Hvilken «kybersikkerhet» har Norge i «kyberkrigen»?


cyberwar

At antall kybererangrep mot Norge har mer enn doblet seg det siste året og at norske datasystemer er for dårlig sikrede er et faktum. Avstanden mellom trussel og sikkerhetstiltak blir stadig større i Norge. Dette er det nye trusselbilde i Norge. At  Nasjonal sikkerhetsmyndighet (NSM) nå dobler antall ansatte for å prøve å holde følge med utviklingen i antall «kyberangrep» mot Norge og norske interesser støtter bare opp under dette bilde.

Kjente «kyberkriger»

For å drive kyber-spionasje trenger man to ting – kapasitet og motiv. De fem store målt i kapasitet er Kina, Russland, Frankrike, Israel og USA, sier James Lewis, forsker ved Center for Strategic and International Studies, til TheAtlantic.com.

Han mener Kina har større kapasitet på dette området enn andre land, og at digital makt kan være en måte for dem å utligne USAs militære styrke. Han viser blant annet til at USA via sine allierte stenger Kina inne i forhold til Stillehavet. Nylig la Pentagon frem en rapport som viste flere alvorlige datainnbrudd fra Kinesiske myndigheter mot amerikanske forsvarssystemer. Kort tid senere kom Kina med tilsvarende beskyldninger mot USA.

Det er klart at Kina og USA ikke er alene om å stå bak slike angrep, men per dags dato finnes det bare tre andre kjente eksempler på at stater har stått bak kyberangrep som kan kalles for «kyberkrig». Det var Russlands «angrep» mot Estland i 2007 i forbindelse med flyttingen av et krigsmonument, samme lands desinformasjon i forbindelse med krigen med Georgia i 2008, og USA/Israel som etter all sannsynlighet sto bak Stuxnet-ormen for å ødelegge iranske atomreaktorer. Et angrep som fremdeles regnes som et tidenes mest avanserte digitale angrep.

– Norge opplever målrettede angrep, hver uke

Dette sier Roar Sundseth, generalmajor og leder for nyopprettede Cyberforsvaret – vår fjerde forsvarsgren ved siden av sjø, luft og land, som skal forsvare Norge mot angrep i og fra kyberdomenet. Ifølge forsvarssjefen er det her vi er svakest, både militært og i samfunnet generelt.

Målrettede angrep er en alvorlig affære, og vanlig antivirus er ikke tilstrekkelig for å stoppe slike angrep, understreker Snorre Fagerland, seniorrådgiver i sikkerhetsselskapet Norman.

Da New York Times nylig ble utsatt for målrettede angrep i forbindelse med artikler om Kina, viste undersøkelser at antivirus fra Symantec bare hadde funnet ett av 45 sett med angrepskode. Det kan synes patetisk, men å skylde på Symantec blir feil, mener Fagerland.

– Å teste anti-virus mot et målrettet angrep er som å si at gressklipperen er ubrukelig fordi den ikke klarer å hogge ned et tre, sier Fagerland.

Han mener antivirus beskytter folk flest ganske bra, fordi det faktisk er en ”gressklipper” de trenger, til å holde ugresset på nettet nede. Men en målrettet angriper vil typisk sjekke hva slags antivirusløsning du har, og teste sine angrep mot denne programvaren før de slår til.

«Kyberkrig» er svært ressurskrevende

Slike angrep krever for mye ressurser til at folk flest blir mål, men Forsvaret er ikke folk flest, og det er heller ikke deres motstandere. Sundseth deler trusselen mot Forsvaret inn i tre kategorier:

  1. kriminelle vinningsforbryterne – disse er de minst truende for forsvaret, da de først og fremst er rettet mot bank og finans for å svindle til seg penger, spionasje mot viktige næringsinteresser, eller ulike former for sabotasje mot viktige samfunnsfunksjoner.
  2. Private personer eller organisasjoner (aktivister) som bruker sosiale medier til å oppnå politiske mål, slik opposisjonen gjorde under «den arabiske vår» blant annet i Egypt, og nå også i Syria. Disse er ofte er mer målrettet enn de kriminelle, men det er sjelden de opprettholder fokus i mer enn en uke.
  3. nasjonalstater – disse er den verste trusselen, siden de kan jobbe tålmodig i årevis for å finne huller i it-sikkerheten.

