{"id":3317,"date":"2021-06-08T09:12:55","date_gmt":"2021-06-08T07:12:55","guid":{"rendered":"https:\/\/utsyn.komhit.com\/?p=3317"},"modified":"2026-11-02T16:39:10","modified_gmt":"2026-11-02T16:39:10","slug":"strategisk-cybersikkerhet-seks-forslag-for-mer-robust-digital-sikkerhet","status":"publish","type":"post","link":"https:\/\/utsyn2.komhit.com\/index.php\/2021\/06\/08\/strategisk-cybersikkerhet-seks-forslag-for-mer-robust-digital-sikkerhet\/","title":{"rendered":"Strategisk cybersikkerhet"},"content":{"rendered":"

Nytt fagnotat om trusselscenarioer og hvorfor vi opplever \u00f8kende utfordringer i det digitale domenet, sammen med seks forslag til sentrale virkemidler for \u00e5 sikre det digitale samfunnet bedre.<\/strong><\/p>\n

Av: Simen Bakke<\/em><\/p>\n

\n

Hele fagnotatet kan ogs\u00e5 leses og lastes ned som pdf her: Strategisk cybersikkerhet<\/a><\/em><\/p>\n

Et kortere innlegg basert p\u00e5 fagnotatet kan leses p\u00e5 digi.no<\/a>.<\/em><\/p>\n

Basert p\u00e5 fagnotatet, f\u00e5 tips fra Bakke i dette foredraget<\/a> om hvordan jobbe strategisk med cybersikkerhet.<\/em><\/p>\n

\n

Innledning<\/h3>\n

Vi lever i en tid med \u00f8kt sikkerhetspolitisk spenning hvor den digitale teknologien har gjort det enklere \u00e5 beg\u00e5 kriminalitet og andre samfunnsskadelige handlinger. Den digitale teknologien har ogs\u00e5 gjort det enklere for kompetente trusselakt\u00f8rer \u00e5 ta i bruk s\u00e5kalte hybride virkemidler, slik at samfunnet kan p\u00e5virkes og destabiliseres. Digital spionasje, sabotasje, omfattende bruk av skadevare som for eksempel l\u00f8sepengevirus, samt desinformasjons- og p\u00e5virkningskampanjer, kan alle v\u00e6re virkemidler for \u00e5 skape konflikt, uro og usikkerhet \u2013 b\u00e5de i sivilsamfunnet og staten, og dens underliggende virksomheter.<\/p>\n

For \u00e5 st\u00e5 imot slike koordinerte operasjoner, kreves det et bredt spekter av virkemidler i b\u00e5de stat og sivilsamfunn. Et relevant sp\u00f8rsm\u00e5l \u00e5 stille i den forbindelse, er om vi i dag har etablert et bredt nok spekter av virkemidler. Og om vi evner \u00e5 koordinere oss godt nok \u2013 b\u00e5de mellom statens mange akt\u00f8rer og ved inkludering av det \u00f8vrige sivilsamfunnet \u2013 til at vi vil klare \u00e5 motst\u00e5 fors\u00f8k p\u00e5 destabilisering utenfra. Det er mye som tyder p\u00e5 at vi har et forbedringspotensiale knyttet til de nevnte temaene, ogs\u00e5 her i Norge.<\/p>\n

Vi har flyttet mange av de viktigste verdiene v\u00e5re, enten det er \u00f8konomi, informasjon, kommunikasjon eller samhandling, over til de digitale plattformene. Sikkerheten har imidlertid ikke fulgt tilsvarende etter, gitt trussel- og s\u00e5rbarhetsbildet i det digitale domenet. Det digitale domenet skiller seg fundamentalt fra det analoge. Dersom vi skal evne \u00e5 ivareta samfunnslimet ogs\u00e5 i det digitale domenet, er vi n\u00f8dt til \u00e5 tenke nytt og annerledes om digital sikkerhet og sikring. Vi har flyttet v\u00e5rt demokratiske samfunn over til digitale plattformer, og n\u00e5 m\u00e5 vi sikre at ogs\u00e5 tilliten ivaretas.<\/p>\n

Dette fagnotatet er delt i tre. I f\u00f8rste del av fagnotatet vil det redegj\u00f8res kort for noen hovedtrekk som skiller<\/em> det digitale cyberdomenet fra den analoge, fysiske verden og hvordan dette p\u00e5virker sikkerheten v\u00e5r. Andre del handler om sentrale utviklingstrekk og trusselscenarioer som belyser hvorfor<\/em> vi i dag opplever \u00f8kende utfordringer knyttet til sikkerhet<\/em> og sikring<\/em> i det digitale domenet. Deretter vil det i del tre diskuteres noen sentrale virkemidler<\/em> for \u00e5 sikre det digitale samfunnet bedre, og hvordan vi kan organisere<\/em> oss for \u00e5 skape en mer robust digital sikkerhet. Fagnotatet er derfor inndelt i f\u00f8lgende temaer:<\/p>\n

