KOMMENTAR | Hans-Petter N.-Hansen
Vi har effektivisert oss inn i en ny sikkerhetsrisiko
Norge har brukt de siste tiårene på å gjøre samfunnet raskere, enklere og mer digitalt. Gevinsten har vært enorm, men samtidig har vi samlet stadig mer funksjonalitet, data og avhengighet i et begrenset antall systemer og leverandører. Det gjør at digital sikkerhet i økende grad handler om hvorvidt samfunnet vårt fortsatt fungerer når noe svikter.
Publisert
Hans-Petter Nygård-Hansen
Hans-Petter Nygård-Hansen er teknologihumanist, forfatter og foredragsholder med fokus på teknologiens påvirkning på mennesker, samfunn og arbeidsliv. Han er fast kommentator i Computerworld.
I forrige uke skrev Morgenbladet om en IT-anskaffelse som på overflaten kunne se ut som en ganske smal sak for universitetssektoren. Universitetet i Oslo, NTNU og Universitetet i Agder er pålagt å ta i bruk en felles løsning for identitets- og tilgangsstyring, Løsningen er amerikansk, mens personopplysningene lagres hos Amazon Web Services i Stockholm.
Forsknings- og høyere utdanningsminister Sigrun Aasland hadde tidligere opplyst Stortinget om at personopplysningene som kunne utleveres, var begrenset til personnummer og e-postadresser. Dokumenter Morgenbladet har fått innsyn i, viser at systemet behandler langt flere opplysninger, blant annet navn, mobilnummer, IP-adresse, aktivitets- og bruksdata, ansettelsesforhold, gruppetilhørighet og informasjon knyttet til adgangskontroll.
Aasland erkjenner nå at informasjonen hun ga Stortinget var «upresis og mangelfull». Personvernvurderingen avslører samtidig at amerikansk personell i bestemte situasjoner må kunne få tilgang til data i klartekst for å drifte løsningen. Dermed kan ikke kryptering alene eliminere risikoen knyttet til amerikansk jurisdiksjon.
Saken er interessant langt utover universitetssektoren, for den viser hvor vanskelig det har blitt å trekke klare grenser mellom IT-drift, personvern, cybersikkerhet, beredskap og geopolitikk.
Flere risikoer har blitt én
For ett år siden var jeg konferansier på Arrow Cybercrime Security Day. Den 23. september skal jeg gjøre den samme jobben igjen. I forbindelse med forberedelsene til jobben har jeg gått gjennom hva som faktisk har endret seg siden sist. Det som først og fremst slår meg, er hvor mange utviklingstrekk som tidligere kunne diskuteres hver for seg, nå griper direkte inn i hverandre.
Kunstig intelligens har fått langt større operativ kapasitet og autonomi. Identiteter blir stadig viktigere fordi både mennesker, applikasjoner og KI-agenter trenger tilgang til systemer og data. Kritiske samfunnsfunksjoner blir tettere digitalt sammenkoblet. Samtidig har den geopolitiske utviklingen gjort teknologileverandører og digital infrastruktur til en del av sikkerhetspolitikken.
I løpet av det siste året har trusselaktører beveget seg fra eksperimentell bruk av KI til operativ anvendelse. Cyberkriminelle har i dag adaptive KI-verktøy som kan omskrive kode og KI-agenter som kan navigere i systemer med begrenset menneskelig oppfølging. Kunstig intelligens har for alvor endret tempoet, skalaen og graden av automatisering. Det skjer samtidig som vår egen avhengighet av digitale systemer øker. Den kombinasjonen frykter jeg det er mange som undervurderer.
Friksjonen vi har bygget bort kan komme tilbake
Digitalisering har i stor grad handlet om å fjerne friksjon fra samfunnet. Banken ligger på telefonen. Journalen er digital. Flybilletten ligger i en app. Identiteten vår åpner døren til offentlige tjenester, arbeidsplasser og stadig flere private tjenester. Data flyttes til skyen. Systemer integreres. Prosesser automatiseres.
Dette har gitt oss enorme gevinster. Samtidig har vi samlet stadig mer funksjonalitet, data og avhengighet i et begrenset antall digitale systemer, identiteter og leverandører. Dermed kan den samme teknologien som skaper flyt i normalsituasjonen skape svært mye friksjon når den svikter, angripes eller blir utilgjengelig. Jakten på å ta i bruk teknologi for å fjerne friksjon, har samtidig gått på bekostning av hvor avhengig vi har gjort oss av den samme teknologien.
Det er også denne utfordringen NSM peker på i deres Risiko 2026-rapport. Der skriver NSM blant annet at norske virksomheter som bruker utenlandske skytjenester gir fra seg deler av kontrollen over digital infrastruktur, systemer og data. Tekniske problemer, cyberoperasjoner eller endrede vilkår hos en stor leverandør kan få betydelige konsekvenser for tjenester samfunnet er avhengig av. NSM advarer også om at stor avhengighet over tid kan svekke norsk kapasitet og kompetanse til å utvikle, drifte og beskytte tilsvarende løsninger.
