Det cyberkriminelle økosystemet

Digitale verktøy og digitale kommunikasjonskanaler er en del av det vi gjør på stort sett alle områder i samfunnet. Både i dagliglivet og på jobben. I offentlige tjenester, i private virksomheter, i frivilligheten og i livene våre slik de leves og tjenestene vi er avhengige av. Og naturligivis også i det kriminelle organisasjoner og nettverk gjør. 

Ja, det er sannsynligvis blitt slik at mange kriminelle aktører er blant de mest avansere brukerne av digitale verktøy og digital kommunikasjon, og benytter sin digitale spisskompetanse på en rekke ulike områder for å berike seg selv, eller for å skade enkeltpersoner,  virksomheter og samfunnet.

Cyberkriminalitet 2026

Kripos er en etat i Politiet som har som mandat å fortstå, forebygge og bekjempe alvorlig, organisert og samfunnsskapdelig kriminalitet. De har nettopp utgitt rapporten Cyberkriminalitet 2026, som gir en helhetlig, analytisk  og oppdatert beskrivelse av cyberkriminalitetens karakter, omfang og forventede utvikling i Norge, basert på politiets kunnskap. 

Det er interessant at rapporten så tydelig bruker begrepet "økosystem" om den organiserte digitale kriminaliteten, på samme måte som vi bruker begrepet digitale økosystemer om data, digitale tjenester og aktører som virker sammen for å skape verdi for samfunnet, og som oppleves som helhetlige og sammenhengene for de som bruker dem. 

I denne rapporten er det de hvordan cyberkriminelle som har utviklet sammenghengede tjenester og digitale forretningsmodeller for kjøp, salg og samarbeid som er hovedsaken. Kripos skriver:

"Rapporten redegjør for det cyberkriminelle økosystemet slik politiet ser det, og introduserer nye analytiske rammeverk for bedre å forstå aktørenes dynamikker og handlemåter. Kriminalitet forstås ikke som isolerte handlinger, men som et samspill mellom aktører, tjenester, teknologi, markedsplasser og strukturelle sårbarheter. Kommersialisering og arbeidsdeling har ført til framvekst av et marked der kriminelle tjenester tilbys i ulike former, noe som senker terskelen for deltakelse og øker både volum og tempo i kriminaliteten. Økosystem-perspektivet bidrar til å forklare hvorfor tiltak rettet mot enkeltaktører ofte har begrenset effekt dersom underliggende strukturer og muliggjørere består."

Begrepsbruk og forretningsmodeller

Rapporten er analytisk ambisiøs når det gjelder å beskrive kriminalitetens organisering og verktøykasse, og introduserer begreper som kan virke litt fremmede og berskriver av forretningsmodeller som er skremmende i sin modenhet, men som raskt er blitt helt normale dele av kriminalitetsutfordringen. I fjor kom Kripos med et notat om "Vold som handelsvare" (som jeg blogget om her), en skremmende beskrivelse av hvordan digitale kanaler og sosiale medier brukes til å rekruttere barn til kriminelle voldshandlinger. Cyberkriminalitet 2026 er også innom vold som handelsvare, og de digitale plattformene som brukes, men har en langt bredere vifte av både målsettinger og forretningsmodeller for alvorlig kriminalitet, muliggjort og støttet av digitale verktøy. 

Det er ikke akkurat kampen for å beholde de små lennsmannskontorene eller politi i gatene man først tenker på som viktige mottrekk når man leser denne rapporten. Dette krever avansert spisskompetanse og det er også mye som ikke kan bekjelpes på nasjonalt nivå alene. De mest avanserte aktørene har globale virksomehetsmodeller, for eksempel når det gjelder digitalt direkteoverførte bestillingsovergrep (DOBO):

"DOBO eksisterte ikke før det digitale rom oppstod, og teknologien har medført at barn i risikoland nå blir solgt og utsatt for overgrep både fysisk og digitalt. DOBO-selgere er oftest filippinske kvinner med egne, mindreårige barn. De kan være både tilretteleggere som organiserer og formidler direkteoverførte fysiske overgrep mot egne og andres barn, og de kan være utøvere av overgrepet – ofte er kombinasjonen av tilrettelegger og overgriper tilfelle"

Kategorier av cyberkriminalitet

Det er ikke veldig lenge siden cyberkriminalitet ble betraktet som en slags nisje litt på siden av den vanlige kriminaliteten, der hovedtyngden var ting som tyverier, innbrudd og ordensforstyrrelser. Datakriminalitet måtte man ha noen egne ekspertmiljøer for å håndtere, litt uavhengig av det andre. Vi er ikke lenger der. I skriver Kripos i innledningen til rapporten at det ikke gir noen mening i å lage et skarpt skille skarpt mellom det fysiske og det digitale. Det glir over i hverandre:

"Et grunnleggende premiss er at digital teknologi i dag er en integrert og ofte nødvendig del av moderne kriminalitet. Rapporten skiller derfor ikke skarpt mellom cyberkriminalitet og tradisjonell kriminalitet, men beskriver kriminalitet langs et spekter basert på grad av teknologisk avhengighet. Cyberkriminalitet forstås som kriminalitet der teknologi enten er et mål eller en sentral muliggjører. Denne tilnærmingen synliggjør hvordan digitale byggeklosser inngår i de fleste alvorlige kriminalitetsformer, og hvordan grensene mellom fysiske og digitale domener i økende grad viskes ut."

I stedet introduserer rapporten en sortering i ulike kategorier ut fra om kriminaliteten er rettet mot datasystemer, om dataverktøy er en sentral muliggjører for kriminaliteten, eller om dataverktøy har en mer supplerende rolle. Rapporten beskriver:

• Kriminalitet mot datasystemer, som skiller seg fra annen cyberkriminalitet ved at den retter seg direkte mot et datasystem, framfor mennesker som bruker datasystemer eller informasjon som er lagret på datasystemer. Eksempler inkluderer datainnbrudd og digitalt skadeverk.
• Kriminalitet utført i datasystemer, som er kriminalitet som retter seg mot menneskene som tar i bruk datasystemer eller informasjon som er lagret på datasystemer. Eksempler er generering av syntetisk overgrepsmateriale og kryptosvindel. Dette er kriminalitet som ikke angriper datasystemer direkte, men som ikke kan begås utenfor det digitale rom.
• Kriminalitet begått med datasystemer er kriminalitet som begås i det digitale rom, men som like gjerne kan begås utenfor. Eksempler på dette kan være kjærlighetsbedragerier, salg av narkotika, seksuell utpressing og hatefulle ytringer i sosiale medier. 
• Kriminalitet supplert av datasystemer er tradisjonell kriminalitet som begås i det fysiske domenet, men som benytter datasystemer som en støtte. Dette er former for kriminalitet som primært faller utenfor cyberkriminalitetsbegrepet, men her kan det være glidende overganger.

