Mener Bane Nor er der Telenor var for ti år siden på digital sikkerhet

Bane Nor, selskapet som eier og utvikler systemene rundt togene i Norge, er i gang med en storstilt digitalisering. Til en prislapp på 21 milliarder kroner skal utdatert teknologi erstattes med et nytt, digitalt signalsystem over hele landet.

Det kan de ikke gjøre uten å sette digital sikkerhet øverst på agendaen, mener den ferske sjefen for digital sikkerhetsstyring i selskapet, Rune Dyrlie.

– Vi skal ikke være naive og tro at det ikke kan være noen som er interessert i å ha kunnskap om og kjennskap til selskapet og skaffe seg tilgang for å sabotere, hindre eller gjøre ugang, sier han.

Lite sikkerhetsmiljø i Norge

Dyrlie har jobbet med digital sikkerhet i Telenor i mange år og har bygget opp den han kaller et stort og kompetent digitalt sikkerhetsmiljø. Han tror det er årsaken til at Bane Nor tok kontakt med ham da de i mars i år søkte etter en kandidat til den nyopprettede stillingen. Telenor har siden 2019 vært sikkerhetsleverandør til Bane Nor.

– Sikkerhetsmiljøet i Norge er ikke veldig stort, mange kjenner hverandre, så det er de som kjenner til hva vi har gjort i Telenor, som er bakgrunnen for at Bane Nor tok kontakt. Bane Nor er litt i starten av deler av områdene sammenlignet med der Telenor er i dag, sier han.

Han jobber med trusselbildet i Bane Nor, som baseres på det trusselbildet e-tjenesten og PST utgir samt det det digitale risikobildet Nasjonal sikkerhetsmyndighet (NSM) utgir. Dyrlie må se til at nye systemer blir konfigurert i miljøer med nødvendige sikkerhetsmekanismer og sikkerhetsovervåkning.

Kritisk informasjon lekker ut

En annen krevende oppgave for den nye sikkerhetssjefen er å passe på at alle ansatte får opplæring i hvordan de skal skal opptre forsvarlig, både når de bruker IT-verktøy og i møte med andre utenfor organisasjonen.

– Vi ser at kritisk informasjon lekker ut hos våre leverandører og underleverandører, eller ubevisst fra medarbeidere som blir «lurt» til å gi fra seg informasjon. Kanskje har de uten å tenke seg om kommunisert noe i et møte der det har vært til stede noen som ikke burde vært informert, sier han og peker på konsekvensen:

– De som er interessert i deg, skaffer seg litt informasjon her og litt informasjon fra et annet sted og setter det sammen. Summen av det kan være at de samlet sett sitter med informasjon som vi helst skulle sett ikke var på avveie, sier Dyrlie.

Det at Norge er et rikt land og et yndet mål med tanke på økonomisk kriminalitet, gjør Bane Nor utsatt for angrep, tror han.

– Bane Nor har vært omfattet av internasjonale angrep uten at det har fått store, direkte konsekvenser. Vi ser ikke mye til at Bane Nor er det direkte målet, men at vi er en del av et større angrep, det vil vi alltid være, sier han.

Av digitale angrep trekker han frem såkalt løsepengevirus (eng. ransomeware) som et økende problem. Viruset krypterer deler av innholdet på en infisert datamaskin slik at det er utilgjengelig for eieren, og så krever man løsepenger for å låse opp igjen krypteringen.

Sikre mot at noen kan dirigere tog mot hverandre

Når Bane Nor nå skal kvitte seg med gamle systemer, eller begrepet «gammel legacy», som Dyrlie bruker, står sikkerhetsarbeidet sentralt.

– Den viktigste oppgaven til Bane Nor er togtrafikken. Systemene som styrer disse, er mest kritiske. Vi må sikre disse, sier han.

Han henviser til kvalitetsutfordringene med signalanleggene og at togtrafikken stanses med jevne mellomrom på grunn av signalfeil, særlig i Oslo-området. Det nye digitale signalsystemet European Rail Traffic Management System (ERTMS), som nå erstatter den gamle teknologien, vil løse disse utfordringene.

– Det blir viktig å sikre denne plattformen slik at ikke noen kan manipulere den og stanse tog – eller i verste fall dirigere tog mot hverandre. Vi må etablere sikkerhetsmekanismer som slår ut dersom noen får kontroll over plattformen. Vi må da ha andre systemer som kan gå inn og stoppe togene før de kolliderer, sier han.

– Bane Nor vil alltid ha sitt eget nett

Bane Nor har sitt eget mobilnett, GSM-R, som de kjører trafikk på, forteller Dyrlie. Det er basert på den første GSM-teknologien.

– Bare det i seg selv gjør at vi må se på hvilket nett vi i fremtiden skal ha den type trafikk på, sier han.

– Hva med offentlig 5G?

– Hvis 5G tilfredsstiller det behovet Bane Nor har for dekning langs hele jernbanen, kan det være et alternativ å kjøpe plass i det offentlig mobilnettet, svarer han.

Men sikkerhetssjefen påpeker at Bane Nor må ha reserveløsninger.

– Man kan ikke gjøre seg avhengig av én ting, hvis det ene er nede, må man ha reserveløsninger. Sånn sett kommer Bane Nor alltid til å ha en god del infrastruktur selv, sier han.

– Bane Nor har både sitt eget nett og kjøper av andre, slik vil det være fremover. Jeg ser ikke teknologiendring nå som vil endre på det.

– Savner å skrive på white board

– Hva jobber du med akkurat nå?

– Akkurat nå ser vi på hvordan digitale risikoer skal bli en integrert del av den operasjonelle risikostyringen i Bane Nor. Vi ser på om det skal være noen obligatoriske kurs for alle ansatte som sitter på hjemmekontor, og hvilke krav vi skal stille til ulike roller og hvilken sikkerhetskompetanse de skal ha, svarer han.

Selv har Dyrlie sittet på hjemmekontor siden han startet i den nye jobben 1. juni i år. Det syns han har gått overraskende greit, og han skryter av et godt digitalt arbeidsmiljø i Bane Nor. Men han ser frem mot 1. september, da kontordørene antakeligvis åpnes opp.

– Å jobbe med mennesker og være i et team, og det å være på fysiske møter og skrive på white board, det liker jeg. Jeg savner den delen av det, avslutter han.