:

Mange norske virksomheter velger å kjøpe skytjenester fra store kommersielle, multinasjonale selskaper. Dette bidrar som oftest til å øke sikkerheten for virksomhetene siden de kan utfase utdaterte IT-løsninger, og få tilgang til sikker infrastruktur og profesjonelle sikkerhetsmiljøer. Samtidig er regjeringen opptatt av den samlede nasjonale avhengigheten til utenlandske skyleverandører, og hva konsekvensene av avhengigheten kan være ved potensielle kriser og konflikter. For noen virksomheter bør derfor bruk av skytjenester vurderes opp mot behovet for nasjonal kontroll og nasjonal beredskap.

Stadig flere virksomheter velger allmenne skytjenester for å imøtekomme behovet for nye og forbedrede IT-løsninger. For flere statlige virksomheter er det imidlertid en utfordring at det ikke finnes tilgang på funksjonelle og kostnadseffektive skytjenester med tilstrekkelig grad av nasjonal kontroll. Det kan føre til økt risiko dersom man likevel velger slike løsninger. Alternativet er at virksomhetene må velge lokale løsninger, noe som kan føre til høyere kostnader og begrenset tilgang til nye teknologiske verktøy. Problemet forventes å øke i tiden som kommer.

Regjeringen vil vurdere etablering av en nasjonal skytjeneste for å sikre økt nasjonal kontroll over kritisk IKT-infrastruktur og å beskytte viktig informasjon.

NSM fikk i november 2021 i oppdrag å utrede behovet for en slik skytjeneste. Flere sentrale aktører er involvert i arbeidet. Utredningsarbeidet er omfattende, komplekst og tar opp flere prinsipielle og tverrsektorielle problemstillinger, blant annet teknologiske, sikkerhetsrelaterte, organisatoriske, juridiske og økonomiske. Alternativene som vurderes skal ta utgangspunkt i nasjonal behandling og lagring av data. Sikkerhetsutfordringer som kan oppstå om en leverandør er underlagt utenlandske staters jurisdiksjon inngår i vurderingen. Det samme gjelder eiermodell, eksempelvis om den nasjonale skytjenesten skal eies og driftes av staten selv, men der kompetanse og innovasjonskraft fra det private benyttes. Utredningen skal leveres innen utgangen av 2022, slik at kvalitetssikring kan gjennomføres innen sommeren 2023.

https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/sky-tjenesteutsetting-og-sikkerhet/

Sky, tjenesteutsetting og sikkerhet

Erfaringer fra NSMs operative virksomhet og andre statlige tilsynsorganer viser at det er lav bevissthet rundt krav til og oppfølging av informasjonssikkerhet ved tjenesteutsetting av IKT-tjenester som skytjenester.

NSM er bekymret for at bl.a samfunnskritiske IKT-tjenester tjenesteutsettes uten tilstrekkelige risikovurderinger og sikringstiltak, og at tjenester driftes fra utlandet eller flyttes til utlandet uten tilstrekkelige sikkerhetsfaglige vurderinger.

Anbefalingene under kan hjelpe din virksomheter med hensyn til vurderinger rundt tjenesteutsetting av IKT-tjenester, inkludert bruk av skytjenester samt arkitekturmessige valg.

https://nsm.no/regelverk-og-hjelp/rapporter/konseptvalgutredning-for-nasjonal-skytjeneste

https://nsm.no/aktuelt/ma-ha-kontroll-pa-datasentre

https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/sikkerhetsfaglige-anbefalinger-ved-tjenesteutsetting/introduksjon/

https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/grunnprinsipper-for-ikt-sikkerhet-2-0/beskytte-og-opprettholde/ivareta-sikkerhet-i-anskaffelses-og-utviklingsprosesser/

https://nsm.no/hold-deg-oppdatert/meninger/datasenter-mellom-to-stoler

https://nsm.no/regelverk-og-hjelp/rapporter/nasjonal-kontroll-av-ikt-tjenester

https://nsm.no/regelverk-og-hjelp/rad-og-anbefalinger/ofte-stilte-sporsmal-om-sky-og-tjenesteutsetting/sky-tjenesteutsetting-og-sikkerhet/

https://nsm.no/aktuelt/statens-muligheter-for-it-modernisering-og-digital-transformasjon-1

https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/landvurdering-ved-tjenesteutsetting-av-ikt-tjenester

https://nsm.no/hold-deg-oppdatert/meninger/samfunnskritisk-ikt-bor-leveres-fra-datasenter-i-norge

Konseptvalgutredning for nasjonal skytjeneste

https://nsm.no/regelverk-og-hjelp/rapporter/konseptvalgutredning-for-nasjonal-skytjeneste

NSM mener Norge trenger en nasjonal skytjeneste.

For enkelte datatyper og IKT-systemer er det sårbart å være avhengig av utenlandske skytjenester. Dette kan være personopplysninger, helsedata, finansielle data, IT-systemer til operasjonssentraler, eiendomsregister, valgsystemer og informasjon om infrastruktur- og transportsystemer i Norge.

Manglende kontroll over viktige data og systemer kan svekke statens evne til å levere sentrale offentlige tjenester, og må derfor beskyttes bedre, fastslår NSM i utredningen. I ytterste konsekvens kan manglende kontroll over IKT-systemer svekke Norges suverenitet, territorielle integritet og demokratiske styreform.

Kompleks utredning

På oppdrag fra Justis- og beredskapsdepartementet (JD) NSM har gjennomført en konseptvalgutredning for nasjonal skytjeneste for ugradert, skjermingsverdig informasjon og andre beskyttelsesverdige data. NSM har utredet flere ulike konsepter i tråd med statens prosjektmodell.

Alternativene spenner fra lovregulering, kommersielle løsninger med utvidet statlig kontroll, rene statseide løsninger og en kombinasjon av disse.

En omfattende behov- og interessentanalyse i statsforvaltningen viser at de ulike alternativene i ulik grad tilfredsstiller virksomhetenes behov. NSM har samtidig sett til nasjonale løsninger i land det er naturlig å sammenligne seg med.

NSMs anbefaling til Justis- og beredskapsdepartementet:

Å samle, tydeliggjøre og eventuelt styrke dagens krav ved bruk av skytjenester. Å etablere eller styrke en statlig tilsynsmyndighet og rådgivningstjeneste.
Å etablere nasjonale skytjenester, som kombinerer en statlig eid og driftet skyløsning på norsk jord underlagt norsk jurisdiksjon, og en skyløsning levert av et fåtall kommersielle virksomheter som skal eie, levere, videreutvikle og drifte disse tjenestene.

Anbefalingen av en kombinert løsning gir et høyere nivå av nasjonal kontroll og høyere funksjonalitet enn et rent statlig eller kommersielt konsept alene.

Last ned dokumentene fra utredningen:

Enkelte deler i dokumentene er underlagt taushetsplikt eller kan påvirke statens forhandlingsposisjon og er følgelig sladdet med hjemmel i offentlighetsloven §13 jf. forvaltningsloven §13 og offentlighetsloven §23.

Konseptvalgutredning

Nasjonal sikkerhetsmyndighet (NSM) har gjennomført en konseptvalgutredning (KVU) for etablering av en nasjonal skytjeneste for behandling av ugradert, skjermingsverdig informasjon (jf. sikkerhetsloven) og andre beskyttelsesverdige data på oppdrag fra Justis- og beredskapsdepartementet (JD).
Ugradert, skjermingsverdig informasjon og informasjonssystemer er informasjon som må være tilgjengelig og korrekt, men samtidig må oppfylle sikkerhetslovens krav til sikring, selv om det ikke vil skade nasjonale sikkerhetsinteresser om innholdet blir kjent.
Utredningen ble gjennomført i perioden februar 2022 til januar 2023. Fra februar til august 2023 har utredningsdokumentene vært gjenstand for ekstern kvalitetssikring (KS1).
NSM har gjennomført en omfattende behov- og interessentanalyse i arbeidet. Det bygger på informasjon fra blant andre statlige virksomheter, leverandørindustri og andre land. Alle konseptene som er utredet har vært gjenstand for økonomiske kalkyler, samfunnsøkonomiske analyser og sikkerhetsmessige vurderinger.
Statens prosjektmodell blir benyttet når store statlige investeringsprosjekter skal utredes. I konseptvalgutredningen beskrives problemet tiltaket skal løse, hvilke fremtidige behov samfunnet vil ha og angi hvilke mål som skal oppnås med å gjennomføre tiltak. Ulike løsninger og tiltak som er konseptuelt forskjellig fra hverandre skal vurderes og sammenlignes gjennom en samfunnsøkonomisk analyse. Det skal anbefales hvilket tiltak som bør gjennomføres og hva som er viktige forutsetninger i den videre planleggingen for å lykkes. Utredningen gjennomgås av uavhengige eksperter, den eksterne kvalitetssikringen (KS1), før konseptvalg kan fattes i regjeringen. Les mer om statens prosjektmodell på regjeringen.no.

https://lod.lovdata.no/journal/2022/3/m-370/Bruk_av_skytjenester_–_Hvilke_spørsmål_bør_virksomhetene_stille_seg_selv?

▼

Bruk av skytjenester

– Hvilke spørsmål bør virksomhetene stille seg selv?

Bruk av skytjenester utløser en rekke personvernrettslige plikter. Det er virksomheten som tar i bruk skytjenestene som er behandlingsansvarlig, og som har hovedansvaret for å etterleve personvernregelverket.

https://www.datatilsynet.no/personvern-pa-ulike-omrader/internett-og-apper/skytjenester/

Skytjenester

Skytjenester (cloud computing) er en samlebetegnelse på alt fra dataprosessering og datalagring til programvare på servere som er tilgjengelig fra eksterne serverparker tilknyttet internett.

Serverparkene kjennetegnes ved at de er laget for dynamisk skalering. Det betyr at datakraft kan tilpasses kapasitetsbehov, og kunden kan betale for det den faktisk bruker.

Mange eksterne serverparker står utenfor Norges grenser. En stor utfordring for virksomhetene som bruker slike tjenester er å sørge for at avtalen med skytjeneste-leverandøren er i samsvar med norsk lovgivning.

Ulike former for skytjenester

Det er vanlig å dele skytjenester opp i tjenestemodeller. De tre vanligste er:

Programvare som tjeneste (software as a service - SaaS), som er en modell for leveranse over et nettverk hvor kunden benytter leverandørens applikasjon(er) på en nettsky-infrastruktur. Kunden har i utgangspunktet ikke kontroll over verken applikasjoner, nettverk, servere, operativsystemer eller lagringsmuligheter.
Plattform som tjeneste (platform as a service - PaaS), hvor kunden innfører applikasjoner utviklet/kjøpt av kunden i leverandørens nettsky-infrastruktur gjennom å benytte programmeringsspråk og verktøy støttet av leverandøren. Kunden har kontroll over egne applikasjoner, men har ikke kontroll over nettverk, servere, operativsystemer eller lagringsmuligheter.
Infrastruktur som tjeneste (infrastructure as a service - IaaS), som gjelder levering av datainfrastruktur som en tjeneste over et nettverk. Kunden har kontroll over relevante applikasjoner, servere, operativsystemer og lagringsmuligheter, samt i noen tilfeller visse elementer i nettverket (for eksempel på brannmursiden).

Skytjenester kan i tillegg deles inn i leveransemodeller som:

Allmenn tilgjengelig sky (public cloud), hvor skytjenestene gjøres tilgjengelige av leverandøren for alle kunder.
Privat tilgjengelig sky (private cloud), hvor skytjenestene gjøres tilgjengelige kun for devirksomheter som skytjenestene skal gjelde for. Her vil miljøet/miljøene som skytjenesten leveres fra, typisk dedikeres til den enkelte kunde eller en definert kundegruppe. Dette opplegget åpner for større grad av spesifikke kundetilpasninger enn tilfellet er med modellen for offentlig tilgjengelig sky.
Hybridsky (hybrid cloud), som kan være en blanding av modellene over.

Når virksomheten benytter skytjenester er det viktig at den kjenner pliktene sine og det for eksempel gjøres risikovurderinger og at personvernkonsekvensene vurderes.

Andre lands nasjonale skytjenester

Flere av våre nærmeste naboland har aktiviteter knyttet til nasjonale skytjenester. Sverige har foreløpig ikke etablert en statlig tjeneste, men utført flere utredninger og avklaringer. Danmark har etablert en «GovCloud» som driftes av Statens It og som gir mulighet for å plassere applikasjoner i en offentlig eid og driftet skytjeneste. Tyskland har etablert «Die Bundescloud» som er en lukket skytjeneste som utvikles, eies og driftes av staten. Storbritannia har sin «G-cloud» som bidrar til å gjøre anskaffelser enklere med standardiserte rammeavtaler og godkjenning av leverandører.

https://nsm.no/aktuelt/nsm-bekymret-for-nasjonal-avhengighet-av-utenlandske-skytjenester

NSM bekymret for nasjonal avhengighet av utenlandske skytjenester

1. skytjenester og tjenesteutsetting.

2. digitale hendelser som rammer norske virksomheter og metodene som brukes mot oss

3. status for nasjonale digitale tiltak videre sikkerhetsarbeid

1. Skytjenester og tjenesteutsetting

Fordelene med skytjenester er større enn ulempene - for de aller fleste.

NSM er positive til at virksomheter bruker skytjenester dersom det gjøres gode og riktige vurderinger. Virksomhetene har selv ansvaret for sikring av egne verdier, og god sikkerhetsstyring blir dermed viktig. Økt bruk av skytjenester gir nye sårbarheter og økt risiko utover virksomhetens eget domene. Allerede i dag bærer utenlandske skytjenesteleverandører viktige norske samfunnsfunksjoner.

NSM er bekymret for den samlede nasjonale avhengigheten av utenlandske skytjenesteleverandører og hva denne avhengigheten kan medføre ved potensielle kriser og konflikter. For noen virksomheter bør bruk av skytjenester derfor vurderes opp mot behovet for nasjonal kontroll og nasjonal beredskap.

Skytjenester vil være vesentlig for realisering av fremtidens teknologi og vil utgjøre sentrale byggeklosser for morgendagens digitaliserte samfunn. I arbeidet med vår samlede nasjonale beredskap må bruken av sky tas hensyn til.

https://www.næringslivnorge.no/digitalisering/dette-er-du-nodt-til-a-tenke-pa-for-du-tar-i-bruk-en-skylosning/

CLOUD COMPUTING

Dette er du nødt til å tenke på før du tar i bruk en skyløsning

Cloud computing, eller skytjenester, har i mange år ikke bare vært et buzzword, men en realitet både i offentlig og privat sektor. Kostnadene ved å ha en lokal IT-avdeling er for de fleste større enn det man må betale for å sette ut IT-leveransen til en profesjonell IT-leverandør som bruker skyløsninger.

