“

Velkommen til LØRN.Tech – en læringsdugnad om teknologi og samfunn med Silvija Seres og venner.

Frode Skaarnes: Hei og velkommen til en LØRN masterclass om cybersecurity. Jeg heter Frode Skaarnes og gjesten min i dag er Roar Thon, som er fagdirektør i nasjonal sikkerhetsmyndighet. Velkommen Roar.

Roar Thon: Takk skal du ha Frode.

Frode: Før vi kjører i gang, så skal jeg ta og si litt om konseptet. Vi skal lage et lite mikrokurs, en liten serie av 4 korte podcaster på 30 minutter. Vi har kalt serien i dag eller episoden i dag for cybersecurity for dummies. Og det er ikke fordi vi tenker at publikum ikke er så smarte, men vi skal virkelig legge det ned på det nivået som gjør at det fungerer for alle, og at man ikke trenger å være den teknologen som man ofte må være på disse cyber security eventene. Første halvtimen, så skal vi snakke litt om konseptet cybersecurity, hva er dette fenomenet, og hvorfor er det viktig? Så skal vi gå over på runde 2, den andre 30 minutter og der skal vi snakke litt om noen gode eksempler på hva dette er. Så går vi over på det som gjør at vi kan se hva vi kan gjøre med det. For i tredje episode så tar vi en runde innom verktøy. Det kan være ulike måter å gjøre det på, best practise, eller det kan være en standard. Det kan være hva som helst egentlig, men vi skal snakke litt rundt det. Også til slutt, så skal du få lov til å gi noen gode råd hva vi i LØRN kan gjøre for å gripe fatt dette fenomenet cybersecurity. Så da er egentlig spørsmålet, høres det bra ut Roar?

Roar: Det høres veldig bra ut.

Frode: Bra. Du er jo en av nestorene i sikkerhets miljøet, så det vi er nødt til å høre er hvorfor i alle verdens dager brenner hjertet til roar for sikkerhet?

Roar: Det har det vel nesten alltid gjort på en eller annen måte. Jeg har en yrkesbakgrunn, tjenestebakgrunn fra politiet og forsvar. Har vært i NSM siden 2003 og kom dit som ellers i livet ved litt sånn tilfeldigheter egentlig, men når jeg ser tilbake på min egen karriere, så ligger det lite grann der i å bidra til å hjelpe andre mennesker. I et sikkerhetsperspektiv. Så veien har blitt litt til underveis, også er det noe med det å få lov til å ha drømmejobben. Det har jeg egentlig alltid kunne si at jeg har hatt, uansett hva jeg har drevet med. I det så ligger det et engasjement som gjør at man må brenne for noe, man må stå for noe, og som jeg pleier å si, hvis man ikke står for noe, så faller man for alt.

Frode: Ja, jeg er helt enig. Hvis man ikke brenner for noe, så har man liksom ingen entusiasme i hverdagen. Så det er helt avgjørende, men jeg lurer på. Du har liksom funnet din nisje, så du har holdt mer enn 1000 foredrag? Hvis ikke jeg husker feil da?

Roar: Ja, nå er vi over på 1600, tiden går fort.

Frode: Er det sant? Kan ikke du si litt om, hvem er du, og hvem er det du holder foredrag for? Og hva er målsettingen med det?

Roar: Det startet faktisk for en god del år siden i en nsm med å sørge for at nsm egentlig ble litt mer kjent som organisasjon, og selvsagt også spre sikkerhets budskapet. Også har det gradvis tatt av, for å si det sånn. I takt med at vi har tatt i bruk stadig mer teknologi, at sikkerhet er blitt kommet høyere og høyere opp på lista over det vi bør bekymre oss over å være opptatt av i dag. Jeg snakker i dag til alt ifra politikere, ledelse, toppledere, ledere, ansatte, folk flest. Nesten alle som vil høre på. Fordi alle har et behov for å faktisk få litt kompetanse og kunnskap på dette her.

Også er det selvsagt enkelte områder vi i NSM er litt mer interessert i å snakke til. Fordi det er viktig i et samfunnssikkerhetsperspektiv, men til syvende og sist så er det alle nivåer av samfunnet. Og alle har behov for sikkerhet også.

