Secure-NOK

Siv Hilde har programvare som kan stoppe alle hackere

Siv Hilde Houmb har utviklet cyber security programvare som har hele verden som marked.

Stort marked: Gründer Siv Hilde Houmb er overbevist om at datasikkerhet kommer til å bli et stort marked for de som har programvare som kan forhindre hacking.
Stort marked: Gründer Siv Hilde Houmb er overbevist om at datasikkerhet kommer til å bli et stort marked for de som har programvare som kan forhindre hacking. (Foto: Tormod Haugstad)
EKSTRA

Siv Hilde Houmb har utviklet cyber security programvare som har hele verden som marked.

Hei, dette er en Ekstra-sak som noen har delt med deg.
Lyst til å lese mer? Få fri tilgang for kun 199,- i måneden.
Bli Ekstra-abonnent »

HOUSTON: I nær 20 år har hun jobbet med å utvikle programvare som kan detektere hackerangrep og virus for industribedrifter. I vinter fikk Siv Hilde Houmb (44) en global partneravtale med Siemens.

– Den avtalen var viktig for oss. Vi har jobbet lenge med å få ferdig programvaren og ønsket oss en seriøs partner. Men vi har slitt med å få gjennomslag. Nå ser det ut til at markedet har snudd. Det skjedde noe i 2017 etter flere alvorlige hendelser hvor både bedrifter og store organisasjoner er blitt utsatt for datainnbrudd, sier Siv Hilde Houmb.

Hun er født og oppvokst på gården Nedre Houmb i Veldre utenfor Hamar, men endte opp med de mest avanserte algoritmer og metodikk innen cyber security.

Hamar og Houston

Nå pendler hun mellom Hamar der hun har åtte ansatte og et kontor i Houston som fungerer mer som et salgskontor.

– Jeg hadde store ambisjoner om å gjøre det stort innen idrett etter videregående. Jeg drev med løping og skiorientering og har tatt fag både ved distriktshøyskolen i Telemark og Idrettshøgskolen, men så ødela jeg korsbåndet mitt. Og da jeg skrev på oppgaven min i idrett, oppdaget jeg at jeg var mer interessert i pc-en og hvordan den virket enn selve oppgaven. Dermed hoppet jeg over til informatikk, først ved høyskolen i Vestfold, så i Østfold.

Der ble hun den første som tok masteroppgave i faget informatikk.

Parallelt hadde hun faste stillinger i Norsk institutt for luftforskning (NILU) i 1997-98 og i Telenor fra 1999. Der forsket hun på sikkerhet innen avdelingen for Service Platforms som handler mye om kunstig intelligens i telenettet.

«I love you»

Om hun ikke ble forelsket, så ble hun for alvor fascinert av «I love you»-viruset i 1999.

– Det var det første ødeleggende viruset i den vestlige verden. I etterkant ble det regnet på at det alene kostet mer enn sju milliarder dollar. Det hadde Microsoft nettopp tatt i bruk Outlook og ved å skrive «I love  you» i emnefeltet, var det tusenvis av brukere som åpnet det uten tanke på at det kunne være virus. Det skalerte helt vilt via minst 50 nye brukere i hvert adressefelt fra brukerne. Dette var min første erfaring med dataangrep og fra da av og fram til etableringen av Secure-NOK var jeg fokusert på å finne fram til løsninger for å hindre slike dataangrep, forteller Houmb.

Det var den samme motivasjonen som lå bak beslutningen om å ta en doktorgrad i software engineering ved NTNU mens hun samtidig jobbet i Telenor i Trondheim.

Da hun disputerte i 2007, hadde hun utviklet metodikken som ligger til grunn for den sikkerhetsløsningen som nå er blitt til flere produkter i Secure-NOK. Det største og viktigste produktet så langt har fått det talende navnet SNOK.

Patenter

Nå har Houmb tre patentsøknader inne til behandling. En av dem er godkjent i Australia og Saudi Arabia, og forhåpentlig snart i Europa, USA og Canada.

– Hvorfor vil du patentere – da kan jo alle få innblikk i teknologien?

– Når du lager metodikk for cyber security, er det deler av den du kan patentere, mens andre deler forblir hemmelige. Vi må sørge for nok beskyttelse til at konkurrentene ikke kan kopiere eller stjele metodikken. Samtidig er det lettere å få partneravtaler om man kan vise til patentert teknologi.

– Er det mange konkurrenter på dette området?

– Nei, det er få konkurrenter som utvikler teknologi for å beskytte innsiden av et kontrollsystem. Det er vel ca. 10 seriøse aktører på dette i hele verden og halvparten av disse kommer fra militære forskningsmiljøer i Israel – de som jobber med kunstig intelligens.