    \n
  1. Det digitale samfunnet<\/li>\n
  2. Det digitale trusselbildet<\/li>\n
  3. Virkemidler for bedre sikkerhet<\/li>\n<\/ol>\n

    1. Det digitale samfunnet<\/h3>\n

    For det f\u00f8rste<\/strong> forholder ikke komplekse datanettverk og internettet seg til tid<\/em> og rom<\/em> p\u00e5 samme m\u00e5te som vi mennesker gj\u00f8r i det analoge samfunnet og i den fysiske verden. Det tar millisekunder \u00e5 sende informasjon p\u00e5 tvers av kontinenter i den digitale virkeligheten. Dette til tross for at dataene, som i sin enkleste og reneste form kun best\u00e5r av kodene \u201c0\u201d og \u201c1\u201d (\u201cav\u201d eller \u201cp\u00e5\u201d), transporteres over fysiske kabelforbindelser p\u00e5 tvers av kontinenter. I praksis betyr dette at informasjon kan n\u00e5 tiln\u00e6rmet hvem som helst<\/em>, hvor som helst<\/em>, n\u00e5r som helst<\/em>, uten store begrensninger s\u00e5 lenge man er tilkoblet internett.<\/p>\n

    For det andre<\/strong> kan nettverksoperasjoner skalere<\/em> p\u00e5 en helt annen m\u00e5te i det digitale domenet, sammenliknet i den fysiske virkeligheten. Det er med andre ord ikke et 1-til-1 forhold mellom antallet mennesker og antallet operasjoner som det samme mennesket kan utf\u00f8re innen et bestemt tidsrom ved hjelp av datamaskiner. \u00c9n datamaskin kan utf\u00f8re enormt mange operasjoner p\u00e5 sv\u00e6rt kort tid. Datamaskiner kan kobles i nettverk med mange flere maskiner, og dermed kan de styres fra \u00e9n sentral infrastruktur som gj\u00f8r at ett enkelt menneske kan utf\u00f8re sv\u00e6rt mange operasjoner, samtidig<\/em>. I praksis betyr dette at \u00e9n enkelt kriminell akt\u00f8r kan sende ut skadevare som l\u00e5ser ned enormt mange datamaskiner, verden over. Eller at \u00e9n statlig trusselakt\u00f8r sprer usann og falsk informasjon som n\u00e5r ut til sv\u00e6rt mange personer, p\u00e5 tvers av geografiske grenser, som del av sine p\u00e5virkningsoperasjoner.<\/p>\n

    For det tredje<\/strong> er det utfordrende \u00e5 verifisere hvem<\/em> som befinner seg p\u00e5 den andre siden av dataskjermen. V\u00e5r bruk av digitale teknologier har i lang tid bygget p\u00e5 antakelsen om at man kan stole p\u00e5 hvem som benytter seg av en datamaskin. Dette viser seg \u00e5 v\u00e6re en feilsl\u00e5tt antakelse, som i dag skaper utfordringer for v\u00e5rt digitale samfunn. Antakelsen om at du kan stole p\u00e5 at personen er den han utgir seg for \u00e5 v\u00e6re, bygger p\u00e5 tillit. I den fysiske verden har vi mennesker stort sett tillit til hverandre og vi stoler p\u00e5 at vedkommende er den han faktisk utgir seg for \u00e5 v\u00e6re. Dette er en antakelse som blir vesentlig utfordret n\u00e5r man ikke lengre ser personen p\u00e5 den andre siden av skjermen. Derfor trenger vi autentiseringsmekanismer som verifiserer identitet. Disse mekanismene, enten det er brukernavn, passord, kodebrikker eller ID-kort med elektronisk chip, kan likevel v\u00e6re relativt enkle \u00e5 utnytte. Fordelen i det digitale domenet er at de fleste elektroniske spor kan<\/em> lagres. Utfordringen de fleste m\u00f8ter i dag er imidlertid evnen til \u00e5 analysere sporene ettersom datamengdene blir enorme.<\/p>\n

