Forsvarsminister Espen Barth Eide advarer i Bergens Tidende mot alvorlige dataangrep som kan stoppe strømforsyningen i hele landsdeler eller lamme den sivile luftkontrollen. Dataangrep kan i verste fall bli sett på som en krigshandling og utløse Norges og NATOs rett til selvforsvar etter folkeretten.

Sårbarheten øker

Både Avinor og NVE forsikrer at truslene om fiendtlige angrep på datasystemer tas på største alvor. De påpeker at det innen begge bransjer pågår arbeid for mer automatisering og større grad av integrering av ulike datasystemer — også på tvers av landegrensene. Det øker sårbarheten og muligheten for fiendtlig inntrengning.

Den britiske avisen The Guardian skrev i går at forskere ved Cambridge har avdekket et betydelig sikkerhetsproblem for en databrikke som brukes i både militære og sivile styringssystemer, eksempelvis i Boeings nye 787 passasjerfly. Det er en bakvei inn til databrikkens innhold og som ikke er kryptert, dermed er den sentrale databrikken sårbar for dataangrep. Det er ikke kjent hvilke konsekvenser et slikt angrep eventuelt kan få.

Kjell Grandhagen, sjefen for den militære etterretningstjenesten, har uttalt at "enda mer alvorlig enn spionasje-trusselen, er muligheten for å utnytte slik avansert inntrenging i datanettverk til å manipulere eller ødelegge datanettverkene for dermed enten å påvirke politiske og andre aktører i en krisesituasjon, eller for å endre, stanse eller ødelegge viktige samfunnsfunksjoner innenfor for eksempel telekommunikasjon, kraftforsyning, oljeproduksjon eller andre kritiske virksomheter som baserer seg på IKT styringssystemer".

Utspekulerte aktører

Norges Vassdrags— og energidirektorat har ansvaret for sikkerheten i og tilsyn med strømforsyningsnettet.

— Vi stiller krav til energiselskapene for å forebygge og begrense skader ved ekstraordinære hendelser. IKT-trusler er en av fem definerte hovedtrusler.

— NVE er oppmerksomme på stadig mer utspekulerte aktører og økende aktivitet for inntrenging i avanserte styringssystemer. Vi kan ikke utelukke noe som helst, ingen systemer er idiotsikre, og derfor må vi ha beredskap hvis noe skulle skje, sier seksjonssjef for beredskap, Arthur Gjengstø.

Samtidig understreker han at kraftsystemet i stor grad fortsatt har spesialiserte, skreddersydde løsninger og som driftes i lukkede nettverk.

— Det skal ekstremt mye til for at noen skal kunne trenge seg inn og eventuelt stoppe kraftnettet. En inntrengning i seg selv medfører ikke nødvendigvis at strømmen blir borte. Konsekvensene kan imidlertid bli store, hvis inntrengning fører til behov for feilretting i stort volum, sier Gjengstø.

Skjerper regelverket

— Vi jobber for tiden med ytterligere skjerping av regelverket, blant annet for strengere tilgangskontroll på datasystemene, og vi har foreslått en nordisk ordning for krisehåndtering, og som vi ønsker å utrede i Norden, sammen med Statnett og andre tilsvarende selskaper, sier Arthur Gjengstø.

— Avinor er veldig oppmerksomme på trusselen, og har etablert funksjoner som følger opp dette grundig. Luftkontrollen består av flere separate systemer, og flere er helt adskilt fra hverandre og har ikke tilgang til internett, sier Per Ingar Skaar, sjef for flynavigasjonstjenesten i Avinor.

— Noen av systemene har imidlertid koblinger mot det åpne nettet. Der har vi etablerte løsninger, og følger opp med tester og kontroll. Det er komplisert å angripe den sivile luftkontrollen. Hvis et system blir slått ut, har forskjellige nivåer som er uavhengige av hverandre. Man må ramme mange systemer samtidig for å lamme luftkontrollen, sier Skaar.

— Sannsynligheten for at et fly skal styrte som en følge av et dataangrep anser vi derfor som mikroskopisk, sier han.

Samtidig peker han på at det i Europa pågår et arbeid for større integrasjon mellom de nasjonale luftkontrollene. Årsaken er behov for større flytetthet i luftrommet på grunn av økende trafikk.

— Som en følge av dette vil kravene til datasikkerhet bare bli større og større, sier Skaar.

Lite sannsynlig

Lederen av kontrollsentralene, Jens Petter Duestad, sier Avinor har planer for hva som skjer hvis man mister luftkontrollen:

— Vi har planer for de eventualiteter vi kan forestille oss. Hva som er årsaken til at systemet faller ut, spiller egentlig ikke noen rolle. Skulle luftkontrollsentralene bli borte, noe det er en svært liten sjanse for, vil en flyger alltid kunne kontakte en annen enhet enn de som er berørt, også i Sverige. I tillegg er det utstyr i flyene som gjør at de ser hverandre.

— Dette er i ekstreme tilfeller og det anser vi ikke for å være sannsynlig. Likevel er vi i høyeste grad klar over at problemstillingen er reell, og vi bagatelliserer det ikke, sier Duesund.

Avinor har tre kontrollstasjoner i Norge; Røyken, Stavanger og Bodø.