Bedrifter har i mange år satt ut IT-tjenester til eksterne, og internett var tidlig brukt som basis for infrastruktur. Men med dagens antall av leverandører, underleverandører, nett-topologier, ulike behov for integrasjoner, med mer, gjør bildet mye mer komplekst. Selv om prosessen for å sette ut IT for en virksomhet ikke er så forskjellig fra tidligere, har en virksomhet i dag mange flere parametre å forholde seg til enn før.

Kjenn din virksomhet

Det kan virke som en selvfølge, men det aller viktigste er å kjenne sin virksomhet så godt at man vet hva som skal beskyttes. For å kunne omsette kjennskapen til krav som skal formidles til en leverandør, kreves en systematisk tilnærming. Dette er en viktig aktivitet, ettersom virksomheten fortsatt selv vil være den som er ansvarlig for IT-systemer, administrative eller produksjons-prosesser, ledelse som må selv stå til rette for både interne og eksterne prosesser.

For å kjenne sin virksomhet er det spesielt to aktiviteter som må gjennomføres:

1. Verdivurdering: Denne aktiviteten vil kartlegge de verdier virksomheten er avhengige av for å nå sine mål.

2. Risikovurdering: Denne aktiviteten er som regel todelt med risikovurdering knyttet til virksomheten slik det foreligger før en tar i bruk en skyløsning og hva det vil medføre å ta i bruk en skyløsning.

Resultatet av disse to aktivitetene og eksisterende sikkerhetspolicyer/sikkerhetsrutiner vil danne en kravliste for sikkerhet til skyleverandøren.

Krav-dokumentet

Skal du bruke en skyløsning som en del av produksjonen i din virksomhet, er det viktig at kravsettet som utarbeides for skyløsningen dekker helheten i en slik anskaffelse. Alt fra hvordan sikkerhet skal ivaretas når skyløsningen skal integreres i virksomheten og de eksisterende IT-systemer som fortsatt skal benyttes, via sikkerhet i forvaltning og oppfølging av leveranser, til hvordan tilbakeføring av data og funksjoner skal gjøres sikkerhetsmessig forsvarlig for virksomheten ved opphør av tjenesten.

For å kunne ha en god oppfølging av sikkerheten i skytjenesten er det nødvendig at virksomheten selv har et system for oppfølging. Med en strukturert tilnærming til oppfølging av sikkerhetskravene er man et godt stykke på vei. Det er viktig gjennom kravstillingen å sikre seg at leverandøren har et styringssystem for sikkerhet, og at virksomheten får nødvendig innsyn i dette til å kunne ivareta kontrollen av leveransen, samt at leverandøren står for avviks- og sikkerhetsrapportering til virksomheten.

En må kreve av leverandøren å få en oversikt over hvem som kommer i befatning med virksomhetens informasjon, hvor informasjonen lagres og hvordan den skilles fra andre virksomheters informasjon. Krav til kryptering for overføring og lagring, samt nødvendig detaljering av tilgangsstyring er en selvfølge i kravdokumentet. Det er viktig å sikre seg at leverandøren har nødvendig sikkerhetsmessig overvåking for leveransen, rutiner for varsling, og at hendelseshåndtering er koordinert din virksomhet. Krav i forbindelse med terminering må omhandle eierskap til informasjon, prosess for tilbakeføring av informasjon og sikker sletting hos leverandøren. En eventuell databehandleravtale skal inneholde hvordan sikkerheten ivaretas.

Sikkerhetskompetanse

For å være i stand til å vurdere risiko på en god måte, og kunne utforme gode sikkerhetskrav, vil det være nødvendig at virksomheten har egen sikkerhetskompetanse, eller leier inn en tredjepart. Da vil man utfylle den øvrige kompetansen som er nødvendig ved inngåelse av en kontrakt med en skytjenester.

https://www.regjeringen.no/no/dokumenter/meld.-st.-9-20222023/id2950130/?ch=4

▲

Meld. St. 9 (2022–2023) {kapittel 4}

Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet— Så åpent som mulig, så sikkert som nødvendig

Nasjonal kontroll over verdier av betydning for nasjonal sikkerhet

https://www.regjeringen.no/no/dokumenter/meld.-st.-9-20222023/id2950130/?ch=3

▲

Meld. St. 9 (2022–2023) {kapittel 3}

Nasjonal kontroll og digital motstandskraft for å ivareta nasjonal sikkerhet— Så åpent som mulig, så sikkert som nødvendig

Virkemidler for å styrke nasjonal kontroll og bygge digital motstandskraft

https://www.regjeringen.no/no/aktuelt/regjeringen-vil-styrke-nasjonal-kontroll-i-ny-stortingsmelding/id2950574/

Regjeringen vil styrke nasjonal kontroll i ny stortingsmelding

"Regjeringen vil styrke nasjonal kontroll og digital motstandskraft og legger frem en ny melding for Stortinget. De siste årene har trusselaktører tatt i bruk stadig nye virkemidler for å ramme Norge. Sammensatte trusler er komplekse og berører alle samfunnsområder.

– Regjeringen mener vi må sikre oss bedre mot sammensatte trusler som sikkerhetstruende økonomisk aktivitet, skadelig skjult eierskap, digitale angrep, påvirkningsoperasjoner eller forstyrrelser i energiforsyningen. Vi trenger kraftfulle tiltak for å ivareta nasjonal sikkerhet,"

https://www.regjeringen.no/no/tema/samfunnssikkerhet-og-beredskap/innsikt/hovedprinsipper-i-beredskapsarbeidet/id2339996/

Hovedprinsipper i beredskapsarbeidet

Om regjeringens og departementenes beredskapsarbeid og krisehåndtering.

Hovedprinsipper

Beredskapsarbeidet bygger på fire grunnleggende prinsipper:

1. Ansvarsprinsippet

Den organisasjon som har ansvar for et fagområde i en normalsituasjon, også har ansvaret for nødvendige beredskapsforberedelser og for å håndtere ekstraordinære hendelser på området. Ansvarlig instans må ta stilling til hva som er akseptabel risiko.

2. Likhetsprinsippet

Den organisasjon man opererer med under kriser, skal i utgangspunktet være mest mulig lik den organisasjon man har til daglig.

3. Nærhetsprinsippet

Kriser skal organisatorisk håndteres på lavest mulig nivå.

4. Samvirkeprinsippet

Myndigheter, virksomheter og etater har et selvstendig ansvar for å sikre et best mulig samvirke med relevante aktører og virksomheter i arbeidet med forebygging, beredskap og krisehåndtering.

Justis- og beredskapsdepartementet

Justis- og beredskapsdepartementet skal være fast lederdepartement i sivile nasjonale kriser, dersom Kriserådet ikke bestemmer noe annet.

Justis- og beredskapsdepartementet har i tillegg samordningsansvar for samfunnets sivile sikkerhet og ansvar for tilsynsarbeid gjennom Direktoratet for samfunnssikkerhet og beredskap, Nasjonal sikkerhetsmyndighet og hovedredningssentralene

Den sentrale krisehåndteringen

Regjeringen

Regjeringen har det øverste ansvaret for beredskapen i Norge, herunder det overordnede politiske ansvaret for styring og håndtering av kriser.

Kriserådet

Det øverste administrative koordineringsorganet på departementsnivå. Ivaretar og sikrer strategisk koordinering, blant annet mellom berørte departementer.

Rådet har seks faste medlemmer: regjeringsråden ved Statsministerens kontor samt departementsrådene i Justis- og beredskapsdepartementet, Helse- og omsorgsdepartementet, Forsvarsdepartementet, Kommunal-og moderniseringsdepartementet og Utenriksdepartementet. Rådet kan utvides ved behov.

Lederdepartementet

Lederdepartementet har ansvaret for å koordinere håndteringen av krisen på departementsnivå. Justis- og beredskapsdepartementet skal være fast lederdepartement i sivile nasjonale kriser, dersom Kriserådet ikke bestemmer noe annet. Lederdepartementet rapporterer og fremskaffer beslutningsgrunnlag til Kriserådet og Regjeringen. Utpeking av lederdepartement medfører ikke endringer i konstitusjonelle ansvarsforhold, og alle departement beholder ansvar og beslutningsmyndighet for sine respektive saksområder.

Krisestøtteenheten

Er permanent sekretariat for Kriserådet og skal støtte lederdepartementene. I en krise bidrar Krisestøtteenheten med kompetanse i form av rådgivning og faglig bistand til lederdepartementets arbeid med samordning og helhetlig sentral krisehåndtering. Krisestøtteenheten bemanner sivilt situasjonssenter som understøtter Justis- og beredskapsdepartementets samordningsrolle med døgnkontinuerlig beredskap og er fast kontaktpunkt for informasjon til og fra departementet ved ekstraordinære hendelser og kriser.

Les mer

Justis- og beredskapsdepartementet

Tema

Samfunnssikkerhet og beredskap

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 17 december 2023 17:12

NATO

https://www.sto.nato.int/Pages/default.aspx

"assessment of Science & Technology (S&T) trends and their potential impact on NATO military operations"

https://www.nato.int/nato_static_fl2014/assets/pdf/2023/3/pdf/stt23-vol1.pdf

https://www.nato.int/nato_static_fl2014/assets/pdf/2023/3/pdf/stt23-vol2.pdf

Emerging and disruptive technologies

https://www.nato.int/cps/en/natohq/topics_184303.htm

"The strategic context"

"Emerging and disruptive technologies are increasingly touching all aspects of life – from electronics like phones and computers, to everyday activities like shopping for food in the grocery store and managing money in the bank. These technologies are also having a profound impact on security. Innovative technologies are providing new opportunities for NATO militaries, helping them become more effective, resilient, cost-efficient and sustainable. These technologies, however, also represent new threats from state and non-state actors, both militarily and to civilian society.

NATO’s 2022 Strategic Concept,"

Artificial intelligence and human-autonomy teaming in military operations

https://www.ffi.no/publikasjoner/arkiv/trusting-machine-intelligence-artificial-intelligence-and-human-autonomy-teaming-in-military-operations

https://ffi-publikasjoner.archive.knowledgearc.net/bitstream/handle/20.500.12242/3231/2193366.pdf

Conceptualise Foreign Information Manipulation

https://www.ffi.no/publikasjoner/arkiv/the-space-of-influence-developing-a-new-method-to-conceptualise-foreign-information-manipulation-and-interference-on-social-media

https://ffi-publikasjoner.archive.knowledgearc.net/bitstream/handle/20.500.12242/3189/2149121.pdf

Morfologiske analyser

https://www.ffi.no/sok?tags=Morfologisk%20analyse

Informasjonsintegrasjon for et moderne forsvar

https://www.ffi.no/publikasjoner/arkiv/stordata-og-avansert-analyse-sluttrapport-for-ffi-prosjekt-informasjonsintegrasjon-for-et-moderne-forsvar

https://ffi-publikasjoner.archive.knowledgearc.net/bitstream/handle/20.500.12242/2959/21-02647.pdf

Totalberedskapskommisjonen

https://www.regjeringen.no/no/dokumenter/horing-nou-202317-na-er-det-alvor-totalberedskapskommisjonen/id2985496/?expand=horingssvar

NOU 2023:17

Rustet for en usikker fremtid

https://www.regjeringen.no/contentassets/4b9ba57bebae44d2bebfc845ff6cd5f5/no/pdfs/nou202320230017000dddpdfs.pdf

https://www.regjeringen.no/no/dokumenter/horing-nou-202317-na-er-det-alvor-totalberedskapskommisjonen/id2985496/?showSvar=true&term=&page=1&isFilterOpen=true

Styringsdokumenter for Forsvaret

(utvalgte)

https://www.ffi.no/om-ffi/styringsdokumenter/Tildelingsbrev%202023%20for%20Forsvarets%20forskningsinstitutt.PDF

Instruks virksomhetsstyring forsvarssektoren

https://www.regjeringen.no/no/dokumenter/oppdatert-instruks-for-okonomi--og-virksomhetsstyring-i-forsvarssektoren/id2537099/

"Forsvarets planmessighet 2021-2024"

https://www.regjeringen.no/no/tema/forsvar/ltp/LTP/id2611090/

NATO Allies and Partners take part in world’s largest cyber defence exercise

https://www.nato.int/cps/en/natohq/news_214144.htm

NATO Cyber defenca / försvarsmakten aktuellt

https://www.nato.int/cps/en/natohq/topics_78170.htm
https://www.forsvarsmakten.se/sv/aktuellt/2023/04/forsvarsmaktens-lag-vann-varldens-storsta-cybersakerhetsovning/

"resilience of critical infrastructure"

https://www.nato.int/cps/en/natohq/news_216631.htm?selectedLocale=en

https://www.nato.int/cps/en/natohq/topics_132722.htm

https://www.nato.int/cps/en/natohq/topics_80906.htm

▲

Electromagnetic warfare

Military operations conducted in all environments use the electromagnetic spectrum to create effects that support military objectives. As a part of the battlespace, NATO forces conduct Electromagnetic Operations (EMO) in the Electromagnetic Environment (EME). EMO involves activities that exploit the EME to enable or enhance NATO operations and hinder the potential adversary's ability to do the same. As the combat arm of EMO, Electromagnetic Warfare (EW) activities provide military action that exploits electromagnetic energy to provide situational awareness and create offensive and defensive effects.

From attacks on radar systems, to jamming of communications and navigation systems, to electronic masking, probing, reconnaissance and intelligence gathering, EW can be applied in all operational domains – air, land, maritime, space and cyber. It is therefore vital that NATO remains ready and able to counter any potential adversary’s use of EW.
EW should not be confused with cyber warfare and capabilities. Broadly speaking, cyber operations use various hacking techniques to infiltrate and disrupt a target’s computer systems, in order to obtain intelligence or degrade the target’s capabilities. EW uses directed energy to cut off access to the electromagnetic spectrum, blocking signals between technologies and rendering them inoperable. Of course, by interfering with computer infrastructure, EW can affect operations in the cyber domain.
The NATO Electromagnetic Warfare Policy and NATO Electromagnetic Spectrum (EMS) Strategy govern the Alliance’s use, development, testing and training of EW capabilities and tactics.
NATO conducts exercises where Allies test out advanced EW techniques against simulated threats using state-of-the-art electronic defences. Observations and lessons learned from these exercises help identify gaps and shape recommendations to prepare NATO for future developments in electromagnetic warfare.
Electromagnetic warfare was previously referred to as ‘electronic warfare’ by NATO, and the two terms are often used interchangeably. ‘Electromagnetic warfare’ is now preferred, to emphasise the importance of the electromagnetic spectrum in EW.

