir þjónustu í gegnum PlayStation kerfið. Þetta hefði ekki verið hægt nema vegna þess að Sony virðist hafa vistað kortanúmerin á sínum eigin vefþjónum, en samkvæmt PCI staðlinum má aðeins útgefandi kortsins eða færsluhirðir á hans vegum vita númer kortsins. Þannig er veikleikinn fyrir innbrotum færður á miðlægan stað þar sem mun auðveldara að bregðast við innbrotum og fyrirbyggja tjón af völdum þeirra.

Nú hef ég engar forsendur til að draga öryggismál RB í efa. Hinsvegar er óhjákvæmilegt að velta því fyrir sér hvers vegna stofnun sem gegnir jafn veigamiklu hlutverki, hefur ekki haft þessa vottun frá upphafi? Alveg eins og með iðnaðarsaltið sem hefur verið í umræðu að undanförnu þá er ekki þar með sagt að neytendum hafi verið boðin lélegri vara þó vottunina hafi vantað. Vandamálið er bara að við höfum enga tryggingu fyrir því að svo sé. Það er enginn óháður aðili til frásagnar um hvernig örygginu hafi verið háttað fram að þessu, þó svo að eftir á sé gengið úr skugga um að í reynd hafi engin skaðsemi hlotist í þeim tilvikum sem þekkt eru.

Annað sem setja má í þetta samhengi er iðnaðarsílikon sem komið hefur í ljós að hefur verið notað sem ígræðsluefni. Í því tilfelli eru staðfest dæmi um að gallar hafi leitt af sér skaðsemi. Okkur myndi líklega ekki líða vel ef í ljós kæmi að fyrir löngu síðan hafi kortanúmerum Íslendinga verið stolið í massavís einfaldlega vegna þess að Reiknistofa Bankanna var mörgum árum á eftir í öryggismálum? Nú er ég alls ekki að gefa í skyn að svo sé, ég hef engar forsendur til að meta gæði öryggismála hjá reiknistofunni hingað til og býst við að að þar hafi verið reynt að passa upp á að hafa þetta í lagi.

En í þessu kristallast hinsvegar vandamálið sem birtist í þessu eins og ýmsu öðru, að sem neytandi hef ég engar forsendur til þess að leggja mat á þennan þátt í gæðum þjónustu eða vöru sem ég kaupi eða greiði fyrir. Þannig er mér gert erfitt fyrir að hegða mér sem ábyrgur neytandi, og beina viðskiptum mínum þangað sem ég vil að raunverulegur ávinningur hljótist af þeim.

RB uppfyllir staðla

Björgunarleiðangur á villigötum í evrulandi

Lánshæfismat stöðugleikasjóðs skuldavandavafnings evruríkjanna var í dag lækkað úr AAA niður á A+. Þar með eru skuldabréf sjóðsins ekki lengur veðhæf gegn lausafjárfyrirgreiðslu seðlabanka, og því úti um frekari björgunaraðgerðir að sinni.

Lækkunin hefur reyndar verið í kortunum frá því fyrir helgi eins og fjallað var um hér:

Föstudagurinn þrettándi - bofs.blog.is

Eða jafnvel enn lengur, eins og fjallað var um hér í byrjun desember:

Björgunarsjóður evrunnar á athugunarlista - bofs.blog.is

Þetta hefur raunar verið fyrirsjáanlegt svo lengi að fréttin af þessu telst varla fréttnæm. Hún er aðeins staðfesting á því sem lengi hefur verið vitað, að evran í núverandi mynd er dauðadæmd.

Lækka lánshæfi björgunarsjóðsins

Iðnaðarsaltkaupendur í stafrófsröð

Tveir listar hafa verið birtir yfir fyrirtæki sem hafa keypt iðnaðarsalt frá heildsala. Til hægðarauka hef ég sameinað þess tvo lista, eytt tvítekningum og raðað nöfnum fyrirtækjanna í stafrófsröð. Einnig set ég tengla á sum fyrirtækin. Þetta er án allrar ábyrgðar og með fyrirvara um villur o.þ.h.

