NSM advarer om høy cyberrisiko: Dette bør norske virksomheter gjøre nå

Cyberrisikoen i Norge er nå vurdert som høy. Nasjonal sikkerhetsmyndighet (NSM) har offentliggjort sin vurdering av situasjonen og oppfordrer alle norske virksomheter til å styrke sikkerheten så raskt som mulig.

Det er ikke hver dag NSM går ut med en slik vurdering. Når de i tillegg plasserer risikoen på det nest høyeste nivået på skalaen, er det god grunn til å følge med.

Antallet vellykkede cyberoperasjoner mot norske virksomheter har tredoblet seg det siste halvåret. Det betyr ikke at alle virksomheter kommer til å bli angrepet, men at det er viktigere enn før å ha kontroll på egne sårbarheter.

Så hva betyr egentlig det nye risikonivået for din virksomhet? Og hvor bør dere begynne?

Her går vi gjennom hva NSMs vurdering innebærer, og hvilke grep dere kan ta for å redusere risikoen.

Kort oppsummert: Dette bør du vite

• NSM har hevet cyberrisikonivået til HØYT, det nest høyeste av fem nivåer.
• Antallet vellykkede cyberoperasjoner mot norske virksomheter har tredoblet seg det siste halvåret.
• Virksomheter bør gå gjennom risikovurderingene sine på nytt og se om dagens sikkerhetstiltak er gode nok.
• Det er ikke nok å ha sikkerhetstiltak på plass. Dere må også kontrollere at de fungerer.
• Leverandører og underleverandører kan være en vei inn for angripere og bør inngå i risikovurderingen.
• Tydelige ansvarsforhold og en gjennomarbeidet beredskapsplan gjør det lettere å håndtere hendelser når de oppstår.

Hva betyr det at cyberrisikoen er høy?

NSM vurderer cyberrisikoen på en skala fra svært lav til ekstremt høy. Normalt ligger Norge på moderat nivå. Det betyr at norske virksomheter også under normale forhold må regne med forsøk på digitale angrep.

Når nivået nå er hevet til høyt, betyr det at NSM vurderer både sannsynligheten for angrep og de mulige konsekvensene som større enn normalt.

Og utviklingen gir grunn til bekymring.

Det siste halvåret har NSM registrert tre ganger så mange vellykkede cyberoperasjoner mot norske virksomheter som tidligere. Flere av hendelsene har også fått alvorlige konsekvenser.

Risikoen er særlig stor for virksomheter innen forsvar, forsvarsindustri, romfart og samfunnskritisk infrastruktur. Men også leverandører til disse sektorene er attraktive mål.

Angrepene kan komme i mange former. Noen forsøker å kartlegge systemer og finne svakheter, mens andre bruker løsepengevirus, tjenestenektangrep eller andre metoder for å forstyrre driften.

Samtidig gjør kunstig intelligens det mulig å gjennomføre enkelte deler av angrep raskere og i større skala. Selv om NSM ennå ikke har påvist bruk av KI-agenter i cyberangrep i Norge, er potensialet en del av risikovurderingen.

For virksomhetene betyr det at tiden mellom en sårbarhet blir kjent og noen forsøker å utnytte den, kan bli kortere.

Gjelder dette også mindre virksomheter?

Det er lett å tenke at cyberangrep først og fremst rammer store selskaper, offentlige etater og virksomheter som håndterer kritisk infrastruktur.

Men det er ikke nødvendigvis slik.

Angripere går ikke alltid direkte etter virksomheten de ønsker å ramme. Noen ganger er det enklere å komme inn gjennom en mindre leverandør som allerede har tilgang til systemer, tjenester eller informasjon.

Dermed kan også en liten virksomhet bli et interessant mål, selv om den i utgangspunktet ikke har spesielt sensitive opplysninger.

Det er nettopp derfor NSM oppfordrer alle norske virksomheter til å styrke den grunnleggende sikkerheten.

God sikkerhet handler ikke bare om å beskytte egne systemer. Det handler også om å redusere risikoen for kunder, samarbeidspartnere og andre dere er koblet til.

Start med å oppdatere risikovurderingen

Når trusselbildet endrer seg, bør risikovurderingen gjøre det samme.

Kanskje gjennomførte dere en grundig risikovurdering i fjor. Dere kartla mulige hendelser, vurderte sannsynlighet og konsekvens og bestemte hvilke tiltak som skulle prioriteres.

Det var et godt utgangspunkt da. Men er vurderingene fortsatt riktige?

Når NSM nå melder om økt cyberrisiko, kan det være nødvendig å vurdere enkelte hendelser på nytt. Noe dere tidligere anså som lite sannsynlig, kan ha blitt mer aktuelt.

Heldigvis trenger ikke dette å bety at hele risikovurderingen må gjøres om fra bunnen av.

