Norge har blitt truffet av flere kraftige tjenestenektangrep (DDoS) den siste tiden. Angrepene har vært rettet mot offentlig sektor og nasjonal digital infrastruktur. ID-porten, Helsenorge og Altinn er blant tjenestene som har vært rammet.
Myndighetene forsikrer oss om at angriperne ikke har kommet seg inn i systemene og at ingen sensitive data er stjålet. Fagfolk forteller at dette er rendyrkede overbelastningsangrep og ikke datainnbrudd.
Er det én ting som er 100 prosent sikkert, så det er det at det vil komme nye angrep. Spørsmålene vi må stille oss selv er om vi lever med en falsk trygghet og om vi er klare for å håndtere det som kommer?
Sannheten er at jeg frykter dette gjør oss farlig rolige uten egentlig ta inn over oss helheten og konsekvensene av slike hendelser.
Det «ufarlige» angrepet
Et tjenestenektangrep er i bunn og grunn enkelt og i de fleste tilfeller ufarlig. En tjeneste oversvømmes med falsk trafikk fra tusenvis av maskiner til den kollapser under egen vekt. Ingen hacker seg inn i systemer. Ingen stjeler informasjon. Tjenesten blir bare utilgjengelig. Gjerne bare i et begrenset tidsrom, som noen timer eller noen dager.
Nettopp derfor er det fristende å avfeie dette som støy. En innloggingsside som er nede noen timer, er irriterende, men knapt en krise.
Men i dette tilfellet snakker vi ikke om hvilke som helst nettsider. Vi snakker om Helsenorge, som dagling brukes for behandling av helseinformasjon og digitale helsetjenester. Vi snakker om ID-porten, som er inngangsdøren til store deler av det digitale Norge. Når den typen infrastruktur blir utilgjengelig, er det ikke lenger bare et IT-problem.
Cyberangrepet mot Digdirs identifikasjonsløsning gjorde det tidvis umulig å sende meldinger gjennom Digitoll. Det som startet som et angrep på en digital tjeneste, endte med kø av vogntog ved grensen. Det digitale angrepet hadde med andre ord fysiske konsekvenser. I ytterst konsekvens kan slike hendelser handle om liv og helse.
Hensikten med denne typen angrep er sjelden å ødelegge noe permanent. Men heller å skape forstyrrelse og usikkerhet og i verste fall tap av tillit til offentlige tjenester. Trusselen i seg selv kommer vi aldri til å kunne eliminere helt. Men vi må bestemme oss for hvor godt forberedt vi er neste gang den treffer.
Ironien er at svært ofte brukes våre egne maskiner i slike angrep. Dårlige sikrede smarthjem-enheter som TV-er, rutere, kjøleskap og kamera i våre egne stuer blir kapret og brukt til å angripe nettsider og digitale tjenester. Vi bygger stadig flere sårbarheter rett inn i stuene våre uten å tenke at nettopp denne typen enheter blir en brikke i et botnett neste gang noen vil ramme Norge.
Blir nedprioritert
En ting er helt sikkert. Problemet kan ikke løses av IT-avdelingen alene. Ansvaret ligger og har alltid ligget hos ledelsen. Likevel ser jeg gang på gang at sikkerhetssamtalen og rapportering til ledermøter og styrerom blir nedprioritert. Jeg har sett at status blir pyntet på før den når toppen. Jeg har sett fagfolk som lar være å legge frem ubehagelige fakta fordi de på forhånd har konkludert med at ledelsen verken vil forstå eller er interessert. Og jeg har sett ledelser som aktivt ønsker at «dette løses i IT», uten at noen stiller spørsmål ved hvorfor det ikke bør løftes videre.
Jeg ser at virksomheter fortsetter å nedprioritere sikkerhet i praksis. Sikkerhetsavdelinger legges ned. Sikkerhetsroller opprettes uten reelt mandat eller myndighet til å utrette noe. Fagekspertene sitter med kunnskapen, men ikke med plassen rundt bordet der beslutningene tas.
Dette er et mønster som gjentar seg og som sier noe om hvor alvorlig vi faktisk tar dette.
Forretningsrisiko
Cybersikkerhet er ikke lenger et teknisk spørsmål som kan delegeres bort og glemmes. Det er en forretningsrisiko på linje med økonomi, omdømme og drift og må behandles deretter.
Det betyr at vi er nødt til å gi mandat der det hører hjemme. Vi må gi fagekspertene taletid i ledergrupper og rundt styrebordet. Og ikke minst sikre tilstrekkelig kunnskap og kompetanse hos beslutningstakere.
Angrepene de siste ukene var en påminnelse, ikke et unntak. Neste angrep kommer. Det kan vi være helt sikre på. Det ubesvarte spørsmålet er om ledelsen og styret har tatt ansvaret sitt på alvor før den dagen kommer, eller om vi skal stå her igjen og forklare, med rolig stemme, at ingen kom seg inn denne gangen heller.
Digdir: – Angrepet pågår med full styrke