A. Hansen
Agnar Ludvigsson ehf. (Royal)
Al-Bakstur / Almar Bakarí
Aðalbakarinn ehf Siglufirði
B.M. Vallá ehf
Bakarameistarinn Suðurveri
Bakarinn Ísafirði
Björnsbakarí Austurströnd
Brauð- og kökugerðin ehf
Brauða- og kökugerðin ehf
Brauðgerð Kr. framl.Hrísal.
Brauðgerð Ólafsvíkur
Bæjarbakarí ehf
Esja Kjötvinnsla ehf
Express Pizza
Eyjabú ehf.
Eðalfiskur
Fellabakarí
Fellabakstur ehf
Fisksöluskrifstofan ehf
Fjallalamb
Fram Foods Ísland hf
Frjó Quattro
Furðufiskar
Galito veitingastaður
Gallery Pizza
Gamla Pósthúsið
Gamla bakaríið ehf
Grund - eldhús
Gullhamrar veitingahús ehf
Gæðafæði ehf.
H.A Veitingar Madonna Pizza
Hamborgarabúlla Tómasar
Hamborgarabúllan B5
Harðarbakarí
Heimabakarí
Hjá Jóa Fel - Holtagarðar
Hornabrauð ehf*
Hrói Höttur
Háskólabaunin ehf.
Hérastubbur bakari
Hótel Reykjavík Natura eldhús
Icelandic Byproducts ehf
Italiano ehf.
Kentucky Fried, Selfossi
Kf.Steingrímsfjarðar N1*
Kjarnafæði
Kjötpól ehf
Kökulist Hafnarfirði
Kökuval
Lostæti - Austurlyst ehf
Matfugl ehf
Mexico (Pengs ehf)
Mitt Bakarí (Grensásvegi)
Mjólkurbúið ehf
Mjólkursamsalan  ehf
Mörk v/hjúkrunarheim eldhús
Múlakaffi
N1 Bílanaust Bíldshöfða *
N1 Hráefni Þjónustustöð EGS
N1 hráefni Sauðárkrók
NOKK ehf
Norðanfiskur ehf
Norðlenska ehf  Kjötv.*/Akurey
Norðlenska ehf  Sláturh/Húsav*
Norðlenska ehf * Kjötv./Húsaví
Norðlenska ehf Sláturh.á Höfn
Nýja Bakaríið Keflavík
Passion
Pizza Pronto / Bankastr.
Pizzafjörður ehf
Pizzan
Reynir bakari
Rizzo Express Bæjarlind
Rizzo Pizza Grensás
Rizzo Pizza Árbæ
Rub v/K6 ehf
Samhentir
Samkaup v/Hyrnan veitingar
Skeljungur hf / yfirkúnni
Skeljungur, VH Kletturinn
Sláturfélag Suðurlands
Stofnfiskur hf
Strikið
Sveitabakarí sf
SÞ - Lax ehf
Síld og Fiskur ehf
Sólfugl ehf
Vaxið brauðgerð ehf
Vegamót
Verkmenntaskólinn
Vignir G. Jónsson hf
Vogabær ehf.
Wilsons Pizza Ánanaust

Gjörið svo vel, þetta ætti að hjálpa fólki að vera ábyrgir neytendur, hvernig svo sem hver og einn kýs að fara að því. Sjálfur hef ég eins og flestir borðað ýmislegt sem er að finna á þessum lista, og margt af því er eflaust hluti af reglulegu mataræði hjá stórum hluta þjóðarinnar. Þarna eru veitingastaðir og bakarí áberandi, en athygli vekur að sjá einnig fisk- og kjötvinnslur. Það sem veldur mér hinsvegar mestum áhyggjum er tvennt: þetta er augljóslega notað í framleiðslu á mjólkurvörum fyrir bróðurpart landsins, og á listanum eru líka nokkrir dreifingaraðilar og fyrirtæki sem blanda saltið í kryddblöndur sem er svo dreift áfram til annara matvælaframleiðenda. Heilt yfir má telja líklegt að þetta sé notað í verulega stórum hluta matvælaiðnaðarins.