Begynn med noen enkle spørsmål:

1. Hva vil ramme oss hardest? Tenk gjennom hva som skjer dersom viktige systemer blir utilgjengelige, data går tapt eller personopplysninger kommer på avveie.
2. Har sannsynligheten endret seg? Se på om det nye trusselbildet påvirker vurderingene dere tidligere har gjort.
3. Er sikkerhetstiltakene fortsatt gode nok? Kanskje må enkelte tiltak styrkes eller gjennomføres raskere enn planlagt.
4. Har vi fulgt opp det vi allerede har bestemt? Sjekk om det finnes vedtatte tiltak som fortsatt ikke er gjennomført.

Dokumenter endringene underveis. Da blir det enklere å forklare hvilke vurderinger dere har gjort, og følge opp tiltakene i etterkant.

Det viktigste er ikke å lage en omfattende rapport, men å få et oppdatert bilde av risikoen dere faktisk står overfor.

Sikkerhetstiltak hjelper lite hvis de ikke fungerer

Mange virksomheter har allerede innført flere av sikkerhetstiltakene NSM anbefaler.

De har flerfaktorautentisering, sikkerhetskopier, rutiner for oppdateringer og systemer som logger mistenkelig aktivitet.

Men det er én ting å ha tiltakene på plass. Noe annet er å vite at de fungerer når det virkelig gjelder.

Derfor anbefaler NSM at virksomheter tester og kontrollerer sikkerhetstiltakene sine.

Her er fire områder det kan være lurt å begynne med.

1. Flerfaktorautentisering

Flerfaktorautentisering (MFA) gjør det vanskeligere for uvedkommende å få tilgang til kontoer. Men ikke alle løsningene gir like god beskyttelse.

SMS-koder og enkelte autentiseringsapper kan fortsatt utnyttes gjennom phishing. NSM anbefaler derfor phishing-resistente løsninger, som passnøkler eller fysiske sikkerhetsnøkler, særlig for brukere med utvidede tilganger.

2. Sikkerhetskopier

Dere tar kanskje sikkerhetskopier hver dag. Men når testet dere sist at det faktisk er mulig å gjenopprette dataene?

Hvis et system blir låst av løsepengevirus, er det for sent å oppdage at sikkerhetskopiene ikke fungerer.

Gjennomfør derfor en gjenopprettingstest, slik at dere vet hva dere kan stole på.

3. Logging og varsling

Det hjelper lite å samle inn logger hvis ingen følger med på dem.

Sørg for at viktige hendelser blir fanget opp, at riktige personer får beskjed, og at det er klart hvem som skal reagere når noe mistenkelig skjer.

4. Oppdateringer

Utdatert programvare kan gi angripere en enkel vei inn.

Sjekk hvem som har ansvar for oppdateringer, hvilke systemer som er mest kritiske, og hvor raskt dere håndterer kjente sårbarheter.

Dere trenger ikke teste alt på én gang. Velg heller ut tre eller fire viktige tiltak og undersøk hvor godt de fungerer.

Finner dere svakheter, er det verdifull informasjon. Da vet dere hva som bør forbedres før en reell hendelse oppstår.

Ikke glem risikoen hos leverandørene

Hvor god oversikt har dere egentlig over leverandørene deres?

De fleste virksomheter er avhengige av eksterne tjenester. Det kan være alt fra skylagring og IT-drift til lønnssystemer, programvare og teknisk support.

Flere av disse leverandørene har tilgang til virksomhetens systemer eller informasjon. Det gjør dem også relevante for sikkerhetsarbeidet.

NSM trekker frem leverandørkjeden som et område virksomheter bør følge særlig godt med på.

Årsaken er enkel: Hvis en angriper får tilgang til en leverandør, kan det i noen tilfeller åpne døren til flere av leverandørens kunder.

Og risikoen stopper ikke nødvendigvis hos den nærmeste leverandøren. Også underleverandører kan ha tilgang til systemer, data eller tjenester dere er avhengige av.

Derfor bør dere ha oversikt over hvem dere samarbeider med, hva de har tilgang til, og hvilke konsekvenser det kan få hvis noe går galt.

Et godt sted å starte er å:

1. Kartlegge leverandørene. Finn ut hvem som har tilgang til systemer, data eller viktige tjenester.
2. Vurdere risikoen. Se på hvilke opplysninger leverandørene håndterer, hvor omfattende tilgangen er, og hvor avhengige dere er av dem.
3. Stille tydelige krav. Sørg for at avtalene beskriver forventninger til sikkerhet, varsling ved hendelser og oppfølging av underleverandører.
4. Følge opp jevnlig. Prioriter leverandørene som utgjør størst risiko, og kontroller at kravene blir fulgt.

En strukturert leverandørevaluering gjør dette arbeidet enklere.

Med Draftit kan dere samle leverandørvurderinger, risikovurderinger og tilhørende tiltak på ett sted. Det gir bedre oversikt over hvilke leverandører som krever ekstra oppfølging, og hva som fortsatt må gjøres.

Vet alle hva de skal gjøre hvis dere blir angrepet?

Se for deg at en ansatt oppdager mistenkelig aktivitet i et av virksomhetens viktigste systemer.

Hvem skal vedkommende kontakte?

Hvem bestemmer om systemet skal kobles fra nettet? Og hvem har ansvar for å informere kunder eller samarbeidspartnere dersom hendelsen viser seg å være alvorlig?

