Utdrag fra NOU 2015: 13 Digital sårbarhet – sikkert samfunn — Beskytte enkeltmennesker og samfunn i en digitalisert verden

30/11/2015 Utredning fra et utvalg oppnevnt ved kongelig resolusjon 20. juni 2014. Avgitt til Justis- og beredskapsdepartementet 30. november 2015.

Utvalget har kartlagt samfunnets digitale sårbarhet og foreslått tiltak for å styrke beredskapen og redusere den digitale sårbarheten i samfunnet. Norge ligger i verdenstoppen når det gjelder bruk av IKT, og digitaliseringen har ført til gjennomgripende samfunnsmessige endringer. Dette gjør norsk næringsliv mer konkurransedyktig, og øker samfunnets totale produktivitet og innovasjonsevne. En videreføring av denne situasjonen forutsetter at samfunnet har tillit til at teknologien er trygg å ta i bruk og at personvernet blir ivaretatt. De store teknologiske endringene har også gitt oss nye sårbarhetsutfordringer. En spesielt viktig observasjon er at kritiske samfunnsfunksjoner er blitt avhengige av lange og uoversiktlige digitale verdikjeder, som gjerne spenner over mange sektorer og flere land. Slike sammensatte, sektorovergripende verdikjeder finner vi i alle de kritiske samfunnsfunksjonene denne rapporten omhandler. Dette har betydning for hvordan vi bør forholde oss til både tilsiktede og utilsiktede hendelser. Utredningen gjennomgår digitale sårbarheter innenfor samfunnsfunksjonene elektronisk kommunikasjon, satellittbaserte tjenester, energiforsyning, olje og gass, vannforsyning, finansielle tjenester, helse og omsorg, transport, kompetanse, fellesfunksjoner, styring og kriseledelse og avdekke og håndtere digitale angrep.

Les dokumentet:

Utdrag fra rapporten:

Del 1
Innledning

1 Sammendrag

De siste tiårene har digitaliseringen ført til gjennomgripende samfunnsmessige endringer. Den har effektivisert arbeidshverdagen for de fleste av oss, slik at det samme arbeidet nå kan utføres av langt færre hender. Den har forandret måten vi styrer prosesser på, slik at komplekse operasjoner og infrastrukturer nå kan kontrolleres fra ett eller noen få sentrale steder. Den har gitt befolkningen en lang rekke nye tjenester, som kontantløs handel og finansielle tjenester på mobil, elektronisk samhandling med det offentlige og sanntids trafikkinformasjon som lar oss finne den mest hensiktsmessige reiseveien mellom to steder. Videre har den revolusjonert måten vi kommuniserer på, ved at mobiltelefoner, sosiale medier og samarbeidsstøtteverktøy er blitt dagligdags. Norge ligger i verdenstoppen når det gjelder bruk av IKT. Dette gjør norsk næringsliv mer konkurransedyktig, og øker samfunnets totale produktivitet og innovasjonsevne. En videreføring av denne situasjonen forutsetter at samfunnet har tillit til at teknologien er trygg å ta i bruk.

De store teknologiske endringene gir oss noen utfordringer. Vi ser at sentrale tjenester for samfunnet, som for eksempel betaling og telefoni, utfordres av internasjonale aktører som leverer tjenester i Norge uten at norske myndigheter har rettslig kontrollmulighet over dem. Dessuten er vår evne til å holde informasjon konfidensiell utfordret, og dermed også personvernet. I tillegg utsettes mange virksomheter for reelle trusler knyttet til at det utstyret de bruker kan angripes, og som et resultat bli delvis styrt av uvedkommende. Det foreligger således et betydelig teknologisk press som kan utfordre sentrale samfunnsverdier.

En spesielt viktig observasjon er at kritiske samfunnsfunksjoner er blitt avhengige av lange og uoversiktlige digitale verdikjeder, som gjerne spenner over mange sektorer og flere land. Slik vil sårbarheten til for eksempel en betalingstjeneste på mobil avgjøres av lovhjemler og tilsynsregimer i kraftsektoren, i ekomsektoren, i finanssektoren og innenfor næringsregulering. En underleverandør som har utkontraktert sentrale deler av virksomheten til et annet land, vil kunne arve sårbarheter fra de tilsvarende sektorene i vedkommende land.

Slike sammensatte, sektorovergripende verdikjeder finner vi i alle de kritiske samfunnsfunksjonene denne rapporten omhandler. Dette har betydning for hvordan vi bør forholde oss til både tilsiktede og utilsiktede hendelser. Konsekvensene av en digital hendelse kan ligge i en annen sektor enn hendelsen selv, og vissheten om at en angriper ikke forholder seg til sektorgrensene utfordrer vår evne til å håndtere skarpe situasjoner på en effektiv og hensiktsmessig måte.

En effekt av den digitale utviklingen er en kraftig endring i samfunnets risiko- og sårbarhetsbilde. Vi opplever nye trusler, som for eksempel at maskiner og infrastruktur i Norge kan angripes av anonyme aktører som befinner seg i andre land. Vi har fått nye sårbarheter å forholde oss til, som at programmeringsfeil i én komponent kan få effekter som slår ut store deler av mobilnettet. Samfunnsfunksjonene våre er – gjennom digitale verdikjeder – utsatt for hendelser på nye og tidligere ukjente måter. For eksempel kan svikt i telekommunikasjonsnettene føre til at veitunneler må stenges og at leger ikke får tilgang til pasientjournaler.

På samme måte som digitaliseringen har endret sårbarhetsbildet i samfunnet, vil måten vi håndterer disse sårbarhetene på, ha betydning for hvilket samfunn vi skaper for fremtiden. I et overordnet samfunnsperspektiv vil en forsvarlig ivaretakelse av sårbarhetsutfordringene være avgjørende for å opprettholde rettsstatens og demokratiets grunnleggende verdier. På samme tid kan nettopp disse samme verdiene komme under press i møte med andre og utfordrende digitale muligheter, for eksempel overvåking av enkeltindividet eller av befolkningen som sådan.

Norge regnes som et av de mest digitaliserte landene i verden. Dette har gitt oss store effektiviserings- og moderniseringsgevinster, men det har også ført til at vi er et av de landene der endringen i risiko- og sårbarhetsbildet har kommet lengst. En av utfordringene ved å ha kommet så langt, er at det ofte mangler tydelige eksempler fra andre land å se hen til. Denne endringen krever at vi som samfunn videreutvikler og endrer måten vi forholder oss til sårbarheter på. Likevel er det klart at mange av de utfordringene vi nå står overfor, bare kan løses i en internasjonal kontekst. For et lite land som Norge vil det være svært viktig å delta aktivt på de internasjonale arenaene der relevante problemer diskuteres.

I denne utredningen gir vi en fremstilling av hvilke grep vi mener det norske samfunnet bør ta. Under følger de viktigste anbefalingene våre.

  • Redusere kritikaliteten av Telenors kjerneinfrastruktur. Telenors kjerneinfrastruktur inngår som en komponent i nær sagt alle digitale verdikjeder. Et utfall i denne får derfor alvorlige og samtidige konsekvenser på de aller fleste samfunnsområder, og for alle de kritiske samfunnsfunksjonene som er omtalt i denne rapporten. Telenors kjerneinfrastruktur er godt utbygd, den er profesjonelt operert, og den har historisk sett meget høy stabilitet. Likevel vil den kunne settes ut av spill ved menneskelige feil, rutinesvikt, sabotasje, terror eller utro tjenere. Det er utvalgets syn at den totale summen av samfunnsverdier dette nettet bærer, er uakseptabelt høy. Utvalget vil derfor anbefale at det arbeides mot et målbilde der minst én tilleggsaktør har et landsdekkende kjernenett som er på samme nivå som Telenors med hensyn til dekning, kapasitet, fremføringsdiversitet, redundans og uavhengighet.

  • Sikre balansen mellom personvern og et sikrere samfunn gjennom utredninger og offentlig debatt. Utvalget har merket seg at hensynet til samfunnets sikkerhet fører med seg forslag om innføring av nye og inngripende overvåkingsmetoder. Eksempler på dette er forslag om innføring av digital grenseovervåking og PSTs ønsker om å registrere ytringer på sosiale medier og analysere informasjon fra åpne kanaler. Utvalget erkjenner det etterretningsfaglige og politifaglige behovet som ligger bak slike forslag, men mener at forslagene er av en så inngripende natur at de ikke bør innføres uten en forutgående offentlig debatt. En slik debatt bør forberedes gjennom en offentlig utredning som diskuterer denne typen virkemidler i sin fulle bredde. Hensyn til etterretningsbehov, teknologisk kompetanse og personvern må ivaretas, og det må sikres en grundig redegjørelse for de teknologiske, rettslige og samfunnsmessige spørsmålene sakene reiser.

  • Bruk av kryptografi bør ikke reguleres. Det foregår en debatt internasjonalt om hvorvidt bruken av sterk kryptografi bør reguleres. Det er svært vanskelig – kanskje umulig – å lage systemer som samtidig ivaretar legitime behov for beskyttelse og et legitimt behov for avlytting. Det er rimelig å tro at begrensninger på lovlig bruk av kryptografi vil ramme norske borgere, virksomheter og myndigheter. Slike begrensninger vil imidlertid ikke i vesentlig grad hindre uærlige aktørers bruk av kryptografi og dermed heller ikke løse politiets og etterretningstjenestenes problem. Det er derfor utvalgets oppfatning at bruk av kryptografi ikke bør reguleres eller forbys i Norge, at norske myndigheter bør arbeide aktivt mot regulering eller forbud internasjonalt, og at det må utvikles nye etterforskningsmetoder for å sikre et effektivt politi- og etterretningsarbeid.

  • Styrke Justis- og beredskapsdepartementets tverrsektorielle virkemidler på IKT-sikkerhetsområdet. Ingen sektor kan kontrollere sin egen digitale sårbarhet alene. Verdikjedene gjør at alle arver sårbarheter fra andre sektorer, og angripere forholder seg ikke til sektorgrensene. Samtidig observerer utvalget at sektorene tidvis har vansker med å enes om en gjennomføring av sektorovergripende tiltak. Utvalget er enig i at de ulike sektorene i mange tilfeller er svært forskjellige og kan ha behov for spesifikke tilpasninger. Dette står imidlertid ikke i motsetning til sektorovergripende løsninger dersom disse angir en nedre grense, slik at sektorene står fritt til å definere strengere krav. Utvalget vurderer det slik at utvikling av sektorovergripende mekanismer vil være nødvendig over tid, og at et effektivt sektorovergripende virkemiddelapparat vil være nødvendig for å håndtere samfunnets IKT-sårbarheter. Justis- og beredskapsdepartementet bør derfor settes bedre i stand til å gjennomføre sektorovergripende tiltak.