Allianser av cyberkriminelle nettverk

Et interessant utviklingstrekk som også omtales i rapporten er hvordan noen grensekryssende organiserte cyberkriminelle nettverk allierer seg med andre organiserte cyberkriminelle nettverk, og blir enda farligere. Det kan for eksemel være for å få enda høyere treffsikkerhet når det gjelder såkalte "løsepengevirus" (Ransomware as a service, RaaS):

"I 2025 er det observert at internasjonalt etablerte cyberkriminelle nettverk har gått sammen om å danne større koalisjoner av løsepengevirus-som-handelsvare-operasjoner. (LSH-operasjoner). Flere av løsepengevirusvariantene som nå inngår i de nydannede koalisjonene er blitt brukt i angrep på norske virksomheter i løpet av 2025. (...) For en av koalisjonene som er dannet i 2025 og som nå omtaler seg som Scattered Lapsus$ Hunters, rapporteres det blant annet om større bredde i trusselaktørens teknikker for å skaffe seg aksess til virksomheters systemer. Hva dette innebærer til det fulle er noe uklart, men det rapporteres om at grupperingen benytter voice-phishing mot ansatte i virksomheter, for derigjennom å skaffe seg aksess til systemer og data"

Kunstig intelligens er også omtalt i rapporten som en teknologi i rask utvikling som kan utvide mulighetene for organiserte kriminelle kraftig. Rapporten slår fast at det på samme måte som KI automatiserert prosesser og oppgaver for virksomheter, har KI også automatisert en rekke kriminelle oppgaver: 

"...som omgåelse av sikkerhetsfiltre, sammenstilling av store mengder data, skalering, forfalskning, oversettelse og tilpasning av tekst og tale, koding, pentesting og målutvelgelse. KI benyttes til å gjøre de kriminelle handlingene vanskeligere å oppdage, både gjennom å finpusse på programkode og prosesser, men også ved å innføre større variasjon i angrepene, slik at man i mindre grad kan lene seg på gjenkjennbare mønstre i forsvar mot kriminaliteten. I tillegg har den sosiale manipulasjonen i det siste blitt langt mer overbevisende både innen lyd, bilde og video."

Dette er fjerde gangen Kripos gir ut en slik årlig rapport om digital kriminalitet. Det er et viktig kunnskapsbidrag til forståelsen vår av situasjonsbildet når det gjelder trusler mot innbyggere, virksomeheter og materielle verdier. Og det er et viktig bidrag til en diskusjon om hvor Politiet skal prioritere innsatsen på kort og lang sikt.

Mythos-øyeblikket

I tillegg til mye annet bra stoff om kunstig intelligens denne uken i The Economist, vider de forsiden og og en lederartikkel til "The Mythos moment". De antyder at april 2026 kan bli stående som "øyelikket" der vi gikk over en terskel for når KI ble så skadelig for sikkerheten at det trengs en ny måte å tenke innretningen myndighetenes regulatoriske rammeverk, i hvert fall i USA.

De skriver også om hvordan polariseringen rundt bruk av KI øker, og flere blir bekymret for jobben sin, og at dette også gjør at myndighetensroller og ansvar må tenkes igjennom på nytt:

"The watershed was Anthropic’s announcement of Claude Mythos on April 7th. The model-maker’s latest creation is so startlingly good at finding software vulnerabilities that, in the wrong hands, it would threaten critical infrastructure, from banks to hospitals. AI models increasingly pose other risks, too, from biosecurity hazards to industrial-scale scamming. Anthropic’s boss, Dario Amodei, wisely thought Mythos too dangerous for general release. Instead he has reserved it for use by around 50 big firms, in computing, software and finance, so that they can boost their own defences."

Netscape-moment og iPhone moment

Selve begrepet "The Mythos-moment" er naturlligvis inspirert av "The Chat GPR-moment" som skjedde i november 2022, der den første KI-språkmodellen ble tilgjengelig for alle, og passerte100 millioner brukere på under to måneder, en klar ny rekord. The "Netscape moment", da Netscape gikk på børs i august 1995 symboliserte at nettleseren skulle det vanlige og alminnelig tilgjengelige verktøyet for å bruke internett, og la grunnlaget for både helt nye forretnignsmodeller og nye næringer.

"The iPod moment" i 2003 (da iTunes Music Store åpnet), "The iPhone moment" i januar 2007, da telefonen fikk apper og ble en internettilkoblet datamaskin, er andre slike omdefinerende øyeblikk. Som ikke handler om langseringen av en ny dings, eller en morsom ny tjeneste, men er en slags "vendepunkter" som beskriver en form for systemskifte i måten privatpersoner og virksomheter mottar tjenester, utfører opgaver og samhandler på.

Man kan også tidfeste slike "øyeblikk" for andre radikale forretnigsmodellinnovasjoner, for eksempel Netflix og digital filmdistribusjon som tok livet av video og DVD-utleie, Google for reklamefinansisert søk Amazon/AWS for forretningsmodeller bygget rundt skyløsninger og Salesforce og flere andre for "software as a service". Ingen av dem var resultatet av en enkelt produktlansering (og ofte var de ikke engang først ute med ny teknologi), og flere av dem var kjennetegnet av at de representerte noe man hadde snakket om en stund, og kanskje lurt på hvorfor ting ikke går fortere, men for ettertiden ble dette  en slags trampoline for noe som radikalt endret eneksisterende forretningsmodell, og kanskje også en infrastruktur.

KI og behovet for reguleringer 

Anthropics påståtte gjennombrudd med den nye KI-modellen Mythos er litt annerledes fordi det er de umiddelbare skadevirkningene som har fått oppmerksomheten. Er den så sikkerhetstruende at det vil kreves et helt nytt sett med reguleringer og grensedragninger, og trengs detnoen andre enn de store plattformselskapene selv til definerer hva som er innenfor og hva som er utenfor det som sikkert. Dette er det vanskelige for utenforstående å vurdere, men The Economist mener i hvert fall det i sin lederartikkel:

"Suddenly, America’s free-wheeling treatment of AI looks as if it is coming to an end. The reason is that the models’ dizzying progress also poses a threat to America’s own national security, unnerving members of the Trump administration previously more inclined to worry about overregulation. At the same time, growing resentment among American voters is turning AI into a political lightning-rod. A laissez-faire approach is no longer politically tenable or strategically wise."

Nå der det forhåpentligvis slik at EU er langt bedre forberedt på den rent juridiske og regulatoriske siden av dette, og har fått på plass både AI-act, GDPR, DMA, DSA og en rekke andre digitalt moderniserte regelverk for sikkerhet, datadeling. ytringsfrihet og flere andre ting, men Europa har ikke den forskningsmessige og selskapsmessige styrken og innovasjonskraften som USA har, og da risikerer man å ikke bare regulerer bort uønskede ting, men også eierskap og kontroll med teknologiutviklingen.

KI i cyberangrep og i cyberforsvar

Nå blir det i hvert fall veldig spennende å se hvor, hvordan og til hvem Anthropic lanserer Mythos, og  i hvilken grad de andre store selskapene som kanskje har kommet nesten like langt velger å være like forsiktige. Foreløgig er den bare tilgjengelig for en eksklusiv gruppe store selskaper som er innlemmet i noe som heter "Project Glasswing". Bra for markedsføringen er det nok helt sikkert. Og det betyr tydeligvis ikke at vi andre bllir uten nye og forbedrede produkter. Antropics Claude er nå nettopp oppgradert til Opus 4.7, som er bedre enn den forrige, og bruker enda litt mer av brukskvotene. Men Mythos er den ikke.