    For det fjerde<\/strong> er det utfordrende \u00e5 regulere<\/em> alle sider av de digitale teknologiene med en nasjonal tiln\u00e6rming ettersom teknologiene i mindre grad forholder seg til nasjonalstatlige grenser. Det vil for eksempel v\u00e6re vanskelig, for ikke \u00e5 si umulig, for Stortinget \u00e5 regulere Facebook, Amazon, Twitter, Youtube eller Google. Det m\u00e5 derfor tilstrebes internasjonale samarbeid for regulering av store internasjonale teknologifirmaer og plattformselskaper. For eksempel gjennom FN, EU, WTO og liknende organisasjoner. Det eksisterer imidlertid en rekke omr\u00e5der som likevel kan reguleres nasjonalt, herunder sikring og beskyttelse av IKT-systemer. Ett eksempel p\u00e5 dette er sikkerhetsloven som har til hensikt \u00e5 beskytte informasjonssystemer som er sentrale for ivaretakelsen av nasjonale sikkerhetsinteresser. Sikkerhetsloven regulerer imidlertid kun de virksomhetene som er underlagt loven, slik at det er sv\u00e6rt mye informasjon som er verdt \u00e5 sikre som ikke n\u00f8dvendigvis er underlagt bestemmelsene i sikkerhetsloven. Personopplysningsloven er et annet eksempel med utgangspunkt i EUs GDPR, men denne loven har til hensikt \u00e5 ivareta enkeltindividets personvern, ikke det digitale samfunnet og sikkerheten til v\u00e5re tjenester, i stort.<\/p>\n

    For det femte<\/strong> er leverand\u00f8rkjederisiko<\/em> en problemstilling som er sv\u00e6rt krevende i det digitale samfunnet. Internettet og de mange nettverkene det best\u00e5r av, er tett sammenvevd og integrerte. Det eksisterer b\u00e5de fysiske og logiske skiller og separasjoner, men kompleksiteten i nettverkene er formidable. Dette f\u00f8rer til at det er sv\u00e6rt vanskelig \u00e5 holde oversikt over den risiko som genereres hos leverand\u00f8rer og underleverand\u00f8rer, og som p\u00e5virker den enkelte virksomhet, tjeneste eller et helt samfunnsomr\u00e5de.<\/p>\n

    Problemstillingen med leverand\u00f8rkjederisiko kan man gjenkjenne ogs\u00e5 fra det analoge samfunnet, noe som har blitt aktualisert med den s\u00e5kalte Bergen Engines-saken. Norske myndigheter var ikke klar over at akt\u00f8rer med tilknytning til Russland, \u00f8nsket \u00e5 kj\u00f8pe Rolls-Royce-bedriften som leverer b\u00e5tmotorer til Etterretningstjenestens \u201cspionskip\u201d Marjata og det norske Sj\u00f8forsvaret. I det digitale samfunnet har bruken av det kinesiske selskapet Huawei som leverand\u00f8r til vestlige telekom-nett, herunder utbygging av 5G-infrastruktur, skapt stor sikkerhetspolitisk debatt. \u00c5rsaken til dette er at det vil v\u00e6re tiln\u00e6rmet umulig for vestlige samfunn og Norge, \u00e5 helgardere seg mot at Huawei og kinesiske myndigheter legger bakd\u00f8rer inn i telekom-infrastrukturen, som igjen gir mulighet for spionasje eller sabotasje.<\/p>\n

    2. Det digitale trusselbildet<\/h3>\n

    Utfordringene som er skissert ovenfor finner man ogs\u00e5 igjen i trusselscenarioene som er beskrevet i denne delen av fagnotatet. Det digitale trusselbildet best\u00e5r i dag av mange ulike trusselakt\u00f8rer og trusselscenarioer. Fire former for trusselscenarioer fremst\u00e5r likevel som spesielt skadelige, er derfor verdt \u00e5 trekke frem. Digital spionasje (nettverksoperasjoner), leverand\u00f8rkjedeangrep, l\u00f8sepengevirus (ransomware), og digitale p\u00e5virkningsoperasjoner.<\/p>\n

    Trusselscenario 1: Digital spionasje<\/h4>\n

    Datainnbruddene mot Stortinget august 2020 og mars 2021, indikerer at fremmede stater er interessert i informasjon knyttet til v\u00e5re politiske og folkevalgte organer. Dette har PST og Etterretningstjenesten advart mot i sine trusselvurderinger i lengre tid, og b\u00f8r dermed ikke komme som en overraskelse p\u00e5 det norske samfunnet. Det som imidlertid ser ut til \u00e5 ha overrasket mange, er at e-post, som de fleste av oss anser som et trygt sted \u00e5 lagre informasjon, ikke er \u00e5 anse som like sikkert som en safe med kodel\u00e5s. Alle IKT-systemer innehar s\u00e5rbarheter. Noen av s\u00e5rbarhetene er relativt enkle \u00e5 unytte, mens andre ikke engang er kjent for produsenten. Slik som tilfellet var med Microsoft Exchange-s\u00e5rbarhetene som ble utnyttet ved datainnbruddet mot Stortinget i mars 2021<\/a>. Dette var s\u00e5kalte nulldagss\u00e5rbarheter, som Microsoft ikke var kjent med f\u00f8r de ble utnyttet av trusselakt\u00f8rer.<\/p>\n

