Får tommel opp for digital sikkerhet

Statens vegvesen (SVV) har generelt god kontroll på datasikkerheten. Det er konklusjonen etter at Vegtilsynet har gått etaten i sømmene.

Ingen formelle avvik ble funnet i rapporten som nå er offentliggjort. Det betyr at veimyndighetene styrer unna rødt lys i denne omgang.

– Samlet sett er det Vegtilsynets vurdering at Vegvesenet har et styringssystem som i betydelig grad sikrer at kravene blir oppfylt, heter det i konklusjonen.

Likevel er ikke rapporten helt fri for anmerkninger. Tilsynet peker på to konkrete forbedringspunkter, såkalte «observasjoner».

Frykter systemer under radaren

Kjernen i bekymringen handler om oversikt. Vegtilsynet er usikre på om Vegvesenet faktisk fanger opp absolutt alle systemer som kan påvirke trafikksikkerheten.

Tilsynsrapporten peker på at det kan finnes digitale systemer som går under radaren, spesielt med tanke på mengden teknologi i veinettet.

– SVV har et stort antall digitale systemer og verktøy. Når det er mange systemer involvert, øker kompleksiteten for at enkelte faller utenfor sikkerhetsstyringen, sier direktør Vegard Hansen i Vegtilsynet til Digi.

Han peker også på at mange aktører gjør bildet uoversiktlig.

– Det er også en kompliserende faktor med leverandører og eventuelle underleverandører som er involvert.

Kan ramme tunnelsikkerhet

Vi snakker her ikke bare om vanlige kontor-PC-er, men om systemene som styrer den fysiske infrastrukturen langs norske veier.

Vegtilsynet understreker at de ikke eksplisitt har lett etter svakheter i trafikkstyringen denne gangen, men Hansen er tydelig på konsekvensene dersom slike systemer blir kompromittert eller feiler.

– Hvis et system som styrer tunnelvifter eller bommer ikke er tilstrekkelig sikret, kan det medføre økt risiko for trafikanter for eksempel ved brann i tunnel, sier Hansen.

Ingen formelle avvik ble avduket, men tilsynet gir to «observasjoner» eller forbedringspunkter i rapporten, som kan lastes ned her.

– Ganske stor relevans

Rapporten trekker også frem det skjerpede trusselbildet. Digitalisering skaper nye sårbarheter. Politiets sikkerhetstjeneste har tidligere advart om at uvedkommende har skaffet seg tilgang til styringssystemer for kritisk infrastruktur, som for eksempel luker i damanlegg.

På spørsmål om hvilken relevans slike advarsler har for veinettet, svarer tilsynsdirektøren:

– Jeg tenker det har ganske stor relevans. IKT og infrastruktur blir vevd stadig sterkere sammen.

Hansen viser til at Riksrevisjonen tidligere har gjennomført tester som ga dem kontroll over viktige systemer i helseforetak og forskningsinstitusjoner.

– Når man ser at dette er en utfordring i andre sektorer, vil jeg ikke utelukke at vi har de samme utfordringene i samferdselssektoren, sier tilsynsdirektør Vegard Hansen til Digi.

Vegtilsynet planlegger nå å gjennomføre et tilsvarende tilsyn rettet mot Nye Veier i 2026.

Vegvesenet: – Tar det på alvor

I Statens vegvesen sier leder for digital sikkerhet, Ole M. Grundetjern, at de ser på rapporten som et nyttig bidrag.

– Rapporten fra Vegtilsynet inneholder observasjoner som vi tar på alvor, sier fagdirektør Grundetjern.

Han understreker likevel at hovedkonklusjonen er positiv.

– Dette er ikke funn som tilsier at vi har et svakt system. Tvert imot bekrefter tilsynet at vi har et styringssystem som i betydelig grad oppfyller kravene.

Vegvesenet skal nå gå gjennom hvordan de kan tette de potensielle hullene i oversikten.

– Rapporten peker på behovet for å tydeliggjøre hvordan alle digitale systemer med potensiell risiko blir identifisert, og hvordan tiltak som går på tvers av systemer kan håndteres. Vi følger nå opp hvordan vi best kan løse disse, avslutter Grundetjern.