Frode: Men da lurer jeg på, du har jo da litt bredde i måten du har fått lov til å snakke med ulike miljøer på. Og da er egentlig spørsmålet, hvordan ser det ut? Er du imponert over kunnskapsnivået, eller føler du at det er veldig varierende? Er det behov for det vi gjør nå?

Roar: Absolutt. Jeg lar meg ikke overraske lenger over spørsmålene. Det er jo kanskje en floskel når man sier at det finnes ikke dumme spørsmål, men noen ganger så legger man litt merke til allikevel hvordan spørsmålet blir stilt som gjør at man hvert fall gjør seg noen refleksjoner om at dette røper mangel på kunnskap og forståelse og-eller situasjonsforståelse man er i. Når det kommer litt for banale spørsmål fra mennesker som i realiteten er på et ganske høyt beslutningsnivå i samfunnet da.

Frode: Jeg har jo også hatt en glede av å jobbe i NSM sammen med deg, og jeg husker blant annet da vi var ute og ga råd, så kunne man få kommentarer som; “Men du må forklare det litt enkelt, for jeg er en analog leder”, gjelder det fortsatt?

Roar: De klassiske for meg er, mann 60 pluss, som med litt stolthet i stemmen, sier at man er analog leder, også har man en sekretær. Det har vel også hørt det fortsatt kalles, som tar seg av eposter og alle disse digitale tingene. Det er kanskje ikke det beste utgangspunktet for å være en toppleder i en virksomhet som uansett hva vi holder på med må forholde seg til blant annet cybersikkerhet da.

Frode: Ok, hvis vi skal gå inn på fenomenet sikkerhet, og i dette tilfellet cybersikkerhet, kan vi si at det er naturlig å starte med trusselen. Hva er det vi står overfor? Både som enkeltpersoner, som virksomheter og som stat da.

Roar: Ja, vi står overfor en rekke nivåer av, vi bruker ofte ordet aktører. Som er alt i fra nasjonalstater til godt organiserte organisasjoner som man kan definere som kriminell organisasjoner, hacker organisasjon, interesseorganisasjoner for den saks skyld, terrorgrupper som bruker dataverktøy til å finansiere sin aktivitet. Eller rett og slett få fram sine poenger, begå skade, eller den type ting. Helt ned til virksomheter, bedrifter, som bedriver industrispionasje til fordel for seg selv og mot sine konkurrenter, til politiske interesser, helt ned til enkeltindividet. Som har en eller annen form for kompetanse som de bruker til å rett og slett tjene penger, få tak i informasjon, få fram sine poenger, meninger, aktivt forsøke å skade noen andres interesser. Jeg tror at det er viktig fordi at jeg endte til syvende og sist ned på enkeltpersoner, og denne bransjen vi tilhører den har vært litt for flink til tider med å presentere trusselen som en enkeltperson med et eller annet bilde med en eller annen hettegenser i et mørkt rom som sitter og hakker deg. Det er liksom Hollywood versjonen av denne hackeren da. Og det er et litt dårlig utgangspunkt når du skal forklare toppledere at det de står overfor er profesjonelle organisasjoner som er like godt skudd som deres egen organisasjon. Fordi det er det vi til syvende og sist snakker om. Personer med betydelig kompetanse, gjennomføringsevne, vilje til å nettopp begå en rekke forskjellige handlinger. Så trusselbildet som sådan er noe vi alle må forholde oss til. Og jeg tror også det er viktig da å ta med seg inn. Noe som jeg prøver alltid å få fram er at vi er alle sammen et digitalt mål. Vi er det som samfunn, vi er det som virksomheter, vi er det som enkeltpersoner, fordi vi har en annen form for digital tilstedeværelse. Fordi veldig mye av det som skjer som vi kaller for hacking, dataangrep, cyberangrep det er helt tilfeldig det. Begått av en rekke av disse aktørene. Fordi det bare vise seg å være teknologisk mulig den dagen. At du og jeg klikket på en lenke som satte i gang det digitale angrepet, men de som sendte oss den lenken via en epost har ikke anelse om de har havnet hos Frode eller Roar, hvilken organisasjon vi jobber til, hvor vi befinner oss og hvor mye penger vi har på konto, eller hva slags informasjon vi sitter på. De forfølger det faktum at de har kommet seg inn, så det er så viktig å forstå at veldig mye av dette er tilfeldig, også er det selvsagt en annen side av det, hvor det er målretta. Hvor det plutselig handler om hvem du er, hvor du jobber, hva slags virksomhet du er, hva du driver. Der er det altså forskjell på om du da heter Kongsberg jobber i Aerospace og driver vi forsvarsbransjen, eller om du heter Florine Blomster og selger blomster, men begge har behov for sikkerhet. Og det er altså ganske grunnleggende å forstå, og jeg opplever enda dessverre at folk snakker litt sånn analogt om dette her. Som at det nærmest er en slags sånn røverbande som jobber seg oppover Gudbrandsdalen og før de når Trondheim, så tar de skart til venstre, så nå må de på Vestlandet begynne å passe litt ekstra på. Vi snakker ikke lenger om fysisk geografisk tilstedeværelse rundt dette her. Dette treffer oss alle. Du må forholde deg til til dette her om du driver i transportbransjen med 20 ansatte og holder til på Andenes, eller om du holder til på Vestlandet, alle er et mål for dette her.