    Selv om s\u00e5rbarhetene ikke er kjent for leverand\u00f8ren, betyr ikke dette at det er umulig \u00e5 sikre seg mot slike trusselscenarioer. Stortingets direkt\u00f8r Marianne Andreassen uttalte etter det nevnte datainnbruddet<\/a> at Stortinget ikke kunne avverget angrepet, ettersom det var nulldagss\u00e5rbarheter som ble utnyttet. Dette er imidlertid en p\u00e5stand med modifikasjoner. Hvorvidt man klarer \u00e5 forhindre, avdekke og avverge et fors\u00f8k p\u00e5 angrep eller innbrudd, avhenger av tiltakene<\/em> som er implementert. Et godt sikret system med en helhetlig sikkerhetsarkitektur som bidrar til \u00e5 beskytte data, forhindre urettmessig tilgang, og detektere trusselaktivitet, kan ogs\u00e5 bidra til \u00e5 forhindre slike scenarioer som det Stortinget ble utsatt for. Det handler om \u00e5 begrense en trusselakt\u00f8rs mulighet til \u00e5 foreta handlinger, mest mulig.<\/p>\n

    N\u00e5r det gjelder datainnbruddet mot Stortinget h\u00f8sten 2020, viser PST i sin etterforskning at innbruddet trolig kunne v\u00e6rt forhindret, eller i det minste vanskeliggjort, ved bruk av helt grunnleggende sikkerhetstiltak: Sterkere passord, tydeligere skille mellom jobb og privat e-post, og bruk av to-faktor-autentisering p\u00e5 alle internett-eksponerte tjenester. PST skrev videre at<\/a> \u201cdet er sannsynlig at operasjonen er utf\u00f8rt av cyberakt\u00f8ren som i \u00e5pne kilder omtales som APT28 og Fancy Bear. Denne akt\u00f8ren knyttes til Russlands milit\u00e6re etterretningstjeneste GRU\u201d. Datainnbruddene mot Stortinget er derfor to ytterst relevante eksempler p\u00e5 at helt sentrale norske virksomheter, som er viktige symbolm\u00e5l i Norge, kan mangle grunnleggende sikkerhetstiltak. Dette til tross for Stortingets demokratiske viktighet.<\/p>\n

    Ved begge hendelsene ble det avdekket at e-post fra stortingsrepresentanter var p\u00e5 avveie. Det ble etter offentliggj\u00f8ring av hendelsen uttalt at det ikke var snakk om sikkerhetsgradert informasjon, beskyttet med hjemmel i sikkerhetsloven. E-poster som sendes til og fra stortingsrepresentanter kan likevel inneholde informasjon som er sensitiv. Benyttet p\u00e5 riktig m\u00e5te av en kompetent trusselakt\u00f8r, kan informasjonen likevel medf\u00f8re stor skade. Politisk betent informasjon brukt i en strategisk desinformasjons- og p\u00e5virkningskampanje styrt av en fremmed stat, kan ha et skadepotensiale ved offentliggj\u00f8ring som er st\u00f8rre enn spredning av sikkerhetsgradert informasjon. Er informasjonen kontroversiell nok og spres i de riktige kanalene til mange nok mennesker, kan det bidra til \u00e5 skape splittelse i befolkningen eller det kan p\u00e5virke beslutninger i konkrete saker. Nettopp derfor er tilstrekkelig sikring av Stortinget og andre sentrale virksomheters IKT-systemer, avgj\u00f8rende for \u00e5 ivareta statens suverenitet.<\/p>\n

    Med utgangspunkt i de to hendelsene fra Stortinget er det grunn til \u00e5 stille sp\u00f8rsm\u00e5l om mangelen p\u00e5 sikringstiltak var innenfor det Stortinget aksepterer av risiko. Dette er lite sannsynlig, gitt at Stortinget er Norges fremste folkevalgte politiske institusjon. Vi kan aldri fjerne all risiko, men den kan reduseres til et akseptabelt niv\u00e5. Evnen til \u00e5 ta stilling til akseptabel risiko, noe virksomheter underlagt sikkerhetsloven er forpliktet til \u00e5 gj\u00f8re, forutsetter at de er i stand til \u00e5 beskrive, vurdere og h\u00e5ndtere risiko. Uten \u00e5 kritisere sikkerhetsarbeidet p\u00e5 Stortinget p\u00e5 noe som helst m\u00e5te, er det grunn til \u00e5 reflektere over hvorvidt de faktisk har v\u00e6rt i stand til \u00e5 bedrive risikostyring. Etter mitt syn viser dette noe av utfordringen med at hver enkelt virksomhet selv st\u00e5r ansvarlig for egen sikkerhet og sikring. Vi er n\u00f8dt til \u00e5 diskutere om dette er den mest hensiktsmessige m\u00e5ten \u00e5 skape et robust digitalt samfunn p\u00e5 (noe som vil belyses med forbedringsforslag i siste del av fagnotatet).<\/p>\n