I en annen og svært beslektet artikkel i helgens The Economist med overskriften "How AI hackers will shake up cyber-security", er underoverskriften "The technology could eventually favour the defenders—but expect a bumpy ride". Den artikkelen gir en god oversikt over denne stilllingskrigen mellom KI som verktøy for de som vil gjøre skade, vs KI brukt til å avsløre hull og sårbarheter før noen får sjansen til å utnytte dem. Det kan blli et svært risikabelt, og potensielt svært dyrt veddemål for mange.The Economisst skriver:

"A world of “vibe hacking”, in which amateurs can use AI models to find flaws in software—and perhaps even write the “exploits” needed to crash them, hold them to ransom or even take control of them remotely—sounds terrifying. (...). But security researchers themselves seem guardedly optimistic. “In the medium term I think this will be a mess,” says Bruce Schneier, an American computer-security expert. “But in the long run I think it will actually be good for the defenders.”

Og videre at:

" All the researchers The Economist spoke to thought that, in the long run, AI-enabled hacking would probably help defenders more than attackers, by allowing companies to more thoroughly check their software before it is published. But there is plenty of short term to worry about. For one thing, AI checking is not cheap: Anthropic says one of the bugs it found cost the AI lab nearly $20,000-worth of tokens to find. For software such as Linux, a family of widely used operating systems which are at least partly maintained by volunteers, that would be a steep price. And much of the code out in the world—running on home routers, smart gadgets like TVs or fridges and industrial machinery—has nobody maintaining it at all. In such cases, attackers could have a field day."

Tech-oligarker før og nå 

Noe av utfordringen som beskrives i disse artiklene henger naturligvis også sammen med at de store techselskapene og nøkkelpersonene som eier og leder dem, har en vanvittig stor makt og innflytelse. Det er Anthropics Dario Amodei som har besluttet å holde tilbake Mythos fordi den ikke er sikker nok til å slippes løs fritt,og det er Sam Altmanns Open AI som nylig har gjort det samme for sin nyeste språkmodell GPT 5.4 Cyber (pressemelding her). Men hvor mektige er disse nye næringslivsoligarkene sammenlignet med de som i sin tid etablerte jernbaneselskaper, investeringsbaker, oljeselskaper og legemiddelselskaper?

I artikkelen "Could AI’s leading men become as powerful as Ford or Rockefeller?" ser The Economist tilbake på tidligere tiders industribyggere og industrieiere, og sammenligner dem med Dario, Demis, Elon, Mark og Sam:

"The five most important people in artificial intelligence are so famous that first names alone are enough to identify them. Politicians and journalists hang on their every word. ChatGPT, run by Sam Altman’s OpenAI, has more than 900m weekly users. Dario Amodei’s Anthropic has developed an AI model so good at hacking it has caused panic among policymakers. Demis Hassabis, head of Google’s AI efforts, has won a Nobel prize for his scientific research. Elon Musk, who runs xAI, among other businesses, is the richest person alive. Mark Zuckerberg’s Meta has created the West’s most popular family of open-source models, and is spending enormous sums on AI researchers in an attempt to catch up to the technology’s frontier."

Artikkelen sammenligner 11 teknologiske bølger, fra jernbane til internett i løpet av 150 år, og rangerer de 5 viktigste personene i hver av disse epokene opp mot hverandre ut fra en kombinasjon av makt, rikdom og påvirkning av samfunnet. toppen av listen er dominert av ledere fra ganske lenge siden, som Ford, Rockefeller, Gould, Vanderbilt og Carnegie, men av nåtidens ledere er Musk, Bezos og Zuckerberg høyt opp, men hovedsakelig av ande grunner enn KI-virksomhfetene deres. Frontfigurene i de rene KI-selskapene er litt lengre ned på denne historiske listen, men de er i topp 50 de også. Og ting kan endre seg. Det er i hvert fall en interessant måte å prøve å sammenligne næringslivsmakt på tvers av tidsepoker.

Et nytt cybersikkerhetssenter for næringslivet

Den blide gjengen på bildet til venstre er administrasjonen i Næringslivs sikkerhetsråd (NSR), med direktør Odin Johannessen, lengst til venstre på på bildet, i spissen. Grunnen til at de er så blide er at de har fått beskjed av Nærings- og fiskeridepartementet om at det er inngått et pernerskap der NSR er pekt ut til å være et sektorvist responsmiljø for digital sikkerhet for de i næringslivet som ikke er en dekket av slike ordninger fra før.

Totalberedskapsmeldingen slo fast at det å inkludere næringslivet i sikkerhets- og beredskapsarbeidet nasjonalt, regionalt og i kommunene er avgjørende for både forsvarsevnen og den sivile beredskapen. Nærings- og fiskredepartementet har utstyrt NSR med prosjeketmidler for å komme i gang med etableringen av et cybersikkehretssenter, og skriver blant annet dette i en pressemelding:

"Regjeringen varslet i Totalberedskapsmeldingen at inkludering av næringslivet i sikkerhet- og beredskapsarbeid fremover vil være avgjørende for Norges forsvarsevne. Nærings- og fiskeridepartementet har derfor utpekt Næringslivets Sikkerhetsråd (NSR) som et sektorvis responsmiljø (SRM) for de deler av næringslivet som faller inn under departementets ansvarsområde, og ikke er en del av SRM-ordninger fra før av."

Næringslivets sikkerhetsråds egen nyhetssak om det nye cybersikkerhetssenteret er her. Flere bedrifter og bransjer i Norge er allerede del av sektorvist eller eget responsmiljø. Det gjelder for eksempel energi, rederi, olje og gass, telekom og finans. De vil fortsette som nå. Men ikke alle bedrifter er omfattet av eksisterende ordninger. Det er disse som vil være ivaretatt av det nye senteret, et arbeid som allerede er startet opp og har varslet flere hundre bedrifter om at de er blitt hacket. NSR nevner spesielt reiseliv, mat- og drikkeproduksjon, bygg og anlegg, varehandel, sjømat, konsulentvirksomhet og industri utenom olje og gass som bransjer som vil omfattes av det nye responssenteret..

Og for de som lurer på hvem som står bak Næringslivets sikkerhetsråd så er det bare å forsikre om at det er solide saker. NSR er stiftet av de store hoveorganisasjonene i næringslivet: NHO, Virke, Spekter, Finans Norge og Rederiforbundet. Det er også disse som sitter i styret. I tillegg er det mulig å være direktemedlem i NSR, noe mange bedrifter er for å nyte godt av NSRs ulike medlemstjenester, nettverk og sikkerhetsinformasjon til medlemsbedriftene. Med etableringen av et cybersikkerhetssenter vil NSR ytterligere styrke tjenestetilbudet.