  • Etablere et helhetlig rammeverk for digital hendelseshåndtering. Utvalget har merket seg at offentlige og private virksomheter som blir utsatt for alvorlige dataangrep, opplever usikkerhet og utilstrekkelig koordinering mellom myndighetsaktører som har ansvar for å bekjempe digitale angrep. Utvalget mener derfor at Justis- og beredskapsdepartementet må ta initiativ til å etablere et helhetlig rammeverk for å avklare og tydeliggjøre innsatsen mellom relevante aktører innen hendelseshåndtering og straffeforfølgning. Rammeverket bør etableres og øves i tett samarbeid med Forsvarsdepartementet.

  • Styrke politiets evne til å bekjempe IKT-kriminalitet. Utvalget observerer at det blant virksomheter og hos enkeltindivider er lave forventninger til hvilken bistand politiet kan gi når man blir utsatt for IKT-kriminalitet. Dette fører blant annet til at IKT-kriminalitet i liten grad blir anmeldt. Utvalget vil derfor støtte forslaget til opprettelsen av et nytt nasjonalt senter for å forebygge og etterforske kompleks og grenseoverskridende IKT-kriminalitet. Senteret bør organiseres under Kripos, og det bør ha et nasjonalt fagansvar for forebygging og etterforskning av alvorlig og kompleks IKT-kriminalitet. Videre bør det ha en særskilt bistandsfunksjon for å støtte politidistriktene både polititaktisk og påtalefaglig.

  • Tydeliggjøre et myndighetsansvar for norsk romvirksomhet. De fleste samfunnsområder er gjennom digitale verdikjeder mer eller mindre avhengige av digitale satellittbaserte tjenester. Disse tjenestene kan være posisjon, navigasjon, presis tidsangivelse, kommunikasjon, jordobservasjon med mer. Myndighetsbildet knyttet til området er komplekst. Regulering av romvirksomheten er hjemlet i mange ulike lover og forskrifter, og ansvaret for oppfølging av romsektoren er desentralisert. Behovet for tydeliggjøring av myndighetsansvaret for norsk romvirksomhet omhandler å øke bevisstheten rundt de ulike samfunnsområdenes sårbarheter, identifisere avhengigheter og stille krav til og føre tilsyn med romvirksomheten.

  • Styrke IKT-sikkerhetskompetansen i flere sektortilsyn. Utvalget ser en økende digitaliseringstakt innenfor de fleste sektorer, og tilsynsmyndighetene vil møte mange mer eller mindre nye og komplekse problemstillinger. Det vil derfor i økende grad være behov for å styrke IKT-sikkerhetskompetansen innenfor flere sektortilsyn. På kort sikt vil det være viktig med felles ressurser, slik at ulike sektortilsyn kan tilføres kompetanse fra for eksempel Nasjonal sikkerhetsmyndighet i enkelttilfeller. På lengre sikt tilsier teknologiutviklingen at sektorer og tilsynsvirksomheter må etablere en egen IKT-sikkerhetskompetanse. Mange av problemstillingene knyttet til IKT-sikkerhet vil være felles for de fleste sektorer, og det vil være hensiktsmessig å etablere fellesarenaer for erfaringsutveksling og dialog mellom sektortilsyn og tverrsektorielle tilsyn. I forbindelse med at det stilles krav til IKT-sikkerhet, bør funksjonsbasert regelverk og tilsyn vurderes – dette for å kunne følge med på raske teknologiske endringer og legge til rette for sikkerhetstiltak som er tilpasset den enkelte virksomhet.

  • Etablere en overordnet nasjonal kompetansestrategi innen IKT-sikkerhet. Utvalget har sett at det eksisterer en utfordrende kompetansesituasjon innen IKT-sikkerhet på de fleste nivåer i samfunnet. Læreplanene for grunnskolen og den videregående skolen har målformuleringer knyttet til temaet, men det er uklart om det reelle læringsutbyttet dekker den kunnskapen om IKT-sikkerhet som hver enkelt av oss må ha for å kunne håndtere en digitalisert hverdag på en trygg måte. Utvalget mener at en overordnet strategi bør ha et mål om at et minimum av IKT-sikkerhet må inngå i alle IKT-bachelorgrader. Det må etableres en kapasitet på mastergradsutdanning i IKT-sikkerhet som står i forhold til det kompetansebehovet som finnes i offentlig og privat sektor, og det bør utvikles en langsiktig plan for oppbygging og vedlikehold av norsk forskningskapasitet på området.

I tillegg til forslagene til tiltak vi har fremhevet her, fremmer vi forslag om tiltak innenfor hvert av temaene elektronisk kommunikasjon, satellittbaserte tjenester, energiforsyning, olje og gass, vannforsyning, finansielle tjenester, helse og omsorg, transport, kompetanse, styring og kriseledelse, avdekking og håndtering av digitale angrep, felleskomponenter og tverrsektorielle problemstillinger. Hvert av disse temaene er behandlet i de separate kapitlene 11–23.

[...]

Boks 5.1 Slik stopper du 90 prosent av alle angrep1

  1. Oppgrader program- og maskinvare.

  2. Vær rask med installasjon av sikkerhetsoppdateringer, gjør det automatisk hvis mulig.

  3. Ikke tildel sluttbrukere administratorrettigheter.

  4. Blokker kjøring av ikke-autoriserte programmer.

1 Nasjonal sikkerhetsmyndighet (2014): Fire effektive tiltak mot dataangrep.

[...]

Kryptografi. Det typiske kryptografiske problemet er to personer som ønsker å snakke sammen, men som også ønsker å beskytte seg mot avlytting. Tradisjonelt har kryptografi vært forbeholdt diplomatiet og militæret, men i løpet av de siste 50 årene har kryptografi blitt tatt i bruk av alle.

I klassisk bruk av kryptografi utveksler man først en hemmelig nøkkel. For å beskytte informasjonen man vil sende, brukes nøkkelen til å kryptere informasjonen. Resultatet er en chiffertekst som man sender til mottakeren. Mottakeren bruker nøkkelen til å dekryptere chifferteksten og kan så lese informasjonen. Uten nøkkelen er det i praksis umulig å trenge gjennom krypteringen for å lese den beskyttede informasjonen. Denne formen for kryptografi kalles ofte symmetrisk kryptografi, der ordet symmetrisk henspeiler på at det er symmetri i hvilke hemmelige nøkler man kjenner.

Det finnes nå en annen form for kryptografi, der de som skal kommunisere, ikke lenger trenger å forhåndsutveksle hemmelig informasjon. I stedet trenger man bare en sikker måte å utveksle offentlig kjent informasjon på. Dette kalles asymmetrisk kryptografi, siden de som skal kommunisere, ikke lenger kjenner de samme hemmelige nøklene.

Det mest kjente eksempelet på asymmetrisk kryptografi er såkalt offentlig-nøkkel-kryptering, der hver kommunikasjonspart har et såkalt nøkkelpar bestående av en offentlig krypteringsnøkkel og en hemmelig dekrypteringsnøkkel. Krypteringsnøkkelen er offentlig kjent og kan brukes av enhver til å kryptere informasjon som skal sendes til eieren av nøkkelparet. Dekrypteringsnøkkelen er hemmelig – uten den er det i praksis umulig å trenge gjennom krypteringen for å lese den beskyttede informasjonen.

Et annet eksempel på asymmetrisk kryptografi er digitale signaturer. Også her har hver kommunikasjonspart et nøkkelpar, som består av en hemmelig signeringsnøkkel og en offentlig verifiseringsnøkkel. Nå kan eieren av nøkkelparet bruke signeringsnøkkelen til å signere informasjon. Alle kan bruke verifiseringsnøkkelen til å sjekke at informasjonen kom fra eieren av nøkkelparet og ikke er endret etter signering. Uten signeringsnøkkelen er det i praksis umulig å endre eller forfalske signert informasjon.

Det er ikke slik at man bruker enten asymmetrisk eller symmetrisk kryptografi. Nesten alle moderne systemer bruker en blanding av asymmetrisk og symmetrisk kryptografi.

Det er viktig å merke seg at vi ved hjelp av asymmetrisk kryptografi ikke lenger trenger å utveksle hemmelige nøkler. Men offentlige nøkler må fortsatt utveksles. Infrastrukturen for å utveksle offentlige nøkler kalles ofte for «public key infrastructure» (PKI).31

En vanlig måte å lage en PKI på er ved hjelp av såkalte sertifikater. Et sertifikat består av et navn, en offentlig nøkkel og en digital signatur på navnet og nøkkelen. Den digitale signaturen er laget av en tiltrodd tredjepart, en såkalt sertifikatutsteder, og hele sertifikatet tolkes som at sertifikatutstederen går god for at det er den navngitte personen eller virksomheten som eier den offentlige nøkkelen.

Når en person kontakter Altinn for å sende inn selvangivelsen, begynner «samtalen» med at Altinn sender sitt sertifikat til personen. Hvis personen stoler på den som har utstedt sertifikatet, kan hun sjekke at signaturen i sertifikatet stemmer, og slik være sikker på at hun har fått Altinns offentlige nøkkel.

En utfordring ved denne modellen er at hemmelige nøkler iblant kompromitteres og ikke lenger kan brukes. Da må det tilhørende sertifikatet heller ikke brukes lenger. En vanlig løsning er at brukerne laster ned lister over tilbakekalte sertifikater32 med jevne mellomrom og sjekker at sertifikatene ikke er tilbakekalt. En annen løsning er å spørre sertifikatutstederen direkte om sertifikatet fortsatt er gyldig.33 Merk at disse løsningene har forskjellig personvernvirkning, siden direkte verifikasjon gir utstederen innsyn i bruken av de utstedte sertifikatene.

En annen utfordring er at det kan være svært mange sertifikatutstedere. Om man ikke stoler på en sertifikatutsteder, har man heller ingen grunn til å stole på sertifikatene vedkommende utsteder. Et godt eksempel på hvor komplisert dette kan bli, er den såkalte Internett-PKI-en som brukes på offentlige nettsteder i dag. Hver nettleser har en lang liste med sertifikatutstedere, men det er ingen god måte for brukeren å finne ut hvem disse sertifikatutstederne er eller hvorfor brukeren bør stole på dem.

Denne formen for kryptografi er i dag et modent fagfelt, selv om praksisen fortsatt ligger noe etter den teoretiske kunnskapen. Merk at kryptografi i dag er et mye bredere fagfelt enn bare kommunikasjonssikkerhet.