Når en sikkerhetshendelse oppstår, kan uklare ansvarsforhold føre til at verdifull tid går tapt.

Derfor understreker NSM betydningen av tydelige roller, klart ansvar og gode planer for hendelseshåndtering.

Begynn med å avklare noen sentrale spørsmål:

• Hvem kan beslutte å stenge ned eller isolere systemer, også utenfor vanlig arbeidstid?
• Hvem vurderer om et brudd på personopplysningssikkerheten må meldes til Datatilsynet innen 72 timer?
• Hvem har ansvar for kommunikasjonen med ansatte, kunder og samarbeidspartnere?
• Hvem kontakter leverandører eller eksterne sikkerhetseksperter når det er behov for hjelp?

Svarene bør være dokumentert og kjent for alle som har en rolle i håndteringen.

Men en plan er ikke nødvendigvis god bare fordi den er skrevet ned.

Den bør også testes.

En enkel øvelse der dere går gjennom et realistisk hendelsesforløp, kan avdekke uklare ansvarsforhold og manglende rutiner før dere står i en faktisk krise.

Det trenger ikke være komplisert. Ofte er en times gjennomgang med de riktige personene nok til å finne flere konkrete forbedringspunkter.

Hva bør dere gjøre de neste ukene?

Det kan virke overveldende å skulle forbedre sikkerheten på mange områder samtidig.

Men dere trenger ikke løse alt på én gang. Det viktigste er å begynne med tiltak som gir god effekt, og sørge for at arbeidet blir fulgt opp.

Her er et forslag til hvordan dere kan komme i gang.

Denne uken: Få oversikt

Start med cybersjekk.no, som NSM anbefaler som et utgangspunkt for å vurdere egen sikkerhet. Bruk resultatene til å identifisere områder dere bør se nærmere på.

Neste uke: Oppdater risikovurderingen

Gå gjennom de viktigste risikoene på nytt. Vurder om sannsynlighet eller konsekvens har endret seg, og om noen tiltak bør prioriteres høyere.

I løpet av november: Kontroller sikkerheten

Test noen av de viktigste sikkerhetstiltakene. Gå også gjennom leverandørene dere er mest avhengige av, og sørg for at roller og ansvar ved sikkerhetshendelser er avklart.

Før jul: Øv på en hendelse

Gjennomfør en enkel beredskapsøvelse. Bruk erfaringene til å forbedre planen for hendelseshåndtering.

Det viktigste er at arbeidet ikke stopper etter den første gjennomgangen.

Gi tiltakene tydelige ansvarlige, sett frister og følg opp fremdriften jevnlig.

Her kan Draftit bidra til å gjøre sikkerhetsarbeidet mer oversiktlig. Når risikovurderinger, leverandører, tiltak og frister er samlet på ett sted, blir det enklere å se hva som er gjennomført, hva som gjenstår, og hvem som har ansvar for oppfølgingen.

God sikkerhet krever kontinuerlig oppfølging

NSMs nye risikovurdering er en påminnelse om at trusselbildet kan endre seg raskt.

Det som var et tilstrekkelig sikkerhetsnivå for et år siden, er ikke nødvendigvis godt nok i dag.

Samtidig er det ikke slik at alle virksomheter må starte sikkerhetsarbeidet på nytt. For mange handler det først og fremst om å få bedre oversikt, kontrollere at eksisterende tiltak fungerer, og følge opp svakhetene som blir avdekket.

Begynn med det som er viktigst for deres virksomhet, og bygg videre derfra.

For god cybersikkerhet handler ikke bare om å ha de riktige tiltakene på plass. Det handler om å vite at de fungerer, og å være forberedt når noe uventet skjer.

Ofte stilte spørsmål om høyt cyberrisikonivå

Hva betyr det at NSM har hevet cyberrisikonivået til HØYT?

Det betyr at NSM vurderer sannsynligheten for cyberoperasjoner mot norske virksomheter og de mulige konsekvensene som høyere enn normalt. Høyt er det nest øverste nivået på NSMs skala.

Gjelder dette også virksomheter som ikke jobber med samfunnskritiske tjenester?

Ja. Også mindre virksomheter kan bli rammet av cyberangrep eller bli brukt som inngangsvei til større virksomheter. Derfor anbefaler NSM at alle norske virksomheter styrker den grunnleggende sikkerheten.

Hvor ofte bør vi oppdatere risikovurderingen?

Risikovurderingen bør gjennomgås regelmessig og når det skjer vesentlige endringer i trusselbildet eller virksomheten. En årlig gjennomgang kan være et godt utgangspunkt, men enkelte risikoer kan kreve hyppigere oppfølging.

Hvilke sikkerhetstiltak bør vi prioritere først?

NSM trekker blant annet frem phishing-resistent flerfaktorautentisering, oppdatert programvare, testede sikkerhetskopier, god logging og tydelige rutiner for hendelseshåndtering. Hvilke tiltak dere bør prioritere, avhenger av risikoen i egen virksomhet.