Seniorrådgiver i Nasjonal sikkerhetsmyndighet (NSM), Jørgen Dyrhaug, under sitt innlegg på temasamlingen onsdag 15. november.
Sunniva Tønsberg Gaski/TFFK
15. november var 20 bedrifter og virksomheter samlet ved Scandic i Kirkenes. Formålet var å gi kunnskap og innsikt om hvilke trusler som kan ramme bedrifter/virksomheter og andre.
Temasamlingen er arrangert av Prosjekt Leverandørutvikling Forsvaret, Porsangmoen v/Sápmi Næringshage og Troms- og Finnmark fylkeskommune. Les mer om prosjektet i faktaboks nederst i saken.
– Dagens og morgendagens trusler i cyberspace er ikke interessant
– …vi får ikke gjort noe særlig med det, men vi kan snakke om sårbarheter! De sårbarhetene som de med illvilje utnytter, forklarer seniorrådgiver i Nasjonal sikkerhetsmyndighet (NSM), Jørgen Dyrhaug.
Dyrhaug er utdannet sivilingeniør fra Norges tekniske høgskole (NTH). Han har jobbet mange år i Forsvarsdepartementet før han gikk over til NSM i begynnelsen av 2013.
NSM er et direktorat som er en del av de hemmelige tjenestene. NSM kontrollerer sikkerhetstilstanden i stats- og kommuneforvaltningen, samt private virksomheter som er leverandører av varer eller tjenester til det offentlige i forbindelse med sikkerhetsgraderte anskaffelser. NSM ble opprettet i 2003.
Forebyggende sikkerhetstjeneste er regulert i sikkerhetsloven av 1998. Tjenesten skal motvirke spionasje, sabotasje og terror-handlinger som kan bli rettet mot skjermingsverdige objekter og informasjon. NSM er også det nasjonale fagmiljøet for IKT-sikkerhet, og er nasjonal varslings- og koordineringsinstans for alvorlige dataangrep. (kilde: Store norske leksikon)
– Vi har ikke mandat til å ta angriperne, men vi kan gjøre noe med sårbarheten vår, sier han og peker på hvor dårlig det står til i Norge og at det i all hovedsak er en holdningsendring som må til.
– Dette er et system- og holdningsproblem, forklarer seniorrådgiveren.
Dyrhaug fortsatte med å si at man ikke skjønner at man ikke skjønner datamaskiner og cyberspace.
– Jeg anbefaler alle å sjekke ut NSM sine grunnprinsipper for IKT-sikkerhet 2.0, sa Dyrhaug.
Cyberspace er betegnelse på en «verden» av sammenkoplede datasystemer og informasjonsressurser. I dag brukes betegnelsen gjerne om internett, både om det fysiske nettet der digitale overføringer foregår, og om det virtuelle rommet der kommunikasjonen mellom mennesker foregår. (kilde: Store norske leksikon)
– Det er forskjell på farlig og skummelt
– Det er helt genialt at mennesker ser forskjellen her, ellers hadde vi ikke blitt til, men vi er analoge mennesker i en digital verden og har ikke en digital intuisjon. Vi kobler oss mot internett som om det er en fordømt naturkraft, forklarte seniorrådgiveren i NSM.
Han tipset forsamlingen om et umiddelbart sikkerhetstiltak man kan gjøre på individnivå.
– Ha ulike passord i alle plattformer og tjenester!, sa Dyrhaug og fortalte videre at det som regel er ansatte som er den største IT-sårbarheten et foretak kan ha.
Cybersikkerhet og Forsvarets krav til sikkerhet i leveranser
Hensikten med temasamlingen er å bevisstgjøre bedrifter og virksomheter på truslene i cyberspace som kan ramme små og mellomstore bedrifter (SMB), men først og fremst var det fokus på de krav forsvarssektoren stiller til SMB for beskyttelse av data og verdier i forbindelse med leveranser.
Fra Forsvarets logistikkorganisasjon kom rådgiver Bjarte Brundtland og sikkerhetsleder Niklas Pedersen for å ta deltakerne gjennom sikkerhetskrav i forbindelse med leveranser.
FLO er en fellesinstitusjon i Forsvaret underlagt Forsvarssjefen, med ansvar for å levere logistikktjenester til Forsvaret og forsvarssektoren i fred, krise, konflikt og krig. (kilde: Store norske leksikon).
Innledningsvis minte Pedersen forsamlingen om Sikkerhetsloven.
– Den skal bidra til å trygge Norges suverenitet, territorielle integritet og demokratiske styreform og andre nasjonale sikkerhetsinteresser, forklarte Pedersen.
Rådgiver Bjarte Brundtland og sikkerhetsleder Niklas Pedersen fra Forsvarets logistikkorganisasjon (FLO)
Sunniva Tønsberg Gaski/TFFK
Loven gjelder for statlige, kommunale og fylkeskommunale organer. Det er NSM som fører tilsyn med virksomheter som er omfattet av loven.
Digital sikkerhet
– Digital sikkerhet er ofte noe som bes om i kravspesifikasjonen, sa Pedersen.
