Ekki spyrja um kostnað heldur ávinning

Ólafur Darri Andrason, hagfræðingur ASÍ, sagði fyrir stundu á Rás 2, að niðurfærsla verðbóta kosti Íbúðalánasjóð, bankana og lífeyrissjóðina 280 milljarða.  Þarna getur hagfræðingurinn ekki verið annað en að tala gegn betri vitund.  Í fyrsta lagi, þá eru 20% verðbætur ekki sjálfsögð uppbót á eignum þessara aðila.  Hér er um innistæðalausa hækkun að ræða og því ekki um tap að ræða.  Það er enginn peningur á bak við þessa tölu.  Þetta er "pappírsgróði" og "pappírstap".  Í öðru lagi, þá gefur hann sér að öll þessi 20% innheimtist, sem er fráleitt.  Stór hluti þessarar hækkunar mun leiða til gjaldþrota, þar sem fólk mun missa heimilin sín, og afskrifta af hálfu framangreindra aðila.  Í þriðja lagi, þá er minni kostnaður falinn í því að niðurfæra skuldir strax, en að fara í tímafrekar innheimtu- og gjaldþrotameðferðir, sem gera ekki annað en að auka á skuldir heimilanna og minnka þá upphæð, sem að lokum kemur í hlut kröfuhafa.

Ólafur Darri nefndi einnig að óþarfi væri að færa niður skuldir allra.  Hann taldi t.d. óþarfi að koma miðaldra manni eins og honum til hjálpar, enda ætti hann fyrir sínum skuldum (að mér skyldist).  Ég er nú kominn lengra inn á miðjan aldur en hann og mynd alveg þiggja leiðréttingu á óhóflegri hækkun höfuðstóla þeirra lána sem ég er með.  En það er annar vinkill á þessu máli.  Ég hef ekki heyrt ASÍ mótmæla því að öllum innistæðu eigendum var bjargað, þó það sé staðreynd að ekki þurfti að bjarga öllum.  Af hverju gilda aðrar reglur um innistæðueigendur en skuldara?  Er það kannski vegna þess að lífeyrissjóðirnir koma betur út á báðum stöðum?  Eða er það vegna þess að með því var fjármunum verkalýðsfélaganna bjargað?

Ég held samt að mikilvægasta spurningin sem þarf að svara sé hver ávinningurinn af slíkri aðgerð verður, ekki hver kostnaðurinn verður.   Og ávinningurinn er m.a. eftirfarandi:

1. Skuldir heimilanna lækka og greiðslubyrðilána minnkar
2. Fleiri eiga kost á því að halda heimilum sínum
3. Heimilin hafa meiri pening til að standa í skilum með aðrar skuldbindingar sínar
4. Meiri peningur fer í neyslu sem fer þá inn í hagkerfið
5. Veltuskattar til ríkisins dragast ekki eins mikið saman og annars hefði orðið.
6. Meiri tekjur ríkisins þýðir að ríkissjóður þarf að skera minna niður, en annars, eða á meiri möguleika á að standa undir vaxtagjöldum
7. Fyrirtækin fá meiri veltu, sem eykur líkur á því að þau lifi af.
8. Fyrirtækin hafa meiri pening til að greiða laun og önnur útgjöld með tilheyrandi ruðningsáhrifum.  M.a. munu þau eiga auðveldara með að greiða skatta til ríkisins og mótframlag launagreiðanda til lífeyrissjóðanna.
9. Færri þurfa að fara á atvinnuleysisbætur

Ég gæti haldið svona áfram, en læt þetta duga.  Það mikilvægasta í augnablikinu er að koma fjárstreymi hagkerfisins af stað.  Fjárstreymið er eins og blóðrás líkamans.  Það ber súrefni til fyrirtækja og heimilanna.  Ef allur peningur á að fara í að greiða af lánum, þá mun kreppan dýpka meira en nokkurn grunar vegna uppsöfnunaráhrifa.  Ávinningurinn af niðurfærsla skulda er því augljós.  Loks má ekki gleyma því, að Nýja Kaupþing gerir ráð fyrir því að afskrifa 67,7% af lánum gamla Kaupþings til innlendra viðskiptavina.  Reikna má með því að Nýi Glitnir og NBI geri slíkt hið sama.  Bent hefur verið á leiðir fyrir lífeyrissjóðina og ÍLS til að bæta sér hluta af sínu tjóni.

