Norge styrker cybersikkerheten: 33 bedrifter får 20 millioner

Justisminister Astri Aas-Hansen mener Norge må styrke motstandsdyktigheten mot digitale trusler i en stadig mer usikker verden.

Justisminister Astri Aas-Hansen i samtale med forskningsleder Håvard Jakobsen Ofte i NC-Spectrum. IT-bedriften har sammen med Elvia fått tildelt midler til å styrke cybersikkerheten i kraftbransjen. Foto: David Bach / E24

Totalt 20 millioner kroner ble torsdag fordelt til 33 norske bedrifter som skal styrke landets cybersikkerhetcybersikkerhetCybersikkerhet handler om å beskytte datamaskiner, nettverk og data mot digitale angrep eller uautorisert tilgang..

Pengene kommer fra EU via NCC-NONCC-NONasjonalt koordineringssenter for forskning og innovasjon innen cybersikkerhet, som administreres av NSM og Forskningsrådet. , som administreres av NSMNSMNasjonal sikkerhetsmyndighet. og Forskningsrådet.

– Cybersikkerhet er jo helt avgjørende. Det blir jo ikke noe mindre viktig sånn som sikkerhetssituasjonen er nå, sier justis- og beredskapsminister Astri Aas-Hansen.

Hun møtte tirsdag IT-selskapet NC-Spectrum, som sammen med Elvia er blant de 33 virksomhetene som får støtte i denne runden. Også Forskningsrådet og Nasjonal sikkerhetsmyndighet, som i samarbeid tildeler midlene, var til stede.

Målgruppen for ordningen er virksomheter som leverer og understøtter digital infrastruktur som er kritiske for samfunnet.

Kviteseid-bedriften NC-Spectrum er én av 33 mottagere i denne runden. De har kunder med ansvar for kritisk infrastrukturkritisk infrastrukturKritisk infrastruktur refererer til systemer og ressurser som er essensielle for samfunnets funksjon, som strømforsyning og kommunikasjon., som kraftbransjen og bredbåndsleverandører.

På spørsmål om tilstanden i norsk cybersikkerhet er justisministeren tydelig på at det trengs mer innsats:

– Basert på trusselvurderinger fra tjenestene, så er det jo tydelig at vi må styrke den ytterligere. For regjeringen er det jo viktig at man styrker cybersikkerheten, i både offentlig og privat næringsliv, og både store og små bedrifter, sier Aas-Hansen.

Digital sil

Prosjektet hun fikk høre om tirsdag, som har fått navnet DIGISIL, bygger på doktorgradsarbeid til Mari Aarland i NC-Spectrum og Arne Roar Nygård i Elvia. Det skal hjelpe kraftbransjen med å vurdere sikkerheten hos leverandører av programvare.

– Det vi ønsker å gjøre er å ta kunnskapen og erfaringen vi har på leverandørkjedessikkerhetleverandørkjedessikkerhetLeverandørkjedessikkerhet handler om å sikre at alle deler av en leverandørkjede, fra produksjon til levering, er beskyttet mot sikkerhetstrusler. og utfordringen med det i kraftbransjen. Og lage et verktøy hvor kraftaktører kan gjøre gode sikkerhetsvurderinger av programvarene de skal bruke inn i en plattform hvor de kan få nytte av hverandres vurderinger, forklarer forskningsleder Håvard Jakobsen Ofte i IT-selskapet.

Justis- og beredskapsminister Astri Aas-Hansen. Foto: David Bach / E24

Ofte skal utvikle DIGISIL sammen Aarland og Nygård.

– DIGISIL er ikke bare et akronym, men det sier noe om hva det skal gjøre også. Det skal være en sil for digitale produkter og tjenester som brukes i kraftbransjen, sier han.

Dersom en kraftaktør for eksempel skal kjøpe inn et nytt softwarebasert overvåkningssystem for kraftnettet sitt, så trenger de å gjøre en sikkerhetsvurdering.

– Er det trygt å bruke dette? Hvem er det som har laget dette produktet? Hvem er det som eventuelt er underleverandører som har laget deler av produktet? Og hvor trygge kan vi være på bruken her? Det er lovpålagt å vite. Og lovverket kommer også til å bli skjerpet inn og strengere, forklarer Ofte.

– Det vi ønsker å gjøre i prosjektet er å koke disse tingene ned til en kartleggingsmal som gjør det enklere for kraftaktørene å gjøre slike sikkerhetsvurderinger.

Kraftsektoren neste

141 bedrifter søkte om støtte, opplyser Forskningsrådet. Bare 33 nådde opp i denne runden. Hver virksomhet får rundt 600.000 kroner og har seks måneder på å gjennomføre prosjektene.

Leder Martin Albert-Hoff i Nasjonalt cybersikkerhetssenter i NSM forteller at det kommer flere utlysninger:

– Nå har vi rettet oss inn mot de små og mellomstore bedriftene og så kommer det flere utlysninger senere, som vil rette seg inn mot forskjellige sektorer, blant annet over sommeren.

Da skal utlysningen rettes direkte inn mot kraftsektoren.

Områdedirektør Eva Irene Falleth i Forskningsrådet, leder Martin Albert-Hoff i Nasjonalt cybersikkerhetssenter i NSM og administrerende direktør Anne Sagstuen Nysæther i Elvia i samtale med justisminister Astri Aas-Hansen og forskningsleder Håvard Jakobsen Ofte i NC-Spectrum. Foto: David Bach / E24

Albert-Hoff understreker at bedriftene selv må ta ansvar:

– Virksomhetene må få opp bevisstheten. De må begynne å jobbe konkret med å få oversikt over sårbarhetene og begynne å jobbe med å tette dem, formaner han.

NSM-direktøren peker samtidig på trusselvurderingene fra Etterretningstjenesten og PST.

– De peker jo på en helt konkret trussel. Da kan vi ikke gjemme oss og tenke at det ikke skjer oss. Vi får daglig informasjon om norske virksomheter som har blitt utsatt for hendelser.

– NSM ivaretar også nasjonal responsfunksjon, og det ligger da i senteret som jeg leder. Og vi ser hele tiden hendelser som skjer mot enkeltstående virksomheter. Og selv om den ene bedriften kan virke liten, så vet vi at det kan ramme virksomheter som er underlagt sikkerhetsloven, eller understøtter for eksempel forsvarssektoren.

Det kan skje enten ved at en mindre bedrift blir brukt som brohodebrohodeI denne sammenhengen refererer brohode til en mindre bedrift som kan bli brukt som en inngangsport for å angripe større virksomheter. inn mot øvrige virksomheter, eller ved bortfall av viktige leveranser fra rammede små bedrifter, forklarer Albert-Hoff.

– Så det er sammensatt. Så har du dette med sammenkobling med IT-systemer og kontrollsystemer. Da blir det slik at cyber ikke bare er noe som skjer på en datamaskin, og kanskje er litt vanskelig å ta tak i, men det kan også få den fysiske slagkraften, at det har effekt i det fysiske domenet. Det kan jo føre til skader på personell og utstyr i ytterste konsekvens.