Frode: Men da lurer jeg på. LØRN vi er en såkalt liten bedrift, en av de 630.000 smb’ene som er i Norge. Og mange av oss har begrenset kompetanse på vurdere for eksempel trussel, og hvis vi setter oss ned og leser rapportene til PST og E og og risikorapporten til NSM, så kan det være litt sånn vanskelig å forstå, hva gjelder for oss? Og ikke minst, hvordan skal vi få få dratt dette ned på et nivå som gir mening for oss da. Det blir liksom litt sånn flytende hvis ikke du har kompetanse til å tolke det bildet du har rundt deg da, så hvordan har det blitt for virksomheter, er det er det håp allikevel, kan man få hjelp?

Roar: Ja, altså, jeg mener absolutt at det er håp og det med å få hjelp kan vi sikkert snakke littegrann om senere, hvem man kan få hjelp av, men jeg tror det er viktig i det perspektivet å forstå at de rapportene vi snakker om her, de tar utgangspunkt i stat til stat perspektiv. Man snakker om Russland og Kina, og da kan det være litt vanskelig hvis du sitter der med 15 ansatte å forstå at du skulle være en del av dette her. Det er det mange virksomheter i den størrelsen, som faktisk kan være avhengig av hvem de har som kunder og hva de leverer og hva de driver med, men jeg tror det er viktigere å ta det litt sånn forenklet ned og si at, du bør starte et sted, og det er til syvende og sist, at du er i stand til å beskytte verdiene dine, informasjonen din, systemet ditt mot en eller annen misfornøyd kunde i Moss som ønsker å skade deg digitalt. Det er den målrett delen, eller den litt mer tilfeldige delen er at det finnes mange krefter der ute som er villige til å gå langt for å forsøke å tjene penger og som bryr seg døyten om realiteten hvem du er, og der ligger det så mange grunnleggende tiltak som virksomheter kan gjøre og gjøre bedre. Fordi vi i

NSM, vi har lenge hevdet at hvis man gjør noen av disse enkle tingene, så stanser det mellom 80 til 90% av alle kjente angrep. Det som er så leit med akkurat det, som vi har sagt en stund. Det er at vi greier fortsatt ikke helt å gjøre de tingene. Vi har medisinen på en måte, men vi greier allikevel ikke å ta den helt hverken som samfunnet, som virksomheter og som enkeltperson.

Frode: Det er jo et paradoks.

Roar: Absolutt.

Frode: Men ok, vi har en trussel, og den kan være målrettet, eller den kan være tilfeldig, men vi er alle mål på et eller annet vis. Da er jeg interessert i å dra det videre. Vi har jo noen verdier, og det blir ofte en sånn abstrakt øvelse for mange. Når du skal kartlegge verdiene dine, også skal du identifisere sårbarheter ved disse verdiene. Kan du ikke bare si litt rundt, hvordan kan man gripe alt dette litt praktisk, og hvorfor er det viktig å forstå disse?