Selv om kryptografi er nødvendig for å beskytte digitale systemer, finnes det en lang rekke angrep som kryptografi ikke beskytter mot. Å si at noe er kryptert, er ikke det samme som at det er sikkert. Se eksempel i boks 5.2.

Boks 5.2 Eksempel på et elektronisk valgsystem

Når en angriper har overtatt styringen av et system, heter det at det er kompromittert. Svært mange digitale systemer er sårbare overfor kompromittering av sentrale deler. For eksempel er mange registre bygd opp rundt essensielt sett én lagringsenhet som inneholder registerets informasjon. Dersom denne lagringsenheten kompromitteres, kan informasjonen bli endret uten at noen nødvendigvis legger merke til det. Dersom man får mistanke om at en feilaktig endring har skjedd, kan man ofte få bekreftet det ved å analysere gamle arkivkopier eller andre kopier av databasen. Problemet er at det digitale systemet ikke er i stand til å oppdage den feilaktige endringen.

For noen systemer lar det seg gjøre å bygge distribuerte systemer som tåler at én eller flere av delene blir kompromittert uten at evnen til å oppdage angrep blir redusert. Et eksempel er Internett-valgsystemet som ble prøvd ut i Norge ved valgene i 2011 og 2013.

I 2011 og 2013 kunne velgerne i utvalgte distrikter forhåndsstemme hjemmefra via Internett. De brukte datamaskinen sin til å logge seg på et nettsted, gjorde klar en elektronisk stemmeseddel, krypterte den og sendte den inn til valginfrastrukturen. Etter å ha stemt fikk velgerne en SMS-melding på telefonen som de kunne bruke til å sjekke at stemmen hadde blitt korrekt registrert. Valgsystemet var delt opp i fem deler – velgerens datamaskin pluss en firedelt infrastruktur. Hver del av infrastrukturen var drevet av forskjellige organisasjoner.

Om velgerens datamaskin var kompromittert og endret stemmen før den ble sendt inn, kunne velgeren bruke SMS-meldingen til å oppdage dette. Om én av de fire infrastrukturdelene skulle bli kompromittert, ville de tre andre delene sammen oppdage ethvert forsøk på å endre valgresultatet.

Det er verdt å merke seg tre ting ved Internett-valget. I 2013 gjorde en programmeringsfeil at krypteringen sviktet og ikke lenger skjulte stemmene. Ytterligere lag med sikkerhet sørget for at stemmene likevel forble hemmelige. Senere brukertester har vist at få velgere ville være i stand til å bruke SMS-meldingen riktig, så nesten ingen ville ha oppdaget om stemmen ble endret før innsending. I praksis ville man derfor ikke kunne oppdage angrep i liten skala.

Det teknologiske landskapet har endret seg. For eksempel er det viktig for sikkerheten i systemet at SMS-meldingen går til en telefon og ikke til velgerens datamaskin. Men dette gjelder ikke nødvendigvis lenger, da mange moderne telefoner kan videresende SMS-meldinger til velgerens datamaskin.

5.4.3 Overvåking

Forebyggende sikkerhet kan ikke forhindre alle uønskede hendelser. Vi er derfor avhengige av å kunne oppdage og håndtere hendelser. En metode er å plassere sensorer i nettverket for å inspisere datatrafikken inn og ut av virksomheter. De benytter hovedsakelig svartelisting, på lik linje med antivirus. Varslingssystem for digital infrastruktur (VDI) fra NSM NorCERT er et eksempel på et slikt system. Disse teknologiene kan både være passive og aktive. De aktive forsøker også å stoppe angrepet, da ofte i kombinasjon med brannmurfunksjonalitet. En stor utfordring for alle systemer som overvåker nettverkstrafikk, er bruk av kryptering som hindrer dem i å inspisere innholdet. Dette er et økende problem. Samtidig ser vi løsninger som gjør det mulig for slike overvåkingsenheter å ta del i nøkkelinformasjon, slik at de blir i stand til å inspisere på innsiden av den kryptografiske beskyttelsen. Det forskes på løsninger som oppdager unormale hendelser, såkalt anomali, men de har som oftest et altfor høyt nivå av falske alarmer til at de er praktiske i dag.

En annen strategi er å opprette såkalte lokkeduer («honeypots»), det vil si ressurser som ingen bruker, men som er attraktive for en innbryter. Ved å følge med på disse vil man i liten grad ha falske alarmer, siden legitim bruk omtrent ikke eksisterer. På mange områder er vi avhengige av at de som har tilgang, ikke misbruker den. Det er mulig å aktivere logging, slik at innlogging, oppslag, endring og sletting kan tas vare på og benyttes ved stikkprøver eller ved etterforskning.

[...]

5.8 Elektronisk identifisering

Det er i utgangspunktet vanskelig å vite hvem man kommuniserer med på Internett. For å løse dette problemet har vi såkalt elektronisk identifikasjon (e-ID). E-ID handler om elektronisk verifikasjon av identitet mellom personer og ting som befinner seg «på andre siden av Internett». Et tilhørende problem er å knytte digital informasjon til personer og ting, på samme måte som en signatur knytter et fysisk dokument til en person. Dette kalles elektronisk signatur (esignatur).

Vanligvis bruker man kryptografi basert på digitale signaturer og en PKI til både e-ID-er og esignaturer. Ideen er at en sertifikatutsteder utsteder et sertifikat til en person. Ved å bruke den hemmelige nøkkelen og sertifikatet på rett måte kan personen overbevise noen om at han sitter foran en datamaskin. Han kan også signere informasjon, slik som for eksempel en e-post eller en kontrakt.

En person kan ikke gjøre de komplekse beregningene som inngår i kryptografi. Datamaskinen må gjøre dette for eieren av e-ID-en. Men datamaskiner kan bli kompromittert. Dersom noen får tak i den hemmelige nøkkelen tilknyttet en e-ID, kan de utgi seg for å være denne personen eller signere informasjon som om de var personen.

Det tradisjonelle svaret på dette problemet er det såkalte smartkortet, en ørliten datamaskin som er spesialkonstruert for nettopp å gjøre de beregningene som kreves for e-ID-er. Denne lille datamaskinen er mye sikrere enn en vanlig datamaskin, og det er derfor mye vanskeligere å stjele nøkkelen. Likevel – om man har fysisk tilgang, kan man selvsagt stjele hele smartkortet. Når man ønsker å bruke e-ID-en, kobler man smartkortet til datamaskinen, og smartkortet utfører den nødvendige kryptografien for datamaskinen.

Et hovedprinsipp i kryptografi er at nøklene ikke er interessante i seg selv – det er hva man kan gjøre med nøklene, som er interessant. Selv om smartkortet har nøkkelen og gjør beregningene, er det datamaskinen som forteller smartkortet hvilke beregninger som skal gjøres.

Det å koble smartkortet til datamaskinen er altså det samme som å gi datamaskinen bruksrett til e-ID-en din. Dersom datamaskinen er kompromittert av kriminelle, gir du i praksis de kriminelle bruksrett til e-ID-en din. Tradisjonelle smartkortbaserte e-ID-er har altså ikke høyere sikkerhet enn datamaskinen du kobler smartkortet til.

Merk at e-ID basert på smartkort og PKI, arver alle problemene til PKI. Spesielt er det verdt å merke seg at i den tradisjonelle mentale modellen for smartkortsystemer er personvernet godt ivaretatt. Men avhengig av konkrete teknologivalg kan svært mye informasjon om bruken av en smartkort-basert e-ID i praksis tilflyte sertifikatutstederen, noe som kan være en utfordring for personvernet.

Teknologibildet er i endring, og et problem for e-ID basert på smartkort er at stadig flere terminaler folk ønsker å bruke e-ID på, ikke kan kobles til smartkort.

En e-ID behøver ikke være basert på sertifikater. Et alternativ er basert direkte på en tiltrodd tredjepart. Typisk har eieren av e-ID-en et etablert forhold til tredjeparten (for eksempel basert på passord og engangskoder). Eieren overbeviser tredjeparten om at han er den han er. Deretter kan tredjeparten gå god for eierens identitet.

Tradisjonelle e-ID basert på smartkort er ofte sårbare overfor andre angrep enn e-ID basert på tiltrodde tredjeparter. E-ID-er basert på passord og engangskoder kan for eksempel være sårbare overfor phishing, mens de kan være litt motstandsdyktige mot en kompromittert datamaskin. Hvordan en sertifikatutsteder og en tiltrodd tredjepart kan misbruke tilliten din, er også forskjellig.

Ulikt Internett-PKI-en er forskjellige e-ID-er ofte basert på svært forskjellige tekniske løsninger. Interoperabilitet blir dermed en utfordring. En måte å begrense kompleksiteten på er å lage en innloggingsportal basert på en tiltrodd tredjepart. Eieren bruker e-ID-en sin til å overbevise innloggingsportalen om at han sitter foran datamaskinen. Innloggingsportalen går deretter god for at brukeren sitter foran datamaskinen.

Dette gjør livet mye enklere for brukerstedene, som forholder seg til én innloggingsportal i stedet for mange e-ID-er. Det kan også gjøre livet enklere for eierne av e-ID-ene. På den annen side kan det oppstå en del subtile sikkerhetseffekter, der en innloggingsportal i praksis nuller ut sikkerhetstiltak i en e-ID.

En annen fordel med en innloggingsportal er at det er lett å få til såkalt engangsinnlogging («single sign-on»). I praksis handler dette om å gi datamaskinen tilgang til alle brukerstedene som er omfattet av engangsinnloggingen, noe som kan være et problem hvis datamaskinen er kompromittert.

[...]

6.1 Digitaliseringen av samfunnet og sårbarhetsbildet

Digitalisering har forenklet hverdagen til enkeltindividet, og er en driver for innovasjon, økonomisk vekst og produktivitet. Teknologien skaper også nye sårbarheter og utfordringer. For eksempel gir den en utvidet angrepsflate for kriminelle. Utenriksdepartementet har uttrykt at Internett er blitt en generator for økonomisk vekst og sosial utvikling, men at håndtering av sikkerhetsutfordringer i det digitale rom er en forutsetning for at dette skal skje.41

Det er all grunn til å tro at den teknologiske utviklingen vil fortsette å gå raskere, og at etterspørselen etter kunnskap vil øke kraftig. EU-kommisjonen har estimert at 90 prosent av jobbene i EU innen 2020 vil kreve digitale ferdigheter, og advarer om at EU i inneværende år vil mangle 509 000 årsverk med denne kompetansen. Det er på verdensbasis estimert med rundt 5 milliarder Internett-brukere innen 2020.