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 10 december 2023 10:12

Riksrevisjonen

Undersøkelse av Forsvarets informasjonssystemer til bruk i operasjoner.

Les hele artikkelen

▼

https://www.riksrevisjonen.no/rapporter-mappe/no-2022-2023/undersokelse-av-forsvarets-informasjonssystemer-informasjonssystemer-til-bruk-i-operasjoner/

Forsvarets Cybersikkerhet

"Bare toppen av isfjellet."

Les hele artikkelen

▼

https://www.dagsavisen.no/nyheter/innenriks/2022/10/04/ikt-norge-om-kritikk-mot-forsvaret-bare-toppen-av-isfjellet/

"Sammen for en trygg hverdag"

Statsråd Emilie Enger Mehl åpnet mandag 3. oktober nasjonal sikkerhetsmåned 2022 – en årlig nasjonal dugnad for å øke den digitale sikkerhetsbevisstheten i Norge.

Les hele artikkelen

▼

https://www.regjeringen.no/no/aktuelt/nasjonal-sikkerhetsmaned-er-i-gang/id2930570/

https://www.riksrevisjonen.no/rapporter-mappe/no-2022-2023/undersokelse-av-forsvarets-informasjonssystemer-informasjonssystemer-til-bruk-i-operasjoner/

Undersøkelse av Forsvarets informasjonssystemer til bruk i operasjoner

Kort fortalt
Effektive og sikre informasjonssystemer er avgjørende for Forsvarets operative evne. Informasjon skal deles og kommandoer gis raskt. Sikkerhetstrusler skal oppdages og stanses.
Riksrevisjonen har funnet mangler i informasjonssystemene Forsvaret bruker i operasjoner.
Dette er en av de mest alvorlige rapportene Riksrevisjonen har lagt frem. Begrunnelsen er at svakhetene kan få store konsekvenser for rikets sikkerhet
Selve rapporten er gradert etter reglene i sikkerhetsloven, men vi har utarbeidet en ugradert oppsummering.
Vi har hovedsakelig undersøkt perioden fra 2017 til 2020, altså forrige langtidsplan for forsvarssektoren.

Kritikknivå: Svært alvorlig

Det er svært alvorlig at det er mangler ved informasjonssystemene Forsvaret bruker i operasjoner, både når det gjelder samvirke og sikkerhet. Dette kan få store konsekvenser.

Kritikknivå: Alvorlig
Forsvarets evne til å oppdage og håndtere digitale angrep er begrenset i situasjoner med et økt trusselnivå.
Forsvaret bruker informasjonssystemer som ikke tilfredsstiller sikkerhetslovens krav.

Kritikknivå: Sterkt kritikkverdig
Forsvaret har ikke god nok oversikt over og kunnskap om informasjonssystemene.
Forsvaret mangler et solid system for sikkerhetsstyring.
Forsvaret har i liten grad begrenset antall informasjonssystemer.
Forsvarsdepartementet, Forsvarsmateriell og Forsvaret møter ikke forventningene Stortinget stilte til IKT-portefølje, styring og organisering i forrige langtidsplan.

https://kommunikasjon.ntb.no/pressemelding/riksrevisor-en-av-de-mest-alvorlige-rapportene-vi-har-lagt-frem?publisherId=17846918&releaseId=17942333&lang=no

Riksrevisor: En av de mest alvorlige rapportene vi har lagt frem

Riksrevisjonen har funnet mangler i informasjonssystemene Forsvaret bruker i operasjoner. Det er sårbarheter i sikkerheten, og systemene fungerer for dårlig sammen. Dette er svært alvorlig.

─ Rapporten om Forsvarets informasjonssystemer er en av de mest alvorlige Riksrevisjonen noen gang har lagt frem, sier riksrevisor Karl Eirik Schjøtt-Pedersen.

Forsvarets operative evne avhenger av muligheten til å samhandle i operasjoner, både mellom ulike deler av Forsvaret og med Nato og allierte. Riksrevisjonen har undersøkt informasjonssystemene Forsvaret bruker for kommunikasjon og informasjonsutveksling i operasjoner. Militærfaglig kalles dette kommando- og kontrollinformasjonssystemer. Informasjon skal deles og kommandoer gis raskt. Forsvaret må derfor sørge for at systemene er effektive. Sikkerhetstrusler mot informasjonssystemene, som sabotasje, terror og spionasje, må også oppdages og stanses raskt.

─ Det er svært alvorlig at det er mangler ved informasjonssystemene Forsvaret bruker i operasjoner. Forsvaret har kjent til dette i mange år og ikke evnet å gjøre det som trengs, sier Schjøtt-Pedersen.

─ I en rekke undersøkelser, blant annet om objektsikring og kjøp av nye helikoptre, har Riksrevisjonen avdekket alvorlige svakheter i Forsvaret. Hvordan er det mulig at de som har ansvar for å sikre Norges suverenitet og selvstendighet har havnet i denne situasjonen? spør Schjøtt-Pedersen.

Riksrevisjonen har undersøkt perioden 2017 til 2020, som sammenfaller med forrige langtidsplan for forsvarssektoren. Selve rapporten er gradert etter sikkerhetsloven, men vi offentliggjør i dag en ugradert oppsummering.

Les den ugraderte oppsummeringen.

(PDF, 0,37 MB)Last ned ugradert oppsummering (pdf)

"Vi kommer til å følge opp denne undersøkelsen allerede om ett til to år for å se om situasjonen har blitt bedre. Årsaken til det er at funnene er så alvorlige. Normalt følger vi opp etter tre år, men her er det helt avgjørende at Forsvarsdepartementet tar tak raskt."

Sårbarheter i sikkerheten kan få store konsekvenser

Riksrevisjonens undersøkelse viser at sårbarheter i Forsvarets informasjonssystemer gir risiko for svekket operativ evne. Det betyr at det kan bli vanskeligere for Forsvaret å håndtere angrep mot norske mål. Riksrevisjonen kritiserer dette, men innholdet i kritikken er gradert.

Ellers mener Riksrevisjonen det er alvorlig at

Forsvarets evne til å oppdage og håndtere digitale angrep er begrenset i situasjoner med et økt trusselnivå
Forsvaret bruker informasjonssystemer som ikke tilfredsstiller sikkerhetslovens krav om å beskytte informasjon som skal skjermes
I tillegg mener vi det er sterkt kritikkverdig at Forsvaret

ikke har god nok oversikt over og kunnskap om informasjonssystemene
ikke har et mer solid system for sikkerhetsstyring
─ Svakhetene som Riksrevisjonen avdekker kan få store konsekvenser, både i fred, krise og krig. Vi snakker om grunnleggende sikkerhet i en stadig mer digital verden. Forsvaret må sikre informasjonssystemene sine og det må skje raskt, sier Schjøtt-Pedersen.

Digital sikkerhet er svært viktig og digitale angrep har i økende grad blitt en del av militære operasjoner. De kan få like alvorlige konsekvenser som et tradisjonelt angrep. Derfor er det avgjørende at Forsvaret sikrer informasjonssystemene de bruker i operasjoner.

Informasjonssystemene fungerer ikke godt nok sammen
Undersøkelsen viser også at Forsvarets informasjonssystemer ikke fungerer godt nok sammen. Det gir risiko for redusert effektivitet og kan få betydning i en situasjon der konfliktnivået øker og tid er avgjørende. Riksrevisjonen kritiserer dette, men innholdet i denne kritikken er også gradert.

Forsvaret har svært mange informasjonssystemer med ulike tekniske løsninger. Dette gjør det vanskelig å dele informasjon effektivt mellom systemene. I tillegg er det ressurskrevende.

Forsvaret har lenge hatt et mål om å redusere antallet systemer, men har i liten grad klart å begrense antallet. Det mener Riksrevisjonen er sterkt kritikkverdig.

For at Forsvarets informasjonssystemer skal fungere effektivt i operasjoner må informasjon kunne deles enkelt og sikkert mellom ulike systemer. Riksrevisjonens undersøkelse viser at det ikke er tilfelle.

Gradert rapport, ugradert oppsummering
Rapporten om Forsvarets informasjonssystemer er gradert på nivået «KONFIDENSIELT» etter reglene i sikkerhetsloven. Det betyr at den ikke er offentlig av hensyn til rikets sikkerhet.

─ Riksrevisjonen strekker seg langt for å sikre åpenhet om våre undersøkelser. Samtidig må vi følge sikkerhetsloven. Jeg vil understreke at det vi legger frem i dag gir et relativt fullstendig bilde av saken, selv om vi ikke kan gå ut med alle detaljer. Når Riksrevisjonen finner så alvorlige feil i statsforvaltningen er det svært viktig at innbyggerne får vite om det. Det er ikke mange andre som kan gi offentligheten denne typen informasjon om Forsvaret, understreker Schjøtt-Pedersen.

Den graderte rapporten er levert til Stortinget. I tillegg offentliggjør vi en oppsummering av rapporten - en ugradert versjon av Dokument 3:3 (2022─2023). Den er utarbeidet i god dialog med Forsvarsdepartementet, som er informasjonseier. Graderte opplysninger er fjernet og en del informasjon er skrevet om slik at informasjonen kan offentliggjøres. Dette gjelder også deler av Riksrevisjonens kritikk.

https://www.dagsavisen.no/nyheter/innenriks/2022/10/04/ikt-norge-om-kritikk-mot-forsvaret-bare-toppen-av-isfjellet/

IKT-Norge om kritikk mot Forsvaret: Bare toppen av isfjellet

Riksrevisjonen kritikk av Forsvarets cybersikkerhet er svært alvorlig, men enda mer alvorlig er at dette bare er toppen av isfjellet, uttaler IKT-Norge.

– Manglende kompetanse, situasjonsforståelse, sikkerhetskultur og vilje til cybersikkerhet ser ut til å gjelde store deler av det norske samfunnet, skriver bransjeorganisasjonen i en pressemelding.

– IKT-Norge har det siste året kommet med kraftige advarsler. Vi har pekt på en rekke tilfeller som hver for seg er svært alvorlige, men som sammen utgjør en uholdbar situasjon for Norge, heter det videre.

Selve rapporten fra Riksrevisjonen er hemmelighetstemplet, men ifølge en ugradert oppsummering kommer det fram at svakheter som er avdekket, etter riksrevisjonens syn kan få store konsekvenser for rikets sikkerhet.

Funnene til Riksrevisjonen er svært alvorlige, sier leder Torbjørn Bongo i Norges offisers- og spesialistforbund til VG.

– Svært mange ansatte i Forsvaret er glad for at Riksrevisjonen nå setter et kritisk søkelys på Forsvarets IKT-systemer. Mange har sagt tydelig ifra internt. Men dette er et så sensitivt område for Forsvaret og for rikets sikkerhet at det har vært for krevende for mange å varsle, sier Bongo.

Han mener Forsvarets IKT-systemer levd på sikkerhetsmyndighetenes nåde i lengre tid. Overfor VG bekreftes dette bildet av både Nasjonal sikkerhetsmyndighet og forsvarsledelsen.

https://www.regjeringen.no/no/aktuelt/nasjonal-sikkerhetsmaned-er-i-gang/id2930570/

(fra oktober 2022)

Statsråd Emilie Enger Mehl åpnet mandag 3. oktober nasjonal sikkerhetsmåned 2022 – en årlig nasjonal dugnad for å øke den digitale sikkerhetsbevisstheten i Norge.

Gasslekkasjene i Østersjøen og den pågående krigen i Ukraina har økt både oppmerksomheten og interessen for sikkerhet – og i vårt digitaliserte samfunn er digital sikkerhet noe som angår oss alle. Utfordringen er at mange fortsatt mangler nødvendige ferdigheter og kunnskaper for å møte trusler i det digitale rom.

– Tidligere var digital sikkerhet noe for de spesielt interesserte. Nå er det noe som angår absolutt alle. Jeg ser på årets sikkerhetsmåned, i den tiden vi er inne i, som en verdifull mulighet til å styrke det digitale forsvaret av Norge, sa justis- og beredskapsminister Emilie Enger Mehl, da hun 3. oktober åpnet Nasjonal sikkerhetsmåned 2022 sammen med NorSIS og Nasjonal sikkerhetsmyndighet.

Hun pekte på at regjeringen har bidratt til å bedre beredskapen også innenfor det digitale rom, blant gjennom å styrke Nasjonal sikkerhetsmyndighet (NSM) og PST.

Sammen for en trygg hverdag
Nasjonal sikkerhetsmåned arrangeres hvert år for å øke engasjementet, bevisstheten og kunnskapen om digital sikkerhet, både i befolkningen og i virksomheter. Det er Norsk senter for informasjonssikring (NorSIS) som koordinerer nasjonal sikkerhetsmåned i Norge på oppdrag fra Justis- og beredskapsdepartementet.

I år er temaet for nasjonal sikkerhetsmåned «Sammen for en trygg digital hverdag», med oppmerksomhet på løsepengeangrep og ulike former for sosial manipulering.

Hele denne måneden foregår det en rekke aktiviteter for å styrke den digitale sikkerhetsbevisstheten i Norge. Det arrangeres blant annet foredragsdugnad, seminarer og kampanjer i sosiale medier. Informasjon om aktiviteter under sikkerhetsmåneden – samt gode råd og veiledninger for å øke digital sikkerhet – finner du på nettstedene til NorSIS og Nasjonal sikkerhetsmyndighet.

Les mer om Nasjonal sikkerhetsmåned hos NorSIS

Cyberangrep har blitt hverdagskost

Under åpningen av sikkerhetsmåneden la Nasjonal sikkerhetsmyndighet (NSM) fram sin årlige rapport Nasjonalt digitalt risikobilde 2022.

Rapporten viser en økning i antallet registrerte angrepsforsøk mot norske virksomheter i første halvdel av 2022. Antallet angrep som har lykkes har imidlertid gått ned sammenliknet med 2021. Særlig er det teknologibedrifter, virksomheter innen forskning og utvikling og offentlige forvaltningsorganer som rammes av cyberangrep.

Ofte utnytter trusselaktørene trivielle feil og svakheter. Det er både unødvendig og kan være kostbart, og NSM ser at en rekke digitale hendelser kunne vært unngått om norske virksomheter hadde iverksatt grunnleggende sikkerhetstiltak.

Les mer og last ned rapporten hos NSM

Gjennom NSM har myndighetene utarbeidet en rekke nasjonale råd og anbefalinger for IKT-sikkerhet for virksomheter. NorSIS har i tillegg råd og veiledninger til privatpersoner.

