KOMMENTAR | Arild Haraldsen
«Skiftende skydekke» over årets Nokios-konferanse
Samtidig som Forsvaret presenterte sin datasentriske strategi for å styrke Norges digitale robusthet, ble nettsider verden over stengt ned fordi et alvorlig sikkerhetshull var funnet. Det viser hvor skjørt det digitale samfunnet er.
Publisert
Arild Haraldsen
Cand. polit. (statsvitenskap). Mangeårig konsulent innen strategi, digitalisering og organisasjonsutvikling. Tidligere administrerende direktør Norstella, nå selvstendig næringsdrivende (Stratit).
Hendelsene reiser flere spørsmål: Hvordan beskytte demokratiet uten samtidig å utfordre demokratiske verdier? Hvordan opprettholde demokratisk kontroll når stadig større deler av samfunnsstyringen skjer gjennom datastrømmer som ligger utenfor nasjonal kontroll? Hva vil det egentlig si å være «digital robust»?
Jeg prøver meg på noen svar. Vi kan begynne med Forsvarets nye datastrategi.
Forsvarets datasentriske strategi
Forsvaret skal investere 1850 milliarder kroner innen 2036. Anslagsvis en tredjedel av dette går til direkte teknologiinvesteringer. Til sammenligning omsetter den samlede IKT-næringen i Norge for 4-500 milliarder i året. Forsvarets investeringsbehov vil derfor være blant de største enkeltstående teknologiinvesteringene i norsk datahistorie.
Da trenger man en datastrategi som kan sikre at investeringene er optimale i forhold til de utfordringene Forsvaret har.
Tidligere har beslutninger om teknologi blitt tatt av den enkelte forsvarsgren, isolert fra andre forsvarsgrener. Nå skal investeringene bidra til å optimalisere samspillet mellom forsvarsgrener, IKT-systemer, plattformer, beslutningsstøtte og mennesker. Dataene som binder dette sammen, vil verken følge organisasjonskart, etatsskiller eller systemgrenser.
Målet er raskere deling av informasjon mellom de operative enhetene, hurtigere implementering av ny teknologi og lavere sårbarhet dersom leverandør, teknologi eller geopolitisk situasjon endrer seg.
Dette er bakgrunnen for den datasentriske strategi. Forsvaret skal selv eie og kontrollere egne data, mens teknologi, programvare og plattformer skal kunne byttes ut etter behov. Data skal lagres og beskrives i standardiserte formater, tilgangsregler og sikkerhetsklassifisering skal følge dataene, data skal forstås likt på tvers av systemer, domener og enheter, og leverandører skal koble seg til dataene gjennom standardiserte grensesnitt. Teknologi skal kunne byttes uten at dataene flyttes.
Realiseringen av strategien skal skje gjennom et partnersamarbeid med leverandørindustrien. Forsvaret skal ikke utvikle all teknologi og løsninger selv.
Det er lett å bejae en slik strategi. Den løser problemet med manglende samordning mellom forsvarsgrenene, løser opp leverandørbindinger og er et viktig bidrag for å oppnå nasjonal digital suverenitet innen et helt sentralt område for nasjonal sikkerhet.
Men ikke før var presentasjonen av Forsvarets nye strategi avsluttet, så ble Nokios hjemmeside stengt ned.
Da Nokios gikk i svart
OpenAI varslet på onsdag at de hadde oppdaget to store sikkerhetshull i nettsider som bruker PHP som programmeringsverktøy. Det gjør 70% av alle nettsider i verden.
Nasjonal Sikkerhetsmyndighet (NSM) ba alle norske virksomheter som brukte PHP, om å stenge sine nettsider umiddelbart, og foreta en sikkerhetsoppdatering. Nettsidene til Digdir, OsloMet, innloggingssystemet Feide - og Nokios hjemmeside - ble stengt grunnet «planlagt vedlikehold».
Dagen etter var sidene oppe igjen.
Dersom en hacker hadde villet utnyttet denne sårbarheten til å få kontroll over nettsider den gang, ville hen ha måttet bruke enormt med tid og mye avansert koding.
CNN har påpekt at dette sikkerhetshullet har vært kjent siden 2004. Men da var dette uproblematisk. Dersom en hacker hadde villet utnyttet denne sårbarheten til å få kontroll over nettsider den gang, ville hen ha måttet bruke enormt med tid og mye avansert koding.
Nå ble dette sikkerhetshullet funnet av KI på sekunder. Forskjellen fra den gang til i dag, er ikke bare KI, men at en ikke trenger å være spesielt datakyndig for å oppdage og utnytte en slik sårbarhet til å få tilgang til data, passord og applikasjoner.
