Rusland underminerer og ødelægger vort samfund

Regeringen præsenterede forleden ved et stort anlagt pressemøde i Finansministeriet sin nye ’Nationale strategi for cyber- og informationssikkerhed

Af Dan Bjerring, Christiansborg

Målet er at sætte fokus på at styrke indsatsen for it-sikkerhed ikke mindst i små – og mellemstore danske virksomheder, og især finansminister Claus Hjorth Frederiksen understregede, at den digitale udvikling i de senere år har givet blandt andre statssponserede grupperinger, fremmede stater, aktivister og kriminelle nye metoder til at udføre cyberrelaterede angreb mod lande, virksomheder og borgere.

Mange former for cyberangreb

Han forventer, at disse trusler de kommende år bliver endnu større, og at cyberangreb kan have mange former. Det kan eksempelvis være angreb mod myndigheders og virksomheders hjemmesider eller mere avancerede angreb i form af forsøg på at få adgang til fortrolige informationer fra virksomheder og offentlige institutioner – eller ligefrem at forårsage nedbrud eller ødelæggelse.

Kildebeskyttelse

Forsvarsminister Claus Hjorth Frederiksen sagde ved pressemødet blandt andet, at det er svært at offentliggøre beviser for statsautoriseret hacking, da man i forbindelse med efterretningsarbejde dels ikke kan offentliggøre kilder og dels hvilke arbejdsmetoder, man anvender for at afdække aktiviteterne:

- Vi er nødt til at have tillid til, at de myndigheder, som følger udviklingen, gør det på den bedst mulige og sandfærdige måde:

- Det, som specielt russerne gør, og som jeg betragter som det farligste, er, at de hele tiden udsøger sig steder, hvor vi er sårbare. De forsøger at underminere og ødelægge vort samfund. Nu må vi se, hvad der sker i Sverige i den kommende valgkamp. Der får vi formentlig nogle erfaringer, sagde forsvarsministeren.

Angreb fra gemene kriminelle

Samtidig får Danmark et døgnbemandet nationalt cybersituationscenter i Center for Cybersikkerhed. Centret skal stå for øget overvågning af vitale it-systemer og Danmarks vigtigste digitale netværk med henblik på at varsle myndigheder og virksomheder om aktuelle og potentielle trusler.

- Cyberangreb fra både gemene kriminelle og lande som Rusland er en af vor tids største trusler. Derfor styrker vi nu den tværgående indsats og binder en række tiltag sammen. Denne strategi er en naturlig forlængelse af forsvarsforliget, hvor vi også prioriterer cyberområdet højt, og de mange midler fra forliget kommer hele samfundet til gavn. Især styrker vi Center for Cybersikkerheds mulighed for at opdage og stoppe skadelige cyberangreb rettet imod myndigheder og virksomheder i Danmark, siger forsvarsminister Claus Hjort Frederiksen.

Store forskelle i it-sikkerhed

Erhvervsminister Brian Mikkelsen pegede på, at det nye ved den nye strategi er, at de private virksomheder i samarbejde med det offentlige skal dele deres erfaringer og cases med andre virksomheder, for at de kan lære af hinanden.

- Der er meget stor forskel på it-sikkerheden i små – og store virksomheder. Men når selv store virksomheder som Mærsk kan blive ramt af et angreb, siger det sig selv, at det er svært at dæmme op for. Det er i sidste ende virksomhederne selv, der har ansvaret for at sikre sig mod cyberkriminalitet, men vi skal sørge for, at de får viden om redskaberne stillet til rådighed, sagde ministeren, der også henviste til det seneste angreb på DSB, der lagde billetautomaterne ned.

Virksomheder skal selv betale

Han slog fast, at der er tale om et erhvervspartnerskab, der skal danne rammen om en fælles indsats for at fremme it-sikkerhed og ansvar. Gennem partnerskabet udvikles forebyggende sikkerhedstiltag, der iværksættes en indsats for at fremme virksomhedernes anvendelse af internationale sikkerhedsstandarder.

Endelig vil partnerskabet have fokus på, hvordan der kan iværksættes en indsats for at styrke virksomhedernes primære rådgiveres indsigt i it-sikkerhed, så de kan fungere som brobyggere, der

fremmer it-sikkerhed i danske små og mellemstore virksomheder, fremgår det af den nye strategi, der består af ikke færre end 25 konkrete initiativer, der skal styrke samfundets forsvar imod cyberangreb og it-kriminelle.