NMSs grunnprinsipper for IKT-sikkerhet

Fakta og veiledninger om å være trygg på nett hos NorSIS

https://www.regjeringen.no/no/tema/samfunnssikkerhet-og-beredskap/id1120/

Samfunnssikkerhet og beredskap
"Forebygging er vår viktigste oppgave når det gjelder hendelser som truer sentrale samfunnsinstitusjoner, vår felles sikkerhet eller den enkeltes trygghetsfølelse. Kriser må møtes ved bruk av de samlede nasjonale ressurser, basert på klare strukturer, ansvarsforhold og kommandolinjer mellom sivile og militære aktører og tilstrekkelig kompetanse på alle nivå."

https://www.regjeringen.no/no/dokumenter/meld.-st.-22-20202021/id2841118/

Meld. St. 22 (2020–2021)
Data som ressurs — Datadrevet økonomi og innovasjon
Tilråding fra Kommunal- og moderniseringsdepartementet 26. mars 2021, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet i PDF format (17,3 MB)

https://nsm.no/aktuelt/digitalt-risikobilde-2022-cyberangrep-har-blitt-hverdagskost

Den sikkerhetspolitiske situasjonen er i endring. Cyberangrep er hverdagskost. Det får konsekvenser også i Norge. Nasjonalt digitalt risikobilde 2022 viser vei videre.

Å holde tritt med det stadig skiftende risikobildet er krevende for de aller fleste norske virksomheter. Gasslekkasjen i Østersjøen har satt sikkerhet øverst på agendaen. Rapporten fra Nasjonal sikkerhetsmyndighet (NSM) gir innsikt i hvilke digitale sikkerhetstiltak virksomheter bør prioritere for å beskytte egen virksomhet og verdier.

Det haster mer enn tidligere å implementere risikoreduserende tiltak. Vi har et utfordrende risikobilde, og det skaper stor usikkerhet. I NSM ser vi at en rekke digitale hendelser kunne vært unngått om norske virksomheter hadde iverksatt grunnleggende sikkerhetstiltak.

Utsatte sektorer

I den første halvdelen av 2022 har NSM registrert en økning i antallet forsøk på kompromitteringer mot norske virksomheter. Antallet faktiske kompromitteringer, hvor trusselaktører har lyktes, er lavere enn i samme periode i 2021.

Særlig tre sektorer har vært utsatt for ulike typer cyberangrep det siste året, viser NSMs statistikk. Det er teknologibedrifter, forskning og utvikling, og offentlige forvaltningsorganer. NSM-direktør Sofie Nystrøm understreker at det er svært viktig at virksomheter i disse sektorene er særlig årvåkne. Samtidig kan vi lære av erfaringene vi har gjort oss, i arbeidet fremover hvor olje og gass, elektronisk kommunikasjon og kraftbransjen er eksempler på utsatte sektorer.

Opprettholde tillit

Bakteppet for årets rapport er et helt enn hva vi hadde for bare et år siden. Da så vi trusler mot usikre hjemmekontorløsninger og forsøk på såkalt korona-svindel og phishing. Nå ser vi forsøk på å kompromittere infrastruktur og politiske hevnaksjoner.

Før sommeren i Norge ble en rekke offentlige nettsider – som politiet, Nav og UDI – utsatt for tjenestenektangrep. Nettsidene opplevdes ustabile og trege. Vår utenriksminister ble hengt ut. Dette er angrep som har som formål å forvirre, skape usikkerhet og misnøye.

- Kritiske tjenester ble ikke rammet, men det som er veldig kritisk – og bekymringsverdig – er at det rokker ved tilliten til viktige funksjoner i samfunnet vårt. Og tilliten i det norske samfunnet er i seg selv et mål for trusselaktører. Den tilliten må vi beskytte og opprettholde, sier Sofie Nystrøm.

Last ned rapporten: «Nasjonalt digitalt risikobilde 2022» (PDF, 4MB)

Risikorapporter fra 2019 og tidligere

Risiko 2019 - Krafttak for et sikrere Norge (PDF, 1MB)

Risiko 2018 - Verdifulle individer, virksomheter og infrastruktur (PDF, 1020KB)

Risiko 2017 - Risiko og sårbarheter i en ny tid (PDF, 1MB)

Risiko 2015 (PDF, 1MB)

Rapport om sikkerhetstilstanden 2014 (PDF, 1MB)

Rapport om sikkerhetstilstanden 2012 (PDF, 332KB)

Rapport om sikkerhetstilstanden 2011 (PDF, 488KB)

Rapport om sikkerhetstilstanden 2010 (PDF, 348KB)

Rapport om sikkerhetstilstanden 2009 (PDF, 174KB)

Rapport om sikkerhetstilstanden 2007-08 (PDF, 112KB)

Risikovurdering 2007 (PDF, 121KB)

Risikovurdering 2006 (PDF, 106KB)

Risikovurdering 2005 (PDF, 85KB)

Risikovurdering 2004 (PDF, 160KB)

Risikovurdering 2003 (PDF, 508KB

"Må bli færre muligheter til å gjøre feil"

▼

https://nsm.no/getfile.php/133735-1592917067/NSM/Filer/Dokumenter/Veiledere/nsms-grunnprinsipper

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 3 december 2023 03:12

https://nsm.no/regelverk-og-hjelp/rapporter/nasjonalt-digitalt-risikobilde-2023

▲ Nasjonalt digitalt risikobilde 2023

Rapporten skal bidra til bedre digital sikkerhet i offentlige og private virksomheter gjennom eksempler og råd.

Last ned rapporten: Nasjonalt digitalt risikobilde 2023 (PDF, 11MB)
Lytt til rapporten: Podcast - Nasjonalt digitalt risikobilde 2023

Nasjonalt digitalt risikobilde 2023 tar opp problemstillinger knyttet til statssikkerhet, samfunnssikkerhet og individsikkerhet innenfor det digitale domenet.

Rapporten tar blant annet opp at:

NSM forventer at utviklingen innenfor kunstig intelligens og store språkmodeller vil føre til ytterligere profesjonalisering hos angripere.
Cyberoperasjoner kan få økt fysisk slagkraft når industrielle systemer i økende grad kobles til internett.
Økt cybersikkerhet gjør andre metoder for tilgang til informasjon mer attraktive. Innsiderisikoen kan øke ved ensidig fokus på cybersikkerhet. Det er avgjørende å tenke sikkerhet i alle domener.
Valgpåvirkning gjennom cyberoperasjoner setter demokratier under press.
Les også: Norge rammes av avanserte målrettede cyberangrep

Nasjonalt digitalt risikobilde skal motivere til bedre digital sikkerhet i offentlige og private virksomheter. NSM vil følge opp arbeidet med å styrke den digitale sikkerheten på alle nivåer i samfunnet vårt. Rapporten henvender seg til ledere og personell med sikkerhetsoppgaver i alle sektorer. Du kan også lytte til rapporten som podcast.

Ny rapport slår alarm om bølgjer av dataangrep

Ny rapport slår alarm om bølgjer av dataangrep – NRK Vestland

Nasjonalt tryggingsorgan (NSM) åtvarar om bølgjer av dataangrep i rapporten «Nasjonalt digitalt risikobilete»

I Noreg aukar talet på svindelsaker – IT-ekspert meiner vi har mykje å lære av svenskane

Meiner Noreg kan lære av Sverige for å redusere svindelforsøk – NRK Nordland

Rundt 40 millionar kroner i månaden blei tappa frå kundar sine bankkontoar.

Det blei sett på som angrep på essensiell infrastruktur og kritisk for tilliten til bankvesenet.

https://www.dn.no/teknologi/nsm/cybersikkerhet/it-sikkerhet/ny-rapport-slar-alarm-om-alvorlige-hull-i-norges-digitale-sikkerhet/2-1-1537749

Flere angrep mot forsvarssektoren

"– informasjonssystemene som understøtter grunnleggende nasjonale funksjoner (GNF), ikke er tilstrekkelig kartlagt, og ofte ikke har etablert et forsvarlig sikkerhetsnivå."

https://norsis.no/sikkerhetskultur2023/

▲ Nordmenn og digital sikkerhetskultur 2023

Disse metodene bruker svindlerne

https://www.vg.no/annonsorinnhold/altibox/sikkerhet/

Distraksjon. Blir du ofte distrahert av mye detaljert informasjon? Svindelforsøkene vil ofte ha et ekstremt fokus på detaljer, slik at du blir tvunget til å flytte fokuset vekk fra det faktum at du er i ferd med å bli lurt.
Sosial aksept. Har du ekstra respekt for autoriteter? Da er du ikke alene. Derfor vil svindlerne ofte utgi seg å være en autoritet, som for eksempel politiet, banken, skattevesenet eller ledelsen i selskapet du jobber i.
Uærlighet. Svindlerne vil gjerne forsøke å få deg til å gjøre noe litt umoralsk eller ulovlig, slik at du i etterkant skal la være å anmelde saken.
Grådighet/behov. Ønsker du gratis penger, billige produkter eller en reise til superpris? Det kommer neppe seilende tilfeldig i en e-post. Det gjør heller ikke premier i konkurranser du ikke kan huske å ha deltatt i, gylne investeringsmuligheter eller gratis kryptovaluta.
Phishing: En av de vanligste svindelmetodene går ut på å få deg til å oppgi brukernavn og passord på en falsk nettside, slik at svindlerne kan bruke denne informasjonen andre steder. Får du en e-post med en link til en side hvor du må logge inn, bør varsellampene blinke.
Tidspress. Dårlige avgjørelser blir ofte tatt dersom vi kjenner på tidspress. Har du ikke tid til å tenke deg om før en avgjørelse må tas, er det en stor sjanse for at du er i ferd med å bli svindlet.

https://norsis.no/nasjonal-sikkerhetsmaned/

▲ Hvert år i oktober markerer og koordinerer NorSIS Nasjonal Sikkerhetsmåned.

Årets tema: Sosial manipulering

Sosial manipulering er blitt en stadig mer vanlig metode for svindel, kontokapring og uautorisert tilgang til virksomheters digitale systemer, spesielt med den moderne teknologiens utvikling.

I korte trekk går «sosial manipulering» ut på å manipulere mennesker til å utføre spesifikke handlinger eller avsløre informasjon som er nyttig for angripere.

Kriminelle utnytter sosiale medier, e-post, tekstmeldinger, telefonsamtaler og andre digitale kanaler for å kontakte potensielle ofre. De later som om de representerer kjente virksomheter, offentlige aktører, banker, nettbutikker eller til og med venner og familie. De appellerer til følelser som fristelser, frykt og tillit, og håper at du handler impulsivt uten å tenke deg om.

Målet deres er å overbevise deg om at du må handle raskt eller dele sensitiv informasjon for å unngå problemer eller dra nytte av en tilsynelatende god mulighet.

Et vanlig eksempel er såkalte «phishing»-angrep via e-post eller meldinger, der svindlere sender falske meldinger som later som om de kommer fra en pålitelig kilde. De ber kanskje om at du oppdaterer kontoinformasjonen din, klikker på en skadelig lenke eller laster ned vedlegg som inneholder skadelig programvare.

Når du gir etter for disse forespørslene eller utfører handlingene de ber om, får svindlerne tilgang til dine personlige data eller stjeler pengene dine.

Både privatpersoner og virksomheter er hele tiden utsatt for dette, derfor ønsker vi med årets tema å skape mer bevissthet og kunnskap for at alle skal bli mindre sårbar for dette fenomenet.

Vi har produsert en pakke med tekster til sosiale medier, infoplakater og videoer som kan benyttes fritt.

LAST NED

Tips til virksomheter for vurdering av sosiale medie-apper

Hvilke apper kan ansatte ha på telefonen? NSM har utarbeidet tips til virksomheter som skal utarbeide rutiner for bruk av sosiale medier internt.

Sosiale medie-apper er et utbredt innslag på mobile enheter. Det kan innebære risiko for norske virksomheter. Ansatte kan ha slike apper både på private enheter og tjenesteenheter som har tilgang til virksomhetens interne digitale tjenester eller infrastruktur. NSM har derfor samlet tips og begrepsavklaringer til hjelp i virksomhetens digitale risikoarbeid.

Tipsene lister opp noen viktige kriterier for å vurdere risikoen knyttet til sosiale medie-apper og for å vurdere risikoreduserende tiltak. Dette er kun ment å supplere en ordinær risikovurdering og utgjør ikke en fullstendig beskrivelse av risikovurderingen en virksomhet bør utføre. Det betyr at blant annet vurdering av tillit til leverandører av IT-tjenester og apper, og vurdering av kryptoalgoritmer og -nøkler ikke omtales her. Noen av disse problemstillingene er omtalt i NSMs 13 råd for bedre sikkerhet på mobile enheter.

Se hvilke tiltak ansatte selv kan ta i bruk: NSMs 13 råd for bedre sikkerhet på mobile enheter

Verdi- og skadevurdering

Hvilke verdier som bør beskyttes i forbindelse med bruk av tjenesteenheter, vil være forskjellig fra virksomhet til virksomhet. Det kan også variere med rolle eller stilling den enkelte medarbeider har i virksomheten.

For mobile tjenesteenheter er det flere faktorer som kan være relevante å ta med i verdi- og skadevurderingen. Listen under er en veiledende, men ikke uttømmende, stikkordsliste:

Hva slags informasjon kan bli lagret på enheten?
Hvilke deler av virksomhetens interne digitale infrastruktur kan enheten kobles opp mot?
Hvilke virksomhetsinterne tjenester og opplysninger kan enheten få tilgang til?
Hvor sensitiv virksomhetsintern informasjon kommuniseres gjennom enheten
Behandles virksomhetsintern informasjon kun i apper som er plassert i egne «kontainere»?
Har enheten mikrofon eller kamera?
Er mobilenheten underlagt flåtestyring, og hvor streng er denne?
Er det behov for å forhindre sporing av personen som bruker tjenesteenheten?

Når det gjelder apper for sosiale medier, er det viktig å vurdere mulighetene for å begrense sporing. Sporing er en betegnelse som omfatter både bruks- og kommunikasjonsmønster i det digitale domenet og muligheten til å spore den geografiske posisjonen til den fysiske enheten. Her kan det være hensiktsmessig å ta hensyn til om brukeren er trusselutsatt av andre årsaker enn arbeidsforhold, for eksempel personer som har sperret adresse i Folkeregisteret.

Vurdering av tjenester og apper i kategorien sosiale medier

Det finnes mange apper for sosiale medier, og disse tilbyr gjerne svært ulike tjenester. Et viktig felles trekk er at disse tjenestene ofte tilbys uten betalt abonnement.

