Stortingsvalgkampen er snart i gang samtidig som den sikkerhetspolitiske spenningen i verden øker. Den digitale teknologien har gjort det enklere å begå både kriminalitet og alvorlige samfunnsskadelige handlinger, på tvers av landegrenser. Internasjonale kriminelle nettverk og fremmede stater tar i bruk digitale virkemidler for å påvirke – og for å destabilisere samfunn. Cybersikkerhet bør derfor gis større oppmerksomhet i stortingsvalgkampen.
Leverandørkjedeangrepet mot programvareselskapet Solarwinds i fjor omtales som en game-changer innen cyberangrep- og sikkerhet. Aktører som trolig opererte på vegne av russiske myndigheter, plantet sårbarheter i programvareoppdateringene i ett av Solarwinds produkter. 18,000 selskaper benyttet programvaren som gav trusselaktørene bakdører og dermed urettmessig tilgang til deres IKT-systemer.
Bare i USA ble det på et tidlig tidspunkt rapportert at over 250 private og offentlige virksomheter var rammet. Flere departementer, Pentagon og Department of Homeland Security, var blant de mange ofrene. Amerikanerne som ofte fremstår som best i klassen når det gjelder sikkerhet, var ikke i stand til å beskytte egen stat. Her i Norge rapporterte flere sentrale virksomheter som Oljefondet, SAS og et tosifret antall kraftselskaper at de benyttet programvaren.
Hardt rammet av Exchange-sårbarhetene
Det amerikanske samfunnet ble i tillegg rammet svært hardt av Microsoft Exchange-sårbarhetene, hvor over 30,000 amerikanske virksomheter ble berørt. Dette var altså samme sårbarhet som ble utnyttet ved datainnbruddet på Stortingets e-post servere, i mars 2021. Under et halvt år etter at Stortinget ble utsatt for et liknende datainnbrudd i august 2020. Den gang uttalte PST at det er sannsynlig at Fancy Bear også kjent som APT 28 knyttet til Russlands militære etterretningstjeneste GRU, stod bak cyberspionasjen.
I etterkant av Solarwinds angrepet og utnyttelse av Microsoft Exchange sårbarhetene, har det amerikanske senatet involvert seg tungt i saken og gjennomført flere høringer om temaet. Private IT- og sikkerhetsselskaper som Solarwinds, CrowdStrike, FireEye, Microsoft samt nasjonale sikkerhetsmyndigheter som CISA og FBI, har måtte svare for seg. Senatet har krevd svar på hvorfor aktørene ikke klarte å forsvare staten mot angrepene.
IT-ekspert: Skremmende hva et teknisk bilde kan røpe av sårbarheter
Presidentordre
Som følge av hendelsene og det mer krevende trusselbildet utstedte president Joe Biden den 12. mai en presidentordre for å øke cybersikkerheten i det amerikanske samfunnet. Ordren inneholder en rekke helt konkrete sikkerhetstiltak som skal implementeres av de mange aktørene innen en svært kort tidsfrist på 60 til 180 dager.
Blant annet finner vi:
- Trusselaktivitet skal deles umiddelbart til myndigheter med ansvar for cybersikkerhet
- Det skal fremskyndes å benytte moderne skytjenester med høyt sikkerhetsnivå
- Implementering av risikobasert sikkerhetsarkitektur med utgangspunkt i Zero-Trust
- Myndighetene skal tilstrebe mest mulig standardisering for ugraderte systemer
- Ugradert informasjon skal verdivurderes og beskyttes etter skadepotensial
I tillegg til digital spionasje, er løsepengevirus et trusselscenario som står høyt på private- og offentlige virksomheters agenda for tiden. Økningen i angrep er sterk og politiet skriver i sin trusselvurdering for 2021 at det vurderes som meget sannsynlig at norske virksomheter vil bli utsatt for datainnbrudd med løsepengevirus. Og videre skriver politiet at det er videre mulig at virksomheter med samfunnskritiske funksjoner vil bli utsatt for datainnbrudd.
Østre Toten kommune
Et godt kjent eksempel fra Norge i nyere tid, er løsepengeviruset som slo ut Østre-Toten kommune i januar 2021. Kommunens digitale tjenester ble utilgjengelige og ansatte måtte gå over til penn og papir. I tillegg ble sensitive data som trusselaktørene hentet ut, tilgjengeliggjort for nedlasting på «DarkWeb». Angrepet viser hvor omfattende konsekvensene av et slikt trusselscenario kan være for norske virksomheter.
Digital spionasje, sabotasje, omfattende bruk av skadevare som f.eks. løsepengevirus samt desinformasjons- og påvirkningskampanjer, kan alle være virkemidler for å skape konflikt, uro og usikkerhet, både i sivilsamfunnet og staten og dens underliggende virksomheter. Virkemidlene kan benyttes av strategiske trusselaktører for å destabilisere samfunnet.
Skal vi evne å ivareta samfunnslimet også i det digitale domenet, er vi nødt til å sørge for tilstrekkelig digital sikkerhet. Det amerikanske senatet og president Biden viser at det digitale samfunnet nå har blitt for viktig til at det kun kan overlates til et lite fåtall fageksperter alene. Som en høyt digitalisert nasjon bør vi i Norge vurdere det samme.
Vi kan blant annet:
- Iverksette en sentralstyrt innsats for å øke cybersikkerhetstilstanden i Norge
- Implementere et lovverk for IKT-sikkerhet etter anbefaling fra NOU 2018:14
- Etablere en «felles digital grunnmur» slik blant annet NSM har tatt til orde for
- Mer og bedre samordning i det risikoreduserende, forebyggende sporet
- Utarbeidelse av dimensjonerende trusselscenarioer for sikring av sektorer i Norge
- Bedre sammenheng mellom de mange proaktive og reaktive aktørene og tiltakene
Cybersikkerhet bør derfor inn som et tema i årets stortingsvalgkamp. Vi har flyttet vårt demokratiske samfunn over til digitale plattformer, og nå må vi også sikre den digitale tilliten.
Innlegget er skrevet med utgangspunkt i et fagnotat om strategisk cybersikkerhet som forfatteren har skrevet på vegne av UTSYN – forum for utenriks og sikkerhet. Fagnotatet inneholder seks konkrete forslag til hva som kan gjøres for å styrke Norges cybersikkerhet
Her er regjeringens råd for tryggere datasentertjenester