----

Disclaimer 1: Halogen har i løpet av det siste året jobbet tett sammen med NSR., og gjennomført flere verksteder sammen med næringsliv og beredskapsmyndihetene, for å beskrive tjenestetilbudet innenfor et Næringslivets beredskaps- og sikkerhetssenter (NBSS). Aktuelle tjenester i et slikt senter, i tillegg til det digitale responsmiljøet, er ressursmobilisering fra næringlivet i en krisesituasjon, kanaler for kommunikasjon mellom myndigheter og næringsliv for å få viktig informasjon til de som trenger den, samarbeid mellom profesjonelle sikkerhetsmiljøer på tvers av bransjer i næringslivet, og støtte til næringslivsrepresentasjon i myndigehtsorganer på ulike nivåer som oppfølging av Totalberedskapsmeldingen.

Disclaimer 2: Da jeg var leder i Abelia var jeg styremedlem og i flere år styreleder i Næringslivets sikkerhetsråd (frem til 2013). Det er noen år siden nå, men jeg er veldig opptatt av det viktige arbeidet de gjør, og glad for at de er blitt en større organisasjon. Nå som myndighetene øker sin støtte til den operative delen av arbeidet i NSR er det viktig at også næringslivsorganisasjonene stiller opp for å styrke og videreutvikle beredskapsrollen til NSR

Nye trussel- og risikovurderinger fra myndighetene

Tre statlige sikkerhetsmyndigheter har kommet med nye og oppdaterte trussel- og risikovurderinger. Det er nok slik at de blir bedre av å være dagsaktuelle, og med dagens krevende omgivelser og trusselbide er det i hvert fall ikke vanskelig å være konkret og aktuell om hva som truer Norge.

Forsvarsminister Tore O. Sandvik (Ap) og justis- og beredskapsminister Astri Aas-Hansen (Ap) innledet på pressekonferansen 5. februar, dagen etter at begge var utnevnt til nye statsråder. På en nyhetssak hos Regjeringen.no kan man lese både innleggende deres og om de tre rapportene som ble presentert. Det er lenker der til alle tre rapporter, som er fra Etteretningstjenesten, Politiets sikkerhetstjeneste (PST) og Nasjonal Sikkerhetsmyndighet (NSM).

Kanskje kunne de tre rapportene vært gitt ut som en felles rapport. Selv om de tre etatene har tre litt ulike ansvarsområder og roller, er det i stor grad de samme ytre begivenhetene og endringer i risikobildet de omtaler. Når de i senere år de har kommet så langt at de presenterer rapportene sammen, på samme pressearrangement, er det ikke mye som skal til for å gjøre de tre rapportene til en felles. Men det får komme når det kommer, det viktige er at det er sammenheng og konsistens på tvers.

Etteretningstjenesten og PSTs rapporter

Det er uansett grunn til å minne om hva de tre statlige etatene som presenterer trussel- og risikovurderingene har ansvar for. Etteretningstjenesten er en etat underlagt Forsvarsjefen og Forsvaret. E-tjenestens hovedoppgaver er å varsle om ytre trusler mot Norge og prioriterte norske interesser, støtte Forsvaret og forsvarsallianser Norge deltar i, og understøtte politiske beslutningsprosesser med informasjon av spesiell interesse for norsk utenriks-, sikkerhets- og forsvarspolitikk. Deres ugraderte rapport heter "Fokus 2025".

Politiets sikkerhetstjeneste (PST) er Norges innenlands etterretnings- og sikkerhetstjeneste, underlagt justis- og beredskapsministeren. PST har som oppgave å forebygge og etterforske alvorlig kriminalitet mot nasjonens sikkerhet. Som ledd i dette skal tjenesten identifisere og vurdere trusler knyttet til etterretning, sabotasje, spredning av masseødeleggelsesvåpen, terror og ekstremisme. Vurderingene skal bidra i utformingen av politikk og støtte politiske beslutningsprosesser. Deres ugraderte rapport heter Nasjonal trusselvurdering 2025.

Disse rapportene er blitt langt mer tydelige om hvor de største truslene mot sikkerhet og trygghet i Norge kommer fra enn de var for noen år siden. I Etteretningstjenestens rapport handler det mest om utviklingen i Russland, i Kina, og forholdet mellom Russland og Kina. Det er interessante analyser av hvordan krigen i Russland tærer på Russlands økonomi over tid og hvor mye viktigere Kina er for Russland, økonomisk og militært, enn Russland er for Kina. Mens Russland er under press ressursmessig, økonomisk og militært, er Kina blitt ledende på noen fremvoksende teknologiområder.

Rapporten beskriver også hvordan sankjoner og eksportkontrollregelverk blir omgått ved hjelp av tredjeland. Det er en omtale av hvordan utfordringsbildet når det gjelder beskyttelse av samfunnskritisk infrastruktur under vann ser ut, riktignok ikke spesielt konkret når det gjelder ansvar og roller. På slutten er det analyser av oppbygging av ny kjernevåpenkapasitet etter hvert som gamle nedrusningsavtaler faller bort, og det er en analyse av hvordan pågående konflikter i Midt Østen og Afrika bygger opp under økt polariering og er i ferd med å legge til rette for voksende terrorisme.

PSTs nasjonale trusselvurdering er også mest opptatt av Russland og Kina, men her er oppmerksomheten særlig rettet mot hva det betyr for statlig etterretningsvirksomhet, påvirkning og sabotasje i Norge. Her er det en gjennomgang av trusselutsatte teknologiområder og av ulike metoder fremmede staters etteretningstjenestesr bruker mot mål i Norge. Rapporten beskriver statlige cyberoperasjoner, gjerne gjennomført ved bruk av andre aktører, rekruttering av menneskelige informanter, etteretning ved bruk av sivile fartøyer, påvirkningsoperasjoner, sikkerhetstruende økonomiske virkemidler og transnasjonal undertrykkelse, det vil si trusler fra andre stater mot enkeltpersoner i Norge. Rapporten har også en oppdatert gjennomgang av terrortrusselen mot Norge fra ulike ekstreme ideologiske bevegelser.

NSMs Risko 2025

Den tredje rapporten er fra Nasjonal sikkerhetsmyndighet (NSM) Deres rolle er å være Norges direktorat for forebyggende sikkerhet med ansvar for å bedre Norges evne til å beskytte seg mot spionasje, sabotasje, terror og sammensatte trusler. Gjennom rådgivning, tilsyn, testing, forskning og utvikling bidrar NSM til at virksomheter sikrer sivil og militær informasjon, systemer, objekter og infrastruktur med betydning for nasjonal sikkerhet. I Risiko 2025, NSMs årlige risikovurdering, er målet å gi norske virksomheter bedre forutsetninger for å se eget sikkerhetsarbeid i en større sammenheng. Rapporten beskriver sårbarheter trusselaktørene forsøker å utnytte og tiltak for å redusere risikoen for at de lykkes

Selv om alle tre rappoerter har hevet seg og blitt stadig mer interessante, og dessverre stadig mer dagsaktuelle, de siste årene, tror jeg Nasjonal sikkerhetsmyndighets (NSM) har hevet seg aller mest. Det er mulig jeg overdriver litt, men jeg synes å huske at deres rapport tidligere var en litt sytete rapport som klaget over at andre ikke gjorde jobben sin, særlig når det gjaldt digital sikkerhet, og at de ikke hadde nok ressurser til å gjøre jobben, men at de egentlig ikke hadde så mye å komme med av konkrete analyser, innsikt eller råd. Den var rett og slett ikke på høyde med de to andre trusselvurderingene. Det har heldigvis endret seg de siste årene. 