Ansatte i en virksomhet kan ha tjenstlig behov for enkelte apper for sosiale medier. For å gjøre en god risikovurdering er det hensiktsmessig at virksomheten forstår app- og tjenestetilbyders forretningsmodell.

Enkelte tjenester og apper tilpasset sosiale medier kan brukes til å sette opp en lukket tjeneste for intern kommunikasjon i egen virksomhet, og dermed tilbys som en del av virksomhetens interne tjenester. Her er det viktig ikke å forveksle en åpen offentlig tjeneste med en lukket sikker tjeneste da utforming og funksjonalitet kan ha store likhetstrekk.

Om apper og digital sikkerhet generelt

Virksomheten bør alltid gjøre en risikovurdering av alle apper som skal tillates installert på tjenesteenheter.

For virksomheten er det vesentlig å vurdere

hvilke opplysninger appen kan fange opp om brukeren
om appen kan fange opp informasjon uten at brukeren har gitt et informert samtykke
om appen kan utnyttes til å kompromittere noen av virksomhetens digitale tjenester eller infrastruktur

Et tiltak for å redusere risiko er å plassere apper som behandler virksomhetsintern informasjon i egne «kontainere» (kontainerisering). Det gir hver applikasjon et eget isolert område, hvor den har alt den trenger for å kjøre samtidig som den er beskyttet fra andre applikasjoner. Det er også viktig med tiltak som bidrar til at alle medarbeidere i virksomheten er bevisst på skillet mellom privat og virksomhetsintern informasjon.

Anbefalt praksis er at digitale enheter skal oppdatere programvare automatisk slik at sårbarheter og feil som leverandøren retter, fortløpende blir oppdatert på brukernes enheter. Det medfører også at ny funksjonalitet distribueres, og at apper automatisk kan få nye egenskaper. Virksomheten må derfor gjøre en løpende risikovurdering av alle apper som oppdateres automatisk.

Det kan være stor usikkerhet knyttet til vurderingen av en enkelt app. Dette gjør at vurderingen av mulige uønskede konsekvenser må vektlegges. Muligheten for alvorlige konsekvenser er tilstrekkelig grunnlag for å følge «føre var»-prinsippet.

Noen vesentlige faktorer i vurderingen av apper

Det er viktig å merke seg at mange apper gir mulighet for å åpne vanlige nettsider. Dette gjøres ofte i appens egen nettleser, og ikke i nettleseren brukeren vanligvis benytter. Derfor må risikovurderingen av en app for sosiale medier også omfatte andre tjenester brukeren kan nå gjennom appen. Appens innebygde nettleser kan ha andre og mer alvorlige sårbarheter enn den nettleseren som er satt opp som standard for enheten.

Det er også viktig å vurdere hvilke opplysninger som overføres eller deles mellom forskjellige apper. Enkelte tilbydere av sosiale medier har bygget et økosystem av tjenester som deler informasjon om brukere og den enkelte brukers handlingsmønster knyttet til samtlige tjenester.

Denne innsamlingen av opplysninger gjør det også nødvendig å vurdere risiko dersom ansatte, fra virksomhetens enheter, logger seg inn med sin private bruker på forskjellige webtjenester. Dette gjelder også når apper for de samme tjenestene ikke er installert på virksomhetens enheter.

Om meldingsapper

Det er vesentlig at meldingsapper bruker ende-til-ende-kryptering med en tilstrekkelig sterk algoritme og nøkkellengde. Dersom tjenesten tillater at brukere unntaksvis kan sende meldinger ukryptert, må dette være tydelig markert i appens brukergrensesnitt.
Det er også nødvendig å vurdere hvordan nye brukere blir registrert i meldingstjenesten. Har tjenesten etablert gode rutiner for å håndtere tilfeller der brukere på falskt grunnlag utgir seg for å være ansatt i en virksomhet?

Instruks og opplæring for ansatte

Det er viktig at virksomheten aktivt bidrar til at de ansatte har god risikoforståelse når det gjelder oppgavene de utfører og informasjonen de håndterer i arbeid for virksomheten. God, tydelig og tidlig informasjon om dette temaet er et bidrag til at virksomheten utvikler en god sikkerhetskultur.

Virksomheten må etablere gode rutiner for hvordan brukerkontoer i sosiale medier skal håndteres når ansatte slutter. Dette gjelder både kontoer som formelt eies av virksomheten, og eventuelle rettigheter som virksomheten midlertidig har gitt en konto som tilhører de enkelte medarbeidere i virksomheten. Virksomheten bør også ha etablert klare regler for eventuell bruk av virksomhetens navn og varemerker på medarbeideres private kontoer, slik at det ikke oppstår tvil om kontoen representerer virksomheten eller en privatperson.

Mobile enheter og tjenestemobiler

Mobile enheter er mobiltelefoner, nettbrett, bærbare datamaskiner og lignende utstyr.
Betegnelsen tjenesteenhet, hvor det ofte dreier seg om tjenestetelefon, brukes når utgifter til utstyr og abonnementer er dekket for å dekke tjenstlig behov. Også utstyr som arbeidsgiver midlertidig låner ut til ansatte er tjenesteenheter.
Det er ikke noe krav om at én enkelt enhet skal dekke alle tjenstlige behov. Det kan være hensiktsmessig å skille mellom ordinære tjenesteenheter og slike tjenesteenheter som kun skal brukes til spesielle formål.

Fem effektive tiltak mot dataangrep

Her beskrives fem effektive tekniske tiltak som systemeiere bør benytte for å beskytte sine systemer mot internett-relaterte dataangrep.

De vanligste angrep utføres med ondsinnet programvare mot de ansattes datamaskiner samt ved gjetting av enkle passord. De fleste av disse angrepene er teknisk sett mulig å stoppe, selv om ansatte skulle klikke på ondsinnet programvare. NSM har i flere tiår utviklet tekniske sikkerhetstiltak for beskyttelse av IKT-systemer. Ut fra disse erfaringer ser vi at virksomheter kan stanse de fleste dataangrep med følgende tiltak:

https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/5tiltak

Beskytt deg!

https://www.politiet.no/rad/beskytt-deg-mot-svindel-og-id-tyveri/#raad-til-deg-som-er-rammet-av-id-tyveri-button

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 26 november 2023 20:23

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/sikkerheten-i-5g-nettet/

Personvernutfordringer

Vi vil her se nærmere på hvilke direkte og indirekte konsekvenser bruk av 5G kan ha for personvernet. Vi har tatt utgangspunkt i problemstillinger knyttet til personvernregelverket.

Mer presis posisjonering og sårbarhet

Det er særlig tre problemstillinger vi mener kan ha direkte konsekvenser for personvernet ved bruk av 5G.

1. Mer presis posisjonering av individer

Alle smarttelefoner kan posisjonere brukeren ved hjelp av GNSS (fellesbetegnelse for satellittbaserte systemer for navigasjon og posisjonering med global dekning), herunder blant annet GPS og Galileo. For å kunne posisjonere brukeren hurtigere og mer nøyaktig, vil telefonen ofte også bruke signaler fra basestasjonene i mobilnettet, samt Bluetooth- og WiFi-signaler.

Med 5G blir det flere basestasjoner og kortere avstand mellom stasjonene (dette beskrev vi nærmere i kapittel 2). Det gjør at geografisk posisjonering av tilkoblede enheter i nettverket blir mye mer presis sammenlignet med i dag. I 5G-nett kan posisjonsnøyaktigheten være ti meter eller mindre utendørs og tre meter innendørs (mdpi.com, engelsk).

At det er mulig å posisjonere en bruker, er ingen ny problemstilling. Også uten 5G kan bruken av posisjonsdata være uoversiktlig og potensielt ulovlig i noen tilfeller. NRK har i flere artikler belyst problemstillingen der posisjonsdata samles inn av ulike applikasjoner og selges videre på markedet med feilaktig informasjon til brukerne om at disse har blitt "anonymisert" (se for eksempel NRK-artiklene "Avslørt av mobilen" og "Norske offiserer og soldater avslørt av mobilen".

Med mer nøyaktig posisjonering av enkeltindivider er det i personvernsammenheng relevant å se på hvordan dataene brukes og hvem som får tilgang til dem. Opplysninger om hvor en person befinner seg til enhver tid, vil kunne avsløre opplysninger om bosted, arbeidssted og andre opplysninger som samlet sett vil være egnet til å identifisere vedkommende. Posisjonsdata vil derfor som oftest være opplysninger som faller inn under personvernregelverkets virkeområde.

I tillegg til å identifisere individer, vil mer nøyaktige posisjonsdata være egnet til å avsløre flere personopplysninger om vedkommende. Eksempler på dette kan være legebesøk, hvilke butikker du handler i, eller hvor ofte du befinner deg på den lokale puben. Posisjonsdata kan videre avsløre om du er aktiv deltaker i et spesifikt religiøst fellesskap, får behandling for en bestemt lidelse eller har vært tilstede der en kriminell handling foregikk, basert på hvilke bygg du har besøkt på ulike tidspunkt. Det betyr at posisjonsdata også kan brukes til å målrette annonsering basert på hvilken butikk du står utenfor eller hvilken helsehjelp du muligens trenger.

2. Sårbarheter i infrastruktur

Når den frittstående infrastrukturen for 5G er på plass, vil den legge til rette for bedre sikkerhet, blant annet ved sterkere autentisering og kryptering. Men det finnes også noen nye sårbarheter som kan ha konsevenser for personopplysningene som behandles i 5G-nettet.

Som vi så i kapittel 2, skiller 5G seg fra tidligere generasjoner nettverk ved å være mer programvareorientert og operere i en skybasert arkitektur, noe som vil muliggjøre en mer fleksibel bruk av infrastrukturen. I den sammenhengen er det viktig å være oppmerksom på potensielle sårbarheter i programvaren og operativsystemet som programvaren kjøres på.

Med et mer programvarebasert nett er det også flere aktører involvert i driften. Når infrastrukturen fordeles på flere aktører, blir verdikjedene lengre, og kompleksiteten kan øke for de som skal drifte mobilnettet. Dette kan igjen føre til høyere sannsynlighet for at det oppstår sårbarheter.

Hvis mange viktige samfunnsfunksjoner (for eksempel helsetjenster, nødetater og trafikkstyring) er avhengige av 5G-nettet, kan det få ekstra store konsekvenser hvis nettet går ned eller utsettes for sikkerhetshendelser. Hvis angrep eller feil i ett system fører til at mange andre systemer slutter å fungere, kan vi kalle det systemet et "single point of failure". Dette beskrev vi nærmere i forrige kapittel.

3. Hvem er behandlingsansvarlig?

Mulighetene som kommer med skiveldeling og edge-computing, fører til at flere aktører kan tilby tjenester direkte i eller gjennom mobilnettet. Vi kan for eksempel se for oss at et strømmeselskap leier en skive for å sikre at de har nok kapasitet til å formidle TV-serier og filmer til mobilbrukerne sine. Alternativt kan de distribuere det mest brukte innholdet sitt fra edge-servere som er nærme store brukergrupper.

For tjenester hvor det behandles personopplysninger, kan det oppstå usikkerhet, både for brukerne og de involverte aktørene, om hvem som er behandlingsansvarlig og hvem som er databehandlere. Dette gjelder særlig hvis det er mange aktører involvert. Hvis ansvarsforholdene ikke er identifisert av de ulike aktørene på forhånd, kan det bli utfordrende for brukerne å vite hvem de skal utøve rettighetene sine overfor. Resultatet kan bli at de som benytter tjenestene begrenses i mulighetene de har til å ivareta sitt eget personvern.

Om behandligsansvar

Hovedansvaret for at behandlingen av personopplysninger er lovlig, ligger hos den som er behandlingsansvarlg i(personvernforordningen artikkel 24, lovdata.no).

Den behandlingsansvarlige har plikt til å gi de registrerte klar og tydelig informasjon om behandlingen av personopplysninger, hvilke rettigheter de har og hvordan de kan utøve disse rettighetene. Informasjonen skal gis på en kortfattet, åpen, forståelig og lett tilgjengelig måte.
Les mer om de registrertes rettigheter.

5G aksellererer bruk av tingenes internett

Vi har videre identifisert noen personvernproblemstillinger som vi tror blir aktualisert av 5G-nettet, ikke på grunn av teknologien i seg selv, men fordi 5G legger til rette for en eksplosiv økning i tilkoblede enheter. Vi trekker frem de viktigste personvernutfordringene her.

Ansvarspulverisering

Ofte er mange aktører involvert i å levere software og hardware i tingenes internett. Ta en smart-bil for eksempel: de er utstyrt med kameraer, sensorer, apper og mikrofoner som hjelper med å navigere, optimalisere kjøringen, oppdage feil i maskineriet og varsle ved ulykker. Aktørene er ofte basert i forskjellige land og over flere sektorer. Da kan det være krevende å vite hvilket regelverk som gjelder og hvem som er ansvarlig for å ivareta personvernet og informasjonssikkerheten. Ulike aktører kan også ha ulike interesser, standarder og rutiner knyttet til personvern og behandling av personopplysninger.

I tilfeller der mange aktører er involvert, kan det også ekstra utfordrende å vite hvilken aktør som er behandlingsansvarlig for hvilke behandlingsaktiviteter. Det vil i mange tilfeller innebære et samarbeid både mellom ulike behandlingsansvarlige og mellom behandlingsansvarlige og et større antall leverdandører/databehandlere. I noen tilfeller kan også maktbalansen mellom de ulike aktørene være skjev. For eksempel kan det være utfordrende for små aktører å sette krav til behandling av personopplysninger hvis leverandøren er et stort multinasjonalt selskap.

Alt dette vil kunne bidra til å skape en mer uoversiktlig situasjon, og vi mener at det i den sammenhengen er sannsynlig at vi i økende grad vil se situasjoner der det fremstår uklart både for den registrerte (altså sluttbrukeren) og de involverte markedsaktørene hvem som egentlig er ansvarlig for behandlingen av personopplysninger. En slik ansvarspulversiering fører til økt risiko for at regelverket ikke følges, slik som kravet om å gi brukeren informasjon, gjennomføring av nødvendige sikkerhetstiltak og at det er et gyldig behandlingsgrunnlag (for eksempel samtykke).

Tap av kontroll hos bruker

Økningen i antall tilkoblede enheter og det at data samles inn fra så mange ulike kilder (som den enkelte ikke nødvendigvis er klar over), gjør at det vil være ekstra utfordrende å ha oversikt over hvilke data som samles inn, hvem som samler inn data og hva dataene brukes til. Allerede i dag oppleves personvernerklæringer fra tjenestene vi bruker som overveldende og vanskelig tilgjengelige. Dette har blant annet Forbrukerrådet fremhevet og problematisert (forbrukerradet.no).