Store investeringer

I de kommende år vil regeringen investere 1,5 milliarder kroner i Danmarks cyber- og informationssikkerhed. Seks sektorer er særligt sårbare, hvis cyberangreb rammer – energi-, transport, tele-, finans-, sundheds- og søfartssektoren.

Strategien stiller krav om, at hver sektor skal udarbejde en delstrategi for arbejdet med cyber- og informationssikkerhed inden udgangen af 2018. Hver sektor skal desuden oprette en dedikeret cybersikkerhedsenhed.

Ikke mindst skal det være langt nemmere at få viden om, hvad man skal gøre, når/hvis uheldet er ude. Derfor bygges én samlet informationsportal for borgere, virksomheder og myndigheder med information om aktuelle trusler og gode råd til, hvordan man beskytter sine data.

Erhvervsterrorisme

Erhvervsminister Brian Mikkelsen kaldte en del af cyberkriminaliteten for ’erhvervsterrorisme’ og sagde:

- Vi oplever hver eneste dag angreb på danske virksomheder fra stater eller andre virksomheder. Analyser viser, at fire ud af ti små – og mellemstore virksomheder ikke er tilstrækkeligt sikret mod cyberkriminalitet. Da over 99 % af ALLE danske virksomheder hører til denne kategori, og over to tredjedele af arbejdsstyrken er ansat i selv samme virksomheder, siger det sig selv, at det kan give store problemer.

Brian Mikkelsen kalder utilstrækkelig cyber- og informationssikkerhed for en ’akilleshæl’ i et digitaliseret samfund som det danske:

- Derfor skal vi naturligvis også have et niveau af cyber- og informationssikkerhed, der matcher vores digitaliseringsgrad, mener han.

Samarbejde eller modarbejde

IT-Reload spurgte direkte de tre fremmødte ministre, hvordan de ville sikre, at de forskellige myndigheder inden for cybersikkerhed arbejder sammen i stedet for at modarbejde hinanden eller konkurrere. Der blev peget på, at der nu er tale om vidt forskellige myndigheder, og at både Forsvarets Efterretningstjeneste og Politiets Efterretningstjeneste er involveret for forskellige planer:

- Hele ideen er, at vi samler det i efterretningstjenesten, fordi angrebene kommer fra udlandet. Vi har ikke i Danmark professionelle hackermiljøer, som de har i en række andre lande. Jeg tror, at danske hackere er mere amatøragtige. Der skal hele tiden være en koordinering. Men det er igen vigtigt at slå fast, at staten ikke overtager ansvaret for it-sikkerheden. Ansvaret påhviler den enkelte borger og de enkelte virksomheder, sagde Claus Hjorth Frederiksen til IT-Reload.

Finanssektoren viser vejen

Han noterede med tilfredshed, at finanssektoren allerede har oprettet sit eget sikkerhedscenter, der allerede er meget langt fremme med hensyn til sikkerheden på blandt andet betalingssystemer og andre aktiviteter på nettet.

Moderniseringsminister Sophie Løhde understregede samtidig, at alle statslige myndigheder skal have et fælles og højt sikkerhedsniveau:

- Der stiller vi både en række organisatoriske og tekniske krav i forhold til leverandører og opkvalificering af medarbejderne, sagde Sophie Løhde til IT-Reload.

Kan ikke tørre ansvaret af på andre

Der bliver ikke tale om en form for ’paraply’ over alle sikkerhedsaktiviteterne, der kan sikre, at samarbejdet finder sted som tiltænkt, men strategien er tværgående og involverer ikke færre end 13 forskellige ministerområder:

- En af de udfordringer, vi har haft tidligere, er, at vi ikke har været dygtige nok til at samarbejde. Det kan vi lige så godt erkende og sige lige ud, sagde moderniseringsministeren, der slog fast, at de enkelte områder selv har ansvaret for sikkerheden.