I årets Risko 2025 har NSM valgt å presenterer en viktig og interessant meny av trussel- og risikovurderinger som også får frem bredden og kompleksiteten i utfordringene vi møter, og som NSM må forholde seg til. Rapporten er innom:

• Påvirkning og desinformasjon i forbindelse med valg.
• Tiltak for å redusere risikoen for sabotasje.
• Sikring mot insidevirksomhet i samfunnsviktige virksomehter.
• Sikring mot misbruk av nettverkstilkoblede elektroniske sensorer, blant annet innvendige og utvendige kameraer og mikrofoner i kjøretøy.
• Avhengigheter av satelittbaserte tjenester og hvordan disrupsjon av signaler kan gjøre skade.
• Sikkehet i forbindelse med forsvarets anskaffelsesprosesser
• Utenlandske investeringer i lokalsamfunn og infrastruktur, der Kirkenes havn er nevnt spesielt.

Digitale leverandørkjeder

Siste del av NSMs trussel- og risikovurderinger handler om digital sikkerhet og sårbarhet, det området jeg tror de fleste forbinder med NSM. Her synes jeg at deler av det NSM presenterer er litt mindre treffsikkert når det gjelder innsikt og anvendbarhet enn jeg skulle ønske. Det er fint at NSM beskriver ulike typer digitale angrep vi kan bli utsatt for, som løsepengevirus, nulldagssårbarheter og angriper-i-midten, der angriper kommer seg mellom offer og en tjeneste, og på den måten får lurt til seg informasjon. Det står noen linjer om hvordan kunstig intelligens er en økende  trussel, at mobiltelefoner og mobile enheter utgjør en viktig sårbarhet. Nyttige påminnelser alt sammen.

NSM minner oss om at det er kommet en ny digitalsikkerhetslov som implementerer NIS-1 direktivet fra EU i norsk lov. Når det gjelder behovet for et oppdatert lovverk som kan bidra til å bekjempe digitale trusler og angep er dette litt flokete landskapet med overlappende lovverk også tema i Totalberedskapsmeldingen, Det hadde ikke gjort noe om NSM kom med noen klarere meldninger om at det er blitt et stort problem at Norge henger langt etter EU når det gjelder oppdatert lovverk og gjerne også noen råd om hvordan vi innretter en ryddeprosess når det gjelder forholdet mellom disse lovverkene og anbefalinger om rydding i roller og anvar når det gjelder digital sikkerhet. Eller er det noen andre som skal komme med disse anbefalingene?

En gammel kjepphest jeg har er behovet for å beskrive hvordan et digitalt økosystem, digitale leverandørkjeder og digitale avhengigheter ser ut konkret. Jeg tror NSM kan gjøre mer enn å skrive at virksomheter skal: 

• "Kartlegg egne avhengigheter. Skaff oversikt over hvilke leverandørkjeder virksomheten er en del av, enten som kunde eller leverandør." 
• "Gjennomfør risikoreduserende tiltak for å redusere sikkerhetsrisikoen knyttet til leverandørkjeder."

Det er ingenting galt i dette, eller andre tiltak de anbefaler, tvert imot. Men hvordan ser en digital leverandørkjede egentlig ut? Her kunne det kanskje være en ide å beskrive det visuelt? Hva med å lage noen veiledere og eksempler på hvordan man kan gå frem når man skal lage en slik kartlegging, og hva kan bidra til at den blir forståelig for flere enn teknologene? For eksempel politikere og ledere? Er det flyten av dataene mellom ulike aktører og systemer som er viktig å få frem? Er det eierskapet til selskapene som står bak? Eller er det oversikten over komponenter i systemetne som kan utgjøre kritiske sårbarheter det er viktig å avdekke i en slik overikt? Eller kanskje alt på en gang? 

Jeg tror det blir stadig viktigere å få denne type informasjonen frem i en form som selv styrer og ledelser som ikke er digitale sikkerhetsspesialister kan forstå og handle på bakgrunn av. NSM kan gå foran og vise oss hvordan det kan gjøres.

Rapporten om NSMs leie- og låneforhold

Det var 8. desember i fjor nyheten sprakk om at NSM hadde inngått en ulovlig leie- og låneavtale  i forbindelse med flytting til nye lokaler på Fornebu. Da kom det også frem at en hel del annen vesentlig informasjon om NSMs reelle økonomiske situasjon ikke var formidlet til Justisdepartementet, NSMs eierdepartement. Det førte til to umiddelbare konsekvenser: Direktøren i NSM gikk av og Stortinget måtte i all hast og rett før jul bevilge 200 millioner kroner for å innfri dette grunnlovsstridige lånet.

Men hva i all verden var det egentlig som skjedde her? Og kan vi være sikre på at det ikke er mer som ikke er i orden når statens sentrale sikkerhetsmyndighet bryter bevilgningsreglement og grunnlov, og lar være å fortelle sitt eierdepartement hva de holder på med? 

Her synes jeg regjeringen gjorde et svært klokt grep ved å raskt utnevne et uavhengig utvalg for å svare på dette. Et særdeles erfarent og kompetent utvalg ledet av Svein Gjedrem og med Karen Kvalevåg og Tor-Aksel Busch som medlemmer. Utvalget har jobbet raskt og deres rapport "NSMs leie av Snarøyveien 36" ble lagt frem 1. mars. Den er på omkring 80 sider og er ryddig og pedagogisk i formen. Utvalget er tydelige på hva de svarer på og hva de ikke svarer på. De beskriver og gir anbefalinger om ting de har hatt mulighet for å finne ut av, og som ligger innenfor mandatet, men gir også noen betraktninger om undersøkelser og tiltak som må skje i andre spor. Jeg synes særlig det er tre ting som er verdifullt med denne rapporten:

Regelverk og handlingsrom

For det første gir den en god oversikt og innramming av hva som gjelder for statlige direktorater. Hva slags regler som finnes og hva handlingsrommet er generelt, i saker med økonomiske konsekvenser og for det statlige bygge- og leieområdet spesielt. Nå er jeg kanskje litt nerdete som er opptatt av fullmakter, budsjettprosesser, utredningsinstrukser og slike ting, men jeg synes faktisk det er viktig med denne kunnskapen om hva som gjelder for statlige virksomheter, deres ledere og departementene som styrer dem. Og utvalget virker som de har samme grunnsyn når de skriver at:

"Ved ansettelse av ny leder i NSM ble det lagt vekt på evne til å utvikle de faglige leveransene fra organisasjonen og gjøre virksomheten og de samfunnshensynene den skal ivareta, synlige. JD kunne ha forsikret seg om – eventuelt ved egnet opplæring – at ny leder var rustet til å styre virksomheten løpende, herunder kontrollere NSMs økonomi."

Her bidrar utvalget også til folkeopplysningen. Hvis noen fortsatt påstår at det er vanskelig å få oversikt over alle budsjettregelverk, forskrifter, instrukser og rundskriv,  så fungerer ikke det ikke like godt lenger. Kapittel 3 i rapporten går igjennom det hele: statens regelverk for budsjett- og økonomistyring, regelverket for bygge- og leiesaker, krav til årsregnskap i statlige forvaltningsorganer, forholdet til  merverdiavgift, regelverket for offentlige anskaffelser, personalregelverk og lederansvar slik det fremgår av statsansattloven, statens lederplakat og hovedavtalen, og utredningsinstruksen. Det er en nyttig sjekkliste å ha.