Roar: Altså, for det første er det viktig å forstå hva du har av verdier i form av dette. Dette med trussel og hvem er det som kan være interessert i dem. Som jeg sa i stad, det er forskjell på om du driver i forsvarsindustrien eller om du driver en blomsterbutikk, men du har allikevel verdier. Altså jeg kan her og nå si at jeg har erfaring fra blomsterindustrien gjennom familiære ting og selv blomsterbutikken som jeg kjenner til, ble forsøkt hacket av en sjalu eksmann som lurte på hvem som hadde sendt hans ekskone blomster. Ikke sant, men det er det nivået man da ligger på. Og ikke bekymre seg så mye overfor russisk etterretning eller andre aktører da, men det å forstå de verdiene, hva man har der er ganske essensielt for å finne de tiltakene og de ressursene man bør bruke for å beskytte dem, men jeg tror det enkleste eksemplet eller måten å tenke verdier på, det er rett og slett å spørre seg, hva skjer hvis ikke jeg er i stand til å levere mine tjenester hvis produksjonen min ikke er i stand til å gå i morgen. Så får du egentlig ganske fort et klarere bilde på hva er det vi faktisk er avhengig av for å ha leveransene våre? Til å selge til kundene våre, til å produsere til kundene våre. Dette må du sette ned i ulike former, også må du ideelt sett også være i stand til å se på, hvem er det du er avhengig av for at dine leveranser skal fungere? Og hvem er det du leverer til? Så det er liksom ikke bare deg selv, men det handler littegrann om hvem du selv bruker og hvem som er avhengig av deg igjen.

Frode: Ja, Olav Lysne har jo vært veldig sånn tydelig på disse lange og uoversiktlige verdikjedene, og man ser jo nå at virksomheter, de kan liksom bare ha en liten andel av det de driver med, som er virkelig sensitivt, men allikevel så er man veldig sårbar over det hele. Det er jo 3 begreper knyttet til dette her hvor noen har vært mer dominerende enn andre. Konfidensialitet var jo liksom det ultimate du måtte beskytte deg mot i gamle dager, da vi var unge. Mens nå kan man jo kanskje si at tilgjengelighet eller kanskje integritet er like viktig? Kan du si litt om skifte på dette her. Og hvordan sammenhengen mellom disse her og hvorfor er det viktig å forstå dette?

Roar: Ja, som du sier er det 3 begreper. Den kuleste forkortelsen på det er jo på engelsk for det er CIA. Confidentiality, integrity and availability. Konfidensialitet har vi, som du sier en ekstrem tradisjonell måte å ha fokus på. Rett og slett å hindre uvedkommende å se, lese eller høre ting de ikke skal se lese, lese eller høre. Det er forståelig at det var sånn fordi du og jeg fra gamle dager vi satt med graderte papirer i analog form som var enklere å både telle opp og ha kontroll over og sørge for nettopp at de som ikke skulle lese det kunne lese det. Det gjelder mange andre steder på den måten, men så har vi tatt i bruk masse teknologi som hjelper oss til fantastiske ting. Så har vi ikke helt fulgt med opp i hodene våre, menneskelig sett til å forstå at verden har endret seg. Fordi jeg bruker et veldig personlig eksempel og har brukt i noen år nå og ser i hvert fall i foredrags form når jeg greier å ha øyekontakt med de jeg snakker til at det går faktisk ganske sterkt inn på den når jeg bruker det eksempelet jeg skal bruke for deg nå. For min del, i 2016 havner jeg som pasient på ahus. Det er kritisk for meg, det står om livet mitt. Så har jeg ettertid, for det gikk jo bra, stilt spørsmålet, hva er det viktigste for meg i den situasjonen vi finner meg når vi kommer til cybersikkerhet? Skal jeg være mest bekymret for at noen har hacket seg inn i sykehus systemer og lese pasientjournalen min, som altså det klassiske konfidensialitets perspektivet. Skal jeg være mest bekymret over at noen av hacket seg inn i sykehus systemer og endret på mine verdier, blodtyper, allergier som kompliserer behandlingen av meg når jeg først er i den situasjonen som er integritet, altså informasjonen, lønnssystemet. Eller skal jeg være mer bekymret over at noen har overtatt all kommando og kontroll over alle sykehussystemer, verktøy og informasjonsplattformer som skulle vært brukt til å redde livet mitt den dagen. Og jeg går for det siste 10 av 10 ganger som det aller verste som kunne skje meg dersom det faller bort. Jeg har sagt før, jeg hadde latt flere 1000 mennesker lese pasientjournalen den dagen i bytte mot at alt annet fungerte optimalt. Så sier jeg ikke nå at konfidensialitet ikke er viktig, fordi hvis ikke kunder og pasienter stoler på at vi passer på informasjonen på en god nok måte så går det på tilliten, og tillit er ganske avhengig å ha for å fungere. Vi er et tillitsbasert samfunn, så det er vi avhengig av, men det er så viktig å forstå at bortfall av den type tjenester vi snakker om nå, altså tilgjengelighet om det er strøm, vann, helse, samferdsel er sannsynligvis den raskeste veien til tap av menneskeliv i dag i det norske samfunn. Og konsekvensene for en helt vanlig bedrift ved bortfall av disse tingene er kritisk. Altså jeg sier det igjen, hva gjør du hvis du ikke er i stand til å levere de tjenestene du har sagt at du skal levere til kundene, og det bortfallet varer i 14 dager. Hvor står du da etter det etter det?

