Screen Shot 2017-10-13 at 15.29.03
>

Personvern done WRONG

Simen Sommerfeldt,  Eva Jarbekk 
13. okt. 2017

Vi trengte et CASE for å kunne holde gode kurs i GDPR, så vi boltret oss og laget en fiktiv bedrift der det er et visst potensiale for forbedringer.

Dette er selvfølgelig et veldig overdrevet tilfelle. Men kjenner du igjen noen "synder" fra hva du ser i din hverdag? Vi får ganske mange interessante svar når vi kjører oppgaver med dette caset i kursene vi holder..
elektrologo

Elektrohjørnet har utsalg i 10 byer fra Trondheim og sørover. Hovedkontor og lager er i Oslo, hvor også den største butikken er. Nettbutikken har begynt å få større og større del av salget, og har gått fra å være en ettertanke til en viktig kanal.

Hovedsortimentet er Lamper, småelektrisk og hvitevarer. Elektrohjørnet selger også sexleketøy på nett (”Det rosa elektrohjørnet”), og de har opplevd stor oppsving etter at de startet med det.

  • Elektrohjørnet sender oversikt over hvem som har kjøpt hva som til Montørekspressen, som drives av broren til styreformannen. Montørekspressen sender så mail til kundene som de tror trenger hjelp med installasjon.
  • De lager statistikk rett fra nettbutikk-basen.
  • Elektrohjørnet er medlem av virke e-handel. Stein har fått info om GDPR men det er bare støy. Nå begynner det brenne litt.
  • Elektrohjørnet kjøper profilering fra klikksamlere og kombinerer med sine cookies for å vise varer som passer.
  • Elektrohjørnet har 40 tracer cookies fra diverse aggregatorer, og får ca. 40.000 i måneden for å ha dem der.
  • Elektrohjørnet bruker ”Activity based marketing” og får plassert annonser for sine varer veldig presis når folk i ønsket kundegruppe besøker nettaviser (For eksempel vises elektrisk grill til de som bor i blokkleilighet med balkong)

Organisasjon

Direktør Ludwig Gyldenløw er ganske ny i konsernet. Han tok med seg IT-sjef Stein Heinrich fra Pappverket etter at de gikk lei der. Forværelsedamen Conny Mikalsen fungerer som brukerstøtte.

Screen Shot 2017-10-13 at 13.21.42

Andre i administrasjonen: Økonomisjef Frank Finans, Markedssjef Dag Danielsen. Han er også sjef for kundesenteret. 

Elektrohjørnet er en franchise-organisasjon, bare tre butikker eies direkte av Mikalsen-familien. De fleste butikkene har altså egne organisasjonsnummer.

Det er totalt 120 ansatte fordelt på administrasjon, de tre butikkene, logistikk og kundesenter. I butikkene er det mange deltidsansatte. I franchise-butikkene er det ca. 350 ansatte til sammen.

It-avdelingen teller tre personer, og styres med fast hånd av Stein Heinrich. Han holder seg oppdatert på de siste trendene, og drar ofte på CIO forum i regi av Computerworld. Han kan også litt om sikkerhet. Han har stadig dårlig samvittighet for dette med sikkerheten, men klarer ikke å rekke over da han stadig må hjelpe folk som sliter med Office-maler og printere, samt bistå folka ute i butikkene som må læres opp og gjetes.

Systemene

Nettbutikken

I nettbutikken blir kundene spurt om følgende opplysninger når de lager seg bruker (som de må ha for å handle):

  • Navn
  • Adresse
  • Telefon 
  • Email (brukes til innlogging)
  • Fødselsdato
  • Yrke

Nettbutikk-fronten har to typer innlogging for de ansatte: Admin og butikk. De butikkansatte og folka

clippypest

på kundesenteret deler ofte brukernavn og passord. Det finnes ingen differensiering på hvem som kan se hva. Nettbutikken spør kunden om adressen før de logger seg inn, slik at den kan vise nærmeste butikk. Dette lagres fra gang til gang vha cookies. Oppførselen lagres også. Hvis folk lager seg brukerprofil, vil denne historikken tas med over. Og det er jo hendig med ferdig utfylt adressefelt når folk lager seg bruker.

