NSM: – Vi kan ikke tillate oss i framtiden å jobbe hver for oss

Sikkerhetskonferansen til NSM ble i dag arrangert i en virtuell utgave. Det ferske, Microsoft Exchange-baserte angrepet på Stortinget og flere andre norske virksomheter, ble selvfølgelig nevnt i flere av deltakerne. Foreløpig har NSM og andre lite nytt å komme med. Saken er selvfølgelig fortsatt under etterforskning.

Bente Hoff, avdelingsdirektør i NSM, sa likevel at det fortsatt er virksomheter i Norge som ikke har beskyttet seg mot angrepene, og at det er ventet at flere vil bli rammet.

Blant temaene i den første delen av konferansen var erfaringene Østre Toten kommune har gjort etter løsepengevirusangrepet kommunen ble rammet av i fjor høst. Det meste av det ordføreren i kommunen, Bror Helgestad, fortalte, har Digi.no allerede omtalt:

Etter det lammende hackerangrepet er det slutt på IT-drift fra rådhuset (for abonnenter)

Ikke dårligere enn gjennomsnittet

Et poeng som likevel er verdt å gjenta, er at kommunen etter analyser mener at den ikke var bakpå sikkerhetsmessig, sammenlignet med andre norske kommuner. I alle fall ikke dårligere enn gjennomsnittet.

Dette ledet konferansieren, Siri Lill Mannes, over i en samtale med Hans Robert Bjørnaas, avdelingsdirektør i NSM, om hvordan robustheten til IKT-systemene kan forbedres. Da kom han med en liten brannfakkel til blant annet kommunene.

– Vi kan ikke tillate oss i framtiden å jobbe hver for oss. Er vi på hver vår tue, er jeg redd for at vi spriker for mye. Man vet at man (angriperne, journ.anm.) til enhver tid hopper over gjerdet der det er lavest. Det gjør man også her. Man går inn på svakere punkter, opportunistisk, og bruker det som innfallsvinkel, innledet Bjørnaas.

– Vår anbefaling er det vi har kalt en digital grunnmur, en felles satsing på å beskrive hvordan vi skal bruke teknologi, og ikke minst hvordan vi framover skal bygge sikkerheten rundt denne teknologien.

Mannes spurte da om det skal være slutt på at kommunene framover kan velge hver sine systemer.

– Det er mer et ønske om å definere premisser for hvordan de skal gjøre jobben, enn at vi skal nekte noen noe som helst. Det handler mer om det på være ensrettet og nå et felles sikkerhetsnivå, slik at vi kan være trygge på at selv om det er systemer som treffer én sektor, så kan de kommunisere med andre aktører i samfunnet på en trygg måte, sa Bjørnaas.

Fra kjelleren til sky til 5G

Bjørnaas mener at overgangen fra servere i kjelleren, slik Østre Toten kommune hadde, og til skyen, er en viktig tilnærming.

– Vi går bort fra denne individualismen og i på en måte inn i en kollektiv virksomhet. Det gir en helt annen dynamikk, både for å skape sikkerhet og for å være med på den teknologiutviklingen som skjer, sa han.

Bjørnaas mener det skjer mye lovende innen sikkerhet, blant annet gjennom tilknytning til 5G.

– Der får vi ikke bare muligheter til å utnytte skydimensjonen, men også mulighet til å skape distribuerte skyer. Da har man muligheten til å ha skyløsninger nært seg, og ikke være avhengige av store skyløsning som i noen tilfeller ligger utenlands og som vi ikke har kontroll på.

Dersom det er viktig at vi har tilgang til informasjonen, må vi sørge for at vi har muligheten til å hente den ut igjen. Uten denne muligheten, har vi ikke så mye nytte av den, sa Bjørnaas.

Han mener kan løses med 5G, som vil etablere distribuerte skyer.

– Hver mobilmast vil ha en bitte liten sky, som gjør at jeg får veldig rask respons på den informasjonen jeg trenger å hente ut. Dette er mer et supplement, og kanskje noen ganger et konkurranseelement, til den store skyen.

Advarer mot å gjøre seg avhengig av én leverandør

Bjørnaas karakteriserer dette som en veldig spennende utvikling, som vil gjøre det mulig å bygge en annen robusthet.

– Man snakker om private 5G-skyer, og vi ser at industrikonsern, for eksempel i Tyskland, allerede har begynt å jobbe med den typen problemstillinger. I hverdagen er det koblet rett ut på 5G-nettet, men hvis nettet går ned, så har de en fungerende privat 5G-sky inne på konsernet, slik at industriprosessene likevel går.

Bjørnaas advarte i intervjuet også mot å bli for avhengig av enkeltleverandører.

– Det å binde seg har konsekvenser, man er prisgitt leverandørens tankegang. Innen IoT har man for eksempel ikke vært så opptatt av sikkerhet, men mer om å oppnå markedsandeler. Med åpne standarder kan man skifte ut leverandører dersom leverandøren går i en annen retning enn den man vil, avsluttet Bjørnaas.