Frode: Nei bra det gikk bra da.

Roar: Ja, det er bra det gikk bra, men det igjen. Nå har jeg snakket til toppleder innenfor helsesektoren og ser at de blir litt sånn matte i øynene fordi poenget mitt er jo til syvende og sist at. Ja, det er viktig med å passe på pasientjournalene og konfidensialitets stedene i det, men man må faktisk ta innover seg at man har kjøpt inn tonnevis med teknologi som redder menneskeliv hver eneste dag, men som samtidig kan nås fra hele verden av krefter som ikke som noe godt. Det må man ta innover seg. Man er nødt til å greie å se dette mer helhetlig. Kanskje har man greid det tidligere, å forstå konsekvensene som kanskje er helt annerledes enn før. Fordi det medfører jo ikke direkte livsfare for meg om noen har lest pasientjournalen min som ikke skulle det. Jeg kan ha et ubehag ved det også videre, men alvorlighetsgraden i de er kanskje ikke like alvorlig som hvis strømmen skulle gå på det samme sykehuset. Altså de har jo backup rutiner for det selvsagt, men igjen.

Frode: Men kan vi holde litt på den tråden? Fordi før så var det jo sånn at man hadde kall det intranett. Det var for eksempel styringssystemer, de gikk i egne kanaler og nå er alt koblet til internett som du sier. Om det er pacemakeren din eller om det er styringssystemer for vindmøller, eller hva det måtte være? Hva innebærer egentlig I og T for oss med tanke på hva vi som mennesker må tenke på oppi dette her. Fordi vi er jo i en veldig annen situasjon nå enn det vi var tidligere.

Roar: Ja altså man kan bli litt overveldet av det hele, tror jeg, fordi alt dette her har jo som regel en positiv effekt på livene våre, og det er grunnen til at du og jeg kjøper robotstøvsugeren og alle disse tenkelige duppedittene og selvsagt også alvorligere ting enn det som hjelper samfunnet til å til å fungere. Så det er så mange positive sider ved det, men samtidig så er vi ikke like flinke nok til å forstå at vi samtidig introduserer en rekke nye sårbarheter. For disse produktene kommer med teknologiske svakheter, sårbarheter, hull som kan utnyttes og de vi står overfor er til tider eksperter i nettopp å finne disse hullene og utnytte det da. Så det vi også samtidig ser i et større perspektiv er jo, at virksomheter, som egentlig jobber veldig bra på sikkerhetssiden litt sånn tradisjonelt, allikevel blir offer for noe fordi det er noen av disse tingene man allikevel har glippet litt på og ikke tenkt på. Også er det det som blir veien inn, også er det du og jeg snakker om nå. Det er samtidig en kjempeutfordring fordi jeg tar meg gang på gang i å høre på andre og høre meg selv snakke om en del av disse settingene. Hvor vi nesten alltid tar utgangspunkt i store organisasjoner. Altså det er veldig interessant å høre konsern x snakke om hvordan de har jobbet med sikkerhet, men det er så vanskelig å overføre det ned til en helt vanlig norsk bedrift med 30 ansatte, fordi det de store konsernene snakker om, har de hatt 6 heltidsansatte på og brukt millioner av kroner for å få til. Så hvordan overfører vi det ned til små og mellomstore bedrifter for at det faktisk skal få effekt? Og når vi snakker om truslene i tillegg, så skjønner jeg veldig godt hvis man nærmest gir litt opp, rett og slett. Det føles så overveldende da. Det er hvertfall noe som jeg tar meg selv i å tenke gang på gang.