Mennesker har naturlig en viss forståelse av hvordan vi sikrer informasjon i manuelle, papirbaserte prosesser. Med digitaliseringen er vi i stor grad fremmedgjort, og ingen har lenger oversikt over sårbarhetsbildet, slik vi en gang hadde.

En datamaskin er for eksempel utviklet lag for lag, der hvert lag skjuler en underliggende kompleksitet for det neste. Disse maskinene kobler vi så sammen i datanettverk basert på en tilsvarende lagdelt modell. Når vi utvider funksjonalitet og knytter sammen IKT på nye måter, glemmer vi ofte de underliggende forutsetningene og antagelsene som er gjort, og noen ganger henger vi igjen med antagelser som ikke lenger gjelder.

Lagringsmediene vi lagrer data på, var en tid tilbake bare «dumme» mekaniske enheter under full kontroll av datamaskinens sentralprosessor – som da måtte bruke mye tid på å gi lese- og skriveinstrukser. Av ytelseshensyn er harddisker i dag smarte. Sentralprosessoren kan nå utføre andre oppgaver samtidig som lagringsmediet jobber i bakgrunnen. Dette innebærer at lagringsenheten har full tilgang til systemets internminne og kan – hvis den er ondsinnet – skrive og lese til helt andre områder enn den blir bedt om. Den kan for eksempel plassere skadevare eller hente ut kryptografiske nøkler.

[...]

6.6 Trender i sikkerhetsteknologien

De digitale sårbarhetene i samfunnet skaper et kappløp mellom de som er angripere, og de som utvikler sikkerhetsteknologien. Her følger en kortfattet omtale av noen trender innen biometri og kryptografi.

Biometri er måling av biologiske eller adferdsrelaterte mønstre, som fingeravtrykk, netthinne, stemme eller måten man signerer et brev på. Målet for biometri er å måle noe som er unikt for enkeltindividet og samtidig stabilt over tid. Det forskes aktivt på nye kilder til biometri.

Teknologien for å gjenkjenne fingeravtrykk har modnet betraktelig. Fingeravtrykk har erstattet passord på mange bærbare enheter, og brukes som et alternativ til nøkler og nøkkelkort til fysisk adgangskontroll. Fingeravtrykk brukes ikke bare til tilgang til enheter, men også til å bekrefte handlinger vi utfører på enhetene, for eksempel kjøp av digitalt innhold og andre økonomiske transaksjoner.

Bruk av biometri reiser personvernrelaterte utfordringer. Teknologien for ansiktsgjenkjenning vil snart være så god at man automatisk kan gjenkjenne og følge alle som beveger seg i et kameraovervåket område, for eksempel et kjøpesenter. I tillegg er biologiske mønstre i all hovedsak permanente. Derfor ønsker man ikke å lagre for eksempel et bilde av et ansikt eller et fingeravtrykk, men heller avledede data som bare kan brukes til gjenkjenning. På denne måten kan vi unngå at biometriske systemer bygger opp sårbare databaser med sensitiv informasjon.

Kryptografi er teknikker som skal beskytte informasjon mot uønsket innsyn og endring.54Steganografi er et relatert begrep som handler om å skjule det faktum at informasjon sendes, gjerne ved å gjemme informasjon i annen leselig informasjon for ikke å tiltrekke seg oppmerksomhet.

En vesentlig trend er at kommunikasjon og lagrede data i økende grad krypteres. Et viktig element i denne trenden er at leverandører av hyllevare og nettbaserte tjenester tar i bruk kryptering som standard, slik at det ikke lenger er noe brukeren selv trenger å konfigurere. Denne trenden er et svar på høyst reelle sikkerhetsproblemer. Kryptering av mobile enheter kan for eksempel hindre at privat informasjon kommer på avveie dersom enheten mistes eller blir stjålet. Det samme gjelder ukryptert kommunikasjon som kan avlyttes. Åpen ubeskyttet kommunikasjon kan også være en måte å lure inn skadevare i folks datamaskiner på.55 Til en viss grad er kryptering i senere tid også blitt tatt i bruk som et svar på masseovervåking. Myndighetsaktører i flere land har ytret ønske om å forby eller regulere bruken av kryptografi.

En ny fremtidsrettet krypteringsteknologi er såkalte fullt homomorfiske kryptosystemer, forkortet FHE56. Vanligvis er det umulig å arbeide med krypterte data uten først å dekryptere dem. Med FHE er det mulig å gjøre beregninger på krypterte data under visse forutsetninger. Det tradisjonelle eksempelet er nettsøk, som er en av dagens utfordringer for personvernet. Med FHE kan man tenke seg at brukeren sender et kryptert søk til søketjenesten. Søketjenesten gjennomfører søket og kommer frem til et kryptert svar som den sender tilbake til brukeren. Brukeren kan så dekryptere svaret. Slik kan brukeren gjennomføre et nettsøk uten at søketjenesten vet hva søket handler om. Da FHE først ble presentert i 2009, var det som en teoretisk konstruksjon som ikke kunne gjennomføres i praksis. Siden den gang har det vært en rivende utvikling som vil kunne forbedre personvernet.

En kilde til usikkerhet i kryptografien er såkalte kvantedatamaskiner. Kvantedatamaskiner virker på en fundamentalt annerledes måte enn vanlige datamaskiner. Det gjør at kvantedatamaskiner vil være i stand til å bryte noen klasser av kryptosystemer som er mye brukt i dag. Selv om kvantedatamaskiner er blitt demonstrert, har de så langt ekstremt liten kapasitet. Det er usikkert om, og eventuelt når, vi vil være i stand til å bygge praktiske kvantedatamaskiner. Likevel har arbeidet med å utvikle og standardisere alternativer til de «sårbare» kryptosystemene begynt. Det er grunn til å tro at dette arbeidet vil være ferdig i god tid før noen eventuelt klarer å bygge en praktisk kvantedatamaskin. Man bør imidlertid være klar over at informasjon som er kryptert med «sårbare» systemer, ikke nødvendigvis vil opprettholde konfidensialitet på sikt.

Et tilsynelatende relatert fagfelt er kvantekryptografi, der resultater fra kvantemekanikken brukes til å bygge fysiske kryptosystemer som i teorien ikke kan brytes. I praksis har slik kvantekryptografi blitt brutt en rekke ganger.

[...]

19.8 Vurderinger og tiltak

19.8.1 Etablere en overordnet nasjonal kompetansestrategi innen IKT-sikkerhet

Justis- og beredskapsdepartementet bør sammen med Kunnskapsdepartementet utarbeide en overordnet nasjonal strategi for å sikre en langsiktig oppbygging av kompetanse innen IKT-sikkerhet i det norske samfunnet. En slik strategi må dekke tiltak for å bygge opp kapasitet innen både forskning og utdanning.

Hensikten er å sikre langsiktig finansiering, slik at ikke kompetansemiljøer forvitrer mellom finansierte prosjekter. Tiltaket er begrunnet i at Forskningsrådet i dag bare gir prosjektstøtte, og ikke midler for å opprettholde fagmiljøer. Utvalget mener det er lite trolig at universitets- og høyskoleinstitusjonene klarer å løse dette ved egne omprioriteringer. I tillegg bevilger Justis- og beredskapsdepartementet svært lite midler til forskning. Justis- og beredskapsdepartementet er primæradressat for tiltaket fordi de har fått samordningsansvaret for forebyggende IKT-sikkerhet i sivil sektor.26

19.8.2 Prioriteringer i en overordnet strategi

Punktene under utdyper hva utvalget mener bør inngå som prioriteringer i en overordnet strategi. Utvalget merker seg at flere av de foreslåtte tiltakene samsvarer godt med Justis- og beredskapsdepartementets egen FoU-strategi.27 Det er også viktig å presisere at flere av tiltakene bør iverksettes av henholdsvis Justis- og beredskapsdepartementet og Kunnskapsdepartementet i påvente av at den overordnede strategien blir utarbeidet.

  1. Etablere en langsiktig plan for å bygge opp og vedlikeholde forskningskapasitet

Det er prisverdig at Norges Forskningsråd (NFR) har lansert IKTPLUSS-programmet med en sterk satsing innenfor informasjons- og IKT-sikkerhet. Programmet løper over ti år og vil kunne tilby tiltrengte forskningsmidler til dette området. Man må imidlertid merke seg at som for alle NFR-programmer tilbys det tidsbegrenset prosjektstøtte. Det vil derfor ikke kunne finansiere faste stillinger og heller ikke gi lengre tidshorisont enn lengden av hvert enkelt prosjekt, som regel fire til fem år. De norske FoU-miljøene innenfor IKT-sikkerhet er i stor grad små og har et relativt beskjedent antall faste stillinger. Det varierer også i hvilken grad disse miljøene er samlokalisert med stedene der volumproduksjonen av IKT-kandidater foregår. For eksempel har informatikkmiljøene ved UiO og NTNU relativt sett liten aktivitet innenfor IKT-sikkerhet.

Selv om Forskningsrådet gir verdifull støtte til forskningsprosjekter innenfor IKT-sikkerhet, vil midlene bare være prosjektbaserte og derfor ikke gi en varig oppbygging av forskningskapasiteten ved norske universiteter og høyskoler. Samferdselsdepartementets støtte til Robuste nett-senteret ved Simula, som helt nylig er blitt ytterligere styrket gjennom Simula@UiB, er derfor et svært positivt eksempel. Det samme gjelder støtten Justis- og beredskapsdepartementet har gitt til CCIS ved Høgskolen i Gjøvik. Oppbyggingen av forsknings- og undervisningsmiljøer gjennom de siste årene har i stor grad vært basert på støtte fra eksterne kilder. I denne sammenheng viser særlig etableringen av CCIS at det er mulig å få til et langsiktig samarbeid med både private og offentlige aktører.

Siden Justis- og beredskapsdepartementet har samordningsansvar for forebyggende IKT-sikkerhet, har departementet et særlig ansvar for å sikre tilstrekkelig nasjonal forskningskapasitet innenfor IKT-sikkerhet og bekjempelse av IKT-kriminalitet. Selv om Justis- og beredskapsdepartementet har vært med på å støtte CCIS, er JDs FoU-bevilgninger fremdeles lave. Utvalget ser det derfor som svært positivt at JD ønsker å etablere strategiske partnerskap med enkelte utdannings- og forskningsinstitusjoner innen blant annet IKT-sikkerhet, og at JD har som målsetting at det settes av midler til å utføre forskning, utredning og evalueringer i forbindelse med større tiltak innen samfunnssikkerhet. En naturlig konsekvens av dette er at JD nå øker sine FoU-bevilgninger rettet mot IKT-sikkerhet. Planen bør også omfatte andre relevante aktører, blant annet forsvarssektoren, Nærings- og fiskeridepartementet og andre relevante departementer og myndigheter. Utvalget vil samtidig understreke viktigheten av at en slik satsing er innrettet mot et begrenset antall forskningsmiljøer for å sikre høy kvalitet.

