Veileder om digital sikkerhet TEST

• Ressurssterke statlige aktører arbeider for å destabilisere og svekke handleevnen og handlekraften til vestlige nasjoner.
• Ressurssterke statlige aktører arbeider for å samle informasjon om mennesker og teknologi som kan bidra til å utvikle seg til å få en større global anerkjennelse.
• Kriminelle er godt organisert, besitter høy kompetanse og driver «business» med god lønnsomhet ved å gå målrettet etter virksomheter med mangelfull sikkerhet.
• Særlig er det digitale trusselbildet i stadig utvikling. Sikring av IKT- og OT-systemer blir stadig mer krevende og stiller økte krav til kompetanse. Det er flere årsaker til dette, blant annet følgende:
• Digitalisering av samfunnet øker. IKT- og OT-systemer blir stadig mer komplekse og sammenvevde, med til dels uoversiktlige leverandørkjeder og avhengigheter til annen infrastruktur som også går igjennom tilsvarende utvikling.
• Trusselaktørenes «verktøykasse» utvikler seg. Angrepsmetoder og verktøy blir mer avanserte, rimeligere og lettere tilgjengelig. I tillegg kommer en rivende utvikling av «nye» angrepsvektorer som Deep Fakes, kunstig intelligens (KI) og maskinlæring.

Virksomheter innen samfunnskritiske funksjoner – som blant annet samferdsel (jernbanevirksomheter), kraft, telekom, bank og finans og petroleumssektoren – er attraktive mål for å hente informasjon. Dette gjelder særlig etterretningsaktører, men også kriminelle aktører på jakt etter økonomisk vinning gjennom for eksempel manipulasjon av kurser og aksjer, eller industrispionasje.

Dette betyr at alle ansatte hele tiden må være oppmerksomme og arbeide bevisst for å ivareta sikkerheten i virksomheten.

Travle hverdager for folk flest kan være med å påvirke bevissthetsnivået til den enkelte av oss. Dette kan føre til at uønskede handlinger oppstår etter en ubevisst handling. Eller det kan være naturpåvirkninger som fører til skade på infrastruktur (kabler, tekniske hus, etc.).

§ 4-4. Tilpasning av sikkerhetsstyringssystemet

1. Sikkerhetsstyringssystemet skal være tilpasset arten og omfanget av driften, samt andre forhold ved den aktuelle virksomheten. Det skal sikre kontroll med alle risikoer knyttet til jernbanevirksomheten, inkludertlevering av vedlikeholdstjenester og materiell, samt bruk av underleverandører. Levering av vedlikeholdstjenester gjelder med forbehold om kapittel 8.

1.1. Organisasjonen skal

b) identifisere alvorlige sikkerhetsrisikoer som er forbundet med jernbanedriften, enten den utøves av organisasjonen selv eller av kontraktører, partnere eller leverandører som er underlagt dens kontroll

3.1.1.1. Organisasjonen skal

a) identifisere og analysere alle driftsmessige, organisatoriske og tekniske risikoer som er relevante for arten og omfanget av driften som organisasjonen utfører.

§ 3-3. Beskyttelse av informasjon

Jernbanevirksomheten skal identifisere alle typer informasjon som kan utnyttes til tilsiktede uønskede handlinger.

Jernbanevirksomheten skal sikre at informasjonen

1. ikke blir kjent for uvedkommende (konfidensialitet)
2. ikke uautorisert endres eller går tapt (integritet)
3. er tilgjengelig for den som trenger den i tjenesten (tilgjengelighet).

§ 3-4. Informasjons- og kommunikasjonssystemer

Jernbanevirksomheten skal identifisere informasjonssystemer og kommunikasjonssystemer som kan utnyttes til tilsiktede uønskede handlinger og gjennomføre egnede tiltak for å sikre systemene.

§ 3-5. Taushetsplikt

Alle som får eller har hatt tilgang til informasjon som skal beskyttes etter § 3-3, har taushetsplikt.

Informasjon som skal beskyttes etter § 3-3 kan likevel gis til andre når det er nødvendig for driften eller for samarbeid og samordning av tiltak for å sikre trygg drift. Den som gir informasjonen, skal samtidig gjøreoppmerksom på taushetsplikten.