Frode: Når vi snakker om cybersikkerhet, så er det jo mange ting som påvirker dette her, og man har noen ulike begreper, man har personellsikkerhet, fysisk sikkerhet, digital sikkerhet, organisatoriske svakheter, administrative sårbarheter. Det er jo mange ting som påvirker, men det jeg lurer på er. Hvis vi tar menneskene da som mennesker. Sosial manipulering som fenomen, vi blir jo et verktøy for mange til å hjelpe disse trusselaktørene inn i systemene, fordi at vi kanskje er som du sier, ikke helt trygge på hva vi skal eller ikke skal gjøre. Vi kommer litt mer tilbake til det etterpå, men dette er jo sårbarheter som er identifisert i store virksomheter som er i små virksomheter, men som har blitt litt annerledes nå som vi plutselig sitter mye på hjemmekontor. Vi har fått en dynamikk i alle virksomheter, og du kan på en måte si at alle er distribuerte. Det vil jo si at menneskene ikke fulgt opp nødvendigvis, sånn som de ble før. Hvordan har det påvirket pandemiens påvirkning på cybersikkerhet og hva tenker du rundt det?

Roar: For det første, så har sikkerhetsfolk en tendens til å være litt for lite risikovillig. Og det var ikke mangel på bekymringer når vi stengte ned Norge i mars, 20. Hvis vi ser i ettertid, så gikk det stort sett bra, og vi skal være ekstremt glad for at vi faktisk hadde både teknologi og evne og vilje til å gjøre det vi gjorde. For, jeg tror situasjonen for næringslivet, hadde vært betydelig styggere enn det det viste seg å bli, selv om vi selvsagt kunne vært dette foruten. Det betyr ikke at risikoene ikke var der. At ikke risikoene har vært utnyttet av trusselaktørene, men det som skjer med oss mennesker i den settingen. Det er jo at vi vi havner fjernere fra kolleger arbeidsplassen. Det er vanskeligere å spørre en kollega til råd som denne eposten som kom nå har, hva tror du om denne? Men det er noe grunnleggende der uansett om vi sitter hjemme eller på jobb og gjør dette her. Jeg tror det er viktig å forstå at vi har plassert de ansatte i førstelinjes forsvar både frivillig og ufrivillig, ved at vi bruker e post. Epost er fortsatt angrepsvåpen nummer én med vedlegg, lenker eller tekstinnhold som ber oss om å gjøre et eller annet vi ideelt sett ikke skal. Det er så mange måter å snakke om disse epost greiene på, som også til tider blir litt håpløst, når standard advarselen har vært, åpne aldri epost og vedlegg og lenker fra folk du ikke kjenner. Det er jo et håpløst råd, fordi du og jeg Frode vi har. Vi har kjent hverandre i mange år, og la oss si at hvert fall jeg stoler på deg 100%. Det er ikke sikkert det er det samme motsatt, men det er menneskelig tillit. Kan du og jeg bruke den menneskelige tilliten til å vurdere at det som ser ut som er en epost fra meg til deg, faktisk er fra meg til deg. Nei, vi kan ikke det. Det er digital tillit og det blir en helt annen setting, og det er der vi går oss fast litt i sånne analoge menneskelige vurderingskriterier som ikke passer inn i det systemet vi da er. For vi skal være skeptisk overfor all epost, også skal vi ikke være så overrasket og sjokkert over at ansatte kommer til å klikke og åpne vedlegg fra epost, fordi det er faktisk jobben deres å klikke og åpne vedlegg fra epost. Så det ligger en risiko der som må løses ved at man både må gi mennesker, kunnskap, motivasjon og en situasjonsforståelse til å bidra og kanskje få ned det antallet på sånne klikk som kunne ha vært forhindret, men man må også løse det teknologisk som ideelt sett hadde gjort at du og jeg nesten kan klikke på hva som helst også er vi allikevel sikre, fordi teknologien bakenfor beskytter oss, men vi kommer ikke bort ifra at et menneskelig fokus på dette her er viktig når det gjelder både kunnskap og opplæring, og ikke minst motivasjon og en forståelse for hvorfor det faktisk er viktig for virksomheten og for de ansatte som blir veien inn?