Et av hovedmålene med personvernregelverket er at hver enkelt av oss skal ha en viss kontroll og oversikt over bruken av våre opplysninger. Derfor er informasjonskravet i regelverket grunnleggende for at hver enkelt skal kunne ivareta rettighetene sine. For å kunne utøve en rettighet må du først og fremst vite at opplysningene dine blir behandlet. Regelverket gir den enkelte rett til innsyn i egne opplysninger, korrigering av uriktige opplysninger eller å be om sletting av opplysninger – for å nevne noe.

Tilkoblede enheter tilbyr i noen tilfeller persontilpassede tjenester som har reelle konsekvenser for den enkelte. Eksempler kan være pris på forsikring, medisindose og hvilke annonser du får se. I slike tilfeller er det ekstra viktig at brukeren vet at opplysningene brukes, og hvordan, for å kunne oppdage feil og uønsket forskjellsbehandling, og ikke minst ivareta rettighetene sine.

Det store antallet aktører som er involvert i tingenes interentt, og risikoen for ansvarspulverisering, utgjør en tilleggsutfordring for brukernes personvern dersom de involverte aktørene ikke er enige eller bevisste på hvem som har ansvar for for eksempel sikkerhets- og informasjonstiltak.

Sikkerhetsutfordringer i tingenes internett

Personvernregelverket krever robusthet i løsninger for å sikre personopplysningenes integritet, konfidensialitet og tilgjengelighet. Det betyr at det ikke bare er at opplysningene ikke skal komme i uvedkommendes hender som er et krav (konfidensialitet), men også at opplysningene ikke utilsiktet endres eller blir utilgjengelige for den eller de som skal ha tilgang.

Når det kommer til tingenes internett er det en rekke personvernrelaterte sikkerhetsutfordringer. De viktigste er:

Tilbydere av ting som tradisjonelt ikke har vært tilkoblet internett, for eksempel joggesko og varmeovner, har ikke alltid tilstrekkelig kompetanse til å sørge for at informasjonssikkerheten i tilkoblede produkter er god nok.
Sikkerheten er avhengig av regelmessige oppdateringer for å reparere sårbarheter – noe som avhenger av at produsenten tilgjengeliggjør oppdateringer, og at brukere faktisk oppdaterer enheten.
Antallet tilkoblede enheter og de mange kanalene slik som mobiltelefoner, insulinmålere, trygghetsalarmer, velferdsteknologi-dingser, vaskemaskiner eller industrielle sensorer, gjør at angrepsflaten for hacking blir større.

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/anbefalinger-for-a-fa-til-godt-personvern-med-5g/

Anbefalinger for å få til godt personvern med 5G

Med 5G vil vi oppleve en akselerasjon av bruk av personopplysninger og mer presis sporing av hvor enheter og eierne deres er til en hver tid. Med mer intensiv bruk av data blir enda viktigere å ivareta personvernet til brukerne.

Godt personvern i 5G-nettet er helt avgjørende – ikke bare for å kunne møte kravene i personvernforordningen, men også for å bygge ansvarlige løsninger der brukerne har tillit til at dataene deres blir ivaretatt på en god måte.

Personvernregelverket krever at personvern skal bygges inn i alle løsninger og i all teknologi der personopplysninger blir behandlet (innebygd personvern). Dette kravet er relevant både der 5G-nettet blir benyttet av virksomheter (for eksempel private nettverk muliggjort av skivedeling) og for enheter som brukes i nettverket (for eksempel autonome biler og smartklokker).

Vi har formulert noen anbefalinger vi mener er viktige for å ivareta personvernet i en 5G-sammenheng.

Anbefalinger til myndigheter og nettleverandører

Bygg et robust 5G-nett.Sørg for tilstrekkelig kompetanse. Overgangen til programvaredefinerte nettverk og mer skytjenestelignende infrastruktur, medfører endringer i kompetansebehovet til myndighetene og mobilnettleverandørene. For å beskytte 5G-nettet mot misbruk og angrep, og for å kunne regulere og drifte nettet på en sikker måte, må myndighetene og operatørene til enhver tid passe på å ha egnet kompetanse.

Tekniske krav til mobilnettet reguleres i ekomloven som forvaltes av Nasjonal Kommunikasjonsmyndighet (nkom.no).
Personvernregelverket stiller krav til å sikre robusthet i behandingssystemet og tjenstene i forordningens artikkel 32 (lovdata.no). Hvis det skjer et brudd eller nettverket bryter sammen, kan det ha konsekvenser for personvernet ved at man for eksempel mister tilgang til personopplysinger eller sikkerheten i systemer kompromiteres.

Anbefalinger til aktører som leverer tjenester over 5G

Bygg personvernet inn i løsningen. Sett deg inn i kravene i regelverket. Du må for eksempel ha rettslig grunnlag for å behandle personopplysninger og kun samle data som er strengt nødvendig. Se veiledningen vår om innebygd personvern og innebygd personvern i programvareutvikling.
Minimer bruk av posisjonsdata. 5G muliggjør presis sporing av mennesker. Praktiser dataminimeringsprinsippet, gi tydelig informasjon om hvordan posisjonsdata brukes og gjør det lett å skru av sporing dersom det ikke er nødvendig for å levere tjenesten.
Ivareta informasjonssikkerheten. For å beskytte personopplysninger, må de som produserer enheter til 5G-nettet utvikle produktene sine sikre fra starten av, som en integrert del av utviklingsprosessen ("security by design"), og sørge for at standardkonfigurasjonen er så sikker som mulig ("security by default"). Les mer om grunnprinsippene for IKT-sikkerhet hos Nasjonal sikkerhetsmyndighet.
I tillegg må produsentene støtte produktene under hele livstiden til produktene, slik at sårbarheter blir reparert og oppdateringer distribueres på en effektiv måte. Videre må produsentene gjøre det så lett som mulig for brukerne å ivareta sikkerheten i enhetene.
Ha en tydelig ansvarsfordeling. For å unngå sikkerhetshendelser i bruk av 5G-skiver blir det svært viktig for leverandører og brukere av 5G-skiver å være tydelige på og avtale seg imellom hvem som har ansvar for hva, slik at alle parter evner å sørge for «sin» del av sikkerheten. I tilkoblede enheter kan det være mange aktører involvert i behandlingen av data. Sørg for at det er tydelig hvilke roller og ansvar de ulike aktørene har for behandling av personopplysningene. Dette inkluderer å infomere brukeren om bruk av personopplysninger.

Anbefaling til sluttbrukere av tjenester i 5G-nettet

Begrens deling av posisjonsdata. 5G-nettet muliggjør mer presis posisjonering av individer enn tidligere nettverk. Noen tjenester gir brukerne mulighet til å endre innstillinger for bruk av posisjonstjenester og hvilke applikasjoner eller enheter som har tilgang til posisjonsdata. Brukerne kan også vurdere å skru av posisjonen når de ikke bruker tjenester som er avhengig av denne typen informasjon for å fungere hvis tjenesten gir mulighet for det.
Gjør deg kjent med mulighetene for å sikre dataene dine. De fleste tilkoblede enheter lar brukeren justere innstilliger for sikkerhet og bruk av data. Bruk innstillingene til å konfigurere enheten slik at den behandler dataene dine på en måte du er komfortabel med, og husk å gjennomføre sikkerhetsoppdateringer jevnlig. Vurder å la være å kjøpe eller bruke tjenester som ikke gir god nok informasjon eller valgmuligheter for bruk av dine data.
Bruk rettighetene dine. Du har rettigheter etter personvernregelverket, inkludert rett til informasjon, retting og sletting av opplysninger. Hvis du opplever at opplysningene dine misbrukes bør du klage til virksomheten det gjelder. Du kan også klage til Datatilsynet.

Fordi vi her kommer med anbefalinger rettet mot sluttbrukerne av tjenester, vil vi presisere at ansvaret for å overholde regelverket alltid ligger hos den behandlingsansvarlige (virksomheten som er ansvarlig for behandling av personopplysningene).

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 19 november 2023 19:11

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/hva-er-5g-og-6g/

Hva er 5G (og 6G)?

5G er en ny og forbedret mobilnetteknologi som kan håndtere enorme mengder data. Det er en etterfølger av 4G, 3G og 2G, og har forbedret ytelse sammenlignet med disse.

5G skiller seg fra tidligere generasjoner ved å være mer programvareorientert og operere i en skybasert arkitektur (forskning.no), noe som vil muliggjøre en mer fleksibel bruk av infrastrukturen. Dette kan åpne opp for bruksområder som fjernkirurgi, selvkjørende biler, utvidet virkelighet (augmented reality), flygende IoT (droner) og industriell automatisering.

5G legger til rette for en smartere nettverkskommunikasjon og kobling mellom mennesker, maskiner og tilkoblede enheter. Målet med den globale 5G-standarden er å skape interoperabilitet (muliggjøre samhandling mellom ulike systemer) mellom nettverkstjenester og enheter, tilby energieffektive og sikre systemer med høy kapasitet og øke datahastigheten betydelig med mye mindre forsinkelse i responstid.

5G har flere egenskaper:

Høy hastighet
- Høyere dataoverføringshastighet (opptil 20 Gbps) som gjør det enkelt for brukerne å laste ned innhold veldig raskt
- 1000 ganger høyere dataoverføringskapasitet per område og 10-100 ganger høyere dataoverføringskapasitet per enhet sammenlignet med 4G
Lav forsinkelse
- 1-10 ms ende-til-ende forsinkelse (sammenlignet med 20-50 ms for 4G)
Flere enheter
- En million tilkoblede enheter per kvadratkilometer (over ti ganger flere enn med 4G)
Skivedeling («slicing») av mobilnettet
- Myndigheter og virksomheter kan reservere egne nett på det samme mobilnettet
- På denne måten kan nettverk tilpasses for å effektivt betjene behovene til ulike bruksområder eller applikasjoner.

Kilder

Teknologien i 5G

Alle trådløse systemer kommuniserer ved hjelp av radiobølger. Radiobølger kan angis i frekvens (hertz / Hz) eller bølgelengde (meter). Hittil har mobiltelefoni opptil 4G i Norge foregått over utvalgte frekvenser mellom 450 MHz og 2690 MHz (les mer på nkom.no). Dette spennet brukes også til andre ting, for eksempel DAB-radio og trådløse nettverk. Vi tar ikke for oss så mye mer om radioteknologi her. De viktigste poengene å ta med seg videre er at:

høyere frekvenser er bedre egnet til å overføre data i høy hastighet enn lavere frekvenser.
høyere frekvenser blokkeres lettere (f.eks. av bygninger eller fjell) enn lavere frekvenser.

Med 5G foreslås det å ta i bruk langt høyere frekvenser enn det som har vært benyttet til mobilnett tidligere. Disse vil kunne støtte svært høye overføringshastigheter over korte avstander.

Utrullingen av 5G beror på noen få viktige teknologiske forbedringer, og kombinasjonen av disse definerer 5G-teknologien. Før vi gjennomgår dem er det imidlertid greit å vite litt overordnet om hvordan infrastrukturen i mobilnettet ser ut.

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/hva-er-5g-og-6g/

Småcellenettverk

Dagens trådløse nettverk er avhengige av kraftige celletårn for å kringkaste signaler over lange avstander. Siden millimeterbølger har vanskeligere for å passere fysiske hindringer, vil små mobilcellenett løse problemet ved å bruke tusenvis av små cellestasjoner til å fylle dekningshull mellom en basestasjon og mobilenheter. Små celler er forminskede basestasjoner plassert 250 meter eller mer fra hverandre og brukes til å utvide nettverksdekning og kapasitet. At cellene er mye mindre enn basestasjoner, gjør det enklere å feste dem på lysstolper og på bygninger. For å overføre data rundt hindringer, vil disse basestasjonene være mye nærmere hverandre enn tradisjonelle tårn. Når en bruker beveger seg bak en hindring, vil smarttelefonen automatisk bytte til en ny basestasjon slik at brukeren opprettholder forbindelsen.

Massiv MIMO (multiple input multiple output)

Nettverkskapasiteten til ethvert trådløst system kan forbedres ved å øke antallet sende- og mottaksantenner til systemet. 4G-basestasjoner har 12 porter for antenner som håndterer all mobiltrafikk. I 5G vokser dette tallet til rundt 100 porter i en basestasjon, noe som gjør det til massiv MIMO. MIMO er trådløse systemer som bruker to eller flere sendere og mottakere til å sende og motta data simultant. Enkelt forklart muliggjør det at en basestasjon kan sende og motta signaler fra enda flere brukere samtidig.

Stråleforming og strålestyring

Stråleforming er en signalbehandlingsteknikk for radiobølger som identifiserer den mest effektive ruten til en bestemt bruker. Man kan tenke seg at man prøver å ringe i et område fullt av bygninger. Signalet reflekteres av bygningene og krysser andre signaler fra brukere i området. En massiv MIMO-basestasjon mottar alle disse signalene og holder styr på tidspunktet og retningen. Den bruker deretter signalbehandlingsalgoritmer til avgjøre nøyaktig hvor hvert signal kommer fra og finner den beste overføringsruten tilbake til hver mobiltelefon.

Skivedeling

I de tidligere mobilnettene er den tilgjengelige nettverkskapasiteten i prinsippet delt likt mellom alle brukere knyttet til en basestasjon. Med 5G kan private og offentlige virksomheter forhandle frem avtaler med monilnettoperatørene og reservere en del av nettverket for seg selv (en skive). Operatørene kan ved hjelp av programvare dele det fysiske mobilnettet inn i ulike virtuelle nettverk. Les mer på ndla.no.

Virituelle nettverk kan for brukeren fremstå som et separat og selvstendig nettverk, selv om det fysisk kan være en del av et større nettverk eller et lokalnettverk. Disse virtuelle nettverkene er gjensidig isolert, administrert uavhengig og opprettet på forespørsel. Les mer om dette på researchgate sine nettsider (engelsk).

Silk er hvert nettverk tilpasset for å effektivt betjene behovene til visse bruksområder eller applikasjoner. Det kan for eksempel være aktuelt for beredskapssituasjoner hvor nødetatene kan reservere egne nett og utveksle data som tekst, bilder og video på en robust måte og på den måten styrke situasjonsforståelsen.

Multi-access Edge Computing

Drevet av økende krav til høy hastighet og lav forsinkelse, må både nettverksfunksjoner og innhold bevege seg nærmere brukeren, det vil si så langt mot kanten av radionettverket som mulig. Multi-access Edge Computing (MEC) er basert på virtualisering og forskyver skytjenester til kanten (the edge) ved å tilby prosessering nærmere brukeren, uavhengig om dette er en privatperson eller en virksomhet.

