Nylig sammenslåtte kommuner spesielt utsatte for nettangrep og svindel

Når flere gamle kommuner slås sammen til én kommune, slås også ulike kulturer, praksiser og kommandolinjer sammen. Det kan gjøre det vanskeligere å oppdage sikkerhetsbrudd, mener Kai Roer, som er daglig leder i selskapet CLTRe – det globale forskningssenteret til IT-sikkerhetsselskapet KnowBe4.

– Vi ser at det er en utfordring, spesielt i sammenslåtte kommuner som har en veldig ulik kultur på sikkerhet før de slo seg sammen. Det kan oppstå situasjoner hvor de ansatte ikke vet bedre og hvor kommunene ikke har systemer for å fange opp dette.

Les også: Vedtok å beholde krisesenteret (+)

Bryter seg inn med e-post

Roer mener at ansatte i nylig sammenslåtte kommuner som Drammen trenger tilpasset opplæring i tillegg til generelle rutiner for hvordan man oppdager- og kan unngå nettangrep og svindel.

– Den vanligste måten å bryte seg inn i systemer i dag er gjennom e-post. Det er flere måter man kan oppdage det på; gjennom teknologi eller ved at det blir fanget opp før det når ut til brukerne, som blir mye brukt. Men en del kommer gjennom filtrene, og da er det opp til den ansatte å oppdage- og å rapportere det, forklarer Roer.

Kan få store konsekvenser

Dersom kommunen skulle bli hacket kan konsekvensene ifølge Roer være alt fra nesten ingenting til samfunnskritiske.

– Vi kan tenke oss at karakterutskrifter kommer på avveie – eller styringssystemet til vannverk og renseanlegg, eller at man kommer inn i systemene til leger og dermed får tilgang til pasientjournaler. Det ville i høyeste grad vært uheldig.

Les også: – Hvis det hadde vært så enkelt at du kan tenke deg frisk, så ville ikke ME eksistert

Anbefaler tilpasset opplæring

Roer trekker også frem en type nettangrep som har blitt et globalt problem: såkalte løsepenge-virus.

– Det som skjer da, er at systemer blir kryptert – altså utilgjengeliggjort slik an man ikke lenger får tilgang til informasjonen man trenger for å gjøre jobben sin. Hackerne vil så kreve et beløp i løsepenger for å låse opp systemet igjen, og det kan ende med at man bruker mye penger for å kanskje få tilgang. Dette er noe vi ser masse av i Norge også, for eksempel hos Norsk Hydro i fjor.

– Hva kan gjøres for å unngå slike angrep?

– Min generelle anbefaling er at man må stoppe opp og spørre seg selv: Hvordan er egentlig ståa i dag? Når man har kartlagt hvordan det faktisk ligger an i forbindelse med IT-sikkerhet i en organisasjon må man finne de nødvendige tiltakene for å opprettholde sikkerheten. Her er riktig type opplæring tilpasset alle ansattes behov viktig – på tvers av hvilke roller de har, kunnskapsnivå, interesse og fagfelt. Når opplæring i rutiner tilpasses får man effekt, sier Roer og legger til:

– I en kommune burde kommunalsjefene for skole og utdanning, helse og omsorg og så videre ha et ansvar for tilpasset og tilstrekkelighet blant sine ansatte.

Les også: Positive NAV-tall for Drammen

Koronaviruset øker risikoen

Roer mener også at koronaviruset gjør nylig sammenslåtte kommuner enda mer utsatte for nettangrep, da dette er en ekstra stressende faktor som går ut over oss alle.

– En slik stressfaktor bringer masse ekstra usikkerhet for de aller fleste. Stress og usikkerhet er to viktige nøkler som hackere og kriminelle bruker for å ta kontroll på deg og atferden din. Derfor er det farlig.

Roer forklarer at når man er stresset – for eksempel på hjemmekontor med små barn eller på grunn av usikker fremtid, så responderer hodet annerledes i forhold til når man er avslappet og har kontroll.

– Når man stresser går «guarden» vår ned. Man bruker kontrollene man har lært seg på autopilot og tar gjerne snarveier – man gjør rett og slett ting før man tenker seg om. Da er det fort gjort å åpne den e-posten som ellers ville sett mistenkelig ut.

Ingen nettangrep i Drammen

Virksomhetsleder IKT i Drammen kommune, Svein Hilding Aasen, forteller at Drammen kommune ikke har opplevd forsøk på nettangrep – verken etter kommunesammenslåingen eller etter at koronaviruset brøt ut i Norge. Aasen sier også at fokuset på nettsikkerhet i begge sammenhenger har vært stort – det ble blant annet kjørt et prosjekt i forkant av kommunesammenslåingen med fokus på risikoanalyser.

– Sammenslåingen var en stor oppgave, men de gamle kommunene Drammen, Nedre Eiker og Svelvik hadde alle Drammensregionen IKT som leverandør, og dermed hadde vi allerede mye kunnskap om rutinene til de andre kommunene da sammenslåingen ble foretatt, forklarer Aasen.

Aasen forteller videre at det som tidligere het Drammensregionen IKT- og som nå er Virksomhet IKT, har vært en ganske stor organisasjon med fokus på sikkerhet gjennom mange år.

– Vi har også eksternkompetanse rundt sikkerhetsområdet – blant annet fora med Asker- og Bærum kommune, som er i samme situasjon som oss, og som har samme måte å være organisert på. Veksel på erfaringer fra andre kommuner er gunstig, i tillegg til at vi abonnerer på nasjonale sikkerhetsløsninger, har gode rutiner når vi setter i gang nye ting, nye løsninger, eller implementerer noe nytt.

Les også: «Beleilig» koronakrise har gitt sportslig utvikling for Godset-damene (+)

– Vi er ikke veldig bekymret

I tillegg til at kommunen har gode rutiner når nye ting introduseres, forteller Aasen at de også har gode prosesser for å registrere avvik.

– Dette er noe vi er veldig opptatt av, og noe vi følger nøye med på. Også her har vi et tett samarbeid med andre kommuner, og vi blir også varslet om trusselfarer. Hittil har vi Ikke opplevd noe forsøk på hacking, og med det apparatet vi har rundt oss er vi ikke veldig bekymret, sier Aasen og tilføyer:

– Men man er jo aldri 100 prosent trygg – det finnes alltid noen der ute som vil prøve å benytte muligheten.

– Målet er å fange opp i forkant

Aasen nevner, som Roer, angrep gjennom e-post som et typisk avvik som kunne forekommet i kommunen.

– Det kan for eksempel komme igjennom en e-post som en ansatt trykker på. Hvis man da åpner opp en lenke er det mulig at man kommer innenfor systemet. Dette har vi informert sluttbrukere om, og målet er å fange opp disse tingene i forkant gjennom beskyttelsesverktøy og varslingssystemer. Vi har også egne folk som jobber dedikert med sikkerhet og sikkerhetsprodukter – dette er et stort fokusområde hos oss.

Les også: Telttur for nybegynnere

Har gitt tilpasset opplæring

Ifølge Aasen er IKT-sikkerhet et tema som er oppe i kommunen ofte, blant annet gjennom regelmessige workshops med ledelsen. I forbindelse med kommunesammenslåingen hadde også IKT et hovedprosjekt om sammenslåing som var delt opp i seks underprosjekter.

– Dette var for skole og utdanning, helse og omsorg, tekniske løsninger, saksarkiv og felles IKT-platform og administrative løsninger. Her fikk de brukertilpasset opplæring på systemene innenfor de sektorene eller områdene de hadde ansvar for, forklarer Aasen.