Tidslinjen

For det andre, og det er jo hovedformålet med rapporten, så går den gjennom den konkrete saken for å belyse hva som har skjedd og ikke skjedd, og peke på hvem som har ansvaret. Det gjør den ved først, i kapittel 4, å presentere en tidslinje som begynner med overføringen av etatsansvaret for NSM fra Forsvarsdepartementet til Justisdepartementet i mai 2019, og helt frem til tilleggsbevilgningen som måtte vedtas i Stortinget for å innfri lånet i desember 2023.

Det er en ganske merkelig fortelling som kommer frem i rapporten om en etat som enten ikke kan styringssystemet og regelverket i staten, eller kanskje har vært vant til at noen andre har ordnet slike ting for dem, men da Forvarsdepartementet ble byttet ut med Justisdepartementet var det plutselig ikke slik lenger. Det virker også som det har vært en underlig underliggende optimisme knyttet til at den sikkerhetspolitiske situasjonen er blitt slik at det helt sikkert kommer mer penger snart, så da er det ikke så farlig å ha flere ansatte og større husleiekostnader enn man har penger til. Tapte satsingsforslag i regjeringens budsjettkonferanse har blitt igangsatt likevel, uten penger  i budsjettet. Holdningen har vært at dette kommer til å ordne seg.

Rapporten er full av eksempler på denne optimismen. Utvalget skriver om hvordan NSM ba om flere folk, ba om å utvidet leiearealet med en ny etasje og arbeidet for nye satsinger, uten å fortelle sitt eierdepartementet at tiltak de allerede hadde satt i gang var betydelig underfinansiert. Så kan det se ut som det våren 2023 var kommet så langt at det var umulig å gjemme bort problemene:

"24. mai oversendte NSM «Virksomhets- og regnskapsrapport 1 2023» til JD og FD. I rapporten, som er for første tertial, anslås det en prognose på merforbruk på driftsposten på 26 mill. kroner i 2023. 26. mai sendte JD e-post til NSM og ba om mer utfyllende informasjon til rapporteringen, herunder at det redegjøres nærmere for årsakene til den økonomiske situasjonen. NSM svarer på bestillingen 30. mai. NSM peker i svaret på at «organisasjonen har helt fram til siste del av 2022 hatt begrenset administrativ kapasitet, høy turnover og har dermed ikke hatt nødvendig kapasitet til å forvalte, utvikle og effektivisere seg på en planmessig måte». NSM viser videre til at «våren og sommeren 2022 fikk NSM tydelige styringssignaler om å øke kapasiteten så raskt som mulig. Det ble gitt signaler om at opptrappingen til NSM ville fortsette å øke. […] Tildelingene til NSM har ikke økt som tidligere signalisert.» NSM estimerer at de i 2023 har fått tildelt 11 mill. kroner mindre enn forventet og henholdsvis 26 og 33 mill. kroner for 2024 og 2025. NSM viser i tillegg til at de har fått flere nye oppgaver uten at disse er blitt tilstrekkelig finansiert."

Når døren for å bruke mer penger enn man faktisk har blir effektivt lukket, finner NSM plutselig ut at de vil lansere en ny virksomhetsmodell der de skal skaffe nye inntekter gjennom rådgivningsvirksomhet til eksterne kunder. Akkurat hvordan en etat med ansvar for rikets sikkerhet skal differensiere sine råd ut fram hvem som er villig til å betale, er uklart, og også denne døren blir effektivt lukket. Men de økte husleiekostnadene ble fortsatt ikke nevnt:

"28. juni ble det avholdt et oppfølgingsmøte, hvor NSM blant annet redegjorde for internkontrollen i NSM, for iverksatte tiltak for å holde budsjettet og for generelle forbedringstiltak på økonomiområdet. Direktoratet pekte i tillegg på et arbeid med å utvikle en «forretningsmodell innen råd og veiledning». JD understreket at NSM er en ordinær, bruttobudsjettert virksomhet med bevilgning over statsbudsjettet. En ev. inntektsgivende rådgivningsvirksomhet vil derfor måtte rammes inn av bevilgningsreglementet og statsstøttereglementet. Departementet åpnet for videre dialog «for å klargjøre aktuelle rammebetingelser for inntektsgivende virksomhet, men ser ikke på dette som en aktuell løsning for NSMs økonomiske utfordringer verken nå eller på sikt.» Det er ikke spor i rapporter eller referater om at NSM har orientert om framtidige konsekvenser av at husleiekostnadene vil være vesentlig høyere enn opprinnelig forutsatt."

En mer konsentrert oppsummering av hva utvalget mener er gjort feil i denne saken finnes i kapittel 6, Her er det 14 forhold som gjelder NSM og 5 forhold som gjelder Justis- og beredskapsdepartementet (JD). Disse sidene anbefales for å få en kompakt gjennomgang av hva som er gjort galt, og hva av dette som er særlig alvorlig.

Forslag til tiltak

Det tredje som er verdifullt i en slik rapport er naturligvis forslagene til både umiddelbare og mer langsiktige tiltak. Her er det forsalg om at NSMs ansvar bør beskrives i selve sikkerhetsloven og at budsjettprosessen i NSM med tilhørende ønskelister bør skje en gang i året, og ikke flere. Mer generelt for statlige virksomheter er det forslag om en tydeliggjøring av fullmakten til å inngå leieavtaler utover budsjettåret, forslag om endringer i statens bygge og leiestrategi for å sikre at formålsbygg og ikke leiebygg er hovedregelen når det må gjøres store og dyre sikkerhetsmessige tilpasninger. Og utvalget ønsker også en tydeliggjøring av Statsbyggs rolle som en obligatorisk faglig rådgiver i slike saker, slik at ikke hver etat og hvert departement skal ha hvert sitt sett med eksperter. Det virker fornuftig alt sammen.

I tillegg er det noen tiltak som bærer preg av at det heldigvis er høyst uvanlig at statlige etater har så dårlig oversikt over de økonomiske konsekvensene av beslutninger de har tatt før, som bruker penger på tiltak det ikke er bevilget penger til eller holder tilbake informasjon om sin reelle økonomiske situasjon. Men siden NSM er i den situasjonen de er i, og når det åpenbart bør undersøkes om det er flere ting som ikke er i orden, ber utvalget om at det også gjøres en mer fullstendig ekstern gjennomgang av NSM. De skriver at:

"Det er ikke opp til utvalget å vurdere NSMs generelle oppgaveløsning. NSM har et viktig samfunnsoppdrag, ikke minst i den sikkerhetspolitiske situasjon vårt land nå befinner seg i. I forbindelse med vårt arbeid er det – naturlig nok – ikke til å unngå at det til utvalget tilflyter atskillig informasjon som sier noe om hvordan enheten løser sine oppgaver. Dette faller utenfor vårt mandat å bedømme og kommenteres ikke nærmere. Men det gis like fullt en anbefaling fra utvalget om at det bør nedsettes en bredt sammensatt gruppe som får i oppgave å gjennomgå NSMs oppgaver, organisering, grensesnitt mot andre aktører innenfor den sikkerhetspolitiske arena, bemanning og selve oppgaveløsningen. NSM ble opprettet i 2003 og kunne med fordel vært gjenstand for en slik gjennomgang tidligere"

Det høres også ut som en god anbefaling. 

