Parasitic Order Machine. A Sociology and Ontology of Information Securing

Abstract

This study examines information security as a process (information securing) in terms of what it does, especially beyond its obvious role of protector. It investigates concepts related to ‘ontology of becoming’, and examines what it is that information securing produces. The research is theory driven and draws upon three fields: sociology (especially actor-network theory), philosophy (especially Gilles Deleuze and Félix Guattari’s concept of ‘machine’, ‘territory’ and ‘becoming’, and Michel Serres’s concept of ‘parasite’), and information systems science (the subject of information security). Social engineering (used here in the sense of breaking into systems through non-technical means) and software cracker groups (groups which remove copy protection systems from software) are analysed as examples of breaches of information security. Firstly, the study finds that information securing is always interruptive: every entity (regardless of whether or not it is malicious) that becomes connected to information security is interrupted. Furthermore, every entity changes, becomes different, as it makes a connection with information security (ontology of becoming). Moreover, information security organizes entities into different territories. However, the territories – the insides and outsides of information systems – are ontologically similar; the only difference is in the order of the territories, not in the ontological status of entities that inhabit the territories. In other words, malicious software is ontologically similar to benign software; they both are users in terms of a system. The difference is based on the order of the system and users: who uses the system and what the system is used for. Secondly, the research shows that information security is always external (in the terms of this study it is a ‘parasite’) to the information system that it protects. Information securing creates and maintains order while simultaneously disrupting the existing order of the system that it protects. For example, in terms of software itself, the implementation of a copy protection system is an entirely external addition. In fact, this parasitic addition makes software different. Thus, information security disrupts that which it is supposed to defend from disruption. Finally, it is asserted that, in its interruption, information security is a connector that creates passages; it connects users to systems while also creating its own threats. For example, copy protection systems invite crackers and information security policies entice social engineers to use and exploit information security techniques in a novel manner.

Parasiittinen järjestyskone – tietoturvaamisen sosiologia ja ontologia

Tämä tutkimus tarkastelee tietoturvaa prosessina eli tietoturvaamisena. Se keskittyy erityisesti kysymykseen siitä, mitä muuta tietoturva tekee kuin suojaa. Tutkimus ponnistaa ”tulemisen ontologiasta” ja sen käsitteistä ja ruotii, mitä tietoturva toimiessaan tuottaa. Tutkimus ammentaa kolmesta eri tieteen haarasta: sosiologiasta (erityisesti toimijaverkostoteoriasta), filosofiasta (erityisesti Gilles Deleuzen ja Félix Guattarin koneen, territorion ja tulemisen käsitteistä sekä Michel Serresin parasiitin käsitteestä) ja tietojärjestelmätieteestä, josta väitöstutkimuksen kohde juontaa juurensa. Sosiaalista hakkerointia ja ohjelmistomurtajia – kräkkereitä – analysoidaan tietoturvan murtumisen esimerkkeinä. Yhtenä olennaisimmista tutkimustuloksista on, että tietoturva on itsessään aina keskeyttävää ja häiritsevää: tietoturva analysoi ja näin keskeyttää jokaisen sen kanssa kosketuksiin tulevan entiteetin siitä huolimatta, oli kyseinen entiteetti sitten haitallinen tai ei. Tämän väliintulon seurauksena entiteetistä tulee aina erilainen (tulemisen ontologia). Tietoturvaaminen pyrkii järjestämään suojeltavat ja suojelevat entiteetit erilaisiksi hallittaviksi alueiksi, territorioiksi. Tietojärjestelmien alueet (esimerkiksi järjestelmän järjestetty sisäpuoli ja järjestämätön ulkopuoli) ovat kuitenkin ontologisesti samantasoisia. Ainoa ero territorioiden välille syntyy siitä, miten ne ovat järjestettyjä. Toisin sanoen haittaohjelmat ovat samanlaisia kuin hyötyohjelmatkin – molemmat käyttävät järjestelmää. Ainoa ero muodostuu niiden suhteesta järjestykseen. Kyse on siis siitä, kuka käyttää järjestelmää ja mihin tarkoitukseen. Toiseksi tutkimus osoittaa, että tietoturva on aina ulkopuolinen lisä suhteessa suojattavaan järjestelmään (näin tietoturvaa voidaan serresläisittäin kutsua parasiitiksi). Kun tietoturvaaminen luo suojaa järjestämisen kautta ja kun se yrittää ylläpitää järjestystä, se tulee luoneeksi suojeltavalle järjestelmälle uuden järjestyksen, joka rikkoo aiemmin olemassa olleen järjestyksen. Esimerkiksi kopiosuojaus on suojattavalle ohjelmistolle täysin ulkoinen tekijä. Kun kopiosuojaus lisätään järjestelmään, siitä tulee erilainen. Näin tietoturva, jonka pitäisi olla häiriöiden poistaja, häiritseekin itse suojattiaan. Tutkimus väittää, että tiedon turvaaminen keskeyttämisineenkin luo yhteyksiä. Esimerkiksi tietoturva yhdistää käyttäjät järjestelmiinsä, mutta se luo samoin myös omat uhkansa. Esimerkiksi kopiosuojaus kutsuu luoksensa kräkkereitä ja tietoturvapolitiikat houkuttelevat sosiaalisia hakkereita. Molemmat, kräkkerit ja hakkerit, keksivät tietoturvalle uuden käyttötavan.