Cybersikkerhet vs personvern — balansen i offentlig sektor

En grunnleggende spenning

Norske offentlige etater forvalter sensitive personopplysninger fra hele befolkningen — fra skattedata til helseopplysninger og juridiske dokumenter. Samtidig utsettes disse etatene for stadig mer avanserte cyberangrep. Denne kombinasjonen skaper et fundamentalt dilemma: hvordan kan du beskytte data mot hakere uten å implementere overvåkingstiltak som selv kan true privatlivet?

Både cybersikkerhet og personvern er menneskerettigheter i moderne demokratier. Men de er ikke alltid forenlige. Mens cybersikkerhet ofte krever logging, sporbarhet og monitorering av brukeradferd, er minimering av datainnsamling et sentralt prinsipp for personvern.

Cybersikkerhet — etterspørselen som vokser

Norske offentlige etater har opplevd en dramatisk økning i antall cyberangrep de siste årene. Angrepene kommer fra både kriminelle aktører som søker økonomisk gevinst, og statlige aktører med politiske eller strategiske motiver. Ransomware-angrep, phishing-kampanjer og DDoS-angrep er blitt hverdagskost. For å forsvare seg krever etatene sterk identitetsverifikasjon, kryptering, overvåking av nettverkstrafikk og logging av all brukeraktivitet.

Personvern — balansen som kreves

Europeisk personvern-lovgivning (GDPR og norsk personopplysningsloven) krever at organisasjoner bare innsamler og lagrer data som er nødvendig for sitt formål. For en offentlig etat kan dette være i konflikt med sikkerhetskravene. Mange offentlige etater har ikke klare retningslinjer for hvor lenge de skal lagre sikkerhetsposter, hvem som har tilgang til dem, eller hvordan disse dataene brukes.

Tall og trender

I 2024 rapporterte norske offentlige etater en 47 prosent økning i cyberangrep sammenlignet med forrige år. Samtidig har 94 prosent av etatene implementert en formell personvernpolicy, men kun 67 prosent har gjennomført en fullstendig sikkerhetskontroll av sine sikkerhetssystemer.

Løsninger som respekterer begge dimensjonene

Noen norske etater har implementert 'privacy by design'-prinsipper, der personvern blir vurdert fra starten av et sikkerhetsprojekt. Dette betyr at sikkerhetstiltak blir designet slik at de bruker minst mulig persondata samtidig som de oppnår sitt sikkerhetsmål.

"Vi må slutte å se cybersikkerhet og personvern som motstridende mål. De oppnås best i kombinasjon — ved å implementere sterk sikkerhet som er så diskret som mulig. Det er mulig, men det krever planlegging."

Vei fram — regulering og standarder

Norske myndigheter jobber nå med å utvikle mer spesifikke retningslinjer for hvordan offentlige etater skal balansere sikkerhet og personvern. En nasjonal sikkerhetsstrategi som også respekterer personvernet, vil gi etatene klarere rammer å jobbe innenfor.

Internasjonale standarder som ISO 27001 kombinert med GDPR-krav, gir en ramme som flere etater nå følger.