Voldsom interesse for nytt skyprogram: – Kjipt å være flagget rødt når naboen er grønn, mener IT-sjef

Så langt har rundt 300 offentlige og statlige virksomheter meldt sin interesse for å være med i det nye skyprogrammet hvor det skal inngås en felles rammeavtale på et «cyber risk score»-verktøy. Påmeldingsfristen løper ut 6. november, og MPS håper flere kaster seg over muligheten.

– Så langt har det vært kjempeinteresse, og vi oppfordrer alle som kan, til å henge seg på. Dette er et svært nyttig verktøy som gir innblikk i virksomhetens egen sikkerhet, sier programdirektør Sverre Christian Stoltz i MPS til Digi.

Gule og grønne lys

Skyverktøyet er en metode for å kvantifisere og vurdere eksponeringen for cybertrusler sett fra internett.

Tjenesten gir en totalscore som reflekterer det faktiske risikobildet. Det kan kartlegge sårbarheter i infrastrukturen, historiske data om sikkerhetsbrudd og organisasjonens evne til å håndtere sikkerhetshendelser.

Verktøyene skal hjelpe ledelsen med å forstå riskolandskapet de befinner seg i og dermed gjøre dem i stand til å ta informerte valg.

Torkjell Dahl, IT-sjef i Ringerike kommune og styreleder i Foreningen kommunal informasjonssikkerhet (KiNS), mener dette er et «must» alle bør kaste seg over.

Mer opptatt av skole og sykehus

– Vi har vært med på utprøvingen og fant ut at det var en del funksjoner som ga innsikt i våre angrepsflater. Det var enkelt å grave seg ned i ting som kan forbedres, og å få ut rapporter med røde, grønne og gule lys som er svært ledervennlige, sier Dahl og utdyper:

– Det er jo ikke så lett å legge frem teknologi for toppledere. De er mer opptatt av skoler, eldreomsorg og sykehus, så rapportene som genereres, er meget enkle for utenforstående å sette seg inn i og gir innsikt i hva hackerne ser.

Håpet er å gi norske offentlige og statlige virksomheter en helhetlig vurdering som hever sikkerhetsnivået. Verktøyet produseres som en tjeneste i nettskyen av flere ulike leverandører.

Programdirektør Stoltz forklarer at verktøyet gir forslag til prioritering av tiltak, operativ oppfølging av leverandørledd og mulighet til å ta informerte valg som på sikt gir bedre helhetsscore.

– Dette er veldige nyttige verktøy som gir godt innblikk i egen sikkerhet. Det gir dere det samme informasjonsbildet som trusselaktørene sitter på. Informasjonen formidles i én enkel verdi, og man kan få beskjed om å gjøre korrigerende tiltak.

– Kjipt å være rød når naboen er grønn

– Du kan få dårlig score om du ikke har patchet, om du sitter på utdaterte versjoner eller om IP-adressene dine rapporterer feil eier. Noen tiltak går direkte på teknologi, mens andre går på prosess, forklarer Stoltz i MPS.

På egne hjemmesider skriver MPS at en lav score kan være skadelig for virksomhetens omdømme. Det kan gi lavere tillit blant brukerne av de offentlige tjenestene og skape negativ oppmerksomhet i mediene.

Markedsplassen for skytjenester konkluderer derfor med at verktøyet er en svært viktig del av det å bygge en robust og sikker digital infrastruktur i dagens uoversiktlige trusselbilde.

Det er Dahl i Ringerike kommune enig med dem i.

– Rapportene som legges frem gjør at det er enkelt å sammenligne seg med andre. Dermed blir det kanskje en konkurranse innad i kommunene om å gjøre det best. Det er jo kjipt å være rød når nabokommunen er helt grønn, sier IT-sjefen.

Leverandør ikke valgt

Stoltz i MPS påpeker at verktøyet kun er et enkelttiltak.

– Det vil gjøre dere bedre, men er bare en del av en større helhet som må være på plass for å skape en god totalstrategi. Hovedpoenget er å gi styringsinformasjon til de som har beslutningsmakt, sier Stoltz.

Hvilken leverandør som ender opp med leveransen avgjøres ikke før anbudet ferdigstilles. Håpet er å kunngjøre konkurransen i løpet av året.

Avtalen som forhandles frem vil være frivillig å benytte seg av.

Markedsplassen for skytjenester er klare på at man ikke binder seg opp til å benytte tjenestene eller gjøre nødvendige tiltak selv om man tar del i avtalen. Virksomhetene står også fritt til å kjøpe tilsvarende tjenester fra andre leverandører om de ønsker det.

– Men håpet er jo at vi ikke skal ha flere hundre som gjør sine egne enkeltanskaffelser. Dette er for å gjøre det enkelt for offentlig sektor å ha avrop på en avtale og forbruke tjenestene, sier Stoltz.