Frode: Hvis vi avrunder med å snakke litt om utviklingen. Jeg har en sånn følelse av at de siste 10 årene har hatt en sånn voldsom vekst i ulike typer angrep mot oss og er litt sånn usikker på er det reelt eller er det media? Har vi blitt mer bevisste, ser vi mer nå enn vi så før? Er det verre nå enn før eller er det bedre?

Roar: Nei, jeg vil nok si at det er verre. Også er det lett å gå i den fella fordi det vi sjelden snakker om er jo alle de tusenvis av forsøkene på å trenge seg inn hos virksomheter digitalt, altså gjennomføre et dataangrep som rett og slett blir stanset av gode sikkerhetstiltak. Av både menneskelige prosessuelle og teknologiske tiltak. Det snakker vi sjeldent om. Det som får fokus er jo når angriperen lykkes, og det er forståelig at den fokusen får, men samfunnet vårt hadde ikke fungert i dag uten de tiltakene som allerede er på plass. Så det er gjort veldig mye bra som fungerer, men vi kan gjøre det bedre, for vi ønsker jo selvsagt ikke å bli utsatt for disse tingene, men dette er jo blitt stor industri. Det er enorme verdier som man greier å stjele og overføre til seg selv gjennom denne type aktiviteter, og det er jo en motivasjonsfaktor for kjeltringer i stor grad og en av de store driverne der går jo littegrann på det vi nevnte i stad med konfidensialitet og tilgjengelighet. Nettopp at dette med digital utpressing, kryptering av bedriftens systemer som gjør at ingenting fungerer. Har plutselig gjort, at vi ikke har stjelt informasjonen lenger som sådan, men vi har kryptert den og ingenting av det du driver med fungerer. Hvor mye penger har du lyst på for det? Det har snudd opp ned ganske mye, og det er jo noe som har skjedd de siste 5 6 årene i større grad, og vi kommer nok til å se advart av det også fremover. I tillegg til at virksomheter har blitt flinkere til å sikre seg mot det, så har man også begynt å skru på skruen ytterligere fra de som driver med dette. At nå kopierer man også informasjonen før man krypterer den, også bruker man det som et pressmiddel og sier at hvis du ikke vil betale for å få at vi avkrypterer informasjonen din, ja, så må du i hvert fall betale for at ikke vi skal kopiere og legge ut informasjonen din som er av sensitiv art med kundene dine og alt mulig.

Frode: Dette er jo egentlig en fin avslutning på introen, fordi det viser jo mangfoldet i hva du står overfor og hvordan både virksomheter og enkeltpersoner må ta stilling til ganske kompliserte valg, når hendelsen er ute. Og vi skal snakke mer om hendelseshåndtering også etter hvert, men takk for samtalen så langt. Jeg føler at vi har fått et bilde av, hva er dette og i neste del, så skal vi snakke litt om noen gode eksempler på hvordan dette faktisk kan fremstå for deg som virksomhet. Så takk så langt.

Du har nå lyttet til en podcast fra LØRN.Tech – en læringsdugnad om teknologi og samfunn. Nå kan du også få et læringssertifikat for å ha lyttet til denne podcasten på vårt online universitet LØRN.University.

“