Mér finnst það vera röng nálgun hjá ASÍ að leggjast gegn þessari hugmynd sem "ekki hægt".  Hjá Hagsmunasamtökum heimilanna var strax ákveðið að gera þetta hugtak útlægt.  Í staðinn er spurt: Hvernig er best að fara að þessu?  Ég skora á ASÍ að taka upp þessa nálgun og skoða heildarmyndina.

Heartland málið er grafalvarlegt

Það er stutt á milli stóru kortasvika málanna.  Heartland málið er búið að vera mikið í umfjöllun erlendra fjölmiðla, þó það hafi ekki ratað hingað fyrr en nú.  Fyrirtækið tilkynnti um öryggisbrotið daginn áður en Obama tók við embætti og var gert grín að því, að menn ætluðu að fela það í havaríinu í kringum embættistökuna.

Brot þetta er alvarlegra en fyrri innbrot í leit að kortaupplýsingum, vegna þess að Heartland er svo kallaður "processor" eða vinnsluaðili.  Það þýðir að hann safnar saman færslum frá söluaðilum og sendir síðan áfram til færsluhirðanna, en eitt af hlutverkum færsluhirða er að veita heimildir fyrir úttektum.  (Hér á landi er VALITOR dæmi um færsluhirði, en Median dæmi um "processor".)

Beitt var svipaðri aðferð og hafði verið notuð hjá TXJ verslunarkeðjunni fyrir nokkrum árum, þ.e. komið var fyrir laumurás eða Trójuhesti í kerfinu sem síðan sendi upplýsingar um kortanúmer til svikaranna. Mjög illa gekk að finna óværuna og höfðu nokkrir hópar sérfræðinga skannað kerfi Heartland áður en óværan fannst á "ónotuðum" hluta diskastæðu fyrirtækisins.  Þetta er til marks um hversu háþróaðar þessar árásir eru orðnar.  En alvarleiki brotsins reyndist meiri, en í TXJ málinu, þar það kom í ljós að Heartland skráði hjá sér meiri upplýsingar um kort, en fyrirtækið mátti gera.  Það skráði hjá sér innihald segulrandar korta.  Þetta er algjört tabú í kortaöryggismálum og mun leiða til þess að fyrirtækið mun fá hærri sektir en nokkur dæmi eru um og þó voru sektir TXJ háar.

Fyrir nokkrum árum ákváðu samtök greiðslukortafyrirtækja (Payment Card Industry eða PCI) að gefa út gagnaöryggisstaðal (Data Security Standard eða DSS).  Er hann þekktur undir skammstöfuninni PCI DSS. Heartland uppfyllti að eigin sögn kröfur staðalsins og hafði hlotið vottun um það.  En PCI DSS bannar fortakalaust að upplýsingar af segulröndum séu vistaðar.  Fyrirtækið hefur því silgt undir fölsku flaggi hvað þetta varðar.  Að hér sé um að ræða einn stærsta processor í heimi og hann hafi kosið að brjóta PCI DSS reglurnar á jafn ófyrirleitan hátt, er alveg út í hött.  Það sem er síðan ennþá fáránlegra, er að fyrirtækið stærir sig af því að vera fullkomlega öruggt!  Menn kunna ekki að skammast sín.  (Minnir þetta mig óneitanlega á íslenska fjármála- og stjórnmálamenn, sem gerðu ekkert rangt, en settu samt allt á hliðina.)