Et nytt Lysne-utvalg

Alltinget om Lysne-utvalget 3.0

Regjeringen har satt ned et nytt utvalg ledet av Olav Lysne som skal se på sikkerhet, beredskap og eierskapskontroll med digital infrastruktur. En god og erfaren utvalgsleder, mandatet er godt og utvalget er bra sammensatt. Men denne oppnevningen har også noen litt overraskende politiske og forvaltningsmessige sider både når det gjelder mandatformuleringen og hvem som er oppdragsgiver i regjeringen.

For å ta det i tur og orden: Utvalget skal ledes av Olav Lysne, professor ved OsloMet og direktør ved SimulaMet. Han er god både som forsker og formidler, ja faktisk så god at han under forrige regjering ledet to utvalg på beslektede temaer: NOUen om Digital sårbarhet og sikkerhet, et utvalg oppnevnt av Justisdepartementet, og det såkalte Lysne 2-utvalget oppnevnt av Forsvarsdeparetmentet, et ekspertutvalg som utredet det som dengang ble kalt "Digitalt grenseforsvar" og kom i 2016. Nå får vi det tredje Lysne-utvalget med sikkerhet og beredskap som tema.

Også denne gangen handler det om et ekspertutvalg som skal komme med råd om hvordan vi håndterer digital sikkerhet og beredskap, særlig knyttet til kommunikasjonsinfrastruktur. Utvalget er sammensatt av folk med teknologisk kompetanse, noen er i sentrale sikkerhets- og beredskapsroller, flere har forvaltningskunnskap og det er noen med erfaring fra norsk næringsliv som jobber i internasjonale leverandørkjeder. Trusselbildet er i rask endring på det digitale området, dels fordi den sikkerhetspolitiske situasjonen er forverret og fordi teknologien er endring, men kanskje aller mest fordi vår avhengighet av digital infrastruktur og kritiske samfunnsfunksjoners avhengighet av digitale systemer og infrastruktur har økt veldig de siste årene. 

Mandatet sier at utvalget skal lage en oversikt over kritisk digital kommunikasjonsinfrastruktur av regional eller nasjonal betydning som er viktig for statssikkerheten, for samfunnssikkerheten og er bærer av tjenester av høy betydning for kritiske samfunnsfunksjoner. Og helt konkret skal utvalgets oversikt: 

"...inkludere en vurdering av følgende typer infrastruktur (både hardware og software):

• mobil- og bredbåndsnett
• transportnett
• undersjøiske fiberkabler
• datasentre
• satellittkommunikasjonssystemer
• særlig viktige anlegg som er viktig for hele krisespennet, blant annet fortifikatoriske anlegg/fjellanlegg"

Dette er et viktig og nødvendig arbeid og ikke minst viktig fordi Norge ligger kraftig på etterskudd med implementeringen av EUs direktiver på it-sikkerhetsområdet. Vi har ennå ikke implementert forrige versjon, mens EU nylig har vedtatt en oppdatert utgave i form av NIS 2 direktivet. 

Men det et er også noen pussigheter i dette, som på ingen måte er utvalgets feil, men som ligger i langsomme og lite forutsigbare politiske prosesser, der det ikke alltid er lett å forstå sammenhengen mellom den politiske retorikken som brukes når et arbeid settes i gang, og det som faktisk skjer etterpå. La meg nevne to ting:

Noen vil kanskje huske at tilbake i desember 2022 ble laget en stortingsmelding om "Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet", med mye slagordpreget retorikk om nasjonalt eierskap, men som var fragmentert, anekdotisk og ganske tynn på konkrete tiltak. Jeg skrev om den på bloggen her. Så skulle man kanskje håpe at det i året som har gått ville komme en viss fremdrift i dette arbeidet med å utvikle og konkretisere tiltakene og å sørge for at Norge kommer på linje med våre europeiske samarbeidspartnere når det gjelder lov- og regelverk som ivaretar sikkerheten. Men i stedet har regjeringen tatt et skritt tilbake og utnevner et ekspertutvalg. Retorikken fra 2022 var kanskje ikke så lett å implementere i konkrete tiltak likevel.

Det andre jeg må nevne er en interessant utvikling når det gjelder ansvarsplassering. Mens den nevnte stortingsmeldingen i 2022 kom fra Justisdepartementet og det også er JD som i følge en kongelig resolusjon fra våren 2013 er gitt samordningsansvaret for den forebyggende it-sikkerheten i samfunnet, er det Digitaliserings- og forvaltningdepartementet som nå har utnevnt ekspertutvalget som skal behandle temaer og tiltak som er midt i kjernen av den digitale samfunnssikkerheten. Er det fordi JD sliter med å levere på dette oppdraget? Er det fordi samordningsansvaret for ikt-sikkerhet og beredskap skal flyttes vekk fra Justisdepartemenetet og tilbake til det som i 2013 het Fornyingsdepartementet og nå heter Digitaliserings- og forvaltningsdepartementet? Eller er begrunnelsen rett og slett at sektoransvaret for elektronisk kommunikasjon, det vil si mobil, bredbånd og datasentre ligger hos digitalisering- og forvaltningsministeren, og det er i egenskap av å være sektordepartement på ekom de har tatt ballen og løpt av gårde? Jeg vet ikke svaret, og heller ikke om det har vært noen kamp mellom departementene om å ha hovedrollen, men litt interessant er det jo.

Jeg tror vi også ser noen tydelige tegn til at flyttingen av ansvar har påvirket mandatet. Ja, formuleringer om "nasjonal kontroll" er fortsatt der, men nå stilles det gode og ganske åpne spørsmål om hva det egentlig betyr i praksis og hvordan ulike eierformer kan utfordre viktige sikkerhets- og beredskapshensyn. Noe premiss om statlige eide datasentre og skytjenester eller statlig eierskap til nettinfrastruktur er ikke der, slik det var tidligere. Dessuten er det tatt inn gode formuleringer om at det i internasjonale digitale verdikjeder er flere ulike hensyn som må tas hensyn til for å ivareta sikkerheten. I mandatet står det at:

"Digitale kommunikasjonsnett bygger på internasjonale standarder og et sterkt globalt økosystem med raskt teknologisk utvikling. Innovasjon i bransjen er viktig, og Norge ligger langt fremme med digitalisering og utbygging av slik infrastruktur, med høy grad av dekning og kapasitet i mobil- og bredbåndsnettene. Utvalget skal vurdere hvilken effekt virkemidlene for nasjonal kontroll kan ha for videre utvikling og innovasjon. Forslagene fra utvalget skal ta hensyn til behovet for videre utvikling og innovasjon, og skal i størst mulig grad legge til rette for dette. Utvalget skal også ta hensyn til sikkerhetssidene ved lange, komplekse og internasjonale digitale verdikjeder. Utvalget skal beskrive hvordan reguleringsregimer eller andre hensyn til nasjonal kontroll er ivaretatt i nordiske land."

