Cybersikkerhet i offentlig sektor: Tilstand og trender

Et skjerpet trusselbilde

Norsk offentlig sektor har de siste årene blitt langt mer digitalisert, og med det har sårbarheten for cyberangrep økt betydelig. Kommuner, helseforetak og statlige etater forvalter store mengder sensitive personopplysninger som gjør dem til attraktive mål. Nasjonal sikkerhetsmyndighet og andre fagmiljøer rapporterer om et trusselbilde som er både mer sammensatt og mer aktivt enn tidligere. Statlige aktører, kriminelle nettverk og hacktivister opererer side om side. Denne analysen ser nærmere på tilstanden i sektoren og hvilke trender som vil prege årene fremover.

Tall og trender

Tall fra Nasjonal sikkerhetsmyndighet og Datatilsynet illustrerer omfanget av utfordringen, og viser at både antall hendelser og kravene til beredskap har økt markant de siste årene.

Løsepengevirus og phishing dominerer

De vanligste angrepsformene mot offentlig sektor er fortsatt løsepengevirus og phishing, ofte i kombinasjon. Angriperne utnytter menneskelige feil snarere enn rene tekniske svakheter, og en enkelt klikket lenke kan gi tilgang til hele virksomhetens nettverk. Flere norske kommuner har de siste årene måttet stenge tjenester i dagevis etter slike angrep. Samtidig ser man en økning i mer avanserte og målrettede operasjoner mot kritisk infrastruktur. Forsvarsverket må derfor håndtere alt fra bredt utsendt svindel til skreddersydde statlige operasjoner.

"Den største sårbarheten i offentlig sektor er ikke teknologien i seg selv, men mangelen på øvelse, kompetanse og tydelig ansvarsfordeling når krisen først inntreffer."

Personvern under press

Parallelt med sikkerhetstruslene står offentlig sektor overfor strenge krav til personvern gjennom personvernforordningen. Datatilsynet har de siste årene skjerpet praksisen og utstedt flere overtredelsesgebyrer, også mot offentlige virksomheter. Utfordringen forsterkes av at mange etater tar i bruk skytjenester og kunstig intelligens uten at konsekvensene for personvernet alltid er tilstrekkelig vurdert. Balansen mellom effektiv tjenesteutvikling og forsvarlig behandling av personopplysninger er krevende. Manglende internkontroll og uklare databehandleravtaler går igjen som typiske svakheter.

Beredskap og kompetanse

Tilstanden i beredskapen varierer kraftig mellom store statlige etater og mindre kommuner. De store virksomhetene har gjerne egne sikkerhetsmiljøer og øver jevnlig, mens mindre kommuner ofte mangler både ressurser og spesialkompetanse. Mangelen på kvalifisert personell er gjennomgående, og konkurransen om de beste hodene er hard mot privat sektor. Interkommunalt samarbeid og felles sikkerhetssentre pekes ut som en mulig vei videre. Likevel viser flere tilsyn at grunnleggende tiltak som tofaktorautentisering og oppdatert programvare fortsatt ikke er på plass overalt.

Veien videre

Trenden er tydelig: trusselbildet vil fortsette å skjerpes, og digitaliseringen lar seg ikke reversere. Offentlig sektor må derfor flytte cybersikkerhet fra et rent teknisk anliggende til et ledelsesansvar forankret på toppen av organisasjonen. Investering i kompetanse, jevnlige øvelser og tydelige beredskapsplaner vil være avgjørende. Økt samarbeid på tvers av etater og forvaltningsnivåer kan kompensere for ressursmangelen i de minste virksomhetene. Til syvende og sist handler robust digital sikkerhet like mye om kultur og organisering som om teknologi.