Jeg skal innrømme at da korona slo inn over Norge og vårt kjære samfunn over natten nærmest ble holdt som gissel, så var ikke det første jeg tenkte på hvilke IT-sikkerhetstrusler det kunne utgjøre. Da gikk tankene først og fremst til hvordan dette aggressive og hittil ukjente viruset kunne ramme de jeg er aller mest glad i.
Men det er nettopp for å kunne prioritere mer akutte behov og eventuelt tillate seg noen følelsesmessige distraksjoner at beredskap og kriseplaner er en helt avgjørende disiplin innen IT-sikkerhet. Når krisen er et faktum, så er det som regel for sent å agere. Det kunne fått alvorlige konsekvenser for deg og meg – og for Norge.
For da Norge stengte ned, ble deler av kriseledelsen i Helsedirektoratet sendt på hjemmekontor med PC-er som var sårbare for hackerangrep, kunne NRK melde 5. juni. Kanalen hadde fått innsyn i dokumenter fra Regjeringens Krisestøtteenhet (KSE). Disse viste at 120 PC-er som norske helsebyråkrater i Helsedirektoratet, HELFO og Pasient- og brukerombudet hadde fått med seg hjem når de skulle styre Norge fra hjemmekontor, hadde 36 sikkerhetshull i Windows, hvorav 7 ble betegnet som «kritiske».
Av saken går det frem at alle de ansatte i Helsedirektoratet som hadde fått med seg hver sin PC, var i den operative kriseledelsen. De skulle blant annet sørge for at krisen ble håndtert på en best mulig måte gjennom å bidra med livsviktig informasjon. Deres handlinger kunne være forskjellen på liv og død. Det var med andre ord ikke rom for feiltrinn.
Da er det skremmende å tenke på at en angriper som hadde utnyttet et slikt sikkerhetshull potensielt kunne gjort «alt de ansatte kan gjøre, med de samme rettighetene og tilgangene de har,» slik Vidar Sandland i Norsk senter for Informasjonssikkerhet (Norsis) beskriver overfor NRK. Faren for blant annet villende informasjon spredt til en befolkning i villrede ville med andre ord vært høyst reell.
Kun stasjonær PC på jobb? Dette bør du passe på hvis koronakrisen tvinger deg over på enhetene hjemme
Jeg stiller meg bak det Sandland i Norsis sier, og synes det er skremmende at en sektor som skal ivareta liv og helse ikke engang har sørget for å ivareta grunnprinsippene for datasikkerhet. «Et oppdatert operativsystem, oppdaterte programmer og antivirusprogram er tre helt elementære ting som må være på plass hos enhver virksomhet», sier Sandland til NRK. I tillegg vil jeg tilføye at vi alle må være oppmerksomme på hvor man lagrer jobbdata. Sørg for at det lagres der hvor virksomheten kan beskytte og ta backup av den. Ta også kontakt med virksomhetens IT-avdeling om du mistenker at det kan ha skjedd et sikkerhetsbrudd. Vær på vakt!
Foreløpig er det ikke avdekket noe som tyder på at norske helsemyndigheter var et utpekt mål blant hackere i de dramatiske ukene. Ikke denne gangen. Men det er nok av eksempler på at IT-kriminelle så absolutt var «på jobb» i midten av mars. Vi har sett flere andre eksempler i Norge og i andre land har de også opplevd flere trusler. I USA fikk helsemyndighetene et cyberangrep rettet mot sitt datasystem. Det er liten tvil om at ulike aktører har utnyttet en kaotisk og skremmende situasjon.
Angrepene vil trolig fortsette, og det er derfor svært viktig at bedrifter, ledere og fagpersoner tar IT-sikkerheten på alvor. Følg hyppig med på Nasjonal Sikkerhetsmyndighet (NSM) sine sider, overvåk kontinuerlig og iverksett tiltak for å sikre både din bedrift og dine ansattes nettverk. NSM har gått ut med en advarsel, men også med gode råd gjennom en nettside med konkrete tips.
Norge gikk klar denne gangen. Og dersom vi skulle få nye alvorlige utbrudd av Covid-19, så kommer det sannsynligvis ikke like overraskende på oss, slik at vi unngår at de som styrer landet blir utstyrt med PC-er som lar døren stå på gløtt for dem som vil oss vondt.
Men kanskje er vi ikke like heldige neste gang. Med uvedkommende inne i systemene som skal ivareta nordmenns liv og helse blir det i alle fall ikke noe mindre krevende å være helsedirektørene Bjørn Guldvog og Espen Rostrup Nakstad. Da tør jeg heller ikke tenke på konsekvensene det vil kunne få for alle oss andre.
Så ta IT-sikkerheten på alvor i tiden som kommer. Styrk beredskapen, legg kriseplaner og sørg for at grunnprinsippene, som et minimum, er ivaretatt. Vær. Så. Snill.
Et digitalt trusselbilde i krisetid