    Trusselscenario 2: Leverand\u00f8rkjedeangrep<\/h4>\n

    Leverand\u00f8rkjedeangrepet mot Solarwinds var en \u201cgame-changer\u201d innen cyberangrep- og sikkerhet. Dette scenarioet er ogs\u00e5 tett knyttet opp mot temaet digital spionasje. Det som i ettertid ser ut til \u00e5 v\u00e6re akt\u00f8rer som arbeider p\u00e5 vegne av russiske myndigheter, plantet en s\u00e5rbarhet i programvareoppdateringene til Orion-plattformen som leveres av Solarwinds. All programvare oppdateres jevnlig for at blant annet sikkerhetshull og andre s\u00e5rbarheter skal fjernes. Det at trusselakt\u00f8rer planter bakd\u00f8rer og skadelig kode inn i helt legitime og n\u00f8dvendige oppdateringer, er skadelig for tilliten til oppdateringsregimet. Vi er alle avhengige av \u00e5 oppdatere program- og maskinvare, for \u00e5 tette sikkerhetshull.<\/p>\n

    Sv\u00e6rt mange virksomheter benyttet Solarwinds Orion-programvare. S\u00e5 mange som 18 000 av de 33 000 selskapene som benyttet programvaren, installerte ogs\u00e5 oppdateringen med s\u00e5rbarhetene<\/a> som gav trusselakt\u00f8ren bakd\u00f8rer for tilgang til deres IKT-systemer. Bare i USA ble det p\u00e5 et tidlig tidspunkt rapportert at over 250 private og offentlige virksomheter var blitt rammet<\/a> ved at s\u00e5rbarheten var utnyttet, herunder helt sentrale myndighetsorganer som Department of Defence og Department of Homeland Security. Det interessante \u00e5 merke seg, er at ikke engang amerikanske sikkerhetsmyndigheter som CISA, den amerikanske utgaven av NSM, var i stand til \u00e5 avdekke trusselakt\u00f8rene. F\u00f8rst n\u00e5r trusselakt\u00f8rene utf\u00f8rte datainnbrudd hos det private sikkerhetsselskapet FireEye ble utnyttelse av s\u00e5rbarheten avdekket. Dette var n\u00e5r trusselakt\u00f8ren stjal de avanserte \u201chacker\u201d-verkt\u00f8yene til FireEye. Senere var ogs\u00e5 Microsoft i stand til \u00e5 detektere og avdekke nettverksoperasjonene da trusselakt\u00f8rene beveget seg fra bedriftenes datasentre over til Microsoft sine skytjenester.<\/p>\n

    Sentrale norske institusjoner benyttet ogs\u00e5 Solarwinds programvare, og var ber\u00f8rt av s\u00e5rbarheten. Oljefondet, SAS og et tosifret antall kraftselskaper<\/a> rapporterte at de benyttet programvaren og installerte oppdateringene. Hvorvidt en trusselakt\u00f8r faktisk utnyttet disse s\u00e5rbarhetene hos norske offentlige virksomheter, er ikke offentlig kjent. Problemstillingen som illustreres er imidlertid at ogs\u00e5 norske virksomheter blir ber\u00f8rt av internasjonale forhold, leverand\u00f8rkjederisiko og den sikkerhetspolitiske spenningen som preger verden for \u00f8vrig. Denne gangen var det Solarwinds programvare som var offer for avanserte trusselakt\u00f8rer, og sp\u00f8rsm\u00e5let alle stiller seg er; hvem blir den neste?<\/p>\n

    Leverand\u00f8rkjederisiko er en enorm utfordring i cyberdomenet. Dette skiller den digitale verden vesentlig fra den analoge. De f\u00e6rreste har tilgang til programvarekode som IKT-systemer kj\u00f8rer p\u00e5, og dermed fungerer disse i stor grad som \u201cblack-boxes\u201d. Det betyr at man ikke har mulighet til \u00e5 inspisere hva programvaren faktisk<\/em> utf\u00f8rer av operasjoner. Som hendelsen med Solarwinds illustrerer, kan ogs\u00e5 helt legitim programvare som mange virksomheter er avhengige av, bli utnyttet. Dette har f\u00f8rt til at flere virksomheter og i s\u00e6rdeleshet den amerikanske staten og deres sikkerhetsmyndigheter, n\u00e5 trekker frem Zero-Trust som et prinsipp som alle IKT-systemer m\u00e5 implementere<\/a>. Zero-Trust betyr at man ikke skal stole p\u00e5 noen, og at man derfor m\u00e5 verifisere tilgang til data, ressurser og tjenester. Prinsippet inneb\u00e6rer ogs\u00e5 at man skal forvente at trusselakt\u00f8rer befinner seg innenfor virksomhetens nettverk, og at man dermed m\u00e5 ha evne til \u00e5 detektere aktivitet.<\/p>\n

