Hvor sikre er dine data?

Datainnbruddet i Lørenskog kommune har gjort mange urolige. Det samme kan skje i Trøndelag.  

Av Ronny Andreas Mehlum, fagfellesskapet for informasjonssikkerhet og personvern i DigiTrøndelag 

Innbyggerne skal kunne forvente at kommunene beskytter opplysningene deres, lærer av hendelser og samarbeider om et forsvar.  

Kommunen følger oss gjennom hele livet. Den har opplysninger om barna våre, helsen vår, økonomien vår og behovet vårt for hjelp. Noe av dette er informasjon vi kanskje ikke engang har delt med våre nærmeste.  

Vi deler opplysningene fordi kommunen trenger dem for å kunne hjelpe oss. Ofte har vi heller ikke noe reelt alternativ. Vi må kunne få velferdstjenester uten å være redde for at opplysninger om våre mest sårbare øyeblikk havner hos uvedkommende.  

Derfor er det forståelig at datainnbruddet i Lørenskog har skapt uro. Angrepet ble avdekket i mai, og senere ble det klart at store mengder informasjon var stjålet fra et eldre fellesområde. Ifølge kommunens egen informasjon omfatter materialet sensitive opplysninger knyttet til blant annet skole, helse og omsorg, barnevern og ansatte.  

Vi som arbeider med digitalisering og informasjonssikkerhet i kommunene, må møte denne uroen med respekt. Tillit kan ikke kreves. Den må fortjenes.  

Sitter på mye informasjon: – Kommunen følger oss gjennom hele livet. Den har opplysninger om barna våre, helsen vår, økonomien vår og behovet vårt for hjelp. (Foto: Håvard Zeiner, DigiTrøndelag).

Det kan skje i Trøndelag  

Trønderske kommuner bruker mange like systemer og er avhengige av digitale tjenester på samme måte som kommuner ellers i landet. Angriperne kan lete etter svakheter uavhengig av kommunegrenser og geografi.  

Det betyr ikke at alle kommuner har de samme sårbarhetene, eller at et angrep vil få like store konsekvenser overalt. Sikkerhetstiltak og beredskap gjør en forskjell.  

Men sikkerheten kan ikke være avhengig av at hundrevis eller tusenvis av ansatte aldri gjør en feil. Også dyktige og oppmerksomme mennesker kan bli lurt. Kommunene må være forberedt på at noen kan komme seg inn, og sørge for at det blir vanskelig å bevege seg videre og gjøre omfattende skade.  

Digitale angrep er en alvorlig trussel mot kommunenes evne til å levere tjenester. Digital sikkerhet må derfor være en del av kommunens grunnberedskap.  

Skaden varer lenger enn driftsstansen  

Et angrep kan ramme på flere måter samtidig. I Lørenskog måtte ansatte bruke manuelle rutiner, og behandlingen av blant annet søknader om sosialhjelp ble forsinket. Dette skaper problemer for innbyggere som er avhengige av hjelp i hverdagen.  

Stjålne personopplysninger kan gi en belastning som varer lenger. Du kan bytte passord, men du kan ikke bytte helsehistorie eller opplysninger fra en barnevernssak. Når informasjon fra en sårbar livssituasjon blir tilgjengelig for ukjente, kan det oppleves som en alvorlig krenkelse av privatlivet.  

I medieomtalen av datainnbruddet i Lørenskog brukes uttrykket «det mørke nettet». Dette er tjenester på internett som krever særskilt programvare, og som også har lovlige bruksområder. I denne sammenhengen er problemet at stjålne opplysninger gjøres tilgjengelige i miljøer der kriminelle kan hente dem og spre dem videre.  

Informasjonen kan brukes til svindel, utpressing eller troverdige forsøk på å lure den enkelte. At opplysninger er lekket, betyr ikke at alle vil bli utsatt for slikt misbruk. Kommunen kan likevel ikke garantere at opplysningene ikke blir spredt videre. Selve tapet av kontroll over private opplysninger er alvorlig.  

Skadeomfanget avhenger derfor både av hvilke tjenester som rammes, hvor mye informasjon angriperne får tak i og hvor følsom den er.  

Regningen kan bli svært stor  

Ifølge NRK kan oppryddingen etter dataangrepet i Lørenskog koste over 20 millioner kroner. Et alvorlig dataangrep kan likevel bli langt dyrere. Etter angrepet mot Østre Toten i januar 2021 var de foreløpige kostnadene allerede i mai anslått til over 32 millioner kroner. Flere utgifter kom i tillegg til dette anslaget, ifølge kommunedirektørens redegjørelse omtalt i Aktuell Sikkerhet.  

Kostnadene handler om langt mer enn å reparere datamaskiner. Kommunen må undersøke hvordan angriperne kom inn, avklare om de fortsatt har tilgang og gjenopprette systemer som det er forsvarlig å bruke. Samtidig skal skole, helse, omsorg og andre tjenester holdes i gang, ofte med tidkrevende manuelle rutiner.  

