Har nettopp fått gratishjelp av ny storsatsing: − Vi har litt å jobbe med

I en tid der de digitale truslene er mer komplekse og alvorlige, må Norge ha gode sikkerhetsmiljøer som kan bistå landets kommuner.

− Med det nye verktøyet tester vi sikkerhet, infrastruktur og systemer. Deretter kartlegger vi svakheter og risiko, og leverer så råd og anbefalinger om hva som kan gjøres for å redusere sårbarhetene, sier avdelingsdirektør for Helse- og KommuneCERT, Gunnar A. Johansen, til Digi.

«Kommunetest»

Norsk helsenett har i en årrekke levert samme type tjenester til helsesektoren. Når tilbudet nå utvides gir det norske kommuner muskler til å stå imot alvorlige sikkerhetshendelser.

KommuneCERT ble opprettet i november i fjor, og fikk samtidig oppdraget av Digitaliserings- og forvaltningsdepartementet å om å utvikle verktøyet «Kommunetest».

− Vi må ha gode sikkerhetsmiljøer som kan hjelpe både kommuner, sykehus og primærhelsetjenesten når angrepet først skjer, sier digitaliserings- og forvaltningsminister, Karianne Tung (Ap), i en pressemelding om det nye sikkerhetsinitiativet.

Tre nivåer

Testen er delt opp i tre nivåer. De første nivået er en hurtigsjekk som kommunene selv kan utføre.

Den vil avdekke åpenbare svakheter. Når testen er gjennomført, kan kommunene bestille den mer omfattende nivå-2-testen, «Kommunetest».

Det er i praksis en nedskalert inntrengningstest hvor KommuneCERT avdekker grunnleggende svakheter som så utbedres og fikses.

Testen går typisk over et par dager mot nettverksinfrastrukturen.

Når kommunene bestiller «Kommunetest» går sikkerhetsanalytikere blant annet gjennom passordkvalitet og kartlegger nettverkstjenester og datadeling.

Nivå-3-test

I tillegg ser de etter sårbarheter ved fjerntilgangsløsninger som anvendes. Sandefjord kommune har vært en av pilotbrukerne for «Kommunetest». De er svært fornøyde med erfaringen.

Kommunen synes det var spesielt positivt at de hadde et norsk sikkerhetsmiljø å forholde seg til. Testen i hvalfangerbyen ble avsluttet i dag, torsdag.

− Selv om resultatet tilsier at vi har litt å jobbe med, har det vært viktig for oss å kjøre denne testen for å kartlegge systemene. Som kjent er sikkerhetsarbeid en kontinuerlig prosess, sier Stig Bergene i system-, sikkerhet- og applikasjonsteamet i Sandefjord kommune til Digi.

I tillegg kan kommunene bestille en full penetrasjonstest der de får besøk av sikkerhetsspesialister fra KommuneCERT.

Gratistjeneste

En slik nivå-3-test går over noen uker, og er en grundig kartlegging av alle systemer.

Når KommuneCERT reiser ut og gjennomfører den hvasseste testen, gjør de grundige analyser og inntrengningstester på alt av infrastruktur og systemportefølje.

Både fra ut- og innsiden av systemene. De benytter seg derimot ikke av sosial manipulasjon for å gå de menneskelige ressursene etter i sømmene.

− For ikke å bruke unødig tid på å finne grunnleggende svakheter, må kommunene gjennom de to første nivåene før vi utfører en slik test, sier Johansen.

− Alle testene tilbys kostnadsfritt til kommunene. Derfor må vi bruke ressursene godt slik at vi ikke får for store kapasitetsutfordringer.

Gode erfaringer

KommuneCERT har allerede gjennomført rundt ti pilottester hos et lite utvalg kommuner. Blant annet hos Sandefjord.

Erfaringene har vært gode, forteller avdelingsdirektør Johansen.

KommuneCERT har enda ikke klart for seg hvor mange fullskalatester de har kapasitet til årlig.

Likevel ser avdelingsdirektøren for seg at det skal være mulig å gjennomføre minst ti med dagens skalering.

− Vi ønsker å gjennomføre vesentlig flere, men vi har ikke planlagt kapasiteten enda. Dette er et initiativ for å heve sikkerheten, og vi håper at det blir et nyttig verktøy for norske kommuner, sammenfatter han til Digi.