Nasjonal sikkerhetsmyndighet (NSM) har i dag publisert sin årsmelding for 2010, som er lagt ut på nett i to versjoner, pdf og html. Merk at det som er lagt ut med tanke på lesing på nett er noe mindre omfattende enn pdf-dokumentet.
Årsmeldingen er ikke lystig lesing for borgere som lever i den tro at IT-sikkerheten i Norge er noenlunde godt ivaretatt av ansvarlige instanser og bedrifter. Tilnærmingen til IT-sikkerhet kan knapt beskrives som annet enn lemfeldig. NSM advarer at bedrifter, offentlige etater og enkeltpersoner er utsatt for datavirus, spionasje og sabotasje.
I anledningen kommer forsvarsminister Grete Faremo med en enkel, men klar formaning:
– Det er nå behov for at norske virksomheter tar IKT-trusselen på alvor og utarbeider gode nok sikkerhetstiltak.
Et eget kapittel i årsmeldingen har denne tittelen: Viktige datasystemer trolig infisert. Det innledes slik:
– Forsøk på spionasje mot departementer og store norske bedrifter var de mest alvorlige IKT-hendelsene NorCERT håndterte i 2010. IKT-hendelsene er blant annet oppdaget på bakgrunn av nasjonalt og internasjonalt samarbeid, deteksjoner i Varslingssystem for digital infrastruktur (VDI), og fordi angriper begår tekniske feil eller er uforsiktig. Avanserte målrettede angrep er krevende å oppdage. Det er derfor sannsynlig at viktige datasystemer i Norge er infisert, og at informasjon er kommet på avveie.
Denne grafen viser økningen i antall IKT-hendelser NorCERT har håndtert siden 2008:
Antall hendelser håndtert per år har vokst fra 3091 i 2008 til 5082 i 2010.
Blant eksemplene gjengitt i årsmeldingen:
«9. juli 2010 ble det oppdaget mistenkelig nettverkstrafikk fra en datamaskin tilhørende en ansatt i et departement. På datamaskinen ble det oppdaget flere trojanere. Den ene samlet inn alle dokumenter opprettet den siste uken og klargjorde disse til å bli sendt ut på Internett tilbake til angriperen.»
Tonen i årsmeldingen er jevnt over snilt formanende. Blant de få krasse uttalelsene er denne salven fra seniorrådgiver Arne Røed Simonsen i Næringslivets sikkerhetsråd, i kapitlet om lekkasjer:
«Det er en bevisstløs lekkasjekultur både i næringslivet og forvaltningen, mener han. – Noen ganger ønsker kanskje ansatte å vise at de er flinke og vet mye. Da forteller du kanskje mer enn du burde gjøre. Man bør bevisstgjøre folk om hva de snakker om, hvor, med hvem, enten det dreier seg om sosiale medier, eller hva du snakker om på bussen eller på flyet. Jeg har sittet på fly opptil flere ganger og hørt byråkrater fra departementer snakke sensitivt.»
NSM understreker gjennom hele årsmeldingen at det viktigste nå er sikkerhetskultur. NSM-direktør Kjetil Nilsen definerer begrepet slik:
– Sikkerhetskultur handler om holdninger og kompetanse, årvåkenhet, men også om å skaffe nok ressurser og skape prioritet rundt dette.