Kapittel 5. Ressursstyring

§ 5-1.Kompetansekrav

Jernbanevirksomheten skal ha kompetansekrav som angir nødvendig minimumskompetanse for utførelse av alle oppgaver og funksjoner av betydning for jernbanevirksomhetens arbeid med sikkerheten. Jernbanevirksomheten skal videre sørge for at kompetansekrav for oppgaver som utføres av leverandører sikrer den kompetanse som jernbanevirksomheten anser som nødvendig.

§ 5-2.Kompetanse

Jernbanevirksomheten skal ha tilgjengelig den kompetanse som er nødvendig for at virksomheten skal drives innenfor akseptabel risiko.

Dersom oppgavene av sikkerhetsmessig betydning utføres av leverandør skal jernbanevirksomheten ha nødvendig kompetanse blant annet til å kunne spesifisere krav til leveranser, følge opp leverandøren og ta stilling til leveransen.

Egne ansatte og ansatte hos leverandører, som utfører oppgaver av betydning for jernbanevirksomhetens arbeid med sikkerhet, skal ha tilstrekkelig kompetanse i forhold til oppgavene.

§ 5-3.Opplæring

Jernbanevirksomheten skal ha opplæringsprogrammer for egne ansatte, samt krav og systemer som sikrer at deres kompetanse opprettholdes slik at arbeid av betydning for sikkerheten kan utføres på en tilfredsstillende måte.

Jernbanevirksomheten skal stille krav til at leverandører har systemer for å sikre at deres ansattes kompetanse opprettholdes i forhold til arbeid av betydning for sikkerheten som vedkommende skal utføre.

§ 5-4.Sikkerhetsmessig tilrettelegging av arbeidsmiljøet

Jernbanevirksomheten skal tilrettelegge arbeidsmiljøet for mestring av arbeidsoppgaver av betydning for sikkerheten.

E24, 19. februar 2024:

Flere utro tjenere avslørt i DNB

DNB har avslørt ansatte som stjeler kundelister, lekker interninformasjon og har forsøkt å manipulere datasystemene i oppsigelsestiden.
Banken har vært vitne til flere straffesaker som handler om korrupsjon, bedrageri og tilrettelegging for kriminell aktivitet, ikke bare blant kunder og eksterne aktører, men også hos bankens egne ansatte.
DNB følger i større grad med på trusler på innsiden av selskapet enn tidligere, skriver Dagens Næringsliv.

– Vi tenker ikke lenger bare på en ekstern hacker. Vi tenker også på en som kan være betrodd, og har lov å logge inn på systemet. Det er en ny måte å tenke på, sier DNBs sikkerhetsdirektør til DN.

Han sier DNB jevnlig observerer innsideaktivitet, særlig informasjonstyveri i oppsigelsesperioden til ansatte på vei inn i ny jobb, og storbanken opplyser at har valgt å anmelde flere av sakene til politiet. DNB følger i større grad med på trusler på innsiden av selskapet enn tidligere, skriver Dagens Næringsliv.

