Cyberangrepene: – Vi befinner oss i et COVID-øyeblikk

Selskapet mener myndighetene må stille strengere krav til digital sikkerhet før kunstig intelligens gjør angrepene enda mer omfattende og vanskeligere å stanse.

Angrepene denne høsten har vist hvor sårbart et digitalisert samfunn kan være. Selv kjøleanlegg i dagligvarebutikker er blitt rammet, med ødelagte matvarer og store økonomiske tap som resultat. Ifølge IDEX Biometrics er dette bare en forsmak på utfordringene som venter.

– Vi befinner oss i et COVID-øyeblikk. Vi vet hva som kommer, og vi vet at konsekvensene kan bli alvorlige dersom vi ikke handler nå. Akkurat som under pandemien trenger vi tydelig politisk lederskap. Det holder ikke lenger med anbefalinger og oppfordringer. Myndighetene må stille konkrete krav til hvordan kritiske systemer skal sikres, sier Anders Storbråten i IDEX Biometrics.

Han mener utviklingen innen kunstig intelligens gjør situasjonen særlig alvorlig. Ny teknologi gjør det mulig å automatisere store deler av et cyberangrep, fra kartlegging av sikkerhetshull og testing av innloggingsinformasjon til gjennomføring av selve angrepet. Oppgaver som tidligere krevde betydelig menneskelig innsats, kan nå utføres langt raskere og i større omfang.

Vil flytte kritisk sikkerhet bort fra internett

Ifølge IDEX ligger en grunnleggende svakhet i at stadig flere sikkerhetsfunksjoner er gjort tilgjengelige over internett. Passord, PIN-koder og andre digitale innloggingsmetoder kan bli kompromittert, og konsekvensene kan bli store dersom uvedkommende får tilgang til kritiske systemer.

Selskapet mener derfor at utfordringen ikke bare kan løses med bedre passord, flere sikkerhetslag og stadig mer avansert programvare. Vi må også endre den grunnleggende arkitekturen i hvordan kritiske systemer sikres, slik at færre avgjørende sikkerhetsbeslutninger tas over internett.

Selskapet mener derfor at flere sikkerhetskritiske identitetskontroller bør gjennomføres offline, uten direkte internettilkobling. Fysiske autentiseringsløsninger, eksempelvis med fingeravtrykk, kan bidra til å kontrollere at riktig person faktisk er til stede før tilgang gis.

– Vi skal selvfølgelig ikke erstatte internett. Men vi må slutte å gjøre de mest kritiske sikkerhetsfunksjonene tilgjengelige for angrep over nettet. Når identiteten verifiseres fysisk og lokalt, blir det langt vanskeligere for en angriper å overta tilgangen. Teknologien finnes allerede. Det vi mangler, er tydelige krav om å ta den i bruk, sier Storbråten.

Han peker på at Norge er særlig avhengig av velfungerende digitale systemer. Strømforsyning, vann, helsevesen, transport, banktjenester og matforsyning er alle områder der digitale angrep kan få konsekvenser langt utover virksomheten som rammes.

Etterlyser raskere politiske beslutninger

IDEX mener norske myndigheter må gå fra generelle sikkerhetsanbefalinger til tydeligere og mer forpliktende krav. Selskapet viser blant annet til EUs NIS2-direktiv, som stiller skjerpede krav til risikostyring, sikkerhetstiltak og håndtering av digitale hendelser.

Direktivet er ennå ikke gjennomført i norsk rett. I regjeringens forslag til statsbudsjett for 2027 omtales gjennomføring gjennom endringer i digitalsikkerhetsloven, men uten noen konkret tidsplan.

Storbråten etterlyser også sterkere kontroll med det forebyggende sikkerhetsarbeidet. Han mener IKT-leverandører i større grad bør måtte dokumentere at løsningene de leverer, følger gjeldende regelverk og anerkjent beste praksis. I tillegg må virksomheter sørge for at kjente sikkerhetshull blir lukket gjennom løpende oppdateringer.

– Det kommer aldri igjen til å være så enkelt å håndtere cyberangrep som det er akkurat i dag. Angriperne får stadig kraftigere verktøy, og vi har ennå ikke sett hvor omfattende angrepene kan bli når den nye teknologien tas i bruk for fullt. Derfor må regjeringen få opp tempoet, fremskynde innføringen av NIS2 og stille krav som faktisk reduserer sårbarhetene. Vi kan ikke overlate dette til markedet alene, sier Storbråten.