        2. Opprettholde forskningsinnsatsen på IKT-sikkerhet

Utvalget ser svært positivt på Forskningsrådets nye forskningsprogram IKTPLUSS. Programmet kommer etter at det over tid har vært bevilget relativt lite midler til forskning på IKT-sikkerhet. Gjennom å fokusere på «Et trygt informasjonssamfunn» vil programmet ha mulighet til å styrke kvaliteten og øke dristigheten og relevansen i norsk IKT-forskning innenfor samfunnssikkerhet generelt og IKT-sikkerhet spesielt. Både programmets langsiktige tidshorisont og det årlige omfanget tilsier at det kan ha påvirkningskraft utover de enkeltprosjektene som støttes.

Sikkerhet er imidlertid bare ett av flere temaer som IKTPLUSS dekker. Utvalget vil derfor understreke viktigheten av at Forskningsrådet opprettholder satsningen på IKT-sikkerhet på linje med den man hadde i 2015. Det er også vesentlig at Forskningsrådet bevilger forskningsmidler til IKT-sikkerhet etter at programmet er avsluttet.

Utvalget observerer en generell mangel på kunnskap om de økonomiske tapene som følge av digital sårbarhet og hva forebyggende IKT-sikkerhet koster. Dersom slike sikkerhetshensyn skal få nok oppmerksomhet og tyngde inn i beslutningsprosesser, bør de økonomiske sidene også synliggjøres. Se punkt 7.2.1 «IKT-kriminalitet» om kostnaden ved IKT-kriminalitet.

Utvalget anbefaler at sikkerhetsøkonomi blir et forskningstema inn i Forskningsrådets programmer for IKT-sikkerhet.

        3. Innføre krav til IKT-sikkerhetsfag for alle IKT-bachelorgrader

Utvalget støtter de anbefalingene som er gjort av ACM28 om hvilke kurs som bør inngå i en generell IKT-utdanning. Kunnskapen som formidles gjennom disse utdanningene, danner grunnmuren for å oppnå god IKT-sikkerhet i samfunnet. Nylig har også NSM kommet med en anbefaling om at alle IKT-utdanninger bør inneholde minst ett obligatorisk kurs innen IKT-sikkerhet.

Utvalget mener at alle bachelorutdanninger i Norge innenfor IKT må inneholde minst 15–20 studiepoeng med fag som omhandler IKT-sikkerhet. Det er viktig at tilbydere av IKT-relaterte bachelorprogrammer går igjennom studiene sine og sørger for at disse dekker vesentlige deler av informasjons- og IKT-sikkerhet. Et slikt tiltak vil i utgangspunktet ikke nødvendigvis medføre store ekstra kostnader for den enkelte institusjon, men først og fremst være et spørsmål om interne prioriteringer. Dette tiltaket samsvarer med anbefalingene i Sikkerhetsfaglig råd fra NSM.

Omfanget av IKT-relaterte kurs er vanligvis 10 studiepoeng. Det skulle tilsi at den totale mengden lærestoff relatert til IKT-sikkerhet bør utgjøre minst to kurs i løpet av et bachelorstudium. Nå dekkes mye av dette stoffet gjennom andre kurs, men utvalget vil likevel anbefale at enhver IKT-bachelor inneholder minimum ett obligatorisk kurs i IKT-sikkerhet.

        4. Øke kapasiteten på masterutdanning innen IKT-sikkerhet

Utvalget mener det må etableres tilstrekkelig kapasitet på masterutdanning med spesialisering innen IKT-sikkerhet. Dette gjelder særlig ved de store universitetene og høyskolene som har slik aktivitet allerede i dag. Et slikt løft vil kreve tilførsel av midlertidige utvidelsesmidler.

Dette begrunnes i den forholdsvis lave kapasiteten ved UiO og i manglende tilbud innenfor IKT-sikkerhet ved NTNUs studieprogram for datateknikk. Det bør samtidig legges til rette for at studenter fra høyskoler og universiteter som ikke har masterprogram i IKT-sikkerhet, har mulighet til å fortsette på masterstudier ved læresteder som har slike studier.

Økt utdanningskapasitet innen avansert IKT-sikkerhet vil først og fremst møte det innenlandske behovet for slik kompetanse i alle sektorer. Imidlertid vil det også kunne styrke vår konkurranseevne og åpne nye muligheter for norsk næringsliv til å møte en økende internasjonal etterspørsel etter både kvalifisert personell og tekniske løsninger innen IKT-sikkerhet.29

     5. Styrke nasjonal forskningskompetanse i kryptografi

Bruk av kryptografi er en forutsetning for sikker informasjonsutveksling på Internett. Selv om trygg ende-til-ende-kommunikasjon forutsetter mer enn bare kryptografi, er kryptografi i en særstilling når det gjelder kunnskap som må være på plass for å understøtte sikker kommunikasjon. Bruk av foreldede, eller av andre årsaker utrygge, kryptosystemer kan føre til at kommunikasjon blir avlyttet, eller at man ikke kan stole på identiteten til andre aktører.

Kryptografi baserer seg i stor utstrekning på avanserte matematiske metoder. Det er derfor en langsiktig prosess å bygge opp kompetanse- og forskningsmiljøer. Slik kunnskap må også vedlikeholdes dersom den skal være relevant.

Det er ikke gitt at kryptosystemene som blir brukt i dag, er trygge. Systemene kan være foreldet, eller de kan til og med ha blitt utviklet for at de skal kunne knekkes. Uten avanserte nasjonale miljøer vil norske myndigheter og bedrifter måtte forholde seg til utenlandske aktører for å innhente kvalifiserte vurderinger og råd om kryptografiske systemer. Dette vil være en svært uheldig situasjon sett i et sikkerhetsperspektiv.

Utvalget mener det er vesentlig at Norge bygger opp og vedlikeholder kompetente forskningsmiljøer innen kryptografi som kan bidra med veiledning og verifikasjon ved implementering av systemer med kryptografiske sikkerhetsmekanismer. Som ansvarlig departement for sikkerhet og beredskap tilfaller det derfor JD i samarbeid med FD å gå inn med tilstrekkelige langsiktige midler for å sikre nødvendig oppbygging og vedlikehold av nasjonal kompetanse innen kryptografi. Dette bør primært gjøres gjennom å støtte eksisterende miljøer og ikke gjennom å bygge opp nye. Det må også vurderes om dette kan gjennomføres slik at nøkkelpersonell i slike grupper kan sikkerhetsklareres.

En slik satsing samsvarer med NSMs ønske om å videreutvikle en nasjonal kryptopolitikk for å sikre nødvendig nasjonal kryptokompetanse og utvikling av kryptoutstyr for høygradert informasjon.

          6. Opprette øremerkede stipendiatstillinger som kan sikkerhetsklareres

For å sikre tilgang på høyt kvalifiserte personer mener utvalget at det bør opprettes øremerkede stipendiatstillinger innenfor IKT-sikkerhet for personer som kan sikkerhetsklareres.

Dette begrunnes i at FFI har utfordringer med å få tak i godt kvalifisert personell som kan klareres. Utvalget vurderer dette som en voksende utfordring, der også andre aktører, som NSM, CCIS og politiet, vil ha sikkerhetsklarering som en forutsetning. Kravet om sikkerhetsklarering er en spesiell utfordring innen IKT-sikkerhetsarbeid. Det er eksisterende ordninger som sikrer Forsvaret tilgang på klarert IKT-sikkerhetspersonell.30

            7. Øke oppmerksomheten rundt IKT-sikkerhet og personvernrelaterte problemstillinger

Utvalget mener at IKT-sikkerhets- og personvernrelaterte problemstillinger må få en større plass i relevant høyere utdanning.

For IKT-sikkerhet vurderer utvalget særskilt lederutdanninger, for å sikre tilstrekkelig kompetanse og forståelse for problematikken. Dette er begrunnet i at det endelige ansvaret for IKT-sikkerhet i en virksomhet alltid vil ligge hos den øverste ledelsen. Det gjelder selv om ledelsen verken har formal- eller realkunnskap om IKT-sikkerhet. For eksempel har lederutdanninger som siviløkonomstudiet ved Norges Handelshøyskole per dags dato svært lite opplæring i IKT-sikkerhet. Tilsvarende finnes det heller ingen formelle krav, slik det gjør for HMS-arbeid, om at en virksomhets øverste leder må ha gjennomført opplæring i IKT-sikkerhet. Et tiltak kan være å innføre krav til rapportering om IKT-sikkerhet i årsmeldinger slik beskrevet i punkt 23.5 «Redegjørelse for IKT-sikkerhet bør inngå i årsmeldinger».

Personvernrelaterte problemstillinger gjelder i særlig grad for juridiske og helserelaterte utdanninger.

Bevissthet og kompetanse om IKT-sikkerhet henger naturlig sammen med den enkeltes generelle kunnskap om de IKT-systemene man bruker. Uten grunnleggende forståelse av disse er det vanskelig å opprettholde tilstrekkelig sikkerhet. Det er derfor vesentlig at alle høyere utdanninger inkluderer tilstrekkelig opplæring i fagspesifikk IKT-kunnskap.

         8. Gjennomføre tiltak rettet mot grunnskole og videregående opplæring

Skal vi sikre trygg bruk av IKT, og Norges fremtidige deltagelse i utviklingen av fremtidens IKT-teknologi, er vi avhengige av kontinuerlig å heve det generelle kompetansenivået. Dette arbeidet må starte allerede i grunnskolen, slik det nå skjer i en rekke sammenlignbare land. Utvalget har derfor valgt å samle noen eksempler på tiltak:

Etterprøve læringsutbytte i trygg bruk av IKT. Utvalget mener at dagens program for opplæring i digital kompetanse i grunnskolen i stor utstrekning dekker de grunnleggende behovene det enkelte individet har. Opplæring i digital dømmekraft er spesielt viktig for å sikre forsvarlig bruk av sosiale medier og andre kommunikasjonsprogrammer. Det er viktig å evaluere hvordan denne undervisningen fungerer i praksis, og hvilket læringsutbytte elevene faktisk sitter igjen med. Utvalget er kjent med at Senter for IKT i utdanningen utfører undersøkelser om både digitale verktøy i skolen og læreres og elevers digitale kompetanse.31 Undersøkelsen fra 2011 har vært kritisert32 for at den kun kartlegger «operativ bruk» av datamaskiner, uten å se på lærernes forutsetninger for å undervise i hvordan datamaskinene faktisk fungerer. Her er det vesentlig at man ser på hvilken kompetanse lærerne har for å gjennomføre slik opplæring. Etterutdanning av lærere kan være en nødvendig følge av tiltaket. NSM har også anbefalt at IKT-sikkerhet innarbeides i lærerutdanningen.