De kan ikke tørre ansvaret af på andre:

- Men man har også et ansvar for ’det fælles’ og dermed, at der skal være en koordinering mellem myndighederne, som sikrer, at vi får løftet niveauet i Danmark for så vidt angår cykersikkerhed…

Øger sårbarheden

Monitor Deloitte har for Erhvervsstyrelsen undersøgt it-sikkerhedsniveauet i små og mellemstore virksomheder, og den viser, at 39 % af danske SMV’er ikke har den rette balance mellem risikoprofil og it-sikkerhedsniveau, hvilket øger deres sårbarhed overfor angreb.

Knap 25 % af danske SMV’er har ikke implementeret de mest grundlæggende it- sikkerhedsforanstaltninger, herunder systematisk backup.

Det viser også, at ledelsens viden om og fokus på it-sikkerhed har stor betydning for sikkerhedsniveauet, og det samme gælder for medarbejdere, herunder it-ansvarlige. For 16 % af danske SMV’er kan konsekvensen ved et læk af forretningskritiske data være, at de mister deres forretningsgrundlag.

Senest har Center for Cybersikkerhed præsenteret den seneste trusselsvurdering, og den beskriver et ’dystert billede’, hvor den generelle cybertrussel mod Danmark fortsat er MEGET HØJ, hvilket er udtryk for det højeste trusselsniveau, Center for Cybersikkerhed arbejder med.

- Den alvorligste trussel kommer fra fremmede stater og kriminelle netværk. Vi må vænne os til at være mål for udenlandske staters cyberangreb. Især for offentlige myndigheder, der beskæftiger sig med udenrigs- og forsvarspolitik, er det et rammevilkår at være under angreb. Uanset den store indsats i forhold til at beskytte myndighederne vil de blive udsat for de mest avancerede og vedholdende angreb fra nogen af verdens dygtigste cyberaktører. Det samme gælder en række private virksomheder, som varetager centrale samfundsvigtige funktioner eller ligger inde med særlig unik og værdifuld viden, siger chefen for Center for Cybersikkerhed, Thomas Lund-Sørensen.

Destruktive cyberangreb

Center for Cybersikkerhed ser en ændring i det allerede alvorlige trusselsbillede, hvor visse stater gennemfører destruktiv cyberangreb og i enkelte tilfælde også berigelseskriminalitet på globalt niveau:

- Staterne har her handlet uhørt hensynsløst og vist en risikovillighed, der kan blive kendetegnende for fremtidens mest alvorlige cyberangreb, som illustreret ved WannaCry og NotPetya i 2017. Dette modsvares af en ny tendens fra andre stater, herunder Danmark, til i offentligheden at udstille de formodede gerningsmænd bag disse angreb. Det sker blandt andet for at påføre de pågældende en politisk pris for deres misgerninger og skabe et tydeligere internationalt normsæt mod cyberangreb, hedder det i trusselsvurderingen.

De 25 Initiativer

’Tryg hverdag’

1. Etablering af Nationalt Cybersituationscenter
2. Minimumskrav til myndigheders arbejde med cyber- og informationssikkerhed
3. Lovgivningsinitiativer på cyberområdet
4. Overvågning af statens kritiske it-systemer
5. Fælles digital indgang for indberetninger
6. Landsdækkende center for behandling af sager vedrørende it-relateret kriminalitet
7. Styrket samarbejde om forebyggelse af og håndhævelse over for it-relaterede angreb
8. Øget sikring af identitetsbeviser
9. Styrket prioritering af national it-infrastruktur
10. Sikker kommunikation i staten

’Bedre kompetencer

11. ’Digital dømmekraft og kompetencer via uddannelsessystemet
12. Informationsportal
13. Forskning i ny teknologi
14. Erhvervspartnerskab for øget it-sikkerhed i dansk erhvervsliv
15. Partnerskab om kompetenceudvikling og opbygning af sikkerhedskultur i staten
16. Styrket oplysningsindsats til borgere og virksomheder

’Fælles indsats’

17. Sektorvise delstrategier og decentrale cybersikkerhedsenheder
18. Tværgående indsats for at understøtte samfundskritiske sektorers cyber- og informationssikkerhed
19. Styr på leverandører af outsourcet it
20. Styrket national koordinering
21. Styrket internationalt engagement
22. Tilstandsmåling af cyber- og informationssikkerhed
23. Overblik over beskyttelsesværdig information
24. Informationssikkerhedsarkitektur
25. National og international indsats for dataetik og persondatabeskyttelse

18/6 2018