Rødt lys og tomme frysedisker – tåler Norge et cyberangrep?

I april ble 60 millioner mennesker rammet av et omfattende strømbrudd i Sør-Europa. Hendelsen førte til kaos og viste hvor raskt et moderne samfunn mister kontroll når strøm og nett forsvinner.

– Jo, dette kan skje i Norge, var Berit Svendsen, spesialrådgiver i Advansia, tydelig på.

Hun understreket at Norge er enda mer digitalisert enn mange av landene som allerede har opplevd slike hendelser.

– Norge har høy grad av elektronisk betaling, elektrifisert transport og digitalisert offentlig forvaltning. Samtidig er mye av den kritiske infrastrukturen koblet til nett.

Dette gir oss enorme fordeler i hverdagen, men også en betydelig sårbarhet. Dersom strømmen eller nettet faller ut, stopper ikke bare butikkene og kollektivtrafikken. Alt fra kraftforsyning til helsetjenester kan bli rammet. Det er et scenario vi helst ikke vil se, men som vi må tørre å forholde oss til dersom vi skal være reelt forberedt.

Mennesker i krise - erfaring fra Hydro-angrepet

Inger Sethov, kommunikasjonsdirektør i Reitan Retail, delte erfaringer fra da hun jobbet i Hydro under cyberangrepet i 2019. Hun beskrev hvordan produksjonen stoppet i 40 land, kommunikasjonssystemer brøt sammen og 35 000 ansatte sto uten informasjon.

– I en krise er det særlig én ting du ikke har, og det er tid. Beslutninger må tas raskt, og da er det helt avgjørende at mennesker er trent og trygge nok til å handle.

Hydro valgte å være åpne om angrepet, anmelde det til politiet og nekte å betale løsepenger. Dette var avgjørelser som ble tatt på få timer.

Gamle kontrollsystemer er et åpent mål

Trond Solberg, CEO i Defendable, pekte på at mange industrielle kontrollsystemer i Norge er flere tiår gamle og i utgangspunktet ikke skulle vært koblet til internett.

– Dette er systemer som styrer alt fra frysedisker til kraftverk. De var aldri ment å stå på nett, men er koblet til fordi vi ønsker fjernstyring og effektiv drift. Det gjør dem sårbare.

Han advarte om at Gartner og DNV spår en økning i målrettede angrep mot liv, helse og miljø i 2025. Dette gjelder ikke bare angrep mot IT-systemer, men mot selve produksjons- og kontrollsystemene.

Kultur, ikke bare struktur

Panelet var enige om at teknologi alene ikke løser utfordringen.

– Du får ikke gjort noe med strukturen hvis du ikke har med deg kulturen, sa Sethov.

Det handler om å sikre at ansatte forstår hva som er forventet av dem, og at ledelsen tar aktivt ansvar. En tilbakevendende bekymring var at cyberrisiko ofte blir skjøvet over til IT-avdelingen, i stedet for å bli behandlet som et felles strategisk ansvar.

Leverandørkjeder er en skjult risiko

Flere pekte også på at underleverandører kan være inngangsporten til angrep. Her trakk Eli Garmann fra Advansia frem et konkret eksempel som illustrerer utfordringen med leverandørkjeden.

En liten virksomhet, med seks–åtte ansatte, holdt til i et bygg uten resepsjon eller adgangskontroll. I et ulåst rom sto en server som ga full tilgang til pasientdata for en hel helseregion.

– Du trenger ikke alltid angripe den største aktøren. Hvis du finner en liten underleverandør med dårlig fysisk eller digital sikkerhet, kan du likevel få fotfeste i kritisk infrastruktur.

Eli pekte på at leverandørkjedene blir stadig mer komplekse, og at det er krevende å ha oversikt over underleverandører og deres underleverandører. Det er også usikkert om de faktisk har cybersikkerheten på stell.

– Du kan ha full kontroll på ditt eget system, men det hjelper lite hvis det svakeste ledd står vidåpent.

Behov for koordinering og støtte

Et gjennomgående tema var at Norge mangler tydelige ansvarslinjer på tvers av sektorer.

– Vi er gode innenfor sektorene, men dårlig på koordinering. Og hva med småbedriftene? Hvem skal hjelpe dem når det smeller? spurte Svendsen.

Solberg mener at det norske sikkerhetslandskapet er uoversiktlig, med overlappende roller mellom forskjellige aktører. Han tar til orde for å starte på nytt med en mer helhetlig struktur.

Til tross for de dystre eksemplene, var panelet enige om at løsningen ligger i åpenhet, trening og bedre samarbeid.

– Cyberangrep må ikke pakkes inn i vanskelige ord og skremselsbilder. Vi må snakke om det på en måte folk forstår, slik at de kan handle riktig når det gjelder, sa Solberg.