I konfliktsituasjoner kan «kyberangrep» mot forsvaret være svært alvorlige, understreker Sundseth. Han viser til en vinterøvelse fra 2005 der et knutepunkt for kommunikasjon ble tatt over av ”fiendens” kyberoperatører. Resultatet var ødeleggende. All informasjon i nettverket måtte anses som lekket, og man kunne ikke stole på ordrene over nettet lenger.

– Motstanderen hadde, for å si det mildt, alle mulige forutsetninger for å lykkes med sine operasjoner mot Hærens avdelinger, sier Sundseth, om tidsvinduet før problemet var isolert og håndtert.

Han tror en fremtidig væpnet konflikt vil begynne på nettet, med forsøk på å trenge seg inn og skape kaos, før de tradisjonelle våpengrenene trer i kraft. Slike angrep er allerede i gang – ihvertfall forberedelsene, tror Katrin Franke ved Norsk informasjonsinnhentingslaboratorium ved Høgskolen i Gjøvik.

– Det pågår kontinuerlige, systematiske angrep, definitivt også mot Norge. De planlegges i månedsvis, sier hun.

Hun mener mye handler om posisjonering, og at angrep kan begynne med relativt usyldig programvare, som så kan brukes til å laste ned det som gjør skaden.

– Det legges ut godt preparerte feller, i tilfelle de trengs. De angrepene vi ser er toppen på isfjellet, sier hun.

Sundseth er klar over trusselen.

– Det er ikke de angrepene jeg vet om som er problemet, men de jeg ikke vet om, sier han.

Skulle det bli ufred i Norge vil muligheten til å skade norsk infrastruktur være gull verdt for en fremmed makt. I fredstid er det industrispionasje og strategisk testing av våre elektroniske forsvarsverk som foregår.

– De mest alvorlige og avanserte truslene kommer fra andre stater som ønsker å utnytte IKT til etterretningsvirksomhet. De samler inn informasjon for å understøtte egne styresmakter, og eget næringsliv og forsvar, skriver NSM i sin årsrapport for 2011.

 Ulike syn på «kyberkrig»

Det er ulike syn på om fremtidens kriger vil bli ført som «kyberkrig». Tradisjonell militær tenkning sier at det aldri vil skje, eller i beste (verste?) fall som spionasje eller sabotasje. De «gammeldagse» tenkerne mener at krigføring på marken vil fremdeles være det dominerende og avgjørende element i all krigføring.

Andre igjen sier at nettopp fordi en angriper vil kunne lamme et samfunn og ødelegge dets infrastruktur, vil en kunne oppnå det en ønsker uten bruk av militære styrker. Mange sier også at «kyberkrig» vil ha samme revolusjonerende effekt på militær styrkeevne som flyvåpenet hadde i 1930-årene. Et mer nyansert – og adskillig mer interessant – syn er å se IKT-utviklingen på dets egne premisser, og ikke ut i fra hvordan det «erstatter» tradisjonell krigføring.

Det dreier seg ikke om «kyberkrig», men om «kybersikkerhet»

I en slik sammenheng får vi både nye aktører og andre hendelser inn som en del av begrepet «kyberkrig». Det blir et stadig mer uklart skille mellom militæret og privat næringsliv, mellom militære styrker og IKT-selskaper, og mellom stater og private aktører som Anonymous og for så vidt Wikileaks.

Det innebærer at «kyberkrig» blir et for enkelt begrep. Det er samfunnets totale sikkerhet som må på agendaen – derfor begrepet «kybersikkerhet». Militære behov griper inn i samfunnsfæren på en helt annen møte enn tidligere. I tillegg kommer helt nye aktører og problemstillinger inn.