Det gjør Morgenbladets universitetssak prinsipielt interessant. En felles løsning kan selvfølgelig gi fordeler. Standardisering kan redusere kostnader, gjøre forvaltningen enklere og gi tilgang til sikkerhetskompetanse og investeringer få norske fagmiljøer kan matche alene. De amerikanske teknologiselskapene har vært helt avgjørende for digitaliseringen vi nyter godt av. Det er nettopp derfor dette har utviklet seg til en særs krevende diskusjon.
Teknisk sikkerhet og strategisk motstandskraft er ikke alltid det samme. En løsning kan være svært sikker og samtidig øke avhengigheten av én leverandør, én jurisdiksjon eller ett økosystem.
Europa har oppdaget avhengigheten
Denne diskusjonen foregår heller ikke bare i Norge. EU-kommisjonen lanserte i juni en egen pakke for teknologisk suverenitet. Kommisjonen anslår at EU er avhengig av land utenfor unionen for mer enn 80 prosent av sentrale digitale produkter, tjenester, infrastrukturer og immaterielle rettigheter. Målet er å redusere strategiske avhengigheter innen blant annet skytjenester, kunstig intelligens, halvledere og programvare.
Det interessante her er hva som har skjedd med begrunnelsen i løpet av det siste året. Europeisk digital suverenitet har lenge vært diskutert som næringspolitikk. Europa skulle få flere egne teknologiselskaper, mer innovasjon og større konkurransekraft. Nå brukes ordet motstandskraft stadig oftere. Det flytter diskusjonen fra hvem som tjener pengene på digitaliseringen til hvem som faktisk har kontroll når verden blir stadig mindre forutsigbar.
Cybersikkerhet har flyttet inn i statsministerens taler
Denne forskyvningen er også synlig i norsk politikk. I nyttårstalen beskrev Jonas Gahr Støre påvirkning, desinformasjon, etterretningsaktivitet og sabotasje som trusler som kan ramme transportårer, industrianlegg, olje- og gassinstallasjoner og banker. Han trakk også frem strømstans og datasammenbrudd på sykehus og flyplasser som situasjoner samfunnet må være forberedt på. Mot slutten av talen beskrev han Norges høye tillit og levende demokrati som deler av landets «immunforsvar».
Seks dager senere sto han foran norsk næringsliv på NHOs årskonferanse. Der ba han lederne i salen å vurdere om bedriften er sikker og om teknologien er godt nok beskyttet. Han trakk eksplisitt frem bank, finans, data, sykehus og digitale tjenester som deler av samfunnets beredskap. Det er en betydelig politisk forskyvning, for nå har digital sikkerhet utviklet seg til å bli en direkte beskyttelse av samfunnets evne til å fungere.
Tilgjengelighet fortjener mer oppmerksomhet
Sikkerhetsdiskusjonen har lenge vært dominert av hva uvedkommende kan få tilgang til. Hvem kan stjele dataene våre? Hvem kan lese dem? Hvem kan manipulere dem?
Derfor handler cyberrisiko i dag om hvor mye friksjon noen kan påføre samfunnet vårt. Og hvor mye friksjon vi tåler før tilliten til de samme tjenestene og institusjonene stuper.
Tilgjengelighet fortjener minst like mye oppmerksomhet fremover. I løpet av sommeren har en rekke sentrale offentlige- og private tjenester blitt utsatt for alvorlige tjenestenektangrep. Angrep som førte til konsekvenser for de aller fleste i Norge. For tidskritiske systemer kan selv relativt enkle angrep få alvorlige følger. Derfor handler cyberrisiko i dag om hvor mye friksjon noen kan påføre samfunnet vårt. Og hvor mye friksjon vi tåler før tilliten til de samme tjenestene og institusjonene stuper.
Hva skjer dersom vi ikke får logget inn? Dersom identiteten vår ikke kan verifiseres? Dersom skytjenesten forsvinner? Dersom en geopolitisk konflikt endrer rammebetingelsene for en leverandør? Dersom virksomheten teknisk sett eier dataene sine, men ikke lenger har kompetansen eller infrastrukturen til å drive tjenesten selv?
Dette er spørsmål som hører hjemme i ledergruppen og styrerommet.
Robusthet koster
I mange år har digitaliseringens logikk vært konsolidering, standardisering og effektivisering. Det er forståelig. Parallelle systemer, ekstra kapasitet og alternative leverandører koster penger. Redundans kan oppfattes som både pengesløseri og unødvendig helt frem til den dagen du trenger den.
En exit-strategi som bare finnes i et dokument, har liten verdi dersom organisasjonen har mistet menneskene som faktisk kan gjennomføre den.
Derfor bør vi begynne å vurdere digitale investeringer på samme måte som annen kritisk infrastruktur. Virksomheter må vite hvilke avhengigheter de bygger inn, hvilken jurisdiksjon leverandørene opererer under, hvor raskt en kritisk tjeneste kan flyttes, hvilke reelle alternativer som finnes og hvilken kompetanse som må beholdes internt.
En exit-strategi som bare finnes i et dokument, har liten verdi dersom organisasjonen har mistet menneskene som faktisk kan gjennomføre den. Det er kanskje den viktigste lærdommen fra utviklingen det siste året. Vi har blitt svært gode til å bygge et samfunn basert på mindre friksjon. Den neste fasen av digitaliseringen bør handle like mye om å sikre at vi fortsatt kan fungere den dagen friksjonen kommer tilbake.