Matvælastofnun hefur efnagreint sýni af núverandi birgðum af saltinu og segir að þrátt fyrir að ekki sé um tandurhreint efni að ræða sé munur á innihaldi þess og vottaðs matarsalts nánast enginn. Með öðrum orðum hefur ekkert komið fram sem bendir til þess að þessi vara sé skaðleg að svo stöddu. Hinsvegar hefur samskonar vara verið notuð í sama tilgangi í 13 ár, og þar sem hún hefur ekki verið vottuð er engin leið að vera viss eða ganga úr skugga um eftir á hvort og hversu stöðug að gæðum og innihaldi þessi vara er. Ef það hefði verið gert og varan staðist allar kröfur, þá er heldur engin ástæða fyrir því afhverju hún hefði ekki átt að hljóta vottun, og þess vegna er óskiljanlegt að annað hvort framleiðandinn eða innflytjandi hafi ekki sótt um vottun. Nema auðvitað ef varan stóðst einfaldlega ekki vottunarkröfur.

Enn sem komið er virðist vera ástæðulaust að fyllast hræðslu eða skyndilegri tortryggni gagnvart allri matvöru vegna þess að hún innihaldi þetta salt. Hinsvegar er morgunljóst að allir sem notuðu þetta í matvælaframleiðslu voru í raun að selja neytendum ónýtan mat, sem er alvarlegt lögbrot, alveg sama þó e.t.v. sé skaðinn lítill í þessu tilviki

Nokkuð hefur verið rætt um merkingar á umbúðunum, en þær hafa sést í sjónvarpi og eru merktar með stóru letri "Industrial Salt" o.s.frv. á tungumálum sem eru kennd í skyldunámi á Íslandi. Mér skilst að á þær sé einnig letrað að varan sé ekki ætluð sem matvæli. Því miður virðist sem viðbrögð seljanda séu á þann veg að þykjast hafa verið ólæs undanfarin 13 ár, í stað þess að viðurkenna hið augljósa að auðvitað var kolrangt að selja þetta með þessum hætti og engin ástæða kemur til greina nema sú að þetta var hagkvæmara og þannig var hægt að græða meiri peninga.

Þegar þessu var hrært saman við matinn handa okkur hafði enginn hugmynd um hvort það væri í lagi, það eina sem þeir vissu var að þetta var 20% ódýrara hráefni. Framkoma íslenskra fyrirtækja og stofnana við fólk af holdi og blóði hefur því miður snúist upp í langa röð ömurlega lélegra afsakana fyrir glórulausri spillingu, vanhæfni, eða hvoru tveggja í senn. Við vorum e.t.v. heppin í þetta sinn en næst þegar svona mál kemur upp er aldrei að vita nema afleiðingarnar gætu orðið verulega alvarlegar.

Stofnanir deila um salt

Föstudagurinn þrettándi

Nákvæmlega 39 dagar hafa liðið frá því að matsfyrirtækið S&P setti öll evruríkin í heild sinni á athugunarlista með neikvæðum horfum. Í dag raungerðust þessar horfur þegar lánshæfismat Frakklands og Austurríkis var lækkað um eitt þrep og nokkurra annara ríkja um tvö þrep. Horfur eru  samkvæmt matinu neikvæðar í öllum tilfellum, nema Þýskalands sem heldur hæstu einkunn AAA ásamt Finnlandi, Hollandi og Luxembourg.