En første problemstilling er overvåkning. Det har vært gjort flere forsøk på å regulere Internett slik at statene får større innsyn i trafikken. Blant annet forsøkte Russland å få den internasjonale telekommunikasjonssektoren (ITU) i 2012 til å utvide det internasjonale rammeverket for telekommunikasjon til også å omfatte Internett. Det lyktes ikke fordi de vestlige landene – og private aktører – ikke ønsket sensur eller at noen land fikk kontroll over Internett.

Private aktører er blitt sentrale i aktører i dagens «kybersikkerhet»

Dette har ført til at flere private aktører nå er blitt en viktig informasjonskilde til ulike typer nettangrep. Det gjelder store internasjonale selskap som Symantec og MacAfee. Interessant nok – det var Telenor som oppdaget angrepet fra Kina på Nobelkomiteens hjemmeside i 2011. Disse aktørene – og en kunne legge til både Google og Facebook her – har blitt sentrale varslere på dette området fordi næringslivet ønsker varsling på innbrudd, svindel og sabotasje i sine nett.

Stater kan også ha interesse av å overvåke nettet for å unngå opptøyer eller bidra til dempe uroligheter. Militær etteretningsvirksomhet mot det private samfunn, er jo slett ikke uproblematisk rettslig eller moralsk. Vi vet i dag at FBI har utviklet programproduktet Carnivore som skanner de digitale nettverkene og muliggjør avlytting av den enkeltes kommunikasjon, brukeridentifisering, samt lokalisering og identifisering av vedkommendes kontaktvenner. At Verizon, en av USAs største mobiloperatører, er blitt pålagt å utlevere på daglig basis informasjon om alle telefonsamtaler de har i sitt system, både innenlands- og utenlandssamtaler til NSA, har skapt mye «mediestøy» og debatt om hvilken grad vi skal godta myndighetenes overvåkning av vanlig folks privatliv.

Som «mottrekk» mot dette praktiserer private aktører som Facebook, Twitter og Apple begrensinger på innsyn i det som publiseres på deres plattformer i form av bruksregler og policy. Facebook var for eksempel svært tilbakeholdende med å gi informasjon til norske politimyndigheter i den såkalte Sigrid-saken i fjor høst.

Les også: – Hva utleverer Microsoft og Google til politiet?

Samfunnet er derfor blitt mye mer sårbart. Hacking kan ramme transaksjoner innen handel og finans, transport, helsevesen og energi. Dersom dette blir rammet i noe større omfang kan vi få stengte minibanker, forstyrrelser i offentlig transport og økte oljepriser. Samtidig kan slike hendelser i et enkelt land få selvforsterkende effekter ved at det sprer seg til andre land. Hvorvidt dette er kriminell aktivitet, privatpersoners forsøk på å påvirke samfunnsinstitusjoner og næringsliv, eller målrettet «kyberkrig» fra en stat, er usikkert. Sentrale aktører for å overvåke dette er ikke bare militære og politimyndigheter, men i økende grad nettverksleverandørene selv. Offentlige myndigheter blir mer og mer avhengig av private aktører på dette området.

En strategi for «kyberkrig» fremstår derfor som en svært diffus størrelse, fra å avverge kriminalitet, via angrep på viktige samfunnsinstitusjoner (Saudia-Arabias statlige oljeselskap ARAMCO ble i 2012 rammet av et virus som sies å være det mest alvorlige angrepet mot næringsinteresser så langt. Hvor lenge er det til Statoil blir rammet av det samme?), til direkte militære angrep utført av en annen stat.

Samarbeid om å forhindre dette må være både nasjonalt (mellom offentlige og private aktører), og internasjonalt (mellom offentlige myndigheter og store internasjonale nettverksleverandører). Samtidig er både lovgivning og ansvarsfordeling, særdeles uklar.