Dette vil skje igjen. Oftere og oftere. Og da vil ikke «the good guys» i OpenAI redde oss og verden fra en katastrofe som dette kunne ha utviklet seg til. Torsdagen ble derfor en skikkelig «wake up call» verden over.
Hva er sammenhengen?
Forsvarets datasentriske strategi og onsdagens nedstengning av nettsider, avdekker noen interessante sider:
Dataene får først verdi når de er i en applikasjon. Men når applikasjonen eller koden som applikasjonen er laget med, har sikkerhetshull, vil sårbarheten allikevel være der. Forsvarets datasentriske strategi reduserer sårbarheten; den fjerner den ikke
Det er enormt krevende å flytte data fra en applikasjon til en annen. En undervurderer hvor stor kompleksitet og sikkerhetsrisiko som ligger i applikasjonene og ikke i dataene alene. Det er nettopp derfor modernisering av store virksomhetsplattformer ofte tar år selv når dataene formelt sett er «eid» av kunden
Det er samtidig en forskjell på en alminnelig nettside og Forsvarets applikasjoner, og det er en forskjell på Forsvarets applikasjoner og en kommunes digitale løsninger. For Forsvaret er gevinsten av å eie dataene sannsynligvis større enn kostnaden ved å bygge den nødvendige arkitekturen. For en kommune vil sannsynligvis kostnaden for å oppnå den type digital robusthet overskride risikoen ved fortsatt leverandørbinding. Avveiningene vil være forskjellig. Digital robusthet er avhengig av den sammenheng den opptrer i.
Digital robusthet utfordrer samfunnets verdier
Dette setter også søkelyset på det strategiske dilemma vi som nasjon står overfor: Avveiningen mellom digital robusthet og forsvar av demokratiske verdier:
Forsvarets datasentriske strategi kan sees som et forsøk på å trekke styringen over teknologiutviklingen inn under demokratisk kontroll. Tanken er at hvis sentrale samfunnsfunksjoner stopper opp fordi ett teknologilag svikter, flyttes reell makt fra de demokratiske institusjonene til de som kontrollerer infrastrukturen. Teknologien skaper på den måten en udemokratisk maktforskyvning. Strategien har som formål å bevare demokratisk styringsevne mot udemokratiske maktkonsentrasjoner.
Forsvarets datasentriske strategi er derfor noe mer enn en IKT-strategi. Den er et forsøk på å sikre at beslutningsgrunnlag, informasjonsflyt og den operative styringsevnen forblir under demokratisk kontroll, selv når teknologien leveres av private aktører.
En strategi som gjør samfunnet mer digitalt robust, kan også gi staten større overvåkingskapasitet.
Men en slik datasentrisk strategi har også en bakside. Dersom slike prinsipper sprer seg fra forsvarssektoren til samfunnet generelt (f.eks samferdsel), kan en få et spenningsforhold mellom effektiv styring og demokratisk kontroll. En strategi som gjør samfunnet mer digitalt robust, kan også gi staten større overvåkingskapasitet.
Sårbarhet i programvare som i forrige uke førte til nedstengning av nettsider verden rundt, viser et annet problem. Når kritiske sårbarheter i felles programvare fører til at offentlige nettsteder og tjenester må stenges, synliggjør det hvor mye samfunnsmakt som ligger i de digitale infrastrukturer. Å sikre data alene er ikke tilstrekkelig; dataene får verdi først når de benyttes i en applikasjon.
Demokratiet er avhengig av at borgere kan stole på informasjonen de mottar. Dersom samfunnets digitale løsninger inneholder sårbarheter, kan det true personvern og tillit. Hvis en avis, kommune eller offentlig etat blir kompromittert gjennom en programvaresårbarhet, kan tilliten til etaten og samfunnet forvitre.
Virksomheter som eier alle sine data, men mangler kontroll over sikkerheten i programvaren som behandler dem, vil fortsatt være sårbare.
Skiftende skydekke over Nokios
Det jeg tar med meg fra årets Nokios-konferanse er at «digital robusthet» hviler på tre pilarer:
Datasuverenitet (kontroll over data)
Teknologisk kapasitet (evnen til å utvikle og sikre programvare)
Digital suverenitet (kontroll over plattformer og infrastruktur).
Forsvarets datasentriske strategi belyser det første, mens PHP-sårbarhetene synliggjør den andre. Den tredje, kontroll over digitale plattformer, blir drøftet i SKATE-rapporten Skiftende skydekke. Disse tre elementene må vurderes i sammenheng.
Men det er ikke nok. Digital robusthet er ikke bare et sikkerhetsspørsmål, men også en demokratisk utfordring.