– Hvorfor så få?

– Fordi det er et helt nytt område og et nytt marked som nå begynner å åpne seg opp.

– Hvorfor gjør ikke de store programleverandørene også dette?

– Det skyldes nok at dette krever spesielle kunnskaper. Dette dreier seg om grunnforskning over flere år innen akademia. Bortsett fra selskapene i Israel har de andre selskapene sitt utspring fra akademia. Jeg tror man må ha en slik bakgrunn for å forstå hvordan kritisk infrastruktur fungerer og hvordan den kan angripes.

Studerte Stuxnet

Houmb forteller om Stuxnet i 2010 – den første kjente dataormen som kunne brukes på programmerbare logiske styringer(PLS) og omprogrammere industrielle systemer.

Med ryggsekk: Siv Hilde Houmb går med ryggsekken full av cyber security. – Det er vel ca. 10 seriøse aktører på dette i hele verden og halvparten av disse kommer fra militære forskningsmiljøer i Israel, sier Siv Hilde Houmb.
Med ryggsekk: Siv Hilde Houmb går med ryggsekken full av cyber security. – Det er vel ca. 10 seriøse aktører på dette i hele verden og halvparten av disse kommer fra militære forskningsmiljøer i Israel, sier Siv Hilde Houmb. Foto:  Tormod Haugstad

– Det er jo dokumentert at USA og Israel samarbeidet om dette virusprogrammet for å redusere produksjonen av uran i Iran, altså ødelegge deres atomvåpenprogram. Problemet for etterretningen i disse to landene var at virusprogrammet også gikk ut på internett. Denne avanserte koden har gitt akademia et viktig verktøy for å se hva som kreves for å angripe kritisk infrastruktur.

– Har du selv benyttet deg av denne?

– Nei, jeg har ikke det. Men jeg har studert den og benyttet meg av de tekniske systemene som ble brukt, men da i reversert form, slik at jeg kan verifisere at vår løsning kan oppdage et slikt angrep.

Siv Hilde Houmb har jobbet mye i USA de siste årene. Fra kontoret i Houston. På det meste var de faktisk fire der, men da var oljeprisen over 100 dollar.

Det dramatiske fallet i oljepris endret alt og nå fungerer Houston nærmest som et salgskontor med en fast medarbeider, men Siv Hilde oppholder seg også mye på dette kontoret hos Norway House.

Alle som har prøvd å skape ny business innen oljeindustrien, vet at det er krevende. Både fordi det er mange store konkurrenter og fordi det har vært en ganske lukket bransje i den forstand at den har vært preget av proprietære standarder.

– Da jeg startet, var jeg i samtaler med både Statoil, Schlumberger og National Oilwell Varco, og jeg fant fort ut at av disse var NOV det beste alternativet fordi de har en ledende posisjon i markedet og norske Hege Kverneland som teknologidirektør.

Laget regler for US Coast Guard

Denne samarbeidsavtalen med NOV er nå sluttført, men kanskje på grunn av denne har Siv Hilde Houmb skaffet seg en internasjonal viktig posisjon i samband med digitaliseringen av oljeindustrien.

– I 2014 fikk jeg i oppgave å lede en arbeidsgruppe i International Association of Drilling Contractors (IADC). Denne arbeidsgruppen har siden 2014 jobber med amerikanske myndigheter for å lage fornuftige retningslinjer for datasikkerhet for virksomheten ombord på skip, rigger og plattformer. Vi har blant annet laget ferdig to sett med retningslinjer sammen med bransjen og levert disse til Department of Energy i USA. Disse gir et grunnlag for de nye reguleringene som vil komme fra US Coast Guard (USCG).

Dette mangeårige arbeidet har sitt utspring i terrorhandlingene 11. September 2001. President Barack Obama var svært på alerten med bruk av mekanismer som Presidental Directives og Executive Orders for å sikre kritisk infrastruktur.

EU og Europa har kommet etter og Houmb håper de retningslinjene hun har vært med på å utarbeide, også vil bli gjeldende for land som har industri i Atlanterhavsregionen, det vil si også på norsk sokkel. Det dreier seg primært om Norge, Danmark, Tyskland, Nederland og England.

– Vi hadde en workshop i Stavanger nå i april hvor vi blant annet besøkte Ullrigg. Her delte de ulike selskapene informasjon om hva de gjør i praksis for å sikre seg mot hackere og datatyverier. Vi prøver å få industrien til å jobbe sammen, selv om den ikke har gjort det tidligere. Det gjenstår veldig mye før man har et tilfredsstillende nivå, men jeg observerer at industrien går mer i takt nå, sier Siv Hilde Houmb.

Alltid spioner

Hun er sindig som hedmarkinger flest. Og noen ganger slår Veldre-dialekten inn med et «je».