Generaler planlegger for forrige krig. Norske offentlige myndigheter planlegger for neste 22. juli-angrep. Det vi imidlertid med sikkerhet vet er at neste krig eller terrorhandling ikke blir utført som tidligere hendelser. En må derfor tenke nytt og mer grunnleggende.

Manglende «kybersikkerhet» koster samfunnet store beløp

Skadeomfanget av kyberangrep er selvfølgelig svært vanskelig å anslå, men kongressrepresentant Dutch Ruppersberger mener det er snakk om 300 milliarder dollar totalt i 2012. Beløpet tilsvarer 1.700 milliarder norske kroner. Resultatet av disse kyberangrepene blir ikke bare at nasjonen taper konkurransekraft, men de setter også titusenvis av arbeidsplasser i fare. Det bør derfor være i nasjonens interesse å sikre best mulig nasjonal «kybersikkerhet».

Hva gjør da Norge på dette området? Har vi noen strategi for «kybersikkerhet»?

Det er like fragmentert, desentralisert og uoversiktlig som IKT-samhandling i staten:

  • Forsvaret har etablert et såkalt Cyberforsvar som skal sikre den militæreinfrastrukturen.
  • Nasjonal Sikkerhetsmyndighet (NSM) skal håndtere alvorlige angrep mot samfunnskritisk infrastruktur og informasjon, både i privat og offentlig sektor.
  • Justisdepartementet har samordningsansvar for samfunnets sivile sikkerhet.
  • Fornyings- og administrasjonsdepartementet har et koordineringsansvar for regjeringens IKT-politikk, herunder IKT-sikkerhet.
  • Forsvarsdepartementet har ansvaret for IKT-sikkerhet i militær sektor.
  • Samferdselsdepartementet har ansvaret for IKT-sikkerheten knyttet til blant annet Internett.

Det er organiseringen. Strategien er at myndighetene har ansvaret for IKT-infrastrukturen, mens private og offentlige virksomheter sørger for å sikre egen infrastruktur. Innbyggerne «må ta et selvstendig initiativ for å beskytte sin identitet, sitt eget personvern og sine egne økonomiske verdier på nett».

Det sier seg selv at dette ikke er betryggende. Det finnes ingen overnasjonal myndighet for kybersikkerhet. Man er avhengig av at en kan – og vil – samarbeide offentlige etater mellom, og mellom myndighetene og privat sektor. En slik sektoriell tilnærming er problematisk rett og slett fordi et angrep vil gå på tvers av sektorer og på tvers av aksen privat/offentlig myndighet.

Strategien er derfor uklar, organiseringen fragmentert og gjennomtenkningen av hva «kybersikkerhet» er, er mer grunn enn grunnleggende.

Flytter vi for mye ut?

Et problem for sikkerheten til norske selskaper og innbyggere er at vi er et lite land. De største selskapene har internasjonale avdelinger som er koblet til nettverkene til hovedkontoret hjemme. Andre selskaper benytter seg av tjenesteutsetting i utlandet og har mengder med sensitiv informasjon lagret utenfor Norge.

– På denne måten svekkes ikke bare værnet som norsk jurisdiksjon kan gi norske interesser. Det eksponerer også norske datanettverk for uønsket avlytting og avlesning, skriver Nasjonal Sikkerhetsmyndighet (NSM) i sin årsrapport.

NSM påpeker i sin rapport at de mener for mange norske selskaper har manglende vilje og evne til å prioritere it-sikkerhet slik de burde. Kommersielle hensyn og mangel på kompetanse er vanlige forklaringer på dette.

– Synes du sikkerhet er dyrt, prøv en katastrofe. Dette er jo noe oljebransjen har fått erfare nylig, sier tidligere konsernsjef i Veritas, Sven Ullring i rapporten til NSM.