    Samtidig er det verdt \u00e5 merke seg at dataselskapet IBM tidligere har uttalt at det i gjennomsnitt tar 280 dager f\u00f8r en virksomhet oppdager et datainnbrudd<\/a>. Dette sier alts\u00e5 noe om hvor utfordrende det for mange virksomheter kan v\u00e6re \u00e5 avdekke slik aktivitet selv. Videre skriver sikkerhetsselskapet FireEye, som er noen av de fremste p\u00e5 cybersikkerhet, at 53 prosent av alle cyberangrep foreg\u00e5r uten at virksomheten selv merker det, og hele 91 prosent av alle angrep genererer ikke noen alarmer eller varsler<\/a> hos virksomheten. Dette indikerer alts\u00e5 hvor utfordrende det kan v\u00e6re \u00e5 sikre IKT-systemer, med mindre man har en gjennomtenkt og helhetlig sikkerhetsarkitektur som bidrar til \u00e5 beskytte mot, detektere og h\u00e5ndtere angrep.<\/p>\n

    I etterkant av Solarwinds-angrepet har president Joe Biden lansert en presidentordre for \u00e5 \u00f8ke cybersikkerhetstilstanden<\/a> i det amerikanske samfunnet. Ordren inneholder en rekke helt konkrete sikkerhetstiltak, som skal implementeres innen en kort tidsfrist p\u00e5 60-180 dager. Presidentordren m\u00e5 sees i lys av b\u00e5de Solarwinds- og Microsoft Exchange-s\u00e5rbarhetene som rammet det amerikanske samfunnet sv\u00e6rt hardt. Dette er noe ogs\u00e5 Norge b\u00f8r hente inspirasjon fra, dersom vi \u00f8nsker \u00e5 heve cybersikkerhetstilstanden til et akseptabelt niv\u00e5.<\/p>\n

    Trusselscenario 3: L\u00f8sepengevirus (ransomware)<\/h4>\n

    Ransomware er skadevare som krypterer og utilgjengeliggj\u00f8r data, hvor trusselakt\u00f8ren presser virksomheten til \u00e5 utbetale l\u00f8sepenger for \u00e5 f\u00e5 tilgang til verkt\u00f8y som igjen dekrypterer dataene. L\u00f8sepengene \u00f8nskes som oftest overf\u00f8rt i Bitcoin eller annen kryptovaluta som dermed gj\u00f8r sporing og etterforskning utfordrende. Dersom virksomheten ikke betaler, truer trusselakt\u00f8ren med \u00e5 spre dataene offentlig tilgjengelig ut p\u00e5 internett eller ved hjelp av andre kanaler, slik som \u201cDarkWeb\u201d. Slike trusselscenarioer kan<\/em> for private virksomheter medf\u00f8re konkurs. Derfor er tilb\u00f8yeligheten til \u00e5 betale ofte stor, selv om det anbefales at man ikke skal la seg presse. Et nylig eksempel p\u00e5 ransomware er angrepet mot Colonial Pipeline og r\u00f8rledningsnettet i USA, hvor angrepet stanset drivstofftilf\u00f8rselen. Hendelsen hadde helt reelle konsekvenser for det amerikanske samfunnet, og f\u00f8rte til at bedriften betalte 36 millioner i l\u00f8sepenger<\/a> for igjen \u00e5 f\u00e5 tilgang til egne datasystemer.<\/p>\n

    For offentlige virksomheter kan ransomware-angrep f\u00f8re til driftsstans, tap av enorme mengder data og sensitiv informasjon p\u00e5 avveie, samt brudd p\u00e5 personopplysningsloven (persondata p\u00e5 avveie). L\u00f8sepengevirus er et trusselscenario med konsekvenser som potensielt er vesentlig mer alvorlig sammenliknet med mange andre digitale trusselscenarioer. Det har forekommet d\u00f8dsfall som f\u00f8lge av ransomware-angrep i Tyskland, hvor en kvinne m\u00e5tte transporteres til et annet sykehus fordi universitetssykehuset i D\u00fcsseldorf ble rammet av ransomware<\/a>. Det er forel\u00f8pig ikke meldt om d\u00f8dsfall i Norge, men politiet skriver i sin trusselvurdering for 2021 at \u201cdet vurderes som meget sannsynlig at norske virksomheter vil bli utsatt for datainnbrudd med l\u00f8sepengevirus\u201d. Og videre skriver politiet at<\/a> \u201cdet er videre mulig at virksomheter med samfunnskritiske funksjoner vil bli utsatt for datainnbrudd\u201d.<\/p>\n