PCI DSS nær líka til Íslands

PCI DSS nær einnig til Íslands.  Fyrirtæki sem taka við kortum þurfa að uppfylla staðalinn, þó gerðar séu mismunandi kröfur eftir stærð fyrirtækja. Hvort það eru þessar reglur eða einhverjar aðrar, þá verða menn að hafa í huga að ástæður fyrir innleiðingu öryggisráðstafana eiga fyrst og fremst að koma frá rekstrinum sjálfum.  Öll fyrirtæki eiga sér viðskiptaleg og rekstrarleg markmið.  Til þess að ná þessum markmiðum, þá þarf ýmislegt að ganga upp og sneiða þarf hjá ýmsum hindrunum.  Í viðskiptalegu og rekstrarlegu umhverfi eru ýmsar ógnir sem getað valdið tjóni og dregið úr líkum á að markmiðin náist.  Við þurfum ekki annað en að horfa á íslenskt þjóðfélag í dag.  Hér á landi er í gangi hamfarastormur sem að talsverðu leiti er hægt að rekja til fyrirhyggjuleysis og þess að mönnum sást ekki fyrir í ákafa sínum.

Stjórnendur fyrirtækja kvarta oft hástöfum yfir eftirlitsaðilum þjóðfélagsins.  Hvort það er Persónuvernd, Heilbrigðiseftirlit, Vinnueftirlit, Fjármálaeftirlit, Samkeppnisstofnun eða Póst- og fjarskiptastofnun, mönnum vex í augum kostnaðurinn sem af öllu þessu eftirliti hlýst.  Ja, mig langar að benda mönnum á, að þessu eftirliti hefur ekki verið komið á að ástæðulausu.  Ástæðan var eftirlitsleysi stjórnenda með starfsemi fyrirtækja sinna.  Ástæðan er að menn voru ekki að innleiða sjálfsagðar ráðstafanir til að tryggja hollustu í matvælaframleiðslu, vernd persónuupplýsinga eða fjárhagsupplýsinga.  Eftirlitsiðnaðurinn er orðinn það sem hann er orðinn vegna vanrækslu allt of margra í að passa sjálfan sig.  Ég tek á mig hluta af ábyrgðinni.  Ég hef ekki verið nógu duglegur að selja mönnum þjónustu mína.  Mér hefur allt of oft mistekist að sannfæra stjórnendur fyrirtækja að þeir eigi að taka áhættustjórnun og stjórnun rekstrarsamfellu nógu alvarlega til að vilja framkvæma áhættumat og áhrifagreiningu, til að innleiða ráðstafanir, til að viðhalda ráðstöfunum í takt við breytingar á rekstrarumhverfi og til að stunda innra eftirlit.

Mér finnst það ótrúlegt að mörg íslensk fyrirtæki hafa ennþá ekki séð ástæðu til að innleiða ráðstafanir vegna PCI DSS, þrátt fyrir að kortafyrirtækin og Fjölgreiðslumiðlun hafi ítrekað gengið á eftir þeim og varað þau við.  Önnur fyrirtæki hafa innleitt eitthvað sem þau telja fullnægjandi, en átta sig svo ekki á því að þau skyldu bakdyrnar eftir opnar.  Að tugur eða hundruð þúsund kortanúmera hafi verið eða séu berskjölduð í upplýsingakerfum fyrirtækja er gjörsamlega óásættanlegt, en það er samt hinn íslenski raunveruleiki.  Það sem mér þykir samt verst í þessu, er að stjórnendur fyrirtækja álíta að þessi mál séu viðfangsefni upplýsingatæknimanna, þegar þetta er í raun og veru viðfangsefni rekstrarins.  Það getur verið að upplýsingatæknifólk þurfi að aðstoða við innleiðingu úrræða, en viðfangsefnið er rekstrarins og þar liggur ábyrgðin líka.  (Tekið skal fram að þessi sofandi háttur gagnvart öryggismálum nær til mun fleiri þátta og t.d. held ég að fjöldi fyrirtæki átti sig ekki á því að þau þurfa að innleiða öryggiskerfi persónuupplýsinga og hafa því ekki gert það.)