Øke oppmerksomhet rundt teknisk bruk av IKT. Skoleverket retter primært oppmerksomheten mot nettvett og regler for personvern på Internett og i sosiale medier. Dette er nødvendig kunnskap som alle trenger. Bruk av IKT forutsetter imidlertid også økt kjennskap til de tekniske aspektene ved maskin- og programvare. Dette gjelder for alle typer personlige maskinplattformer som mobiltelefoner, nettbrett og PC-er. Elevene må forstå behovet for oppdatering av programvare, jevnlige sikkerhetskopier og farene ved ukritisk bruk av nedlastet programvare og nettbaserte tjenester. Utvalget anbefaler derfor at opplæring i digitale ferdigheter i grunnskole og videregående skole utvides til også å gi kompetanse i relevante tekniske aspekter ved IKT. Et viktig steg på veien vil være å sørge for at undervisning i programmering blir tilgjengelig i alle skoler, og at innføring i informasjonssikkerhet gis tilsvarende oppmerksomhet.

Bygge ut tilbud om undervisning i programmering. Fravær av avansert IKT-opplæring i skolen risikerer å sette Norge i en situasjon hvor vi primært blir et samfunn som bare forbruker informasjonsteknologi. Det er derfor positivt at regjeringen vil starte forsøk med programmering i grunnskolen fra 2016. Det er vesentlig at denne satsingen raskt blir bygd ut til alle skoler, og at den får et innhold som gjør den relevant for bruk i andre emner og for videre studier. Kunnskapsdepartementet bør derfor utarbeide en plan for hvordan dette skal gjennomføres. Det kan gjøres i samarbeid med allerede eksisterende frivillige organisasjoner, samt med IKT-industrien, etter mal fra Finland.

Skal satsingen lykkes på lang sikt, forutsetter det også opplæring av både nåværende og fremtidige lærere. Det er også verdt å merke seg at selv om dette nå ser ut til å starte opp, ligger vi et godt stykke etter land det er naturlig å sammenligne seg med. Det kan derfor allerede nå være på sin plass å vurdere hva som blir neste steg når tilbudet er etablert. Det bør vurderes hvordan opplæring i algoritmisk tenking og bruk av programmerbare digitale verktøy kan integreres tidligere i den ordinære undervisningen.

Behov for IKT-sikkerhet i elektrofag. Det er ikke klart ut fra læringsmålene om IKT-sikkerhet er dekket i tilstrekkelig grad i rene elektrofag. Dette gjelder spesielt automatiseringsfaget, der emnet ikke inngår i læreplanen. Kontrollsystemer for temperatur, lys og luft i bygninger styres ofte via nettet, og det er vesentlig at uvedkommende ikke har tilgang til disse. Utvalget mener det bør foretas en gjennomgang av læreplanene i alle elektrofag for å vurdere om disse er tilfredsstillende med tanke på hvordan de dekker IKT-sikkerhet.

Revidere læringsmålene i fagene Informasjonsteknologi 1 og 2. Informasjonsteknologi 1 og 2 er allmennfag og gir grunnleggende kunnskap om IKT. Som del av den studiespesialiserende videregående utdanningen skal de også forberede elevene på videre studier innen området. Siden fagene ikke bygger på hverandre, er imidlertid det samlede kunnskapsnivået man kan forvente at ferdige kandidater oppnår, begrenset. En konsekvens av dette er at studenter som kun tar Informasjonsteknologi 2, ikke får opplæring i IKT-sikkerhet. Det er dessuten en lav grad av integrering mellom kursene og høyere utdanninger innenfor IKT i universitets- og høyskolesektoren. Ingen av kursene inngår som forkrav for videre studier i IKT, da disse stort sett bare forutsetter generell studiekompetanse og for enkelte studieretninger også fordypning i matematikk. Utvalget mener derfor at læringsmålene i Informasjonsteknologi 1 og 2 er modent for revisjon, slik at elever som tar disse fagene, går ut med kunnskap om informasjonssikkerhet som er relevant for videre studier.

 [...]

21.5 Utfordringer knyttet til avdekking av sårbarheter og deteksjon av IKT-hendelser

21.5.1 Utilstrekkelig evne til å oppdage IKT-hendelser

Det er som tidligere beskrevet store forskjeller når det gjelder grad av monitorering i ulike virksomheter og bransjer. Disse forskjellene kan ha ulike årsaker. Virksomheter som har vært utsatt for målrettede spionasjeangrep, synes i større grad å ha etablert deteksjonsmekanismer som avdekker ukjente angrep, i tillegg til mer tradisjonelle, signaturbaserte systemer. Evne til å oppdage handler imidlertid om mer enn bare teknologi. Det er krevende for virksomhetene å ha kompetanse til å følge opp og ha forståelse for det som blir oppdaget.

For den nasjonale evnen til å avdekke hendelser er NSM NorCERT avhengig av informasjon fra samarbeidspartnerne og fra etterretningstjenestene. VDI-sensorene gir NSM NorCERT viktig informasjon. VDI-sensorenes evne til å avdekke er begrenset av datainnsamlingen som sensorene utfører. Sensorene forholder seg i dag hovedsakelig til metadata. Unntaket er at ved en VDI alarm vil sensoren lagre innholdsdata fra 2–3 IP-pakker for å understøtte det videre analysearbeidet. Dette er hensiktsmessig i forhold til oppdraget NSM NorCERT har, da man vil evne å avdekke digitale angrep mot virksomheter, bare ved hjelp av metadata. VDI-sensorene er i dag ikke satt opp til å trigge alarmer basert på innholdsdata.

VDI-sensorene har i dag ingen mulighet til å se innholdet i trafikk som går kryptert. I fremtiden vil VDI-sensorene i noen grad kunne dekryptere trafikk, da man vil benytte brannmurens dekrypteringsfunksjonalitet. Dette vil være en viktig føring i den fremtidige VDI-strategien når det gjelder plassering av sensorer. Som beskrevet i kapittel 6 «Trender som påvirker sårbarhetsbildet», krypterer trusselaktørene trafikken sin i økende grad, noe som er en stor utfordring for nettverksbaserte signaturbaserte deteksjonsmekanismer. En annen utfordring med signaturbaserte deteksjonsmekanismer er at angrepsmetoden må være kjent før den kan oppdages.

NSM har erkjent at det er behov for flere sensorer, og det er i dag en lang kø av virksomheter som ønsker sensor. Andelen virksomheter som inngår i nettverket, samt begrensninger i teknologien, gjør at VDI-sensornettverket ikke dekker behovet for å avdekke digitale angrep mot kritisk infrastruktur og informasjon i Norge i dag.

I et lovforslag NSM har oversendt Justis- og beredskapsdepartementet, ligger det inne et forslag om å pålegge ulike typer sensorer, i tillegg til at det skal pålegges en plikt til rapportering også utover sikkerhetsloven.

Som tidligere beskrevet er samarbeidet i CKG sentralt i arbeidet med å avdekke digitale angrep blant annet knyttet til rikets sikkerhet. Etterretningstjenesten har uttrykt at

«kommunikasjonsetterretning frembringer i særklasse mest av den type informasjon som bidrar til både å forhindre terrorhandlinger og å oppdage den mest alvorlige skadevaren som treffer våre vitale datanettverk».91

For å kunne oppdage, varsle og håndtere utenlandske trusler som terror, spionasje og digitale angrep trengs det ifølge Etterretningstjenesten å kunne følge med på relevant Internett-trafikk som går via kabler (såkalt grenseforsvar). Denne muligheten finnes ikke i Norge i dag.

21.5.2 Varierende og tidvis motstridende krav til logging og sletting av samme informasjon

Ressursgruppen peker på områder der krav til logging og sletting av samme form for informasjon underlegges ulike krav i ulike sektorlovverk. Virksomheter i enkelte sektorer har sektorregelverk som gir rom for mange års lagringstid, mens andre sektorer har hjemler som begrenser lagring til noen få dager. Kort lagringstid kan få konsekvenser for de operative miljøenes håndteringsevne og for effektiv straffeforfølgning. Det kan oppleves som en utfordring at dette ikke er standardisert på tvers av sektorer. For å gi lengre lagringstid kreves omfattende lovendringer. Graver og Harborg har levert en utredning om datalagring.92

Utvalget er kjent med at det foreligger forslag om å anbefale minimumslogging i ugraderte, men sensitive IKT-systemer i statlig sektor. Forslaget er utarbeidet av NSM på oppdrag fra Justis- og beredskapsdepartementet.

[...]

21.10.1 Behovet for nye etterretnings- og etterforskningsmetoder

Siden Snowden-avsløringene i 2013 har hele verden vært opptatt av myndighetenes overvåking av privatpersoner gjennom bruk av teknologi. I lys av avsløringene har digital kommunikasjon i økende grad blitt kryptert av tjenesteleverandører, og det har vært en vekst i bruk av anonymiseringstjenester. Denne utviklingen setter myndighetene på prøve, idet tidligere skjulte metoder ikke lenger er like effektive.

Utvalget ser at det kan være behov for ytterligere skjulte metoder, men nettopp fordi de skal være skjult, er disse metodene også de mest inngripende. Selv om målet med metodene er rettet mot kriminell aktivitet, vil adgangen til å benytte slike metoder i prinsippet kunne være inngripende overfor den enkelte borger. Angrep på kritisk infrastruktur, kritiske samfunnsfunksjoner og tilsvarende alvorlig kriminalitet er skadelig for samfunnets trygghet, enkeltindividers integritet, økonomiske verdier og stabiliteten og kvaliteten på det samfunnet vi lever i. Effektiv avdekking av angrep og kriminalitetsbekjempelse er viktig, og det er avgjørende å sørge for nødvendige virkemidler for å kunne ivareta denne oppgaven. Det er vesentlig at både E-tjenesten, PST og politiet har anledning til å innhente tilstrekkelige mengder ulik informasjon for å kunne utføre sine oppgaver.

Etterretningstjenestens og politiets oppgave med å bekjempe kriminalitet forutsetter myndighet til å kunne innhente informasjon ved å kunne utøve makt og tvang overfor borgerne. Gjeldende rettslig adgang til å innhente og benytte informasjon for etterretnings- og kriminalitetsbekjempende formål er derfor vurdert ut fra de særlige hensynene som gjør seg gjeldende for disse myndighetene. Den rettslige adgangen til å innhente informasjon er derfor betinget av grenser for bruk og rettssikkerhetsgarantier for borgerne.

