Leverandørkjeden blir en angrepsflate

I dagens sikkerhetspolitiske situasjon er skillet mellom sivil og militær infrastruktur i praksis visket ut. Kritiske samfunnsfunksjoner er blitt en del av beredskapen og er dermed også et mål. Når cyberangrep rammer styringen av kritiske funksjoner, blir uklare ansvarsforhold et alvorlig styringsproblem.

Det er ikke de best beskyttede systemene som avgjør cyberrobustheten, men gjerne de svakeste leddene i verdikjeden. Funnene i rapporten How Cyber Resilient is Norway? fra DNV Cyber viser at mange virksomheter som forvalter kritisk infrastruktur fortsatt har begrenset oversikt over egne avhengigheter, og er usikre på hvem som faktisk har ansvar når en cyberhendelse eskalerer.
    Over halvparten av norske ledere i sektorer som klassifiseres som kritiske, ser på cybersikkerhet i kritisk infrastruktur som noen andres ansvar. Samtidig er én av tre usikre på om deres egen virksomhet i det hele tatt er en del av kritisk infrastruktur.
    – Vi står overfor et sammensatt trusselbilde der både statlige og kriminelle aktører systematisk forsøker å kartlegge og teste sikkerhetsbarrierene vi har bygget opp. Målet er ikke alltid å slå ut systemer, men å finne svakheter som kan utnyttes når det passer dem best, sier Arve Johan Kalleklev, direktør i DNV Cyber.

For Forsvaret og forsvarsindustrien er dette en strategisk utfordring. Moderne forsvarsevne er tett integrert med sivil infrastruktur, kommersielle teknologiplattformer og globale leverandørkjeder. Når det sikkerhetspolitiske bildet skjerpes, blir evnen til å forstå og styre disse avhengighetene avgjørende, ikke bare for operativ kontinuitet, men for nasjonal motstandskraft.
    Samtidig har cybertrusselbildet endret karakter. Digitale angrep brukes i økende grad som del av statlig press og påvirkning, ofte under terskelen for åpen konflikt. De mest effektive angrepene retter seg sjelden direkte mot militære mål. I stedet utnyttes sivile systemer, leverandørrelasjoner og digitale grenseflater der ansvarsforhold og beredskap er uklare.
     – Mange virksomheter tenker fortsatt på cybersikkerhet som et spørsmål om teknologi og verktøy. I realiteten handler det like mye om styring, ansvar og samhandling på tvers av aktører, sier Arve Johan Kalleklev.

Dette blir særlig tydelig i skjæringspunktet mellom OT, som styrer fysiske anlegg og prosesser, og IT, som håndterer data, systemer og nettverk. Industrianlegg, produksjonssystemer og logistikkplattformer som tidligere var analoge og isolerte, er i dag digitaliserte, fjernstyrte og tett koblet til IT-miljøer og eksterne leverandører. Dermed viskes også skillet mellom teknisk drift og sikkerhetspolitisk betydning ut.
    – Når et digitalt avvik oppstår i et operativt system, er det ikke alltid åpenbart når det går fra å være et driftsproblem til å bli et beredskapsspørsmål. Hvem tar styring da? Hvem prioriterer? Det er her mange organisasjoner får utfordringer, sier Kalleklev.
    Til tross for tydeligere rammeverk og regulering på nasjonalt nivå, oppstår det fortsatt friksjon der verdikjedene møtes. Gjensidig avhengige virksomheter leverer kritiske funksjoner, også til forsvarssektoren, uten at ansvars- og beslutningslinjer nødvendigvis er tydelige når situasjonen eskalerer.
    Men regelverk alene skaper ikke robusthet. De virksomhetene som lykkes best, er de som bruker kravene som utgangspunkt for dialog og felles forståelse, snarere enn som en statisk sjekkliste.
    – Cyberrobusthet bygges i samtalen mellom de som utvikler, leverer og drifter systemene og de som har ansvar for beredskap og operativ tilgjengelighet. For forsvarsrelatert industri handler det i økende grad om å forstå egen rolle i et større bilde, sier Kalleklev.

Arve Johan Kalleklev, direktør i DNV Cyber.