Air France 4590 tok av fra Charles de Gaulle. Nitti sekunder senere var 113 mennesker døde. Den franske havarikommisjonen brukte måneder på å rekonstruere hendelsesforløpet og fant den utløsende årsaken: en 43 centimeter lang metallstrimmel som hadde falt av et annet fly og blitt liggende på rullebanen. Strimmelen skar opp et dekk, gummibiter traff vingen, drivstofftanken brast, og flyet tok fyr.
Poenget er ikke metallbiten. Poenget er at noen fant den. Luftfarten gransker hvert havari med ett eneste mandat: forstå hva som skjedde og hindre at det skjer igjen. Ikke for å straffe eller plassere skyld, men for å lære. Resultatet er at flyreisen er blitt en av de tryggeste aktivitetene vi foretar oss.
Jeg drømmer om det samme for det digitale rom: en digital havarikommisjon. Gjennom et langt yrkesliv med digitale løsninger har jeg sett mye av det som kan gå galt, ofte fra innsiden, og hvor tilfeldig læringen i etterkant er. Allerede i 2012 foreslo stortingsrepresentanter en IKT-havarikommisjon. Forslaget ble nedstemt.
.jpg)
Flere har sett behovet før oss: Nederland har i over et tiår brukt havarikommisjonen sin på digitale hendelser, USA opprettet sitt granskingsstyre i 2022, og i mai satte Australia sitt lovfestede granskingsorgan i drift. Felles for dem er nasjonal forankring: læringen må skje der hendelsene skjer. Norge har også utvidet modellen før: Da helsesektoren trengte læring fremfor skyld, fikk vi Ukom i 2019.
Flere hendelser
Så hvorfor løfte forslaget igjen nå? Fordi tre ting har endret seg. Hendelsene er flere; NSM rapporterer om en markant økning. Teknologien er mer mangfoldig: skytjenester, kunstig intelligens, tingenes internett og industrielle styringssystemer som styrer kraft, vann og produksjon.
Og kompleksiteten er større: hendelser vandrer gjennom leverandørkjeder, slik at ingen enkeltvirksomhet lenger ser hele årsaksbildet. Østre Toten kommune ble satt ut av spill i ukevis. Hydro ble rammet midt i produksjonen. Nylig løftet NRK frem dataangrepet mot Lørenskog. En viss dam i Bremanger er blitt nevnt fra mang en scene. Neste gang kan det være sykehuset eller kraftforsyningen.
Cyberhendelser skjer ikke i et vakuum. Mange er del av en vedvarende geopolitisk konflikt, der digitale angrep brukes sammen med spionasje, påvirkning og andre hybride virkemidler. Jeg forstår at ikke alt kan deles når kilder, metoder og pågående operasjoner må beskyttes. Men for de fleste virksomheter er behovet langt mer jordnært: De trenger gode råd som henger sammen og kan brukes. I dag er rådene spredt og ujevnt tilgjengelige.
Men hvem lærer? NSM koordinerer og bistår ved alvorlige cyberhendelser. Politiet etterforsker mulige straffbare forhold. Datatilsynet fører tilsyn med personvernregelverket. DSB evaluerer enkelte kriser. Ingen har et sektorovergripende læringsmandat med plikt til å publisere. I doktorgradsarbeidet mitt analyserte jeg 60 målrettede kampanjer og fant at tre av fire fikk sitt første fotfeste gjennom sosial manipulering, web- og nettverkstjenester eller kjente sårbarheter. Slik læring har verdi for mange virksomheter.
Ingen revolusjon
Kommisjonen jeg drømmer om, er statlig og uavhengig. Den rykker ut ved digitale hendelser av nasjonal betydning og finner metallbiten på rullebanen. Den gransker både IT og OT. Den gir en form for forklaringsvern, inspirert av luftfartens just culture, slik at folk tør å fortelle sannheten. Og den publiserer åpne rapporter med klare anbefalinger. Statens havarikommisjon har allerede metodikk, erfaring og tillit; å utvide mandatet eller bygge en søsterfunksjon er ingen revolusjon.
Innvendingene kjenner vi. Overlapper ikke dette eksisterende organer? Nei, for ingen av dem har læring som eneste oppgave. Blir det for dyrt? Havarikommisjonen rykker heller ikke ut ved hvert trafikkuhell; den gransker bare det vi må lære av. Gjennom digitalsikkerhetsloven har vi allerede en varslingsplikt for virksomheter som leverer samfunnsviktige eller digitale tjenester. Varslene kommer inn; spørsmålet er om de ender som arkiv eller som læring.
Metallbiten på 43 centimeter ble funnet fordi luftfarten har brukt tiår på å utvikle prosedyrer, metoder og en kultur for å forstå hva som gikk galt. Det digitale samfunnet fortjener det samme.
Datasentre: : Vil bort fra «alt er kritisk»-tankegangen