• Den har en risikobasert tilnærming til uønskede digitale hendelser, og bruker anerkjente rammeverk, standarder og styringssystemer for digital sikkerhet.
  • Inkluder digital sikkerhet i virksomhetens risikostyring.
• Styringssystemet, som omfatter digital sikkerhet, understøtter virksomhetenes hovedfunksjon, og bidrar til at sikkerhetshendelser i virksomheten ikke medfører alvorlig skade hos seg selv eller andre med å bygge robusthet og redundans i de digitale tjenestene, slik at de til enhver tid er sikre og pålitelige.
  • Etabler tilstrekkelig systematikk for styring av sikkerhet og sikring, og sørg for at en fagperson innen IKT støtter ledelsen i arbeidet.
  • Etabler tydelig ansvar i virksomheten, og effektive rapporteringslinjer til toppledelse og styre.
  • Lag en oversikt over virksomhetens sentrale mål, hvilke verdier og verdikjeder som inngår, hvor viktige data og informasjon lagres og hvem som har tilgang til disse dataene og informasjonen.
• Informasjon om trusler, sårbarheter, hendelser og effektive tiltak deles med relevante myndigheter og andre jernbanevirksomheter for å øke robusthet mot uønskede digitale hendelser.
• Den følger råd, anbefalinger og veiledninger om digital sikkerhet fra relevante myndigheter eller andre aktører for å øke eget kunnskapsgrunnlag for sikkerhetsarbeid.
• Den har god digital dømmekraft og god sikkerhetskultur.
  • Kartlegg virksomhetens sikkerhetskultur innen IKT og identifiser hva som kan forbedres.
  • Fastsett ønsket kultur og gjennomfør tilpasset, årlige treningsprogram for å fremme god sikkerhetskultur.
• Den eier digital infrastruktur og gjennomfører risikovurderinger for å identifisere sårbarheter og gjensidige avhengigheter mellom infrastrukturer for å sikre en helhetlig sikring av digitale verdikjeder.
• Den eier digital infrastruktur og gjennomfører tiltak som sørger for forsvarlig sikkerhet i disse.
  • Benytt barrieretankegangen innen digital sikkerhet og enkeltfeilprinsippet: Om en ansatt skulle klare å klikke på en skadelig lenke, bør etablerte tiltak hindre videre skade.
    «Ett hull i båten bør ikke kunne senke den, enten om hullet er tilsiktet eller utilsiktet. Videre bør man ha flere mindre båter på vannet i stedet for en stor slik at om en båt får skader så blir ikke de andre berørt, jamfør oppdeling (segmentering) av nettverket i jernbanevirksomheten og ha kontroll på alle ledd mellom segmentene.»
    Oppdelingen bør også gjelde om bord i jernbanekjøretøy ved at publikumsnett, tekniske nett og nett med sikkerhetsfunksjoner er adskilt fra hverandre.
  • Oppgrader program- og maskinvare, fjern unødvendig kompleksitet og ubrukt funksjonalitet.
  • Blokker kjøring av ikke-autoriserte programmer.
  • Installer sikkerhetsoppdateringer så raskt som mulig.
  • Beskytt trådløse nettverk med sterke sikkerhetsmekanismer.
  • Planlegg og dokumenter endringer.
  • Slå på logging og gjennomgå viktige logger jevnlig.
  • Bruk kun siste versjon av nettlesere.
  • Beskytt e-post med DMARC (Domain-based Message Authentication, Reporting and Conformance).
  • Krypter viktig informasjon når den lagres på bærbare medier og når den sendes over nettet.
  • Endre standard passord og ikke tildel sluttbrukere administratorrettigheter.
  • Bruk multifaktorautentisering, eller, som et minimum, sterke passord.
• Den gjennomfører egne og deltar i andres beredskapsøvelser knyttet til digital infrastruktur, som kan være i regi av myndigheter, samarbeidspartnere, eller jernbanevirksomheter.
  • Etabler en beredskapsplan for ulike typer hendelser og gjennomfør øvelser som tester planverket.

• Jernbanevirksomheten bør ha egne spesialister innenfor digital sikkerhet som dekker behovet og ivaretar hensynet til digital sikkerhet i jernbanevirksomheten.
  • Om jernbanevirksomheten ikke har egne spesialister, må den sikre seg god kompetanse og kunnskap ved bruk av leverandører eller andre samarbeidspartnere.
  • Ha god bestillerkompetanse og gjør en risikovurdering som forankres hos ledelsen.
• Digital sikkerhetskompetanse må være tilstrekkelig inkludert i interne operative og administrative prosesser.
• Jernbanevirksomhetens ansatte bør ha grunnleggende digital kompetanse, inkludert digitale ferdigheter i og kunnskap om trygg bruk.
• Jernbanevirksomhetens ansatte har kunnskap og ferdigheter som gir dem god digital dømmekraft og som bidrar til å beskytte jernbanevirksomhetens verdier og sitt eget personvern.

• Ta ansvar for å hindre og håndtere digitale angrep i egen virksomhet, og for å dele informasjon om disse med relevante myndigheter og andre jernbanevirksomheter.
• Videreutvikle eget styringssystem og rammeverk som definerer roller, ansvar og organisering for håndtering av (alvorlige) digitale angrep.
• Sikre kapasitet til å bistå og koordinere håndtering av digitale angrep gjennom avtale med leverandør eller samarbeidspartner.
• Legge til rette for informasjonsdeling og erfaringsoverføring med leverandør/samarbeidspartner og Samarbeidsforum for sikring og nasjonal beredskap for å hindre og håndtere (alvorlige) digitale angrep.
• Sikre sin evne til å forebygge, ved å legge til rette tiltak for å kunne avdekke, varsle, håndtere og normalisere (alvorlige) digitale angrep alene eller i samarbeid med andre relevante aktører.
• Legge til rette for at det gjennomføres øvelser i egen organisasjon og delta i øvelser i regi av andre aktører.