I et normalt skytjenestemiljø kan skytjenester være fysisk langt unna brukerne, og denne avstanden kan skape forsinkelser. Forsinkelser kan reduseres ved at prosesseringskraften flyttes nærmere informasjonen som skal prosesseres.

Hva er 6G?

Mens 5G-utrullingen er i gang, har interessen for sjette generasjons mobilnett (6G) allerede skutt fart innen forskning og privat næringsliv. Selv om realiseringen er noen år frem i tid, forventes 6G å tilby nettverksarkitektur som tilrettelegger for en mer datasentrisk, dataavhengig og automatisert virkelighet.

For å imøtekomme kravene til en tilkoblet verden, vil 6G akselerere trendene vi ser med 5G. Dette innebærer blant annet innføring av løsninger for smarte byer og smart industri gjennom brukersentrisk maskin-til-maskin-kommunikasjon. For å realisere neste generasjons tilkobling, vil 6G tilby flere tjenester med kunstig intelligens og distribuert kommunikasjon, og muliggjøre enda flere tilkoblede enheter samtidig.

Hver generasjon mobilnettverk er generelt kjennetegnet av forbedrede kommunikasjonsteknologier. For 5G er massiv MIMO og millimeterbølger (mmWave-bånd) begge viktige muliggjørende teknologier.

Muliggjørende teknologier i 6G omfatter også bruken av "nye" frekvenser på radiospekteret som ennå ikke har blitt vurdert for mobilbruk, nemlig terahertz-båndet. Les mer om dette hos mmWave Networking Group (mmwave.dei.unipd.it, engelsk).

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/

5G og personvern

Femte generasjons mobilnett (5G) er rullet ut i Norge. Norske myndigheter og næringsaktører mener 5G vil spille en nøkkelrolle i fremtidens industri, og at teknologien åpner opp for helt nye næringsområder. Vi vil her se nærmere på teknologien og skissere noen utfordringer og anbefalinger når det gjelder personvernet.

Innledning

Folk flest vil først og fremst merke overgangen til 5G ved at de får raskere nett på mobilen. 5G legger dessuten til rette for en eksplosiv vekst i av internettilkoblede enheter, også kjent som tingenes internett (IoT - Internet of Things). Tingenes internett er med oss i hjemmet, på arbeidsplassen og på kroppen. Eksemper er TV-er, brødristere, panelovner, kjøleskap, biler, lys, røykvarslere og barneleker som er koblet til internett.

Innhold

For å kunne si noe om hvordan denne nye generasjonen mobilnett påvirker personvernet vårt, er det nødvendig å forstå teknologien. Vi vil derfor først beskrive de viktigste tekniske komponentene i 5G for å forstå hvordan denne teknologien påvirker bruk av personopplysninger. Vi går så gjennom de viktigste informasjonsikkerhetsaspektene ved 5G.

Videre vil vi trekke frem de viktigste personvernkonksevensene knyttet til bruk av 5G. Til slutt har vi noen anbefalinger om hvordan myndigheter, nettleverandører, virksomheter og folk flest kan ivareta personvernet i møtet med 5G.

Vi har valgt å ikke inkludere vurderinger rundt sikkerhetpolitiske hensyn i valg av leverandør av 5G-infrastruktur i dette arbeidet.

Oppsummering

5G skiller seg fra tidligere generasjoner mobilnett ved å være mer fleksibelt. Det er mindre avhengig av spesiell maskinvare, har flere konfigurasjonsmuligheter gjennom programvare og et grensesnitt som legger til rette for økt grad av samhandling mellom ulike enheter.

Når det gjelder konkrete personvernkonsevenser, vil 5G-nettet gi mer presis posisjonering av enkeltindivider fordi 5G krever en infrastruktur med flere basestasjoner som står tettere. Når den frittstående infrastrukturen for 5G er på plass, vil den legge til rette for bedre sikkerhet ved blant annet sterkere autentisering og kryptering. Men det finnes også noen nye sårbarheter som kan ha personvernkonsekvenser fordi 5G-nettet er mer programvarebasert enn tidligere generasjoner nett.

Med 5G kommer også mulighet for å dele inn nettverket i skiver der flere aktører kan tilby tjenester direkte i eller gjennom mobilnettet. For tjenester hvor det behandles personopplysninger, kan det oppstå usikkerhet både for brukerne og de involverte aktørene om hvem som er behandlingsansvarlig og hvem som er databehandlere.

Vi mener 5G bidrar til å forsterke en del av personvernutfordringene vi ser i dag, hovedsakelig ved å legge til rette for økt utbredelse av tingenes internett. Vi ser økt risiko for ansvarspulverisering blant aktørene som er involert i innsamling og anlyse av data fra tilkoblede dingser. Dette kan medføre at det blir vanskeligere for enkeltpersonver å ha oversikt over hvordan deres data samles inn og brukes. For dårlig informasjonssikerhet i tilkoblede enheter, skaper også økt risiko for personvernet til brukerne. 5G legger til rette for bedre sikkerhet, men denne forbedringen blir først realisert når det fysiske 5G nettet (5G stand alone) er ferdig utbygd.

Med mer intensiv bruk av data blir det enda viktigere å ivareta personvernet til brukerne. Godt personvern er helt avgjørende, ikke bare for å kunne møte kravene i personvernforordningen, men også for å bygge ansvarlige løsninger der brukerne har tillit til at dataene deres blir ivaretatt på en god måte. Personvernregelverket krever at personvern skal bygges inn i alle løsninger og i all teknologi der personopplysninger blir behandlet. Dette kravet er relevant både der 5G-nettet i seg selv blir benyttet av virksomheter (for eksempel private nettverk muliggjort av skivedeling) og for enheter som brukes i nettverket (for eksempel autonome biler og smartklokker). Les mer om innebygd personvern.

https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/sikkerheten-i-5g-nettet/

Lik risiko for nedgraderingsangrep

Alle mobilnett er sårbare for nedgraderingsangrep. Dette er ingen 5G-spesifikk sårbarhet, men en sårbarhet som eksisterer som resultat av tilsiktet fleksibilitet og hvordan mobile enheter fungerer. Det er en kombinasjon av 2G-, 4G- og 5G-kompatibelt utstyr i mobilnettet i Norge (3G-nettet ble skrudd av i 2021, og 2G-nettet skal etter planen skrus av i 2025). For å sikre at man skal kunne kommunisere til enhver tid, bytter mobiltelefonene automatisk nett ved behov. En angriper kan derfor «jamme» frekvensene til 5G- og 4G-basestasjonene innen et område, slik at mobilutstyret innenfor dette området kobler seg til 2G-nettene. Deretter kan angriperne utnytte sårbarhetene i 2G-nettet med billige falske basestasjoner, for eksempel til å avlytte telefonsamtaler og lese/endre/blokkere tekstmeldinger.

I konfigurasjonen til mobiltelefonene finnes det fremdeles ingen mulighet for å kun la telefonen koble seg til 5G- eller 4G-nettene. Enkelte Android-mobiler har dog fått mulighet til å deaktivere 2G (digi.no). Helt nye mobiltelefoner er derfor også sårbare for nedgraderingsangrep, fordi de støtter eldre teknologier. Grunnen til at 2G-nettet fortsatt eksisterer, er at det finnes gamle enheter i drift som ikke støtter 4G eller 5G. Det gjelder hovedsakelig M2M-enheter (maskin-til-maskin), slik som for eksempel boligalarmer, heiskommunikasjon og biler.

Hvis man i fremtiden avdekker sårbarheter i 4G-teknologien, vil angripere kunne gjennomføre tilsvarende nedgraderingsangrep for å utnytte disse. Risikoen ved nedgraderingsangrep er noe vi må leve med så lenge mobilnettet støtter eldre standarder.

Internet of Things (IoT)

En av fordelene som ofte nevnes med 5G, er at teknologien skal være billigere og mer effektiv enn tidligere. I tillegg legger de nye mulighetene innen mMTC (massive Machine Type Communications) grunnlag for tilkobling av svært mange IoT-enheter i nettet samtidig. Aktører vi har snakket med fremhevet nettopp mulighetene 5G gir for norsk industri. Dette er også noe av grunnen til at Kommunal- og distriktsdepartementet og Næringsdepartementet tok initiativ til å opprette et 5G-industriforum i mai 2022 (nkom.no). Mange antar derfor at flere IoT-enheter vil kobles direkte til 5G-nettet i fremtiden.

IoT-enheter er i utgangspunktet ikke kjent for å være spesielt godt sikret, noe det kan være flere grunner til. For det første benyttes IoT-teknologi til å koble ting på internett som historisk sett har vært frakoblet, for eksempel kjøleskap, vaskemaskiner og varmeovner. Produsentene av slike enheter har tidligere ikke trengt å forholde seg til IT-sikkerhetsaspektet ved produktene deres, og kan derfor mangle kompetanse til å sikre produktene de tilbyr. For det andre er det ikke sikkert at eierne av IoT-enheter har kompetanse til å bruke og konfigurere enhetene sikkert, i den grad det er mulig.

De mange sårbarhetene som finnes i forskjellige IoT-enheter har gjort at disse har blitt brukt som ledd i store sikkerhetsangrep, ofte uten at eierne deres har visst om det (digi.no).

Det er viktig å fremheve at de fleste av dagens IoT-enheter har vært koblet på alminnelige lokale nettverk, hvor en ruter med innebygget brannmur (for eksempel en WiFi-ruter) i mange tilfeller har fungert som en beskyttende barriere mellom IoT-enhetene og internett. De fleste IoT-enheter har altså ikke vært direkte eksponert mot internett. IoT-enheter som baseres på 5G vil imidlertid være det, noe som øker sannsynligheten for direkte angrep mot slike enheter.

Inntoget av IoT-enheter i 5G-nettet vil sannsynligvis by på utfordringer, både for mobilnettleverandørene, produsentene og brukerne. Det kan for eksempel gjelde produsenter som ikke evner å tilby sikre produkter i utgangspunktet, eller som ikke evner å holde produktene sikre over tid. Vi kan også se for oss scenarier hvor industrielle virksomheter med mange 5G-sensorer i drift ikke har kompetanse til å konfigurere enhetene sikkert, eller ikke evner å oppdatere dem i tide, og dermed vil utsette både seg selv og 5G-nettet for sikkerhetsrisikoer.

Det blir helt nødvendig å sørge for tilstrekkelig kompetanse for både mobilnettleverandører, IoT-produsenter og brukere for å minimere risikoene som den økte bruken av IoT-enheter i 5G-nettet kan medføre. Det er viktig slik at sikkerheten i mobilnettet kan ivaretas på tross av alle de nye enhetene i nettet, at produktene utvikles på en sikker og personvernvennlig måte i utgangspunktet og at brukerne evner å drifte produktene på en sikker måte.

Større angrepsflate

Egenskapene som 5G-nettet vil få, legger til rette for en eksplosiv økning av antall tilkoblede enheter. Når flere enheter kobles til det samme nettet vil det få en større angrepsflate. Det vil si at det blir mulig å angripe nettet gjennom flere kanaler enn tidligere. En kan for eksempel angripe nettet via mobiltelefoner, kjøleskap, vaskemaskiner eller industrielle sensorer. Jo flere tilkoblede enheter, desto flere muligheter. Hvis hackere klarer å ta over en million kjøleskap med samme sårbarhet, kan de potensielt bruke disse for å forsøke å overbelaste mobilnettet slik at vi andre ikke kan bruke det. De kan også bruke kjøleskapene i et angrep mot en annen virksomhets infrastruktur.

I tillegg til at enhetene som er tilkoblet nettet må være sikret, må nettet i seg selv være godt sikret mot misbruk og angrep, og teleoperatørene må passe på at de har tilstrekkelig kompetanse til å drifte nettene og skivene på en sikker måte.

Fundamentalt ny infrastruktur

En av de fundamentale endringene med 5G, er at kjernenettet ikke lenger driftes fra maskinvare som er spesielt laget for mobilnett. 5G-kjernenettet kan opprettes, konfigureres og driftes på helt alminnelige servere og datamaskiner, så lenge man har tilgang til den nødvendige programvaren. Selv om dette utelukker enkelte sårbarheter, åpner det for andre. Mobilnettleverandørene må for eksempel både forholde seg til sårbarheter i 5G-programvaren og sårbarheter i operativsystemet som programvaren kjøres på.

Videre er både kjernenettet i seg selv og funksjonaliteten som vil tilbys i nettet programvaredefinert. Skivedeling baseres for eksempel på virtualisering som har vært en del av skytjenester i lang tid. Overgangen til programvaredefinerte nettverk gir mer fleksibilitet, men krever omstilling hos mobilnettleverandørene slik at de evner å sikre nettverkene. En kan også se for seg at det oppstår usikkerhet om hvem som har ansvaret for sikkerheten i de ulike skivene. Er det mobilnettleverandøren, tredjeparts "skiveforhandlere" eller kjøperne som skal sørge for sikkerheten?

Vi har sett den samme utfordringen hos brukere av skytjenester, hvor sikkerheten avhenger like mye av brukerne som av tilbyderne. Det spiller for eksempel liten rolle om infrastrukturen til en leverandør av e-posttjenester er godt sikret, hvis brukeren setter passordet sitt til "123456". Med flere aktører blir verdikjedene lengre og kompleksiteten øker, noe som igjen kan føre til høyere risiko for sikkerhetsbrudd.

Skivedeling åpner potensielt også for utilsiktet dataflyt mellom de ulike virtuelle nettverkene (skivene). Det finnes ingen kjente slike sårbarheter enda, men muligheten blir en logisk følge av at nettverkene er programvaredefinerte, og ikke definert av forskjellige fysiske enheter.

"Single point of failure"?

Hvis angrep på ett system fører til at mange andre systemer slutter å fungere, kan systemet bli et "single point of failure". Jo flere kritiske enheter som flyttes til samme nett, desto høyere blir sikkerhetskravene for nettet.

Nødnettet må være tilgjengelig hele tiden. For at det skal være mulig, må nettet for eksempel være sikret mot naturkatastrofer og terrorangrep. Hvis forsvaret blir avhengige av nettet for å være operative i en stridssituasjon, må nettet være mer motstandsdyktig mot blant annet rakettangrep og hackerangrep fra ressurssterke fiender.

Hvis nettet blir et "single point of failure» for mye samfunnskritisk funksjonalitet, må det bygges på en svært robust måte. Det kan for eksempel ikke være slik at store deler av nettet slutter å fungere hvis en basestasjon eller et datasenter blir satt ut av drift. Det betyr at mobilnettleverandørene må investere mer i nettet, slik de har noe som kan ta over oppgavene til de delene av nettet som er ute av drift. Jo mer robusthet man ønsker i nettet, desto dyrere vil det være å bygge. Kostnaden står i motsetning til at nettilbyderne er private aktører som neppe har insentiv til å investere noe mer enn akkurat det som kreves av myndighetene og for å tilfredsstille kundenes behov.

