Totrinnspålogging bør være et absolutt krav

Ifølge Nasjonal sikkerhetsmyndighet var det en tredobling i antallet sikkerhetshendelser i Norge fra 2019 til 2020. Dette er en trend som også har fortsatt så langt i år. Et annet utviklingstrekk NorSIS ser, er at stadig mer kriminalitet i det digitale rom blir rettet mot mennesker, ikke maskiner. Sosial manipulasjon er i dag en vel så stor utfordring som den tekniske sikringen av digitale verdier.

Lars-Henrik Gundersen. Foto: Nicolas Tourrenc

NorSIS la nylig, for sjette året på rad, frem sin rapport om nordmenns digitale sikkerhetskultur. Overordnet viser den at selv om det er enkelte tegn til en forbedret sikkerhetskultur blant flere nordmenn, står andelen som har fått tilbud om organisert opplæring i digital sikkerhet nærmest stille. Bare 24 prosent oppgir at de har mottatt dette i løpet av de to siste årene. Denne andelen må kraftig opp.

Det bør også straks innføres et absolutt krav om totrinnspålogging i alle norske kommunale IT-systemer. Staten bør også tilby de mange små og mellomstore bedriftene i Norge, som er ekstra utsatte for dataangrep, gratis opplæring og veiledning for å sikre deres digitale verdier.

Veksten i bruk av totrinnspålogging vi så fra 2019 til 2020 har i år flatet ut. Én av to nordmenn oppgir nå at de bruker dette der det er mulig. Her kunne myndighetene gått foran med et godt eksempel og kreve at dette innføres i alle kommunale og fylkeskommunale systemer umiddelbart. Å ha IT-systemer i dag uten denne mekanismen kan best sammenlignes med å spille russisk rulett med egen sikkerhet. Det er rett og slett ikke spesielt tillitvekkende.

Les også

Russland avviser anklager om datainnbrudd

Når de cyberkriminelle angriper, skjer det gjerne mot det svakeste leddet. Det er ofte enklere å angripe i leverandørkjeden til et stort og attraktivt mål enn å rette angrepet direkte mot hovedmålet.

Akkurat som Skatteetaten i dag tilbyr kurs i fradrag og moms, burde det offentlige stille opp og tilby disse vandrende angrepsmålene gratis opplæring

Flere hundre tusen norske små og mellomstore bedrifter inngår i disse leverandørkjedene. De er ofte attraktive brohoder i videre angrep mot alt fra vår felles kritiske infrastruktur eller for den saks skyld, helsevesenet. Det skjer fordi de nettopp ikke oppfatter seg selv som attraktive angrepsmål og følgelig ofte ikke har gjennomført grunnleggende opplæring av sine ansatte.

For å sikre våre felles verdier mot denne type angrep, må det derfor være et samfunnsansvar å sikre disse bedriftene. Akkurat som Skatteetaten i dag tilbyr kurs i fradrag og moms, burde det offentlige stille opp og tilby disse vandrende angrepsmålene gratis opplæring i å sikre bedriftens opplysninger. Det er uholdbart at våre personopplysninger og tilgjengeligheten til tjenester håndteres forskjellig fra kommune til kommune, avhengig av kommunens økonomi og innkjøpskompetanse.

Vi kan ikke fortsette å sende nordmenn ut i trafikken uten annen forkunnskap enn hvor gassen, giret og rattet er. Det er en oppskrift på flere ulykker. Vi må også sørge for å slå på de sikkerhetssystemene som faktisk gjør oss tryggere.

Lars-Henrik Gundersen

Adm. direktør i Norsk senter for informasjonssikring (NorSIS)/Slettmeg.no