DEBATT | Sikkerhet
Tilgjengelighet er sikkerhet - også for NSM(?)
Når NSM slår fast at «tjenestenektangrep er forstyrrende, ikke farlig», sender myndigheten et uheldig styringssignal til norske ledere. Lav teknisk kompleksitet er ikke det samme som lav samfunnsrisiko.
Da Nasjonal sikkerhetsmyndighet 4. august 2026 publiserte artikkelen «Tjenestenektangrep er forstyrrende, ikke farlig», var budskapet trolig ment å avdramatisere. Det er en oppsiktsvekkende kategorisk formulering fra Norges direktorat for nasjonal forebyggende sikkerhet.
NSM har rett i én snever betydning: et tradisjonelt tjenestenektangrep innebærer normalt ikke at noen har brutt seg inn, endret data eller hentet ut personopplysninger. En tjeneste overbelastes til den blir treg eller utilgjengelig. Men fra dette følger det ikke at angrepet er ufarlig. NSM forveksler her angrepsmetoden med konsekvensen. Det avgjørende er ikke hvor avansert angrepet er, men hvilken funksjon som rammes, hvor lenge den er utilgjengelig, og hvor mange som er avhengige av den.
Informasjonssikkerhet hviler på tre egenskaper: konfidensialitet, integritet og tilgjengelighet. Likevel omtales sikkerhet ofte som om det bare handler om å holde uvedkommende ute. I vårt digitale samfunn kan det være like alvorlig at de autoriserte brukerne ikke slipper inn. Under angrepet 3.–4. august ble blant annet HelseID, Reseptformidleren og Kjernejournal berørt, og Apotek 1 bekreftet problemer. Det er ikke offentlig dokumentert hvor mange pasienter eller apotek som ble rammet, eller om utleveringen av legemidler faktisk ble forsinket. Hendelsen viste likevel hvor raskt et tilgjengelighetsangrep mot en digital felleskomponent kan forplante seg til helsetjenestene.
Ord fra NSM er ikke bare folkeopplysning. De leses av departementer, direktorater, kommuner, styrer og budsjetteiere. Når sikkerhetsmyndigheten sier «ikke farlig», kan det oppfattes som en åpning for å nedprioritere redundans, reservekapasitet, manuelle nødløsninger og øvelser, og for å akseptere at kritiske tjenester hviler på én leverandør eller én felleskomponent. I neste budsjettmøte kan «ikke farlig, bare irriterende» bli brukt som argument mot nettopp de investeringene i robusthet som NSM ellers etterlyser. Myndigheten risikerer dermed å svekke den beredskapskulturen den er satt til å styrke. Retningen i både gjeldende og kommende regelverk er den motsatte. For informasjonssystemer omfattet av sikkerhetsloven er tilgjengelighet ved tjenstlig behov et uttrykkelig sikkerhetskrav. Digitalsikkerhetsloven krever at omfattede tilbydere reduserer konsekvensene av hendelser slik at tjenesteleveransen kan opprettholdes. NIS2-direktivet, som ennå ikke er gjennomført i norsk rett, forsterker kravene til risikohåndtering og virksomhetskontinuitet. Tilgjengelighet er derfor ikke bare et driftsanliggende, men også et sikkerhets- og ledelsesansvar.
Det seneste angrepet mot Digitaliseringsdirektoratet illustrerer poenget. Angrepet rammet ID-porten, MinID og flere andre fellesløsninger. Altinn, eSignering og Digital postkasse ble også påvirket, og enkelte berørte tjenester var i korte perioder helt utilgjengelige. Samtidig opplyste Digdir at det ikke var indikasjoner på sikkerhetsbrudd eller at personopplysninger var kommet på avveie. Begge deler kan være sant: Det forelå ingen indikasjoner på inntrenging, og hendelsen var likevel alvorlig. Når en digital felleskomponent rammes, kan konsekvensene forplante seg til tjenestene, virksomhetene og innbyggerne som er avhengige av den. Det er selve kjennetegnet på systemrisiko.
Påfallende nok er NSMs egen fagveiledning langt mer nyansert. Der beskrives det hvordan tjenestenektangrep kan ramme virksomhetskritiske tjenester, inngå i et større sammensatt angrep, brukes til utpressing og i verste fall skade utstyr. Det harmonerer dårlig med merkelappen «ikke farlig». NSM har selv advart om at tjenestenektangrep kan inngå i større sammensatte angrep og brukes til å skape forstyrrelser eller avlede oppmerksomhet. Det foreligger ikke offentlig informasjon om at det skjedde i denne hendelsen. Fravær av samtidig inntrenging må derfor undersøkes, ikke utledes av angrepstypen alene.
Det er legitimt at NSM vil avdramatisere. Prorussiske hacktivister lever av oppmerksomhet og omtaler gjerne enkle angrep som «cyberkrig».
Det er legitimt at NSM vil avdramatisere. Prorussiske hacktivister lever av oppmerksomhet og omtaler gjerne enkle angrep som «cyberkrig». Men alternativet til panikk er ikke bagatellisering, men presisjon. En mer ansvarlig formulering ville vært: «Tjenestenektangrep innebærer vanligvis ikke datainnbrudd» fult av «Og er ofte kortvarige, men de kan likevel få alvorlige konsekvenser når viktige tjenester blir utilgjengelige.» En slik formulering er faktabasert og skaper trygghet uten å skape falsk trygghet.
Norge har digitalisert raskt, og stadig flere grunnleggende samfunnsfunksjoner avhenger av at et fåtall digitale tjenester er tilgjengelige. Da kan ikke tilgjengelighet behandles som et komfortspørsmål. Ikke alle tjenestenektangrep er farlige. Men noen kan være det. Ingen sikkerhetsmyndighet bør derfor gjøre «ikke farlig» til en generell kategori for angrep som kan gjøre kritiske tjenester utilgjengelige.
Sikkerhet handler ikke bare om å holde angriperen ute, men om at samfunnet fungerer mens angrepet pågår.