    Dette betyr at kraft- og vannforsyning, helsevesen, politi, kommuner, og andre sentrale samfunnsfunksjoner kan<\/em> bli utsatt for ransomware-angrep. Hvorvidt trusselakt\u00f8rene vil lykkes med sine operasjoner, vil avhenge av den enkelte virksomhets sikkerhetsarkitektur, tiltak og sikring. Det som imidlertid er verdt \u00e5 merke seg, er at l\u00f8sepengevirusene blir mer og mer avanserte, og trusselakt\u00f8rene blir dyktigere i sine operasjoner. Det er med andre ord vanskeligere \u00e5 sikre seg, og det har vokst frem et organisert kriminelt marked for \u00e5 bestille angrep med bruk av l\u00f8sepengevirus, s\u00e5kalt Ransomware as a Service (RaaS)<\/a>.<\/p>\n

    I Norge har l\u00f8sepengeviruset som slo ut \u00d8stre-Toten kommune i starten av 2021, vist hvor omfattende konsekvensene av et slikt trusselscenario kan v\u00e6re for norske virksomheter. Kommunens digitale tjenester ble lammet og saksbehandlerne i kommunen m\u00e5tte g\u00e5 over til penn og papir ettersom tilgangen til informasjon i datasystemene var borte. I tillegg hentet trusselakt\u00f8rene ut sensitive personopplysninger knyttet til de digitale tjenestene, og disse ble lagt tilgjengelig for nedlasting p\u00e5 \u201cDarkWeb\u201d. Dette betyr igjen at hvem som helst, enten fremmede staters trusselakt\u00f8rer eller kriminelle, kan f\u00e5 tilgang til sensitive opplysninger som har blitt hentet ut fra \u00d8stre-Toten kommunes databaser<\/a>. Dette kan ogs\u00e5 gjelde sensitive personopplysninger, eksempelvis knyttet til innbyggernes helsetjenester. Hva en trusselakt\u00f8r vil kunne \u00f8nske \u00e5 benytte slike opplysninger til, kan vi bare spekulere i. Det ligger imidlertid et stort misbrukspotensiale knyttet til slike opplysninger i dagens digitale samfunn.<\/p>\n

    Trusselscenario 4: Digitale p\u00e5virknings- og destabiliseringsoperasjoner<\/h4>\n

    Digitale p\u00e5virkningsoperasjoner og desinformasjon er det skrevet mye om de siste \u00e5rene, og spesielt etter at Trump i 2016 ble valgt til president i USA. Blant annet har det blitt dokumentert at akt\u00f8rer som opererte p\u00e5 vegne av russiske myndigheter benyttet sosiale medier for \u00e5 spre bestemte budskap egnet for \u00e5 p\u00e5virke utfallet av det demokratiske presidentvalget. Det ble ogs\u00e5 benyttet splittende retorikk for \u00e5 sette befolkningsgrupper opp imot hverandre. Trump-supportere mottok negativt ladede budskap om Hillary Clinton, og motsatt; Clinton-supportere mottok negativt ladede budskap om Trump. Spesielt er disse metodene brukt i sosiale medier hvor spredningen av desinformasjon og propaganda kan v\u00e6re veldig effektiv. Risikoen og kostnadene for en akt\u00f8r som \u00f8nsker \u00e5 p\u00e5virke befolkningen ved spredning av desinformasjon i sosiale medier er liten, mens den potensielle gevinsten er stor. Derfor er sosiale medier i dag en egnet kanal for spredning.<\/p>\n

    Undertegnede har skrevet b\u00e5de fagnotat<\/a> og artikler om p\u00e5virkningsoperasjoner, tidligere (se for eksempel prosjektutsyn.no<\/a>, dn.no<\/a>, og nof.no<\/a>). Disse kan leses for utfyllende informasjon om p\u00e5virkningsoperasjoner. Det viktigste \u00e5 merke seg i dette fagnotatet er at trusselscenarioene beskrevet her, er sv\u00e6rt relevante ogs\u00e5 i forbindelse med digitale p\u00e5virknings- og destabiliseringsoperasjoner. Informasjon som en trusselakt\u00f8r tilegner seg gjennom digital spionasje, leverand\u00f8rkjedeangrep eller l\u00f8sepengevirus, kan alle benyttes til digitale p\u00e5virkningsoperasjoner. En kompetent trusselakt\u00f8r som vet hvilken informasjon de er ute etter \u2013 som ogs\u00e5 vet hvordan denne informasjonen kan brukes strategisk for \u00e5 p\u00e5virke folkemeningen, \u201cstemningen\u201d eller utfallet av en konkret sak \u2013 kan f\u00e5 en vesentlig fordel av \u00e5 benytte fordekte p\u00e5virkningsoperasjoner. Eller informasjonen kan benyttes i forbindelse med destabiliseringsoperasjoner.<\/p>\n

