Digitale sårbarheter

Samfunnets avhengighet av elektronisk kommunikasjon (ekom), og sårbarheten som kan oppstå, er sterkt økende. Digital teknologi har gjort kommunikasjon enklere og billigere, effektivisert produksjon og skapt en rekke nye produkter og tjenester. Anvendelse av digital teknologi griper inn i de fleste områdene i privat og offentlig sektor. Samfunnet forventer også å løse utfordringer i helsesektoren med digital velferdsteknologi. Alt skjer med en slik hastighet at kravene til robusthet ofte kommer i kjølvannet av innføringen av ny teknologi. I løpet av de ti siste årene har gjennomsnittshastighet for internettilknytninger blitt ti ganger høyere. Fra 2003 – 2017 var ekomsektoren sitt bidrag til den gjennomsnittlige årlige produktivitetsveksten i norsk økonomi ca. 40 %. For å opprettholde og utvikle digitale tjenester og produkter, trenger vi faste og mobile nett med tilstrekkelig kapasitet, robusthet og uavhengighet.

Et scenario kan være at hjemmesykepleien i et interkommunalt IKT-samarbeid mister tilgangen til sine fagsystemer tidlig om morgenen første juledag. Undersøkelser viser at uvedkommende har fått tilgang til systemene gjennom kompromitterte brukerkontoer. Flere systemer blir utilgjengelige.

Mulige konsekvenser kan være:
• manglende tilgang til pasient- og brukeropplysninger
• forsinket eller feil medisinhåndtering
• behov for manuelle nødrutiner
• varsling til relevante myndigheter
Scenarioet illustrerer hvordan digitale hendelser raskt kan få direkte konsekvenser for kommunale tjenester.

Kommunene benytter i økende grad skybaserte løsninger for e-post, samhandling, sak- og arkivsystemer, journalsystemer og økonomiforvaltning. Dette gir effektiv drift og større fleksibilitet, men medfører samtidig økt avhengighet av eksterne leverandører.

Nasjonal sikkerhetsmyndighet vurderer leverandørkjeder som et prioritert mål for både statlige aktører og cyberkriminelle. Digitaliseringsdirektoratet peker på at offentlige virksomheter ofte mangler full oversikt over underleverandører, datalagringssteder og avtalevilkår knyttet til sky- og programvaretjenester. Dette kan skape sårbarhet dersom leverandører eller underliggende infrastruktur rammes av svikt eller angrep.

De fleste alvorlige digitale hendelser starter med kompromitterte brukerkontoer. Manglende bruk av flerfaktorautentisering, for vide tilganger og manglende oversikt over privilegerte brukere øker risikoen betydelig.
Nasjonal sikkerhetsmyndighet understreker at identitet i økende grad utgjør den sentrale sikkerhetsperimeteren i digitale systemer.

Digitaliseringsdirektoratet fremhever at systematisk kontroll av tilganger og roller er blant de mest effektive tiltakene for å redusere digital risiko i offentlig sektor.

Utpressingsangrep, der data krypteres eller trues offentliggjort for å kreve betaling, er fortsatt blant de mest alvorlige truslene mot offentlig sektor. Slike hendelser kan føre til stans i tjenesteleveranser, lekkasje av sensitive opplysninger og betydelig omdømmetap.

Nasjonale vurderinger viser at kriminelle aktører har blitt mer profesjonelle, og at angrepene i økende grad er målrettet mot kritisk infrastruktur og offentlige tjenester.

Kunstig intelligens (KI) brukes i økende grad til å utvikle mer avanserte angrepsmetoder. Eksempler er svært realistiske phishing-eposter, stemmekloning og manipulerte medier (deepfake). Slike metoder kan gjøre det vanskeligere å oppdage svindel og øker risikoen for sosial manipulering.
Både Nasjonal sikkerhetsmyndighet og Etterretningstjenesten peker på at bruk av kunstig intelligens øker treffsikkerheten i slike angrep. Samtidig fremhever Digitaliseringsdirektoratet at også virksomheters egen bruk av generativ KI må håndteres med bevissthet om informasjonssikkerhet og personvern.

Åpne KI-tjenester
Åpne KI-tjenester er løsninger der brukernes forespørsler behandles i et delt behandlingsmiljø. Virksomheten har i slike tjenester begrenset eller ingen kontroll over hvordan data lagres, behandles eller gjenbrukes.

Tjenesten er ikke etablert som et lukket virksomhetsmiljø med full kontroll over tilgang, lagring, logging, sletting og etterprøvbarhet. Dette gjelder også dersom brukeren er innlogget med jobb-konto eller benytter en betalt versjon av tjenesten.

Eksempler kan være generelle KI-tjenester tilgjengelig på internett.

Lukkede KI-tjenester
Lukkede KI-tjenester er løsninger der behandlingen er begrenset til bestemte brukere, organisasjoner eller formål, og hvor virksomheten har større kontroll over databehandlingen.

Slike tjenester er etablert som virksomhetsspesifikke eller formålsavgrensede miljøer med kontroll over tilgang, lagring, logging, sletting og etterprøvbarhet. Funksjonaliteten kan være mer begrenset enn i åpne KI-tjenester, men gir samtidig bedre kontroll over informasjonen.

Eksempler kan være organisasjonstilpassede KI-løsninger som Microsoft 365 Copilot eller spesialutviklede KI-systemer for bestemte bruksområder.

KI-modell
En KI-modell er den underliggende algoritmen som ligger til grunn for en KI-tjeneste. Modellen er trent på store datamengder og brukes til å gjenkjenne mønstre og generere svar.

Svarene som frembringes er basert på statistiske sannsynligheter, ikke faktisk forståelse eller verifisering av fakta. Informasjonen kan derfor være unøyaktig eller feil, og resultatene må alltid vurderes kritisk.