Et premiss for at dette også vil komme på norsk sokkel er EUs Network Information Systems (NIS) direktiv som ble godkjent og publisert i 2016 og som skulle implementeres i løpet av 21 måneder.

Norge har som EØS-land fått noe lengre tid på seg. Dette kommer parallelt med personverndirektivet som skal innføres i de fleste land nå i mai, mens Norge også her har fått frist til 1. juli.

– Altfor mange selskaper bryr seg fremdeles lite om datasikkerhet. Mange har vært utsatt for hackerangrep, men hendelsene har ikke vært på langt nær så alvorlige som i Ukraina lille julaften 2015 da russerne kuttet strømmen til store deler av befolkningen. Det viktigste er at vi er forberedt på at det kan skje. Vi vet jo at en stor gruppe sikkerhetsfolk som de kaller seg, også jobber for kinesiske myndigheter, men disse er mer opptatt av å spionere enn å lamme infrastruktur.

Siv Hilde Houmb har en pragmatisk tilnærming til dette problemet. For som hun sier:

– Vi har jo alltid hatt spioner og når man har fått et verktøy der man til og med slipper å sende ut eller bruke mennesker, er det jo bare naturlig at man benytter seg av det.

Mangler kontroll

Hun nevner Statnett og Eidsiva – helt tilfeldig – som hun mener har veldig gode it-systemer, men de mangler fremdeles gode kontrollsystemer for sitt utstyr – på innsiden av bedriften.

Veldig mange selskaper er opptatt av å sikre seg mot datainnbrudd hos administrasjonen, men ikke så bevisste på hvordan kritisk infrastruktur med et stort antall PLS-bokser og annet fysisk utstyr kan settes ut av spill gjennom nettet.

Det hjelper ikke om man sikrer vanntilførselen om man ikke også sikrer avløpssystemene.

Siv Hilde Houmb
Siv Hilde Houmb. Foto: Tormod Haugstad

– Dette er en side ved digitaliseringen som ikke alle er like klar over. Før måtte man fysisk reise et sted for å ødelegge et system, i dag kan dette gjøres med noen tastetrykk. Tidligere var disse systemene isolert. Vi har vært flinke til å samle informasjon om tilstand, men ikke hvordan vi skal kontrollere og sikre selve tilstanden. De siste 20 årene har vi vært for opptatt av hvordan vi skal sikre pc-ene og det de måtte inneholde av viktige kontrakter og andre ting, men altfor lite opptatt av systemene for infrastruktur som dreier seg om alt fra rent vann, strøm, transport og mange andre ting.

De retningslinjene som Houmb har vært med på å utarbeide inneholder en rekke forslag til tekniske løsninger, opplæring av personell, prosedyrer som skal følges ved ulike hendelser.

Hennes inderlige ønske er at dette nå tas på alvor og at selskapene utarbeider retningslinjer som det skal trenes på – helt på linje med dagens sikkerhetsregler.

– Dette dreier seg i høyeste grad om safety, sier Houmb som havnet opp i dette komitéarbeidet ganske tilfeldig.

Det har vært mye arbeid, men hun har aldri angret på den frivillige innsatsen. Det har gitt henne et godt omdømme og et stort nettverk.

Skiftet fokus

Secure-NOK har som nevnt nå i januar inngått en omfattende samarbeidsavtale med Siemens globalt. Det har også sammenheng med at selskapet måtte skifte fokus etter oljeprisfallet. Houmb innså allerede for to år siden at programvare for å sikre kritisk infrastruktur vil stå sentralt i en rekke store bransjer.

– Vår første installasjon av progamvaren blir heller ikke innen olje, men i to store transformatorstasjoner i Texas i slutten av mai. Den neste installasjonen blir nok heller ikke innen brønn og boring, men på en rørledning for olje i Peru. En slik består jo av et enormt antall sensorer som må sikres.

Houmb bruker trafostasjonene som eksempel på hvor komplisert datasikkerhet kan være. Når man skal etablere et kontrollsystem på innsiden av en kritisk enhet, består det gjerne av to biter: Et nettverk for kommunikasjon på innsiden og et stort antall PLC-er, altså fysiske maskiner, også på innsiden. Det dreier seg faktisk ofte om å gi beskyttelse til gamle Windows-maskiner.

– Dette er ikke pc-er som man kan få det nyeste av hele tiden. På disse trafo-stasjonene finner vi maskiner som er opp til 25 år gamle. Ofte er disse gamle maskinene koblet sammen med en del ny hardware.

– Hvorfor skifter man bare ikke ut disse gamle maskinene?