Behovet for nye, utvidede metoder for etterretning og etterforskning begrunnes ofte med økende alvorlig IKT-kriminalitet, se punkt 7.2 «Tilsiktede IKT-hendelser». De hensynene som underbygger behovet for nye etterretnings- og etterforskningsmetoder, må baseres på et solid empirisk grunnlag. Dette er vesentlig for å kunne vurdere om tiltakene er nødvendige og proporsjonale i et demokratisk samfunn. Det kreves analyser av mulige konsekvenser for samfunnet som helhet, offentlige myndigheter, næringsliv, interesseorganisasjoner og enkeltindivider.

Å trekke opp grensene for E-tjenestens og politiets adgang til å overvåke og etterforske i digital nåtid og fremtid byr derfor på krevende avveiinger mellom hensynet til kriminalitetsbekjempelse og det å ivareta de grunnleggende verdiene som ligger til grunn for den tilliten som er opparbeidet mellom stat og borger.

21.10.2 Endring i maktbalansen mellom stat og borger

Dersom spekteret av lovlige skjulte etterretnings- og etterforskningsmetoder skal utvides, er dette også en utvidelse av statens makt overfor den enkelte borger. Den enkelte borger fratas dermed deler av sine rettigheter og friheter. Det rokker ved de konstitusjonelle skrankene for statens myndighet til å gripe inn i borgernes rettighetssfære og stiller krav til hvordan utvidede fullmakter kan komme til.

I et større perspektiv handler det om å ta stilling til på hvilken måte de verdiene og prinsippene som demokratiet og samfunnet vårt bygger på, skal være førende for fremtidens samfunn. Politiets og etterretningsmyndighetenes behov må derfor vurderes opp mot rettsstatsverdier og menneskerettigheter, herunder personvern, ytringsfrihet og forsamlingsfrihet. Dette er forpliktelser som følger av både nasjonalt og internasjonalt regelverk, og det er disse verdiene som utgjør kjernen i et velfungerende og sunt samfunn, som kjennetegnes av gjensidig tillit mellom staten og befolkningen.

En rettsstat kjennetegnes av tydelige og presise regler for den innbyrdes fordelingen av makt mellom statens myndigheter og statens adgang til å bruke makt overfor sine borgere. En omfordeling av maktforholdet mellom stat og borger griper derfor inn i sentrale deler av samfunnets bærende prinsipper og verdier.

Medier som er opprettet for å formidle frie ytringer og intern kommunikasjon i grupper, utgjør grunnleggende verdier i et demokrati. Det må derfor utvises varsomhet med å benytte slike medier for etterretningsformål. Inngrep i ytringsfriheten må tilfredsstille kravene til proporsjonalitet og være nødvendige i et demokratisk samfunn.

Risiko for å bryte ned tillitsforholdet mellom befolkningen og staten

I Norge har offentlig sektor i all hovedsak tillit fra borgerne. Se punkt 23.6.3 «Tillit bør være en forutsetning for digitalisering». Om denne tilliten er gjensidig, det vil si om staten har tillit til sine borgere, kan gjenspeiles i hvilke skjulte inngrep i borgernes rettigheter staten anser som nødvendige. Beslutninger om nye skjulte etterretnings- og etterforskningsmetoder kan derfor også tolkes som statens manglende tillit til befolkningen.

Snowdens avdekking av NSAs omfattende innhenting av informasjon om egne og andre lands borgere illustrerer viktigheten av en balanse mellom nasjonal sikkerhet og den enkeltes personvern. For deler av befolkningen har tilliten til myndighetenes respekt for personvern slått sprekker. Saken sier også mye om den tilliten befolkningen i utgangspunktet hadde til både næringsliv og myndigheter. Uten befolkningens tillit ville informasjonen ikke vært like tilgjengelig. Saken har ført til at stadig flere ønsker å beskytte sin egen informasjon når de benytter Internett. De benytter nettsteder som gjør det vanskelig å spore dem, velger å kryptere sin informasjon, eller begge deler. Det tar lang tid å bygge opp tillit, men kort tid å bryte den ned. Tillit mellom myndigheter og befolkning er særlig viktig og må tillegges betydelig vekt.

21.10.3 Masseinnsamling av personopplysninger til uavklarte formål

Både for næringsutvikling og etterretningsformål er opplysninger om befolkning og enkeltindivider essensielt. I 2012 uttalte Datatilsynet at hele 90 prosent av dagens digitale data er generert bare i løpet av de to siste årene, og at datamengden er antatt å øke med 40 prosent per år fremover. Næringslivets og myndighetenes formål med å samle inn personopplysninger er basert på vidt forskjellige behov. Det er derfor viktig å se nærmere på endringer i hvordan personopplysninger blir samlet inn på, herunder hvilke formål som begrunner innsamlingen.

I Norge har staten frem til relativt nylig vært ansett for å besitte flest opplysninger om borgerne, for å kunne treffe nødvendige beslutninger i egenskap av å forvalte lovbestemt myndighet. Dette bildet er endret til at også aktører i næringslivet er store informasjonsforvaltere av befolkningens opplysninger. For NSAs overvåking av amerikanere og andre lands befolkning var nettopp de private selskapenes informasjon attraktiv for myndighetene.

Det er forståelig at det økende omfanget av informasjon om borgerne hos næringslivsaktører også kan ha nytteverdi for myndighetenes etterretning og for etterforskning av alvorlig kriminalitet. Å åpne for en slik bruk byr imidlertid på mange dilemmaer.

Mens staten har rettsregler for å kunne innhente nødvendig informasjon for spesifikke formål, har næringslivet tilbudt «gratistjenester» med brukervennlige, nyttige og underholdende produkter som grunnlag for å samle inn informasjon. Mens staten er underlagt særskilte krav om å begrense informasjonen til et nødvendig minimum og for konkrete definerte formål, er næringslivets innsamling og lagring ikke underlagt de samme strenge kravene.

Det rettslige grunnlaget for de næringsdrivendes innsamling av personopplysninger er «avtaler» med den enkelte kunde. Da er det rekkevidden av avtalen som setter grensen, og det er tvilsomt om kundene i realiteten har et forhandlingsrom, spesielt når tjenestene tilbys gratis. Forbrukerrådet peker på at majoriteten av forbrukere ofte ikke har forstått betydningen av at de betaler for «gratistjenestene» med opplysninger om seg selv. En uklar avtale om bruken av innsamlet informasjon innebærer tilsvarende utydelige formål, som i neste omgang kan føre til en tilnærmelsesvis grenseløs bruk. Bruk av personopplysninger som er innhentet gjennom avtaler med kunder/brukere der formålet er å tilby en mulighet for å velge tjenester, gir ikke rettslig grunnlag for å benytte opplysningene til etterretnings- og etterforskningsformål.

Næringslivets informasjon er basert på opplysninger om det enkelte individ ut fra aktiviteter og bevegelser som etterlater spor på Internett, som applikasjoner, sosiale medier og e-post. Slike opplysninger omfatter enhver Internett-basert aktivitet – som hvilke søk vi gjør, hvilke annonser vi klikker på, hvilke nettsider vi besøker, hvilke nyhetsartikler vi leser, hva slags musikk vi hører på, hvem vi kommuniserer med, kommentarer vi legger igjen, og hvem vi er i kontakt med per mobiltelefon, herunder når og hvor vi befinner oss. Enkeltvis forteller slike opplysninger lite om oss, men summen av det vi benytter Internett og mobiltjenester til i privat sammenheng, vil kunne gi relativt utførlig informasjon om oss som enkeltindivider.

En tilsvarende kartlegging av aktivitet for å belyse de samme forholdene uten bruk av Internett-baserte tjenester, ville i praksis ikke være mulig for så store deler av befolkningen. Både mengden av informasjon hver og en etterlater seg, og endringen i hvem som samler inn opplysningene, representerer et paradigmeskifte for innsamling og bruk av personopplysninger. Spørsmålet er hva disse omfattende mengdene personopplysninger skal kunne benyttes til, og hvilke formål denne informasjonen skal kunne betjene.

Den teknologiske utviklingen gir nye muligheter for gjenbruk av informasjon til nye formål, såkalt sekundærbruk. Hvilket formål personopplysningene opprinnelig ble samlet inn for, definerer imidlertid en viktig grense for sekundærbruk. Derfor må det vurderes om sekundærbruken er forenlig med det opprinnelige formålet. Da skal det blant annet legges vekt på om det nye bruksområdet for opplysningene skiller seg vesentlig fra det som lå til grunn for den opprinnelige innsamlingen, og om ny bruk av opplysningene kan innebære ulemper for den registrerte. Kravet om at opplysningene skal være nødvendige for det formålet de skal tjene, omfatter både at det skal være et minimum av opplysninger, og at opplysningene er relevante for formålet. Dette nødvendighetsprinsippet gjelder for alle deler av håndteringen av personopplysninger, så som hvilke opplysninger som kan registreres, hvem som skal få tilgang til opplysningene, og hvor lenge opplysningene kan lagres. Et eksempel på denne problemstillingen er omtalt i punkt 11.7.5 «Etablere tiltak for å regulere utlevering av trafikkdata til politiet».

Formålsutglidning kan føre til usikkerhet hos brukeren på grunn av mangel på kontroll og oversikt. Dersom opplysninger stadig brukes til andre formål enn det man oppgir, vil det kunne føre til at brukeren mister tillit til det aktuelle mediet og den behandlingsansvarlige.

[...]

21.10.5 Balansen mellom kriminalitetsbekjempelse og personvern

Retten til personvern er ikke absolutt og må ses i sammenheng med statens øvrige legitime interesser. Hensynet til nasjonal sikkerhet, offentlig trygghet og bekjempelse av alvorlig kriminalitet kan tilsi at det må gjøres inngrep i den enkeltes rett til personvern. Slike inngrep må være lovfestede, nødvendige og proporsjonale, jf. kapittel 3 «Rettsstatsprinsipper og grunnleggende samfunnsverdier». Proporsjonalitetsprinsippet tilsier at det må skilles mellom hvilke metoder som kan brukes i etterforskning av en konkret sak rettet mot enkeltpersoner, og såkalt strategisk kriminaletterretning med generell innhenting og analyse av informasjon med det formål å vurdere kriminalitetsbildet og en sannsynlig utvikling. Etterforskning av konkrete hendelser kan derfor rettferdiggjøre et større inngrep i den enkeltes rett til personvern enn overvåking av befolkningens kommunikasjon generelt, herunder alminnelig meningsutveksling.