Når kundene lager seg bruker, må de også sjekke av på om de ikke vil dele salgsinfo med Montørekspressen. Denne sjekkboksen finner man ikke igjen siden. Elektrohjørnet sletter aldri kunder, men man kan avslutte profilen sin. Folk mottar likevel mail, og det er jo fint å få opp historikken din hvis du gjenåpner brukeren.

Elektrohjørnet har ikke oversikt over hva som skjer med kundeinformasjon som sendes til Montørekspressen. Montørekspressen får i tillegg til kjøps-dataene chat-log og merknader fra Elektrohjørnet, så de kan sende de tøffeste folka på installasjon til vanskelige kunder. Montørekspressen sender tilbake info om hvordan kundene oppfører seg, til slik at kundesenteret kan skjønne om dette er en grei kunde.

Stein bruker Google analytics for å forstå hvordan nettbutikken brukes.

Her ser du uttrekket fra nettbutikken som de lager rapporter fra:

netstat

De bruker profilering via Big Data for å vise folk tilbud i butikken og har differensiering av priser vha. Profilering.

Nettbutikken ble opprinnelig skrevet i Java i 2008. Det ble ikke brukt noen spesielle sikkerhetskrav eller andre ikke-funksjonelle krav da de startet. For testdata bruker de 2 måneder gamle produksjonsdata. Kopieringen foretas av en Ukrainsk konsulent med remote desktop på Windows serveren. Koden til nettbutikken er i et privat GitHub repository.

Nettbutikken er lappet på flere ganger. Først hadde den Struts2 som web front men det er erstattet av Node/React som kommuniserer med backend via REST. De har også Android og IOS klienter (som er skall rundt nettprogrammer). Innloggingen – Autentiseringen - er hjemmelaget, og bruker cookies for å huske sesjoner. Kundenummeret ligger også i en cookie, og kunden blir automatisk logget ut etter fire timer.

Om en kunde roter bort passordet sitt, er det bare å oppgi nytt over telefon til Conny etter at hun har spurt hvem som ringer. Stein kan dette med sikkerhet, og har sørget for at det ligger lagret som en ROT13-basert hash i databasen.

For å kunne lette feilsøk, logger Nettbutikken veldig mye av hva folk foretar seg hele tiden. Loggene rulleres hver tredje måned.

På nettsidene ligger det en kort personvernerklæring som forteller at Elektrohjørnet forholder seg til norsk lov, med utdrag av lovtekster.

Om noen vil ha opplysninger om hva som er lagret om dem, henviser Conny til ”min side” der du får oversikt over dine kjøp.

CRM-systemet

Kundesenteret bemannes av fem deltidsansatte, og folk legger kommentarer om kunder i fritekst i CRM-systemet, som er levert av Pelles CRM. CRM-systemet var opprinnelig skreddersøm for Elektrohjørnet, og Pelles CRM laget et produkt av det etterpå som de selger til flere kunder. Pelles CRM har norske ledere og selgere, men har skaffet seg russiske programmerere, som også tar seg av daglig drift og helpdesk. Alle kundene til alle firmaene ligger i den samme databasen hos Rackspace. CRM-systemet logger mye, men Elektrohjørnet får ikke tak i disse loggene og vet ikke hvordan praksise er med rullering.

Sosiale medier

Elektrohjørnet er aktive på facebook og har egne folk som håndterer SoMe. Det har tidvis vært mye storm på FB med folk som klager og ikke blir svart. SoMe folka oppdaterer fritekstfeltet i CRM-systemet etter å ha søkt på kundenavnet. På den måten får kundesenteret oversikt over kranglefanter.

Mailinglister

Elektrohjørnet har kundeklubben ”Elektroklubben” der alle automatisk blir innmeldt. De bruker kjøpshistorikk, prediksjon basert på eksterne data, alder, yrke, bosted for å sende kundemailer med tilbud. Det er IT-gutta som har laget epost-systemet, som er en samling av Python-programmer og shell script, og kjører på linux-boksen til Stein. Stein har ikke helt oversikt over hvordan alt virker. Det brukes en MySQL database som Stein tar daglig backup av med rsync til hjemme-serveren sin. Kildekoden ligger i det samme Github-repoet som nettbutikken.