– Årsaken som oftest er at det blir veldig dyrt, dette dreier seg om et stort antall maskiner. Derfor trenger industrien også løsninger for å beskytte eldre utstyr. Og vi må også være klar over at mye av utstyret ikke er laget for å være på nettet.

– Hva er det dere konkret gjør på disse trafostasjonene?

– Det viktige er å forhindre at det er mulig å ta strømmen fra mange samtidig ved at programvaren kan detektere angrep. Sammen med Siemens så har vi laget en «boks», en nettverkssvitsj som vår software kan kjøre på. Den registrerer all trafikk og oppdager raskt et virus eller angrep over nettet.

Usynlig programvare

Houmb er tydelig på at datasikkerhet ikke bare handler om å hindre innbrudd, men like mye om hvordan man skal sikre seg mot uforutsette hendelser. Hun viser til Hydros store problemer etter en oversvømmelse rundt sitt produksjonsanlegg i Brasil, slik at de nå må gå for halv maskin.

Eller Johan Sverdrup-feltet som snart skal settes i drift. For operatørselskapene er det helt essensielt å ha utstyr som ikke svikter slik at produksjonen må stanse.

Programvaren SNOK er utviklet for å være så usynlig som mulig.

– Du kan se på den som en vaktbikkje som skal passe på alt. Hvis noen kobler seg på fra utsiden eller hvis noen har kommet seg inn på nettet, vil dette programmet varsle. Det dreier seg om masse algoritmer som lærer seg hvordan maskinene fungerer og som også oppdager eventuelle trojaner. Vi har laget den både for maskiner og for kontrollsystemer i kritisik infrastruktur, slik som strømnettet. For selve internettet er det nærmest umulig å lage et holdbart antivirus-program ettersom det krever oppdateringer hele tiden. Det er nok å vise til ”Shodan” som er utviklet nettopp for hackere.

– Må man ikke utvikle egen programvare for ulike bransjer?

– Nei, det er laget etter lego-prinsippet med masse ulike komponenter som kan settes sammen slik at det passer enten det dreier seg om produksjon i en fabrikk eller for eksempel overvåking av tunneler.

Vært hekta i 20 år

Siv Hilde Houmb sier at hun nå har samtaler med flere strategiske partnere enn Siemens. Det er mer kostnadseffektivt å få avtaler med store selskaper enn små. Siemens-avtalen er laget slik at Secure-NOK står for programvaren og andre tjeneserter, slik som opplæring, og gir Siemens mulighet til å selge programvaren over hele verden. I tillegg er programvaren bundlet opp med deres hardware.

– Men jeg er også ganske bevisst på at vi kommer fra innlandet og har derfor lyst til å få til et samarbeid med Raufoss industripark.

Med seg på laget har hun søsteren Liv Elin Houmb som er økonomisjef. Tid til barn har hun ikke hatt. Nå jobber også ektemannen i selskapet.

– Jeg har vært hekta på dette i 20 år og oppbyggingen av selskapet har tatt sju år, mye lenger tid enn jeg trodde. Finansiering av oppstartselskaper er en stor utfordring i Norge. Innovasjon Norge har gode støtteordninger, men det skorter ofte på såkalt tidligfasekapital. Det er et stort sprang å gå fra etablererstipend til å få innovasjonskontrakt med prosjektbasert støtte for da må du ha noe å vise fram. Vi har gjort mange konsulentoppdrag for å få inn penger og finansiert mye av utviklingen selv, selv om vi også har vært involvert i et EU-prosjekt og hatt et stort prosjekt med NOV.

Langdistanseløper

– Er du selv en såkalt superprogrammerer?

– Nei, det er det andre som er. I startfasen hadde jeg flere forskere på laget, men nå er ingen av dem med lenger. Forskere er ikke så interessert i kommersiell software så nå har jeg nytt godt av nedbemanning i oljeindustrien og fått inn mange unge folk, slik at jeg faktisk nå er eldst. Jeg kan programmere, men ikke tilstrekkelig til å lage en skikkelig prototyp. Jeg ville ikke brukt meg selv for å lage effektiv kode. Jeg er mest interessert i basismetodikken bak teknologien, det vil si matematiske modeller som andre koder. Som bedriftsleder blir du fort strukket i alle retninger, men grunnen til at jeg har lykkes, er nok at jeg er utholdende. Jeg er jo langdistanseløper, vet du.

Når Siv Hilde Houmb tar seg de lange løpeturene til skogs for å rydde i hodet, tenker hun på bedriftens fremtid.

– Vi har fått tilbud om oppkjøp både en og to ganger, men nå skal jeg ikke selge for jeg er helt overbevist om at dette markedet blir stort.

Kommentarer (5)

Kommentarer (5)

Eksklusivt for digitale abonnenter

På forsiden nå