Robustheten i nettet avhenger slik sett både av myndigheters reguleringsevne, kundenes betalingsvilje og nettleverandørenes investeringsvilje i funksjonalitet som kanskje sjelden eller aldri blir satt på prøve, men som vil være helt kritisk dersom det blir satt på prøve.

Ukryptert landskode og nettverkskode

Selv når vi får på plass frittstående 5G, vil landskode (Mobile Country Code, MCC) og nettverkskode (Mobile Network Code, MNC) sendes ukryptert over mobilnettet. Norge har for eksempel en unik identifikator, og de ulike mobiloperatørene i Norge har unike identifikatorer.

Sannsynligheten for å identifisere enkeltabonnenter via MCC/MNC i Norge er svært lav, fordi flertallet som er koblet på en basestasjon her har et norsk abonnement. I utlandet vil det derimot være høyere sannsynlighet for å kunne identifisere norske mobilabonnenter ved hjelp av disse kodene, fordi det vil være færre norske mobilabonnenter koblet til de ulike basestasjonene.

Problemstillingen settes på spissen i områder med mange basestasjoner, typisk i byer, hvor det vil det være mulig å bestemme posisjonen til en telefon med norsk mobilabonnement innenfor et relativt begrenset område – for eksempel i et bygg eller et kvartal. En angriper som overvåker en person med norsk abonnement i utlandet, vil dermed kunne anslå sannsynligheten for at personen de overvåker befinner seg i et forventet område. Det samme vil gjelde for personer med utenlandsk mobilabonnement i Norge.

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera

:

Kommentera

Av Svenn Dybvik - 12 november 2023 00:00

https://nsm.no/regelverk-og-hjelp/sikkerhetsloven-og-forskrifter/

Sikkerhetsloven og forskrifter

Sikkerhetsloven trådte i kraft 1. januar 2019. Loven skal forebygge, avdekke og motvirke sikkerhetstruende virksomhet.

Kort innføring i ny sikkerhetslov

NSM har laget et kort elæringskurs som tar for seg de aller viktigste punktene i den nye sikkerhetsloven.
Gjennomfør kurset her.

Lov om nasjonal sikkerhet (sikkerhetsloven)

Hele lovteksten er tilgjengelig på Lovdata.

Forskrifter

Samleside for forskrifter som er hjemlet i sikkerhetsloven på Lovdata.

Sentrale forskrifter

Veiledninger fra Nasjonal sikkerhetsmyndighet

Veiledninger til ny sikkerhetslov

Virksomheter underlagt sikkerhetsloven

Sikkerhetsloven gjelder for statlige, fylkeskommunale og kommunale organer, samt leverandører av varer og tjenester i forbindelse med en sikkerhetsgradert anskaffelse. I tillegg kan et departement fatte vedtak om at loven helt eller delvis skal gjelde for virksomheter som:

behandler sikkerhetsgradert informasjon,
råder over informasjonssystemer, objekter, eller infrastruktur som har avgjørende betydning for grunnleggende nasjonale funksjoner, eller
driver aktivitet som har avgjørende betydning for grunnleggende funksjoner.

Listen over hvem og hva som til enhver tid er underlagt sikkerhetsloven vil være dynamisk og detaljer fra denne oversikten publiseres ikke.

Beskyttelsesinstruksen

Instruks for behandling av dokumenter som trenger beskyttelse av andre grunner enn nevnt i sikkerhetsloven med forskrifter (beskyttelsesinstruksen)
Engelsk oversettelse at Beskyttelsesinstruksen (Det presiseres at det er den norske versjonen som er offisiell.)

Instructions for the handling of records that need to be protected for reasons other than those set out in the Security Act and associated regulations (Information Protection Instructions) (PDF, 355KB)

Lov om oppfinnelser av betydning for rikets forsvar

Nasjonal sikkerhetsmyndighet (NSM) har oppfølgingsansvar for lov om forsvarsviktige oppfinnelser og NATOs avtale om gjensidig sikring av hemmeligholdelse av oppfinnelser vedrørende Forsvaret. Regelverket skal skjerme oppfinnelser av betydning for rikets forsvar.

Se Lov om oppfinnelser av betydning for rikets forsvar på Lovdata.

Veiledere og håndbøker til sikkerhetsloven

https://rise.articulate.com/share/uoINXK9e-cHAINUXViAhkTUHb3UB9dBs#/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-autorisasjon-og-autorisasjonssamtale/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-destruksjon-av-dokumenter-og-lagringsmedier/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-kartlegging-og-vurdering-av-avhengigheter/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-klassifisering/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-skadevurdering/om-denne-handboken/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/handbok-i-verdivurdering-av-informasjon-1/om-denne-handboken/

https://nsm.no/getfile.php/136469-1621410612/NSM/Filer/Dokumenter/Veiledere/Kriterier%20for%20godkjenning%20av%20oppbevaringsenheter.pdf

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-for-godkjenning-av-informasjonssystem/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-for-godkjenning-og-implementering-av-kryptosystemer/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-for-tilsyn-med-forebyggende-sikkerhetsarbeid/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-for-virksomheters-handtering-av-uonskede-hendelser/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-anskaffelser-etter-sikkerhetsloven/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-bruk-av-sikkerhetsloven-for-a-motvirke-sikkerhetstruende-investeringer-og-oppkjop/tema-for-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-departementenes-identifisering-av-grunnleggende-nasjonale-funksjoner/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-fysisk-sikkerhet/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-handtering-og-beskyttelse-av-sikkerhetsgradert-informasjon/innledning/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-innsyn-i-klareringssaker/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-personellsikkerhet/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-sikkerhetsstyring/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-soknad-og-vedtak-om-adgangsklarering/om-denne-veilederen/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-i-verdivurdering-av-informasjon/om-denne-veilederen-1/

https://nsm.no/regelverk-og-hjelp/veiledere-og-handboker-til-sikkerhetsloven/veileder-ugradert-skjermingsverdig-informasjon-og-informasjonssystem/

https://lovdata.no/dokument/NL/lov/2018-06-01-24

Lov om nasjonal sikkerhet (sikkerhetsloven)

Kapitteloversikt:

DATASIKKERHETSLOVEN

https://www.regjeringen.no/no/aktuelt/norge-far-sin-forste-lov-om-digital-sikkerhet/id2975757/

Norge får sin første lov om digital sikkerhet

Regjeringen har lagt fram et forslag til lov om digital sikkerhet. Loven skal bidra til å styrke den digitale sikkerheten i virksomheter som har særlig betydning for samfunnet.

Utvalgte virksomheter vil nå bli forpliktet til å overholde digitale sikkerhetskrav og å varsle om alvorlige digitale hendelser. Det vil gjøre virksomhetene bedre rustet til å stå imot angrep mot de digitale systemene de er avhengige av.

– Det er viktig at Norge nå får en lov som stiller krav til digital sikkerhet i virksomheter som har en viktig rolle i samfunnet. Denne regjeringen mener at grunnleggende krav til digital sikkerhet i slike virksomheter er helt avgjørende for å sikre velferdssamfunnet, sier justis- og beredskapsminister Emilie Enger Mehl (Sp).

Lovforslaget forutsetter forskrifter med tydeligere avgrensninger av hvem loven skal gjelde for og mer konkrete regler om hva som skal til for å oppfylle sikkerhets- og varslingskravene.

– Regjeringen vil at det skal etableres et regelverk om digital sikkerhet på tvers av sektorer. Regelverket skal være tilpasningsdyktig og fleksibelt, slik at det kan tas hensyn til ulike behov i ulike sektorer, sier justis- og beredskapsministeren videre.

Forslaget følger opp stortingsmeldingen om Nasjonal kontroll og digital motstandskraft. Det bygger på Europaparlaments- og rådsdirektiv (EU) 2016/1148 av 6. juli 2016 om tiltak for å sikre et høyt felles nivå for sikkerhet i nettverks- og informasjonssystemer i hele Unionen (NIS-direktivet). Det vil i første omgang gjelde for tilbydere av samfunnsviktige tjenester innen energi, transport, helse, vannforsyning, bank, finansmarkedsinfrastruktur og digital infrastruktur, samt tilbydere av de digitale tjenestene digitale markedsplasser, skytjeneste, og digitale søkemotorer. Loven vil bli utviklet over tid for å gjøre norske virksomheter mer ansvarlige og sikre gjennomføring av nasjonale råd og anbefalinger.

Digital sikkerhet er en avgjørende forutsetning for en vellykket digitalisering av samfunnet. Regjeringen mener at denne loven vil bli et viktig bidrag for å redusere digitale sårbarheter både i samfunnet og i den enkelte virksomhet.

Virksomhetene som blir omfattet av loven må etablere grunnleggende sikkerhetstiltak i virksomhetenes digitale systemer. Det vil for eksempel kunne bli aktuelt for virksomhetene å se hen til NSMs grunnprinsipper for IKT-sikkerhet som et utgangspunkt for sikring av sine digitale systemer. Målet er at virksomhetene vurderer digital sikkerhet som en naturlig del av den ordinære driften.

Lovens krav om varsling ved hendelser som virker inn på tjenesteleveransen vil sørge for at virksomhetene får bistand til å håndtere hendelsen. Dessuten legges det opp til videre varsling, for eksempel i samme sektor, til sikkerhetsmyndighetene og eventuelt til andre land. Varslinger vil også kunne danne et nyttig kunnskapsgrunnlag for sikkerhetsmyndighetene.

https://www.regjeringen.no/no/dokumenter/prop.-109-ls-20222023/id2975558/

Prop. 109 LS (2022–2023)

Lov om digital sikkerhet (digitalsikkerhetsloven) og samtykke til godkjenning av EØS-komiteens beslutninger nr. 21/2023 og 22/2023 om innlemmelse i EØS-avtalen av direktiv (EU) 2016/1148 og forordningene (EU) 2018/151 og (EU) 2019/881

Proposisjon til Stortinget (forslag til lovvedtak og stortingsvedtak)

Proposisjonen foreslår en lov om digital sikkerhet og ber Stortinget om samtykke til godkjenning av to beslutninger i EØS-komiteen om innlemmelse i EØS-avtalen av NIS1-direktivet, tilhørende gjennomføringsforordning og cybersikkerhetsforordningen. Loven skal forplikte virksomheter som har en særlig viktig rolle for å opprettholde kritisk samfunnsmessig og økonomisk aktivitet, til å overholde digitale sikkerhetskrav og varsle om alvorlige digitale hendelser. Loven stiller overordnede krav til sikkerhet og varsling, og virkeområdet er kun angitt i form av hvilke sektorer den gjelder i. Dette forutsetter et underliggende regelverk med tydeligere avgrensinger og konkretiseringer. Loven inneholder derfor en vid adgang til å fastsette nærmere bestemmelser i forskrift. Loven etablerer rammeverk for tilsyn med virksomhetene og åpner for ileggelse av pålegg og eventuelt overtredelsesgebyr ved manglende oppfyllelse av pliktene. Myndighetene skal også ta imot varsler om alvorlige digitale hendelser.

https://www.regjeringen.no/no/dokumenter/prop.-109-ls-20222023/id2975558/?ch=1

1 Hovedinnholdet i proposisjonen

Justis- og beredskapsdepartementet foreslår i denne proposisjonen en ny lov om digital sikkerhet. I tillegg bes det om Stortingets samtykke til godkjenning av to beslutninger i EØS-komiteen.

Loven bygger på Europaparlaments- og rådsdirektiv (EU) 2016/1148 av 6. juli 2016 om tiltak for å sikre et høyt felles nivå for sikkerhet i nettverks- og informasjonssystemer i hele Unionen (NIS-direktivet). Direktivet og tilhørende gjennomføringsforordning 2018/151 om spesifisering av NIS-direktivet artikkel 16 nr. 1 og nr. 4 (gjennomføringsforordningen) ble besluttet tatt inn i EØS-avtalen 3. februar 2023.

Forslaget til lov om digital sikkerhet er ment å være i samsvar med NIS-direktivet og øvrige sammenlignbare lands nasjonale lovgivning på området.

Loven skal forplikte virksomheter som har en særlig viktig rolle for å opprettholde kritisk samfunnsmessig og økonomisk aktivitet, til å overholde digitale sikkerhetskrav og varsle om alvorlige digitale hendelser. Loven skal bidra med forebyggende sikkerhetstiltak som gjør en virksomhet bedre rustet til å stå imot angrep mot nettverks- og informasjonssystemer de er avhengige av. Videre skal loven sikre planer for håndtering av uønskede hendelser. Loven stiller overordnede krav til sikkerhet og varsling, og virkeområdet er kun angitt i form av hvilke sektorer den gjelder i. Dette forutsetter et underliggende regelverk med tydeligere avgrensinger og konkretiseringer. Loven inneholder derfor en vid adgang til å fastsette nærmere bestemmelser i forskrift.

Loven etablerer rammeverk for tilsyn med virksomhetene og åpner for ileggelse av pålegg og eventuelt overtredelsesgebyr ved manglende oppfyllelse av pliktene. Myndighetene skal også ta imot varsler om alvorlige digitale hendelser. Departementet legger opp til at eksisterende myndighetsstruktur benyttes i størst mulig grad for å begrense behovet for nye kontaktpunkter for virksomhetene som blir underlagt regelverket, og for at myndigheter som allerede utfører oppgaver som ligner oppgaver denne loven pålegger dem, skal kunne samkjøre disse så langt det er mulig. Departementet mener videre at eksisterende myndigheter også bør føre tilsyn med virksomheter som per i dag ikke er underlagt tilsyn.

Europaparlaments- og rådsforordning (EU) 2019/881 av 17. april 2019 om ENISA (Den europeiske unions cybersikkerhetsbyrå), om cybersikkerhetssertifisering av informasjons- og kommunikasjonsteknologi og om oppheving av forordning (EU) nr. 526/2013 (cybersikkerhetsforordningen) ble også besluttet tatt inn i EØS-avtalen 3. februar 2023. Forordningen er planlagt inkorporert i forskrift til denne loven.

Norge deltok i beslutningene i EØS-komiteen med forbehold om Stortingets samtykke, jf. Grunnloven § 26 andre ledd. Det bes på denne bakgrunn om Stortingets samtykke til godkjenning av EØS-komiteens beslutninger om innlemmelse av rettsaktene.

Allmänt · ‽IT · ∴ · interrobangit · § · §IT

Dela · Kommentera