211service.com
Cyberkriminalitetsundersøgelser fortæller os ikke, hvad vi behøver at vide
I årevis har embedsmænd, nyhedsartikler og sikkerhedsfirmaer advaret om farerne og konsekvenserne af cyberkriminalitet. Patrick Peterson, chefsikkerhedsforsker hos Cisco, har anslået, at tabene beløb sig til 560 millioner dollars i 2009. Killian Strauss fra Organisationen for Sikkerhed og Samarbejde i Europa har anslået dem til 100 milliarder dollars årligt. Og i marts 2009 afleverede Edward Amoroso, AT&T's chefsikkerhedsofficer, et skriftligt vidnesbyrd til det amerikanske senatkomité for handel, videnskab og transport, hvori han vurderede, at cyberkriminalitet indbragte ulovlige indtægter på cirka 1 billion dollars om året.
For nogle forskere tyder disse meget forskellige tal på, at de nuværende metoder til at beregne tab af cyberkriminalitet er så dårlige, at vi faktisk ikke aner, hvor slemt problemet er. Og uden gode data, siger de, er der ingen måde at bekæmpe det intelligent på.
Hvordan kan det være? siger Cormac Herley , en hovedforsker hos Microsoft Research, og hans stemme stiger i vantro. Hvordan kan du have skøn over det samme problem på tværs af tre størrelsesordener?
Faktisk, siger Herley, da han så disse tal, følte han, at de bare ikke gav mening. Ikke alene er de over hele kortet, men nogle af dem virker også umuligt høje. For eksempel, siger han, betyder indtægter fra cyberkriminalitet på 1 billion USD 5.000 USD for hver voksen i USA, der bruger tid online.
Dårlige data har konsekvenser. Uden tal kan vi ikke træffe gode politiske eller sunde investeringsbeslutninger, siger Herley. Ikke kun det, men vi kan ikke finde ud af, hvor de vigtigste trusler kommer fra. Tjener de kriminelle de fleste af deres penge på nøglelogning? Meget målrettede phishing-angreb (spear phishing)? Brute-force angreb på folks adgangskoder? Det er irriterende, siger han.
Herley gik i gang med en undersøgelse af de metoder, der blev brugt til at beregne disse tal, og fandt dem alvorligt mangelfulde. Det meste af statistikken stammer fra undersøgelser, hvor respondenterne bliver bedt om at rapportere, om de har været ofre for en forbrydelse, og hvor meget de har mistet. Undersøgelser er svære, siger Herley. Hans forskning afslørede en række grunde til, at undersøgelser om cyberkriminalitet er særligt svære.
Forskere har ret gode metoder til at undersøge, f.eks. vælgernes hensigter. I så fald fokuserer du på at få et godt repræsentativt udsnit. Unøjagtigheder betyder noget, men nogle få på en eller anden måde vil ikke gøre den store forskel.
Cyberkriminalitet er en helt anden historie. For det første forsøger undersøgelser af cyberkriminalitet at måle et tal: hvor mange penge der gik tabt. I så fald kan individuelle svar gøre en kæmpe forskel. En stemmeundersøgelse bliver ikke kastet af meget, hvis en person, der rent faktisk har planer om at stemme demokraten, tilkendegiver en intention om at stemme republikaner. Men hvis en respondent, der har mistet 50.000 dollars på grund af cyberkriminalitet, hævder at have tabt 500.000 dollars, vil alle beregninger baseret på den information være vildt ude af skyggen.
Der er andre problemer. Enhver registreret vælger har nyttige oplysninger at rapportere. Men ikke alle har en brugbar historie at fortælle om cyberkriminalitet, hvilket betyder, at et lille antal svar kan gøre en kæmpe forskel. For eksempel, i en undersøgelse fra 2006 udført af Gartner Research, hævdede 128 ud af 4.000 mennesker at have været ofre. Herley beregner, at 59 procent af tabene kom fra den øverste 1 procent af de adspurgte, der var blevet ofre - i dette tilfælde en enkelt person. Han mener, at sådanne bekymringer gør det umuligt at stole på data, der kommer fra de fleste undersøgelser af cyberkriminalitet.
At forstå virkningen af enhver kriminalitet er problematisk, siger Julie Ryan , ledende professor i informationssikkerhedsledelse ved George Washington University. Men, siger Ryan, cyberkriminalitet giver særlige problemer, fordi de fleste mennesker ikke er godt rustet til at besvare tekniske spørgsmål om det. For eksempel er individuelle undersøgelsesrespondenter muligvis ikke sikre på, om de har været ofre for et phishing-angreb, eller om der blev taget noget fra dem som et resultat. Så her har vi et problem, siger Ryan. Potentiel kriminalitet, der er potentielt uopdagelig, sammensat af et målområde, der for det meste er uvidende.
For at forene problemet er det svært at få objektiv information, siger Ryan. Store virksomheder kan være tilbageholdende med at indrømme, at de er ofre for cyberkriminalitet, da en sådan indrømmelse kan miste deres kunder. På den anden side drager sikkerhedsfirmaer - som ofte udfører undersøgelser om cyberkriminalitet - fordel, når folk tager cyberkriminalitet alvorligt.
Herley ønsker, at virksomheder og organisationer, der udfører undersøgelser, offentliggør meget mere information, hvilket gør det nemmere for forskere at vurdere deres metoder. For eksempel kunne de offentliggøre mediantal for cyberkriminalitet, som ikke er lige så sandsynlige som gennemsnitlige eller gennemsnitlige tal for at blive forvrænget, hvis nogle få personer overdriver eller tager fejl.
Herley foreslår også, at krav om store tab bliver nøje undersøgt. Du risikerer katastrofale fejl, siger han.