«Kybersikkerheten» må starte på starte på bakken i de 1000 hjem og på arbeidsplassen

Norge er i dag et svært lett mål for ethvert hackerangrep. Noe som skyldes at folk flest ikke tar datasikkerhet på alvor. Et syn som kan illustreres gjennom følgende to artikler som sier litt om på hvilket nivå norsk «kybersikkerheten» ligger på:

Det hjelper da IKKE med sentrale planer, når det svikter på grassroten.

Første bud til deg som ønsker å ta «kybersikkerhet» på alvor, er å lese vår sikkerhetsguide som lærer deg det mest grunnleggende i denne sammenheng.

Nordmenn er for naive

Sjefen for Nasjonal Sikkerhetsmyndighet (NSM) tror vårt godtroende samfunn kan bli vår største svakhet.

De siste årene har spesielt fremveksten av digitale eller elektroniske trusler vokst mye og endret trussebildet. For selv om vi er en fredelig nasjon som ikke har blitt angrepet utenfra på svært lenge, betyr det ikke at trusler ikke eksisterer. Dette er nordmenn flest naive overfor, mener sjefen for NSM.

– I Norge har vi en generell tillit til hverandre. Det er bra. Men en side ved det er at vi også har en betydelig naivitet. Og det kan sette oss på prøve. Vi skal stole på hverandre, men spørsmålet er om vi noen ganger stoler for mye på hverandre, sier Kjetil Nilsen, direktør for NSM i NSMs årsmelding for 2011.

Sikkerhetsguide

http://iktnytt.no/sikkerhetsguide/Denne artikkelen inngår i IKTnytt.no sin sikkerhets guide – skrevet for deg som ønsker å lære hvordan du sikrer din PC, Mac, server, nettbrett og smarttelefon mot kyberangrep og datainnbrudd.

Klikk her eller på iconet til høyre for å gå tilbake til sikkerhet guiden`s hovedmeny.

Kort om IKTnytt.noTips ossSøk i offentlige registre

Kort om IKTnytt.no

IKTnytt.no

Ansvarlig redaktør:
Kjetil Sander

E-post:
redaksjonen@iktnytt.no

Facebook:
http://facebook.com/iktnytt/

IKTnytt.no er en nettavis for utviklere, markedsførere og ledere som ønsker å holde seg oppdatert om hva som skjer i IKT-verden - innenlands og utenlands.

Målgruppen er ikke privatpersoner som er interessert i forbruker-elektronikk, men profesjonelle brukere som er involvert i utviklingen, drift og markedsføringen av eget nettsted og mobile applikasjoner.

IKTnytt.no er utviklet og drives på hobbybasis av ansvarlig redaktør Kjetil Sander, som også står bak våre søsterportaler:

Kunnskapssenteret.com Aksjemarkedet.com

IKTnytt.no er også kundeavis for webbyrådet og hosting-selskapet OnNet AS som Kjetil er daglig leder i.

Tips oss om en nyhet!

For å sørge for at vi har de nyeste og beste IKT nyhetene trenger vi hjelp fra våre lesere.
Vi inviterer derfor nå alle våre lesere til å tipse oss om nyheter - små og store - fra nært og fjernt. Fortell oss gjerne om hva som skjer i din bedrift, hvilke problemer og utfordringer dere møter, og hvordan dere tenker å løse dem.
Fyll ut skjemaet under for å tipse oss om en nyhet.

Ditt navn (obligatorisk)

E-post (obligatorisk)

Skriv tipset ditt under i form av en overskrift ("emne"), med nærmere informasjon ("melding").

Emne

Melding

Vedlegg
Last opp vedlegg i form av bilde, logo e.l.

Svar på spørsmålet under for å bekrefte at du er et menneske og ikke en spam-robot.

Søk offentlige registre

Søk i lover, forskrifter og dommer:

 

Søk i NAV.no:

 

Søk i Foretaksregisteret:

 

Søk etter heftelser på motorvogn:

 



Søk etter reservasjon mot reklame:

 

Firmasøk i Proff.no:

 

Søk i Statistisk Sentralbyrå: