.jpg)
24. august varslet Stortinget at de folkevalgte var blitt utsatt for et stort dataangrep. Denne uken skapte UD store overskrifter da de anklaget Russland for å stå bak datainnbruddet i Norges viktigste demokratiske institusjon.
Saken føyer seg inn i rekken av cyberangrep og sikkerhetshendelser den siste tiden. Senest 8. oktober oppdaget politiet ukjent aktivitet i sine nettverk, der et antall e-postkontoer er berørt. Dette skjer altså ikke lenge etter at både Stortinget, Norfund, flere små og mellomstore organisasjoner i helsesektoren og syv kommuner har blitt utsatt for e-postsvindel, phishing og skadevaren Emotet.
Cybersecurity and Infrastructure Security Agency (CISA) advarer nå mot en økning i antall Emotet botnet-angrep. Emotet er designet for å spre skadelig programvare hovedsakelig rettet mot statlige og lokale myndigheter. Cybersikkerhetsbyråer i Canada, Frankrike, Japan, New Zealand, Italia og Nederland har alle rapportert skarpe økninger i Emotet-relatert aktivitet.
Og nå har altså denne skadevaren kanskje også påvirket politiets systemer.
Kampen mot cyberkriminelle må trappes opp. Og det haster. Det er nemlig ikke et spørsmål om viktige norske selskaper og institusjoner kan bli angrepet eller ikke. Det er et spørsmål om når det skjer.
Mens vi venter på regjeringen
Tross den store risikoen reflekterer ikke regjeringens sikkerhetsinnsats den trusselen vi står overfor. I statsbudsjettet for 2021 får verken Direktoratet for samfunnssikkerhet og beredskap (DSB), Politiets sikkerhetstjeneste (PST), Etterretningstjenesten eller Nasjonal sikkerhetsmyndighet (NSM) økte budsjetter.
Justis- og beredskapsdepartementet melder riktignok at man endelig har tenkt å komme i gang med videreutviklingen av samarbeidet med særlig Forsvarsdepartementet for å tydeliggjøre hvordan trussel- og risikovurderingene fra Etterretningstjenesten, PST og NSM utfyller hverandre. Et arbeid som etter planen skulle vært gjennomført i 2020, men som ble utsatt på grunn av koronapandemien og som nå er planlagt for 2021. Dette er et samarbeid som bygger blant annet på Felles Cyberkoordineringssenter (FCKS) og Felles kontraterrorsenter (FKTS).
Like fullt er det åpenbart at det øremerkes for lite midler over statsbudsjettet i kampen mot cyberkriminalitet.
Mens vi venter på at regjeringen våkner, er det imidlertid mye vi alle bør gjøre for å bygge så effektive forsvarsverk som mulig.
Bruk skrivefeil og dialekt
For å beskytte seg mot angrep anbefales det å herde sine e-postservere og systemer ved å oppdatere ofte, implementere SPF, DKIM og DMARC, legge e-postserverne i en DMZ og kreve flerfaktorautentisering for alle ansatte på e-posttjenesten. Google er et av selskapene som implementerte flerfaktorautentisering allerede i 2009, og har siden ikke vært utsatt for e-postkampanjer eller phishing.
Etter at Stortinget ble utsatt for hackerangrep i september i år, konkluderte man raskt, og ikke overraskende, med at datasikkerheten ikke var god nok. Det ble avdekket at passordkravet var på kun 8 tegn. Når det kommer til passordkrav er dette fra den gamle standarden der det skal minimum være 8 tegn, med små og store bokstaver, samt spesialtegn og tall. Denne standarden har lenge vært på vei ut. Metodikken i dag omhandler lengre passord, absolutt minimum er 12, men gjerne lengre. Og uten krav til tegn og symboler. Det er anbefalt å lage passord av tilfeldige ord eller setninger med mellomrom, skrivefeil og på dialekt som er lette å huske, men vanskelig å gjette.
Videre er beste praksis å benytte seg av passordhåndteringsprogrammer og skru på flerfaktorautentisering der det lar seg gjøre. Dermed vil brukerne kunne generere lange og sterke passord, som er unike for hver enkelt løsning, samt benytte flere faktorer for autentisering som ytterligere sikrer at tjenestene ikke blir kompromittert.
Våkn opp!
De digitale bandene blir stadig smartere og trusselbildet derfor stadig mer komplekst. Norske myndigheter og norske selskaper har gjennom flere år fått kjenne på konsekvensene av kraftfulle cyberangrep. Dersom vi ikke snart oppgraderer arbeidet på vårt felles sikkerhetsarbeid vil det vi har opplevd frem til nå bli småtteri sammenlignet med det som kommer. Det er på tide at regjeringen, statlige og kommunale virksomheter og ledere i private selskaper våkner og forstår hvilke alvorlige utfordringer og trusler vi står ovenfor.