I innlegget deres kom de med noen generelle krav til forebyggende sikkerhetsarbeid:
- Styringssystem for sikkerhet
- Leverandørens ansvar
- Krav om forsvarlig sikkerhetsnivå
- Utgifter til oppfyllelse av sikkerhetskrav
Forsvarsbyggs ulike krav og erfaringer på sikkerhetsmessige forhold
Fra Forsvarsbygg ble Avdelingsleder region Nord, Per Christian Ludvigsen, og anskaffelsesansvarlig i avd. for anskaffelser, Marit Bryn, sendt til temasamlingen i Sør-Varanger for å dele krav og erfaringer på sikkerhetsmessige forhold i anskaffelsesprosesser.
Forsvarsbygg har gjennom hele prosjektperioden vært sentral samarbeidspartner og bidragsyter.
Forsvarsbygg er et forvaltningsorgan som er underlagt Forsvarsdepartementet. Forsvarsbyggs hovedoppgave er planlegging, utbygging, forvaltning, utleie og salg av Forsvarets eiendommer. Forsvarsbygg er en egen etat, og ikke en del av Forsvaret. (kilde: Store norske leksikon)
Bryn tok forsamlingen gjennom en generell introduksjon av deres krav og erfaringer.
– I konkurransefasen lages det en sikkerhetsavtale med leverandøren (gjennomføres etter prekvalifisering) og krav til autorisering og eventuelt også klarering for personell som skal regne på jobben/ få tilgang til konkurransegrunnlaget, forklarte anskaffelsesansvarlig Bryn.
Sikkerhetsklarering
Videre forklarer hun at i kontraktsfasen skal leverandørpersonell som trenger sikkerhetsklarering kun inneha norsk statsborgerskap, eller kun inneha statsborgerskap fra land som Norge har sikkerhetsmessig samarbeid.
Andre krav for kontrakt er leverandørklarering, praktisk gjennomføring og risiko for saksbehandlingstid.
Kommune som har kjent det på kroppen
Den 2. februar i år ble Vadsø kommune utsatt for et dataangrep. Det samme skjedde med Sør-Varanger kommune. Begge kommunene ble direkte angrepet og måtte stenge ned det kommunale nettet for å undersøke hvor kraftig de ble rammet.
Flere av de andre kommunene valgte å stenge ned sine systemer i frykt for angrep. I tillegg ble det gjort forsøk i Porsanger, Hammerfest og Alta.
Kommunedirektør i Vadsø kommune, Jarle Lystad, hadde besatt stillingen sin i kun 4 måneder.
– Jeg var på ingen måte forberedt på at jeg skulle oppleve et dataangrep så tidlig på mine nye arbeidsplass, forklarte han.
Slapp med skrekken
– Vi satte sammen en krisestab så fort IKT-sjefen i kommunen oppdaget unormal aktivitet på kommunens systemer, fortalte Lystad.
Han forklarte videre at lederne i hele kommunen fikk i oppgave å kartlegge hva som fungerte og ikke, og hvor kritisk dette var.
– Heldigvis var det ingen tap av data eller sensitiv informasjon på avveie, men det har vært dyrt og tidkrevende å komme tilbake, sa han.
Avslutningsvis sa han at det er uhyre viktig å ha oppdaterte planverk opp mot kriser.
– Vi slapp med skrekken denne gangen, avsluttet kommunedirektøren.
Hvem som stod bak dataangrepet er ikke kjent.
Ga temasamlingen mersmak?
Les saker fra tidligere arrangementer hvor små- og mellomstore bedrifter møtte forsvarssektoren:
Forsvaret inviterte bedrifter til Porsangmoen leir
Bedrifter møtte Forsvaret
– Fylkeskommunen ønsker at Forsvaret er tydelig på sitt behov
Prosjektet lanserer rapport fra evalueringsstudie 23. januar 2024 på Garnisonen i Porsanger. Mer informasjon og invitasjon til dette kommer.
Prosjektet har som mål å øke den lokale verdiskapningen gjennom forsvarets tilstedeværelse i regionen, spesielt med fokus på investeringen i forbindelse med re-etableringen av Finnmark Landforsvar ved Porsangmoen.
Prosjektet er i regi av Troms og Finnmark fylkeskommune i samarbeid med Sápmi næringshage AS, NHO, NHO Arktis og Forsvarsbygg.
Fakta om gjenopprettelsen av Finnmark landforsvar
Stortinget vedtok i 2017 å gjenopprette Finnmark landforsvar. Dette skjedde etter anbefaling fra Landmaktutredningen fra 2016, og etter behandling av stortingsproposisjon nr. 2 i 2017; den såkalte Landmaktproposisjonen.
Det ble lagt til grunn at den sikkerhetspolitiske situasjonen tilsa et særlig stort behov for enhetlige ledelse og planlegging i landsdelen, så vel som en styrket tilstedeværelse av land-militære styrker i Finnmark. (Kilde: Store norske leksikon)
Prosjekt leverandørutvikling Forsvaret sin temasamling om IT-sikkerhet og cybersikkerhet den 15. november i Kirkenes.
Sunniva Tønsberg Gaski/TFFK