Interne og eksterne integrasjoner

Overføring av data: Elektrohjørnet <-> Montørekspressen via ftp med filer. Dette kjøres via shell-script på en Linux-boks som Stein satte opp, og er programmert av en som har sluttet hos IT-gutta.

De sender varer via posten/bring, og vasker kundebasen mot Evrys register en gang i måneden.

De bruker Bisnode for kredittsjekk (via web services), og lagrer alltid hva de får tilbake.

Alle de periodevise jobbene er kjøres på Linux-boksen til Stein, mens de interne integrasjonene er punkt-til-punkt.

Generelt om IT Drift

IT-avdelingen styrer for det meste med nettverk, office, printere og slikt. De hjelper Ludwig med å kjøpe inn og forvalte nettbutikken, og har installert office-serveren der en bekjent har installert SQL server. De tar lokal, inkrementell backup. Opprinnelig ble nettbutikken driftet på en lokal server, men Hokksund Data overtok driften av denne etter en stund. Stein insisterte på å fortsette å ha databasen på den lokale SQL serveren. (Denne tas backup av remote fra Backup-Gutta i Fredrikstad)

Nettverket er ikke segmentert, de har en Windows 2012 R2 server som både driver fil/print, intranettet (sharepoint 2010) og SQL server for nettbutikken. Selve nettbutikken driftes fra Hokksund Data, og har hull i brannmuren for å snakke med SQL server. De har VPN mellom butikkene.

Stein har ikke helt oversikt over hvordan de forskjellige systemene spiller sammen – det har blitt til gjennom prosjekter opp i gjennom, og leverandørene har funnet ut av det etterhvert. Elektrohjørnet er da heller ikke en stor nok virksomhet til å ha råd til en virksomhetsarkitekt.

Det er ofte krøll på kommunikasjonen mellom CRM-systemet og Nettbutikken. Systemeieren til CRM-systemet er Dag Danielsen, mens Stein Heinrich er systemeier for Nettbutikken. De to er ikke alltid koordinert, og det forekommer at endringer innført i ett av systemene fører til feil i det andre. Da ringer leverandøren til sin systemeier og skylder på den andre leverandøren. Etter sinte telefoner og møter får de forhandlet frem en løsning. Et av hovedproblemene er at innloggings-systemet styres av Nettbutikken, og gir føringer for CRM-systemet.

Sikkerhet

Sikkerheten i løsningene bærer preg av leverandørenes praksis, og kompetansen til konsulentene som har vært anvendt til enhver tid. Det finnes en sikkerhetsinstruks, men fokuserer først og fremst på PC’er og filer og mail.

Stein er ganske flink med brannmurer, og kan grunnleggende nettverks-sikkerhet. Det er god kontroll med sikkerheten på PC’er og servere generelt.

Internkontroll

De har lovpålagte HMS, rutiner, og en sikkerhetsinstruks (se over). Det er ikke noen god beskrivelse av sikkerhetsopplegget for fagsystemene

Databehandleravtaler

  • CRM-systemet kjører på Rackspace i USA, men databehandleravtalen er med Pelles CRM. Det er en helt standard databehandleravtale etter mal fra Datatilsynet. Det står ikke noe spesielt om ansvar eller sikkerhet.
  • Elektrohjørnet har databehandleravtaler for nettbutikken og kassasystemet med Hokksund Data (HD). De er et standard formular fra HD basert på Datatilsynets mal. Det står ikke noe spesielt om ansvar eller sikkerhet.
  • Databehandleravtalene med SAP og VISMA er satt opp veldig bra med tanke på sikkerhet, ansvar og endringer. Leverandørene har dette som praksis, etter erfaring med mange kunder.
  • Elektrohjørnet har ingen avtale med Montørekspressen fordi de er gamle venner og kjenner hverandre godt.
  • Analyseselskapene – cookies – er det ingen avtaler med. Eprivacy har ingen i Elektrohjørnet hørt om.
  • Avtalen med Bisnode har et databehandleravtalevedlegg der Bisnode fraskriver seg alt økonomisk ansvar dersom noe galt skulle skje.
  • Avtalen med Google Analytics, er en gammel avtale basert på Safe Harbour for overføring til USA.