    Sensitiv informasjon enten denne er tilegnet gjennom digital spionasje eller ransomware med uthenting av data, kan for eksempel offentliggj\u00f8res i digitale kanaler og spres ved bruk av sosiale medier. Dette kan gj\u00f8res utenom de tradisjonelle redakt\u00f8rstyrte mediene som har en h\u00f8yere terskel for \u00e5 publisere informasjon tilegnet ved bruk av ulovlige metoder og kriminalitet, slik tilfellet er med digital spionasje og ransomware. En nyere sak fra Washington DC viser at politiet ble utsatt for l\u00f8sepengevirus<\/a>, hvor trusselakt\u00f8ren presser politiet til \u00e5 betale for ikke \u00e5 publisere informasjon fra straffesaker, om informanter eller gjengmedlemmer. Publisering av den nevnte informasjonen kan bidra til \u00e5 \u00f8ke konfliktniv\u00e5et samt destabilisere lokalsamfunn. Dersom det ikke er kriminelle akt\u00f8rer ute etter penger som st\u00e5r bak slike operasjoner, men statlige akt\u00f8rer som \u00f8nsker \u00e5 destabilisere en virksomhet eller et samfunn, vil dette v\u00e6re sv\u00e6rt kostnadseffektiv metodebruk.<\/p>\n

    Utfordringen knyttet til digitale p\u00e5virknings- og destabiliseringsoperasjoner er at selv om myndighetene kan fors\u00f8ke \u00e5 skadebegrense, vil offentliggj\u00f8ring og spredning av sensitiv informasjon i seg selv kunne medf\u00f8re skade. Det er utfordrende for myndigheter eller andre \u00e5 kontrollere hvordan informasjonen spres, hva den blir benyttet til, eller hvilke skadef\u00f8lger (konsekvenser) offentliggj\u00f8ringen har i et samfunn. Staten kan ha s\u00e5 mange reaktive kriseh\u00e5ndterere og etterforskere som den bare vil, men klarer man ikke v\u00e6re proaktive og forhindre<\/em> innbrudd, angrep, spionasje eller sabotasje, s\u00e5 vil man m\u00e5tte akseptere at hendelsene vil kunne medf\u00f8re konsekvenser. Derfor er det desto viktigere \u00e5 forhindre at sensitiv informasjon kan komme p\u00e5 avveie, gjennom bedre, forebyggende<\/em> sikkerhet.<\/p>\n

    3. Virkemidler for bedre sikkerhet<\/h3>\n

    Hendelsene beskrevet i det digitale trusselbildet<\/em> gir oss en god indikasjon p\u00e5 hvorfor vi har behov for \u00e5 f\u00e5 p\u00e5 plass et generelt h\u00f8yere sikkerhetsniv\u00e5 i store deler av det norske samfunnet. Datainnbruddene p\u00e5 Stortinget, nulldagss\u00e5rbarhetene i Solarwinds og Microsoft Exchange, samt l\u00f8sepengevirusene blant annet mot \u00d8stre Toten-kommune, er noen sentrale hendelser fra nyere tid. Disse hendelsene viser hvilke utfordringer vi st\u00e5r overfor n\u00e5r det kommer til \u00e5 sikre v\u00e5r felles digitale infrastruktur, i m\u00f8te med et mer krevende trusselbilde.<\/p>\n

    I denne delen av fagnotatet vil det listes opp noen mulige l\u00f8sninger og forbedringsomr\u00e5der p\u00e5 de utfordringene som er skissert ovenfor. Forslagene har til hensikt \u00e5 forbedre sikkerheten til staten, samfunnet og de mange virksomhetene som den best\u00e5r av, i stort. Enkelte tiltak kan v\u00e6re enklere og mindre tidkrevende \u00e5 implementere, mens andre krever mer grunnleggende endringer n\u00e5r det gjelder utvikling av felles regelverk og reguleringer.<\/p>\n

    3.1 En sentralstyrt innsats for \u00e5 \u00f8ke cybersikkerhetstilstanden i Norge<\/h4>\n

    Det er verdt \u00e5 se n\u00e6rmere p\u00e5 hva det amerikanske samfunnet foretar seg i etterkant av Solarwinds-hendelsene. President Joe Biden har signert en sv\u00e6rt ambisi\u00f8s presidentordre for \u00e5 heve cybersikkerhetstilstanden<\/a> i det amerikanske samfunnet. Ordren gir f\u00f8ringer for iverksettelse av en rekke n\u00f8dvendige tiltak i myndighetsapparatet, med en tidsfrist som anses som hurtig. Noen av de viktigste tiltakene fra presidentordren som kan v\u00e6re verdt \u00e5 trekke frem, er:<\/p>\n