Cyberangrep mot offentlige tjenester må være en vekker for hele Norge

Av:
Vidar Strand, CISO i Telenor Cyberdefence

Da omfattende dataangrep nylig rammet offentlige tjenester, fikk mange nordmenn en konkret påminnelse om hvor avhengige vi er av digitale tjenester. For oss som jobber med cybersikkerhet hver dag, er dette ikke et enkeltstående fenomen. Angrepene blir flere, de skjer oftere og metodene blir stadig mer profesjonelle.

Det er på tide å gå fra å snakke om cyberrisiko som et teknologisk problem til å behandle det som det det faktisk er: en del av vår samlede samfunnsberedskap.

Når en digital tjeneste blir satt ut av spill, handler konsekvensene om langt mer enn teknologi. Det kan påvirke innbyggere, virksomheter og samfunnskritiske funksjoner. Det kan svekke tilliten til tjenester vi tar for gitt. I ytterste konsekvens kan det få betydning for samfunnets evne til å fungere.

Alle har en rolle

Det er lett å tenke seg at cybersikkerhet kun er et anliggende for IT-avdelingen. Dessverre er det ikke fullt så enkelt. På ledelsesnivå må digitale avhengigheter kartlegges og nødvendige midler settes av. Teknologimiljøene må endre arkitektur og løsningsvalg, og helst bygge inn sikkerhet fra starten av. Operative sikkerhetsteam må kunne oppdage og håndtere angrep raskt. Leverandører må i større grad ta ansvar for sikkerheten i hele verdikjedene sine, ikke bare nærmeste underleverandør. Og medarbeidere må vite hvordan de kan bidra til å redusere risiko. Ingen av oss kan løse dette alene.

Det er også viktig at vi deler erfaringer og kunnskap når angrep skjer. Et angrep mot én virksomhet kan gi verdifull læring for mange andre. Vi må bli flinkere til å lære av hendelser, dele relevant informasjon og styrke beredskapen før neste angrep kommer.

Tiltak må skje før krisen

Det er lett å prioritere sikkerhetstiltak når en nettopp har vært utsatt for et angrep. I «fredstid» er fokuset likevel ofte andre steder, og den virkelige testen på sikkerhetsmodenhet er hva man gjør før det skjer.

Virksomheter bør derfor stille seg følgende spørsmål:

• Vet vi hvilke tjenester og data som er våre mest kritiske?
• Har vi kapasitet til å håndtere en alvorlig cyberhendelse?
• Har vi øvd på beredskapsplanene våre i praksis?
• Vet vi hvordan vi raskt kan gjenopprette kritiske tjenester?

Hvis svaret på flere av disse spørsmålene er nei, er det et tydelig signal om at det bør handles nå. For det er nettopp nå vi har muligheten til å bygge motstandskraft. Ikke når systemene allerede ligger nede.

Vi kan ikke forhindre alle angrep. Men vi kan bli langt bedre til å stå imot dem.

Det kan kreve en endring i hvordan vi tenker sikkerhet. Vi kan ikke bygge sikkerhet med en forventning om at vi aldri blir rammet. Vi må bygge virksomhetene våre slik at de tåler at et angrep lykkes.

Det holder ikke å installere de riktige sikkerhetsverktøyene og håpe at problemet er løst. Vi må vite hva vi skal beskytte, forstå hvordan vi kan bli angrepet, oppdage hendelser raskt og ha en plan for hva vi gjør når noe faktisk skjer: Forebygging, gode sikkerhetskontroller, overvåking, kompetanse, varsling, respons og gjenoppretting må henge sammen.

Vi har alle en rolle i å gjøre Norge mer motstandsdyktig. Offentlig sektor, næringslivet, teknologileverandører, sikkerhetsmiljøene og den enkelte medarbeider. Angrepene kommer til å fortsette. Spørsmålet er imidlertid hvor godt forberedt vi er.

Som CISO er mitt budskap enkelt: Ikke vent på neste angrep før dere tar neste steg.