Fyrir 38 dögum barst svo önnur fréttatilkynning frá S&P:

• Fjármálastöðugleikasjóður evrusvæðisins settur á athugunarlista með neikvæðar horfur um langtímaeinkunn (AAA).
• Helmingslíkur á lækkun lánshæfiseinkunnar innan 90 daga.
• Tekur mið af því að öll ríkin 17 sem ábyrgjast sjóðinn voru í gær sett á athugunarlista með neikvæðar horfur.
• Óhagstætt heildarendurmat á lánshæfi evrusvæðisins gæti leitt til lækkunar EFSF um eitt til tvö þrep (AA+/AA).
• Endurskoðuð einkunn EFSF mun taka mið af lægstu einkunn meðal þeirra ríkja sem áður höfðu hæstu einkunn (AAA).
• Frakkland (AAA) gæti lækkað um allt að tvö þrep (AA).

Stöðugleikasjóðurinn hlutafélagið EFSF er í raun aðeins lítt dulbúin vafningur misjafn að gæðum, sem reynt er að fá hæstu einkunn á svo hann verði veðhæfur í endurhverfum viðskiptum hjá seðlabanka gegn lausafjárfyrirgreiðslu. Reynist vafningurinn svo í reynd innihalda verðlausar eignir jafngilda slík viðskipti hinsvegar peningaprentun, sem brýtur í bága við stofnsamþykktir evrópska seðlabankans.

Veruleikinn er auðvitað sá að fjármögnun sjóðsins hvílir á sömu ríkjunum og honum er ætlað að koma til bjargar þegar á reynir, sem er álíka raunhæft og að Barón Munchhausen hafi dregið sjálfan sig upp á hárinu. Talsvert er síðan S&P áttaði sig á þessu og hóf að líta svo á að lánshæfi EFSF sé beintengt undirliggjandi lánshæfi aðildarríkjanna.

Þar sem Frakkland var meðal þeirra ríkja sem höfðu hæstu einkunn en er nú komið niður í næst efsta flokk með neikvæðum horfum, er það mat núna orðið nýtt viðmið fyrir endurskoðun lánshæfismats EFSF. Í tilkynningunni voru ekki gerðir neinir fyrirvarar við þessa nálgun, heldur einfaldlega gefið sterklega í skyn að ef lánshæfi Frakklands lækki muni stöðugleikasjóðurinn, hvers heiti er jafnframt fullkomið öfugmæli, hljóta sömu örlög.

Það skyldi enginn velkjast í vafa um að tímasetning tilkynningarinnar, við lokun markaða á föstudeginum þrettánda, sé fjarri því að vera tilviljun heldur sérvalin til þess að lágmarka skelfingarviðbrögð fjárfesta. Og í sömu andrá fréttist af því að slitnað hafi upp úr nauðasamningum Grikkja við lánadrottna sína, líklega í tuttugasta skipti sem það gerist. Þegar ný vika rennur upp verður forvitnilegt að fylgjast með því hvort S&P lætur kné fylgja kviði og kveður upp dauðadóm yfir evrunni, eða fórnar leifum trúverðugleika síns til að viðhalda þessum óstöðugleika eilítið lengur.

Lánshæfismat evruríkja lækkað

Geirfinnur er líka mjög aðgengilegur

Vinsældir feluleikja virðast óþrjótandi innan stjórnsýslunnar. Til dæmis hef ég undir höndum sönnunargögn um tilvik þar sem Fjármálaeftirlitið varð uppvíst að tilraunum til yfirhylmingar með brotlegum fjármálafyrirtækjum. Það misheppnaðist reyndar svo illa að það hafði þveröfug áhrif og vakti talsvert meiri athygli en ef ekkert hefði verið að gert.

