I dag legger direktør for Nasjonal Sikkerhetsmyndighet (NSM), Kjetil Nilsen, frem årets rapport om den nasjonale sikkerhetstilstanden. Det skjer under den årlige sikkerhetskonferansen i Oslo.
I rapporten blir det særlig pekt på lav bevissthet rundt trusselen mot datasystemer. NSM forteller at de i 2013 avdekket at myndighetsorganer, forsvarsindustri og teknologibedrifter har vært utsatt for gjentatte, målrettede nettverksoperasjoner.
Ifølge rapporten er risikoforståelsen i norske virksomheter mangelfull, og toppledere blir i svært liten grad blir målt i sikkerhet.
Les også: I denne bransjen er du nesten sikret jobb
50 alvorlige tilfeller
NSM håndterte 50 alvorlige digitale infiltrasjonsforsøk i 2013, av totalt nesten 16.000 såkalte sikkerhetshendelser.
Tilsvarende tall for 2012 var 46, og 23 for 2011. Ved noen tilfeller kan angriperne ha vært inne i datasystemene over flere år, ifølge rapporten.
NSM peker dessuten på liten åpenhet rundt angrepene. Norske virksomheter som utsettes for dataangrep lar det svært sjelden bli offentlig kjent.
Dette betyr igjen at det blir liten samfunnsmessig bevissthet rundt den faktiske situasjonen i Norge, lyder rapporten.
Les også: – En norsk kommune utsettes for 6000 dataangrep i døgnet
Berømmer Telenor
NSM har ikke noe enkelt svar på hvorfor så mange holder tett.
– Det er vanskelig å si, men mange vil nok tenke at omdømmet vil bli svekket dersom de går ut med den type informasjon. Samtidig har vi sett at virksomheter som har delt informasjon offentlig tvert i mot har visst at de er klar over risikoene og har håndtert situasjonen på en god måte, sier informasjonssjef Kjetil Berg Veire i NSM.
I rapporten blir Telenor trukket frem som et slik eksempel. Det var omtrent på denne tiden i fjor at flere Telenor-topper ble utsatt for et sofistikert trojaner-angrep.
"I lys av dette er Telenors åpenhet i etterkant av angrepet på egne systemer i begynnelsen av 2013, et meget godt eksempel på at åpenhet ikke nødvendigvis gir en negativ effekt for virksomheten."
Les også: IT-kriminelle stjal 260 millioner fra bankkontoer
Foreslår resultatkrav
I rapporten blir alvorlige angrep på selskaper omtalt, uten at NSM kan fortelle konkret hvilke det dreier seg om.
En teknologibedrift skal ha blitt utsatt for gjentatte målrettede angrep over tid, mens det ble avdekket at en annen teknologibedrift i praksis ikke hadde noe sikkerhetssystem.
Blant observasjonene i rapporten er at norske virksomheter kjøper kommersielle sikkerhetsprodukter som kun som er egnet til å stoppe kjent skadevare, at man ikke gjennomfører nødvendige sikkerhetsoppdateringer og at det er for enkelt å skaffe tilgang til kritiske datasystemer.
Hele én av tre virksomheter som ble kartlagt kunne ikke legge frem dokumentasjon på sikkerhetsgraderte informasjonssystemer hadde nødvendig sikkerhetsgodkjenning.
Som tiltak mot sikkerhetsutfordringene foreslår NSM blant annet opplæring i risiko og skadevurdering, at det skal stilles mål- og resultatkrav i forebyggende sikkerhet til ledere i statlig sektor.
Les også:
– Bedre opplæring kunne trolig avverget angrepet mot Telenor-ledelsen