Både metodekontrollutvalgets vurderinger og forarbeidene til politiregisterloven101 er egnet til å vise balansering og ivaretakelse av motstridende hensyn. Politiregisterloven regulerer politiets adgang til å behandle opplysninger og bygger på en avveiing mellom hensynet til personvern og rettsikkerhet og behovet for kriminalitetsbekjempelse. Lovens formål er å regulere politiets bruk av personopplysninger på en måte som også ivaretar personvernet. Det er politiets oppgaver og myndighet knyttet til kriminalitetsbekjempelse som begrunnet behovet for en særlov for politiets behandling av opplysninger.

Politiets behandling av personopplysninger skiller seg fra annen behandling av personopplysninger etter personopplysningsloven på flere måter. Det er ikke krav til samtykke fra den registrerte om at politiet kan behandle opplysninger om en. Politiets myndighet til å innhente opplysninger om borgerne er et inngrep som krever hjemmel i lov. Jo mer inngripende en behandling er, jo strengere krav stilles det til presise lovhjemler.

Politiregisterloven bygger på sentrale personvernprinsipper om formålsbestemthet, nødvendighet og kvalitet. I de tilfellene hensynet til kriminalitetsbekjempelse griper inn i den enkeltes rettigheter, kompenseres inngrepet i enkelte rettigheter ved at andre rettigheter styrkes, for eksempel gjennom å begrense adgangen til å behandle opplysningene videre.

Loven gir for eksempel et tidsbestemt unntak fra kravene til formålsbestemthet, nødvendighet og relevans. Unntaket er begrunnet ut fra hensynet til politiets behov for omfattende tilgang til informasjon i det kriminalitetsbekjempende arbeidet. Det ligger i selve etterforskningens funksjon at politiet er avhengig av å kunne innhente opplysninger uten nødvendigvis å vite om de er nødvendige og relevante. For å ivareta hensynet til personvern ble det innført en tidsbegrensning for unntaket, slik at politiet har fire måneder på seg til å kontrollere om opplysningene er nødvendige og relevante for et politimessig formål. Dersom politiet innen denne fristen ikke kan godtgjøre at opplysningene er nødvendige, må opplysningene slettes. Det tidsbegrensede unntaket fra de grunnleggende kravene til behandling av personopplysninger etter personopplysningsloven er et eksempel på balanseringen av hensynet til kriminalitetsbekjempelse og hensynet til personvernet.

Samtidig er det et faktum at kriminalitetsbekjempelse foretas i en virkelighet der teknologien endrer seg fort. En konsekvens av dette er at de som forestår kriminalitetsbekjempelse, må vurdere om virkemidlene deres er tilstrekkelige, og om det trengs endringer i virkemidlene. Ett eksempel på at man ber om endrede virkemidler er da PST ønsket en lovendring slik at de skulle kunne «følge med på Internett», for eksempel ved å lagre informasjon fra sosiale medier og bruke såkalt stordataanalyse på opplysningene. Overvåking av Internett, rettet mot borgere som ikke gjør annet enn å benytte seg av ytringsfriheten og handlingsfriheten, uten mistanke om kriminelle handlinger eller hensikt, kommer potensielt i konflikt med grunnleggende rettssikkerhetshensyn og menneskerettigheter. Dersom slike virkemidler skal kunne tas i bruk, må det foretas tilstrekkelige vurderinger, slik at lovgiver har et grundig, troverdig og fullstendig grunnlag for sine beslutninger, se nærmere om dette i punkt 21.11.8 «Sikre balansen mellom personvern og et sikrere samfunn».

Utvidelser av kriminalitetsbekjempende metoder angår både samfunnet som helhet og det enkelte individ. Dette krever etter utvalgets syn mer enn et vanlig lovendringsarbeid. Det må sikres at denne formen for endringer i maktutøvelse fra staten overfor borgerne utredes av et balansert utvalg som kan stille de kritiske spørsmålene. Det må sikres at hensyn utover myndighetenes egne blir ivaretatt på en forsvarlig måte, og at det skapes en offentlig debatt.

Videre er det behov for ytterligere evaluering av eksisterende metoder som viderefører og utdyper Metodekontrollutvalgets undersøkelse Kommunikasjonskontroll og betydning for etterforskning, personvern og rettssikkerhet: En studie i erfaringene med bruk av metoden.102

[...]

Boks 23.3 Nasjonal kryptopolitikk

NSMs Sikkerhetsfaglig råd 2015 peker på at bruk av kryptografiske mekanismer har stor betydning for IKT-sikkerhet. NSM har et tett samarbeid med norsk kryptoindustri for utvikling av høygraderte kryptoløsninger. Uten et velfungerende samarbeid mellom industri og myndigheter ville nasjonen ikke evnet å utvikle kryptoløsninger for å sikre informasjon som er viktig for nasjonens sikkerhet. I Sikkerhetsfaglig råd 2015 er det fremmet en anbefaling om at «Forsvarsdepartementet og Justis- og beredskapsdepartementet bør videreutvikle en nasjonal kryptopolitikk for å sikre nødvendig nasjonal kryptokompetanse og utvikling av kryptoutstyr for høygradert informasjon» for å stimulere til innovasjon og produktutvikling. NSM har i tillegg tatt til orde for at det stilles krav til bruk av godkjente krypteringsløsninger for annen sensitiv informasjon, og at NSM blir gitt i oppdrag å legge til rette for dette.

[...]

23.8 Regulering av kryptografi

Politi og etterretning har legitime behov for avlytting av kommunikasjon. I økende grad gjør bruk av kryptografi tradisjonell avlytting umulig. Internasjonalt har det, både fra politi, etterretning og politikere, vært uttrykt et sterkt ønske om å gjøre noe med dette. Kryptografi er nødvendig for å beskytte kommunikasjon. Den enkelte borger, virksomheter og myndigheter er avhengige av trygg kommunikasjon.

Programvare for kryptografi er i dag lett tilgjengelig og lett å lage for programmeringskyndige. Det er svært enkelt å bygge småskalasystemer for kommunikasjon som hindrer tradisjonell avlytting. Når det ikke finnes teknologiske hindringer, vil ikke regulering eller forbud i seg selv hindre kriminelle i å bruke kryptografi.

Formålet med regulering av eller forbud mot kryptografi er derfor ikke å hindre uærlige aktører i å bruke kryptografi, men å gjøre det vanskeligere for dem å bruke vår kommunikasjonsinfrastruktur. Idéen er at om bare uærlige aktører bruker kryptografi, kan vi finne uærlige aktører ved å finne bruk av kryptografi.

Analysen avhenger av hvordan kryptografi forbys eller reguleres. Tradisjonelt har det vært tre måter å regulere kryptografi på: 1) ved å forby all kryptografi, 2) ved å forby sterk kryptografi, det vil si kryptografi som kan motstå ressurssterke aktører, 3) å påby bruk av kryptografi med bakdører, det vil si at myndighetene skal kunne dekryptere ved behov.

  • 1) Forbud mot kryptografi har vært forsøkt. Det er svært negativt for ærlige brukere, siden de ikke lenger kan kommunisere konfidensielt og alt kan avlyttes.

    Ideen bak et forbud er at myndighetene overvåker offentlige nettverk for å lete etter krypterte data. Det typiske kjennetegnet ved chiffertekst er at den ser svært tilfeldig ut. Steganografi er navnet på den underdisiplinen av kryptografi som dreier seg om å skjule kommunikasjon. Steganografi er ikke er så lett som man kanskje skulle tro, men det er rimelig å tro at man kan få etablert skjulte kommunikasjonskanaler, dog med liten båndbredde.

  • 2) Svak kryptografi vil være svært negativt for ærlige brukere, siden hele poenget med svak kryptografi er at den skal kunne brytes. Dermed kan ikke svak kryptografi sikre konfidensiell kommunikasjon.

    Det var lenge forbudt å eksportere sterk kryptografi fra USA. Forbudet gjorde livet vanskeligere for amerikansk IKT-industri og resulterte i dårligere sikkerhet i IKT-systemer både innenfor og utenfor USA. Det er grunn til å tro at dette forbudet bidro til etableringen av kryptoindustri utenfor USA.

    Et forbud mot sterk kryptografi vil være svært vanskelig å håndheve, fordi den eneste måten å avgjøre om det er brukt sterk eller svak kryptografi på, er å forsøke å dekryptere, og uærlige brukere kan dobbeltkryptere og gjemme sterk kryptografi inni svak kryptografi. Dermed kan uærlige aktører mer eller mindre fritt bruke sterk kryptografi.

  • 3) Kryptografi med bakdører har vært forsøkt i USA. Det såkalte Clipper-systemet i USA hadde en bakdør som skulle la myndighetene bryte kryptografien ved behov. Systemet virket aldri etter hensikten fordi det kunne saboteres, slik at myndigheten ikke kunne dekryptere.

    Kryptografi med bakdør er svært komplisert å lage og kostbart å bruke (nettverket må hele tiden sjekke at informasjonen som formidles, kan dekrypteres). Uærlige aktører kan fortsatt dobbeltkryptere, først med kryptografi uten bakdør, deretter med kryptografi med bakdør.

    En bakdør gjør det prinsipielt umulig å bruke en del viktige kryptoteknikker, noe som vil medføre alvorlig sårbarhet i IKT-infrastrukturen vår. Misbruk av bakdøren er en annen alvorlig sårbarhet. I tillegg er spørsmålet hvilke myndigheter som skal kunne bruke bakdøren. Er det norske myndigheter? Er det allierte staters myndigheter? Er det andre staters myndigheter?

    Det er altså svært vanskelig – kanskje umulig – å lage et system som samtidig ivaretar legitime behov for beskyttelse og avlytting. Det er rimelig å tro at begrensninger på lovlig bruk av kryptografi vil ramme norske borgere, virksomheter og myndigheter. Slike begrensninger vil ikke vesentlig hindre uærlige aktørers bruk av kryptografi, og de vil dermed heller ikke løse politiets og etterretningstjenestenes problem.

Utvalget vurderer alle disse tre alternativene som uakseptable. Det er dermed utvalgets oppfatning at

  1. bruk av kryptografi ikke skal reguleres eller forbys i Norge

  2. norske myndigheter bør arbeide aktivt mot regulering eller forbud internasjonalt

  3. nye etterforskningsmetoder må utvikles for å sikre effektivt politi- og etterretningsarbeid i en verden der mer og mer krypteres.

Utvalget mener i likhet med NSM159 at alle offentlige nettsteder bør kommunisere kryptert med innbyggerne. Utvalget mener at private nettsteder også bør kommunisere kryptert med brukerne sine.

Vedlegg

Committee of Digital Vulnerabilities in Society – Summary (73,9 kB

Se saken på nett-tv.

Se også saken på regjeringen.no.