Det er godt disse erkjennelsene synker inn. Sannsynligvis burde dette tredje Lysne-utvalget blitt satt ned langt tidligere, men det er bedre at det kommer nå enn at det ikke kommer i det hele tatt. Jeg ser også at utvalget utstyres med et sekretariat med fagekspertise fra Nasjonal kommunikasjonsmyndighet (Nkom). De har lang erfaring med å både være opptatt av sikkerhet og beredskap, inkludert virksomheter underlagt sikkerhetsloven, og samtidig har de ansvar for reguleringer og rammeverk for noen svært innovative og teknologiintensive virksomheter i konkurranseutsatte markeder. Og god greie på forvalting av EU-reguleringer. Når både Pål Wien Espen, direktør i Nkom og NSMs Bente Hoff er med i utvalget tenker jeg det bidrar til at arbeidet gir oss den oversikten og de virkemiddelforslagene vi trenger for å redusere den digitale sårbarheten.

Det digitale risikobildet 2023

Nasjonal Sikkerhetsmyndighet (NSM) har kommet med en ny rapport, "Nasjonalt digitalt risikobilde 2023", en rapport om våre nåværende og fremtidige sårbarheter det er vel verdt å lese. 

Her er det flere kjente temaer, men med gode oppdaterte beskrivelser, og noen nyere problemstillinger det er veldig interessant å lese om, spesielt  i kapitlet om Digitale trender og utviklingstrekk. Det tar opp hvordan kunstig intelligens påvirker sikkerhet og sårbarhet, og også at kraftige kvantedatamaskiner om noen år kommer at dagens krypterte data blir langt mindre sikre. De som vil bryte seg inn hos andre får langt bedre verktøy. I begge tilfeller gjelder det å være forberedt og designe it-systemer man skal bygge nå langt mer motstandsdyktige mot endringer som kommer.

Rapportens tidsriktige forside har et bilde generert av Midjourney, en tjeneste som bruker kunstig intelligens til å lage bilder. NSM-rapporten begynner med en svært nyttig innledende gjennomgang av ulike cybersikkerhetstrusler, og har også tall som beskriver hvilke sektorer som er mest utsatt. Det mest utsatte er "tverrsektoriell forvaltning og modernisering", deretter følger "høyteknologi og næring", "forskning og utvikling" og forsvar. Men alle sektorer er med, og ingen er unntatt fra disse utfordringene. 

Tilnærmingen til kunstig intelligens i det digitale risikobildet er interessant ved at den er fremoverlent og allerede i overskriften slår fast at "Vi trenger kunstig intelligens for økt cybersikkerhet" men slår samtidig fast og vi også "trenger cybersikkerhet for kunstig intelligens". Her omtales både faren for at det er kryptografiske bakdører det er umulige å oppdage og "forgiftede" treningsdata. Men samtidig løftes kunstig intelligens frem som en viktig del av verktøykassen for å oppdage og bekjempe angrep og sikkerhetstrusler.

Siste del av rapporten beskriver ting vi sannsynligvis må bruke enda mer ressurser på fremover, som angrep på kritisk infrastruktur som olje-, gass- og kraftinfrastruktur ved å angripe styring- og kontrollsystemene. og rapporten er inne på hvordan selve omleggingen til stadig mer elektrifisering, blant annet på sokkelen og på landanleggene, og utbygging av flere vindparker på land og i havet, også gir nye digitale sårbarheter. 

Digitale leverandørkjeders sårbarhet er et tema jeg har kommentert før når jeg har skrevet om NSMs rapporter. Det er et området der vi åpenbart ikke har god nok oversikt og kontroll, og årets rapport trekker frem at avhengigheter mellom systemer som bruker åpen kildekode programvare og økt bruk av kunstig intelligens i ulike komponenter, bidrar til å øke kompleksiteten og uoversiktligheten.

På et område sliter jeg litt med å følge NSMs analyse, og hva de egentlig mener. Det gjelder det de sier er anbefalinger om hvordan vi skal innrette oss når det gjelder bruk av sikre skyløsninger. Det er en slags advarsel mot å bruke skyløsninger levert av de (få) store internasjonale leverandørene, og de peker på noe de kaller "nasjonal skytjeneste", men det er høyst uklart hva dette er, hvem som skal levere det, eller hva det vil koste. Et sted skriver NSM at:'

"Ved innføringen av en nasjonal skytjeneste vil enkelte hevde at konsentrasjonsrisikoen for samfunnskritiske IKT-tjenester øker. NSM erfarer samtidig at statlige virksomheters overgang til moderne skytjenester er preget av et fåtall leverandører. Man kan derfor stille spørsmål om man allerede i dag har en konsentrasjon av data og tjenester. Denne har i så fall oppstått ukontrollert eller ubevisst, samtidig som skytjenestene i liten grad er underlagt nasjonale kontrollmuligheter og påvirkning."

Akkurat her synes jeg tåken har senket seg litt ned over formuleringene i en ellers godt skrevet rapport. Saken er vel at det ikke er lett å sannsynliggjøre hvordan et helt nytt nasjonalt leverandørmarked skal oppstå og erstatte dagens dominerende skyløsninger. Så kan man si at dette ikke så viktig, for uklare strategier og anbefalinger blir det neppe noe av likevel. Og anbefalingene ellers i rapporten er stort sett klare og gode. selv om det naturligvis er slik at mye av det som omtales i rapporten har karakter av problembeskrivelser mer enn ferdige løsninger, og må jobbes videre med i tiden som kommer. 

Hvordan kartlegger man for eksempel sårbarhetene i store digitale økosystemer og leverandørkjeder som leverer til offentlig sektors kritiske samfunnsfunksjoner? Skal NSM ta initiativet til en områdegjennomgang? Eller er det hver enkelt sektor eller virksomhet som må ta ansvaret for å gjøre det selv? Hvor kommer den bestillingen fra? Eller kanskje det ikke skjer noe før Riksrevisjonen begynner å interessere seg for saken etter at det er sagt mange nok ganger at målet er å få bedre oversikt over digitale leverandørkjeder og Riksrevisjonen skal finne ut hva som er gjort.

Rapporten er ikke bare interessant når det gjelder det store fremtidsbildet, men har også noen gode beskrivelser og tips når det gjelder de sikkerhetsutfordringene virksomheter har i det daglige. Et av kapitlene er en gjennomgang av hvilke sårbarheter NSM oftest finner når de gjennomfører inntrengningstester i norske virksomheters informasjonssystemer. Den viser at de største og viktigste problemene i volum ikke nødvendigvis er så teknologisk avanserte. Man kan komme langt hvis man skaper en grunnleggende forståelse rundt digital sikkerhet og har noen gode rutiner på plass. De tre områdene de nevner er for det første dårlige passord. For det andre slurv med tilganger, for eksempel at eldre administrasjonskontoer ikke er deaktivert. Og for det tredje eldre versjoner av operativsystemer og programmer som har feil og hull, og burde vært byttet ut. Ting det heldigvis er ganske lett å gjøre noe med.