Svipað er uppi á teningnum í Seðlabankanum eins og stjórnendur bankans hafa reyndar áréttað sjálfir og viðurkennt, að opinberar tölur á vef bankans geti verið villandi og síst til þess fallnar að skýra hina raunverulegu stöðu. Þetta er líka sama stofnun og komst að því að við skulduðum útlendingum í raun helmingi meira eftir að við höfnuðum Icesave heldur en áður hafði verið haldið fram á meðan reynt var að sannfæra okkur um að þessi ríkisstyrkur fyrir gjaldþrota fyrirtæki væri bæði viðráðanlegur og skynsamlegur.

Kristján Möller þingmaður og fyrrverandi samgönguráðherra hefur nú brugðið á það frumlega stílbragð í yfirlýsingu sem hann hefur sent frá sér, að samtvinna þetta við leikinn (útúr)snú-snú. Tilefnið er skýrsla um veggjöld sem var unnin af Hagfræðistofnun, en virðist hinsvegar hvergi hafa verið birt. Skýringar þingmannsins eru stórkostlegar, eins og eftirfarandi tilvitnun sýnir:

Skýrslan var kynnt í ríkisstjórn sumarið 2010. Í frumvarpi til laga um stofnun opinbers hlutafélags um vegaframkvæmdir var þess getið að Hagfræðistofnun væri að vinna að mati á fjárhæð veggjalda til að standa undir framkvæmdakostnaði. Þegar formlegar viðræður hófust af hálfu ríkisins um fjármögnun vegaframkvæmda við lífeyrissjóði fengu ráðgjafar ríkisins skýrsluna einnig afhenta ásamt öðrum skýrslum sem gerðar höfðu verið.

Siglfirðingurinn staðfestir sem sagt að skýrslan hafi aldrei komið fyrir augu almennings og að aldrei hafi verið gerð nein tilraun til að kynna hana almenningi. Með öðrum orðum þá svarar hann því hvort skýrslan hafi verið sýnd Pétri, með því að benda á að hún hafi verið sýnd Páli inni á klósetti bak við læstar dyr, eða svo gott sem. Orðaleikurinn nær svo áður ótroðnum hæðum í lokasetningunni: Skýrslan hefur því komið að góðum notum og verið aðgengileg á vefsvæði Hagfræðistofnunar með hjálp leitarvéla.

Sé vefur Hagfræðistofnunar skoðaður á venjulegan hátt, með því að heimsækja forsíðuna og fylgja þeim hlekkjum sem vísa á efnisinnihaldið, þá kemur jú í ljós að þar er talin upp skýrsla um veggjöld í lista yfir verkefni sem unnin hafa verið fyrir aðra. Í listanum eru tenglar á sumar af þessum skýrslum en alls ekki allar og þar á meðal ekki þessa tilteknu skýrslu. Ef maður veit hinsvegar skráarnafnið og slóðina nákvæmlega upp á staf er auðvelt að niðurhala skýrsluna til aflestrar.

Slóðin er: https://ioes.hi.is/publications/cseries/2010/C10_08.pdf

Og ef það skyldi nú ekki vera nógu augljóst þá stendur titillinn á síðunni og sé honum slegið orðrétt inn í leitarvél er þetta fyrsta leitarniðurstaðan. Auðvitað er skýrslan ekkert falin, heldur erum það við kjósendurnir sem erum svona heimsk að kunna ekki skil á þessum nýjustu framförum í aðgengismálum.

Möllerinn hlýtur svo að hafa samband við umhverfisráðuneytið til að greina frá því að olían á Drekasvæðinu sé í raun mjög aðgengileg. Aðeins þurfi að bora frá hafsbotni undir hyldjúpu úthafinu gegnum nokkur hundruð metra basalthraunlög til að komast að henni. Því næst þarf svo að láta Ríkislögreglustjóra vita að líkamsleifar Geirfinns séu í raun mjög aðgengilegar. Aðeins þurfi að fara í réttu gjótuna í rétta hrauninu og þá muni hann koma í leitirnar og málið upplýsast.

Hagfræðistofnun birti ekki skýrsluna