Knallhard kamp om sikkerhetsekspertene

Vi tar de gode nyhetene først: Norske offentlige og private virksomheter viser gryende tegn til å ta faren for cyberangrep - og informasjonssikkerhet generelt - på alvor.

Fokuset ser også ut til å ha tatt spranget fra festtaler og over på rekrutteringsbudsjettet.

I skrivende stund viser et overslag basert på stillingsdatabasene hos Nav og Finn.no at i overkant av 120 stillinger er utlyst, der kompetanse innen it-sikkerhet utgjør enten hele eller deler av kompetansekravet.

Blant de som er ute og rekrutterer i markedet, finner vi både cybersikkerhetsaktører som Cyberforsvaret og NSM, offentlige instanser som Sykehuspartner, Difi og Justis- og beredskapsdepartemenetet - samt kommersielle aktører som Kongsberg Maritime, Evry, Devoteam, Visma og Accenture.

Tallene går ikke opp

Så til malurten: Hvor skal alle disse sikkerhetsekspertene komme fra?

- Behovet er ikke tallfestet, men markedet er i ferd med å bli støvsuget, fastslår direktør Kristine Beitland i Næringslivets sikkerhetsråd (NSR).

Hun viser til NSRs mørketallsundersøkelse fra i fjor, der det ble slått fast at hovedårsaken til at det ikke er gjennomført sikkerhetsarbeid, statlig som privat, er manglende kompetanse.

- NSM konkludererer med økt trusselbilde og svekket sikkerhetstilstand. Dette krever mye mer av daglig leder og styre i dag. Vi vet at myndighetene vektlegger sikkerhet i arbeidet med digitalisering av offentlig sektor, foruten at det bygges opp Finanscert, Helsecert og Justiscert i tillegg til økt satsing på Norcert. Et sted må de hente kompetansen fra, illustrerer Beitland.

- Utømmelig

Hun tror ikke utdanningssektoren er dimensjonert for å ta unna kompetansebehovet.

Hun roser samtidig det tverrsektorielle samarbeidet CSET på Gjøvik (se faktaboks), og mener sikkerhet får større fokus også ved de øvrige utdanningsinstitusjonene.

- Jeg tror at vakuumet er så stort fordi de elektroniske verktøyene nå er basisen for all virksomhet. Behovet er nesten utømmelig for øyeblikket, sier Beitland.

Mer enn et valgfag

- Ja, det er slik akkurat nå. Forsvaret mister folk til Kripos, som mister folk til NSM, som mister til Mnemonic, som mister til DnB - og så videre. Det blir en runddans, istemmer dekan Morten Irgens ved Avdeling for informatikk og medieteknologi ved Høgskolen i Gjøvik (HiG).

Hans arbeidsplass er siden oppstarten av CSET (se fakta) blitt det uoffisielle norske kraftsentret for utdanning av it-sikkerhetseksperter og relatert forskning. Tross dette framskrittet ser han et strukturelt problem innen norsk it-utdanning.

- Utdannelsesprogrammene i Norge er per i dag gjerne informatikkutdannelser, men med noen innbakte kurs i it-sikkerhet. Unntakene er Forsvarets ingeniørhøgskole og her i Gjøvik, hvor vi har bygget opp bachelor- og masterstudier utelukkende dedikert til informasjonssikkerhet. Det er krypto, penetrering, inntrengningsforsvar sikkerhetsledelse, organisasjonsforståelse, sosioteknologiske aspekter - du klarer ikke dytte alt dette inn i noen tilleggskurs, mener Irgens.

- En grasrotreaksjon

Irgens mener utfordringen ligger i et paradoks: At fagområdet endrer seg ekstremt raskt, samtidig som det forventes at man må kunne se minst tre år fram i tid.

- Det korte svaret er at også utdanning på bachelornivå må være forskningsbasert, studentene må eksempelvis kunne siste utvikling på kryptoalgoritmer. Når vi nå har gått ut og etablert konsortium med Politiet, Forsvaret og Statkraft - for å nevne noen - er det for å øke kvaliteten på studentene vi levererer. Vi har med andre ord sett på kompetansemangelen som et så stort nasjonalt problem at dette samarbeidet er blitt til nærmest som en grasrotrespons. Vi arbeider nå med Politihøgskolen om en masterutdanning innen cyberkriminalitet. Når betalte politiet et professorat sist? Heller ikke dette har vært gjort før, sier Irgens.

NSM vil ese videre

Kompetansekrisen er altså både sett og forstått av alle aktører, og tilsynelatende forsøkt demmet opp for gjennom det nyopprettede CSET-senteret på Gjøvik - i seg selv et unikt samarbeid i internasjonal målestokk.

Samtidig trenger senteret tid til å etablere seg og uteksaminere kandidater, men "ventetiden" faller på et tidspunkt hvor datasikkerhet i ulike former krever stadig mer plass i den offentlige bevisstheten.

Suget etter sikkerhetskompetanse eksploderer tilsynelatende synkront i privat og ikke minst offentlig sektor:

Digitaliseringen av det offentlige fortsetter i uforminsket takt, Cyberforsvaret er kanskje den eneste avdelingen i Forsvaret som ikke trenger å frykte budsjettøksa, og NSM fikk nylig økt sine rammer betydelig.

- I likhet med andre virksomheter som jobber med IT-sikkerhet, er NSM i vekst, og i år har vi økt bemanningen fra 140 til rundt 200 ansatte. Økningen skal fortsette i 2014. Når det er sagt, så ser vi, i likhet med mange andre, at det er vanskelig å rekruttere spesialister innenfor IT-sikkerhet. Det er mange som konkurrerer om talentene. Etableringen av CSET er et skritt på veien for å øke antallet spesialister, sier kommunikasjonsrådgiver Fredrik Johnsen i Nasjonal sikkerhetsmyndighet.

Direktør for næringsutvikling i IKT-Norge, Fredrik Syversen, ser ikke noen snarlig bedring i sikte.

- Vi ser store virksomheter med store behov, og at det ikke er veldig mange som utdannes. Problemet vil heller ikke avta, sikkerhet vil bare bli mer og mer i fokus. Men like bekymringsverdig som at vi ikke greier å få få nok folk ut av utdanningsinstitusjonene er den underliggende utfordringen i bånn: At vi ikke har nok folk til å søke seg til denne typen utdanninger, sier Syversen.