Når opplysninger er stjålet, må kommunen også kartlegge hvem som er berørt, vurdere konsekvensene og gi informasjon og hjelp. Dette arbeidet kan fortsette lenge etter at systemene fungerer igjen.  

I tillegg kommer tapt arbeidstid, utsatte oppgaver og belastningen på ansatte og innbyggere. Et regnskap viser heller ikke fullt ut hva tap av privatliv og svekket tillit koster.  

Tjue millioner kroner må derfor ikke bli målestokken for hvor dyrt et alvorlig angrep kan bli.  

Rådene må bli til handling  

Kommunen må vite hvilke opplysninger den har, hvorfor de er lagret og hvem som trenger tilgang. Unødvendige kopier må ryddes bort og opplysninger som skal bevares må oppbevares forsvarlig. Gamle fellesområder må ikke bli digitale loft der ansvaret er uklart.  

Kommunen eier ikke historien om innbyggernes liv. Den forvalter opplysningene for å løse en oppgave. Det forplikter.  

Kommunene trenger ikke å finne opp sikkerhetsarbeidet hver for seg. Nasjonal sikkerhetsmyndighet, KommuneCERT (kommunenes beredskapsteam for digital sikkerhet) og andre fagmiljøer gir konkrete råd om hvordan opplysninger og tjenester skal beskyttes, angrep oppdages og tjenester gjenopprettes.  

Utfordringen er å omsette rådene i systematisk arbeid og sikre nok kompetanse, kapasitet og oppmerksomhet fra ledelsen over tid.  

Kommunens ledelse må kjenne risikoen, prioritere tiltak og følge opp. Tjenestene må øve på hvordan de skal ivareta innbyggerne når digitale systemer faller bort.  

Dette krever ressurser i allerede pressede budsjetter. Men sikkerhet bidrar til at læreren, sykepleieren og saksbehandleren kan gjøre jobben sin. Gevinsten er blant annet opplysninger som ikke kommer på avveie samt at tjenester fortsatt fungerer under et angrep.  

Kommunene må få mer kraft sammen  

Kommunene møter et trusselbilde som også omfatter profesjonelle, internasjonale kriminelle miljøer. Et lite kommunalt fagmiljø kan vanskelig dekke all nødvendig spesialistkompetanse alene.  Sørreisa kommune i Troms illustrerer denne utfordringen. Ifølge Digi.no 2. september har kommunen rundt 3500 innbyggere og en IT-avdeling på tre personer som skal ivareta både daglig drift og digital sikkerhet. IT-lederen etterlyser enklere tilgang til kompetanseheving og standardiserte sikkerhetsløsninger med statlig støtte. Det viser behovet for samarbeid og praktiske løsninger tilpasset små fagmiljøer. 

I Trøndelag har vi et fagfellesskap for informasjonssikkerhet og personvern. Gjennom SkoleSec inviterer DigiTrøndelag kommunene til veiledning som skal hjelpe skolene med å kartlegge egen situasjon og prioritere forbedringer. Dette er et konkret eksempel på hvordan samarbeid kan støtte arbeidet ute i tjenestene. DigiTrøndelag beskriver tilbudet her.  

Vi må bygge videre på dette. Kommunene trenger tilgang til felles sikkerhetskompetanse og praktisk bistand til å forebygge, oppdage og håndtere angrep. Nasjonale myndigheter må bidra med forutsigbar finansiering og løsninger som også små kommuner har kapasitet til å bruke. Kommunene må på sin side prioritere oppfølgingen lokalt og stille tydelige krav til leverandørene.  

Behovet understrekes også i oppropet om kollektivt cyberforsvar fra OpenAI og en rekke andre selskaper, som etterlyser bedre verktøy og støtte til blant annet lokale myndigheter i møte med mer avanserte angrep støttet av kunstig intelligens.  

Samarbeid gjør kommunene bedre rustet til å ta ansvaret for innbyggernes opplysninger. Dette ansvaret ligger fortsatt hos den enkelte kommunen.  

Trygghet må kunne begrunnes  

Kan innbyggerne i Trøndelag føle seg trygge? Vi kan ikke gi én garanti på vegne av alle kommuner. Men innbyggerne skal kunne forvente at kommunen kjenner sine svakheter, arbeider med å rette dem og har beredskap når noe skjer.  

Tillit må bygge på dette arbeidet og på åpenhet om resultatene. Kommunen må kunne forklare hvordan den følger opp sikkerheten, uten å røpe detaljer som hjelper angripere.  

Når en hendelse oppstår, må de berørte få forståelig informasjon og praktisk hjelp. Kommunen må være tydelig på hva den vet, hva den fortsatt undersøker og hvilke tiltak den setter inn. Erfaringene må brukes til forbedringer og deles med andre kommuner.  

Ingen kan love at et angrep aldri vil lykkes. Innbyggerne har likevel krav på at vi gjør det vi kan for å forebygge, begrense skaden og ivareta dem som rammes.  

Opplysningene kommunen forvalter, handler om menneskers liv. Det er der sikkerhetsarbeidet må begynne, og det er der ansvaret må måles.