Nánari upplýsingar um PCI DSS er hægt að nálgast hér.

Því má svo bæta við, að kreditkortanúmer ganga kaupum og sölu á netinu.  Algengt verð er á bilinu 5 - 50 USD, en segulrandarupplýsingar seljast 500 - 2500 USD.  Kaupi menn kippu, þá býðst afsláttur.  Nýjum seljendum er almennt tekið með mikilli varúð og er því haldið fram að um einokunarmarkað sé að ræða.  Þróun undanfarinna ára, er að þrjótarnir beita hnitmiðuðum vírusaárásum á tiltekinn aðila, þar til að þeir finna leið inn í kerfið.  Gögnum er þá gjarnan hlaðið niður.  Næst er haft samband við aðilann, sem varð fyrir árásinni og honum boðið að kaupa hinar stolnu upplýsingar.  Verði hann við því, er greiðslan innt af hendi og gögnunum eytt.  Vilji hann ekki eiga viðskipti, eru kortanúmerin sett í sölu.  Flestir þrjótarnir eru  þekktir af yfirvöldum á vesturlöndum, en þeir búa á móti í fyrrum lýðveldum Sovétríkjanna.  Einnig er nokkur hópur þeirra Bandaríkjamenn.  Þeir halda reglulega ráðstefnur, þar sem þeir skiptast á upplýsingum um aðferðir og árangur.  Talið er að sá hópur sem er virkastur í þessum svikum telji eingöngu milli 20 - 30 manns.  (Upplýsingarnar eru fengnar frá fyrirlesurum á ráðstefnunni CISO Executive Summit 2008 sem haldin var í Búdapest í Ungverjalandi sl. sumar.)

2.000 íslensk Visakort í athugun

Litlir strákar eiga að leika sér úti

Ég tek heilshugar undir með Ragnheiði.  Það má segja að glöggt sé gests auga.

Annars á ég færslu frá því í mars 2007 um svipaða óvirðingu þingmanna við starf sitt:  Og allt of oft bara til að tala  Þá lagði ég til að við verðlaunuðum eða refsuðum þingmönnum með atkvæðum okkar.  Nú gefst okkur annað tækifæri.  Út með þá þingmenn sem geta ekki tekið starf sitt alvarlega.  Þessi kjánagangur og óskilvirkni í störfum Alþingis hefur oftar en ekki hrakið góða þingmenn á braut.  Nýjasta dæmið er Guðfinna Bjarnadóttir, en hún er greinilega búin að fá nóg af sandkassaleik "litlu strákanna" á þingi.

Annars er ótrúlegt að hlusta suma þingmenn Sjálfstæðiflokksins.  Ef maður væri alveg ókunnugur landsmálum og vissi ekkert um það sem er á undan gengið, þá gæti maður haldið að þeir væru búnir að vera í stjórnarandstöðu í 10 ár eða svo.  Þeir koma í röðum "litlu strákarnir" og kvarta undan því að ný ríkisstjórn hafi ekki gert þetta og ekki hitt, en hitta sig heima í hvert sinn.  Er ekki allt í lagi með menn.  Ármann Kr., Sigurður Kári, Birgir Ármanns og fleiri láta, eins og landstjórnin hafi gjörsamlega verið Sjálfstæðisflokknum óviðkomandi undanfarin ár. Þessi upphlaup þeirra eru aumkunarverð í besta falli, en í versta falli hreinn og klár skæruhernaður.  Ég skil Guðfinnu svo vel að vilja segja skilið við þennan skríl.

Í mínum huga þá geta Frjálslyndir einir litið á sig sem stjórnarandstæðinga.  Hinir annað hvort styðja núverandi stjórn og/eða sitja á kafi í skítnum frá eigin verkum eða verkleysi.

Látið karpið bíða til kosningabaráttunnar