Samfunnskritiske IKT-systemer: Hva bør beskyttes? Håvard Fridheim Sikkerhetskonferansen 2009 [email protected] Beskyttelse av samfunnet Prosjekter • 1994-1997 • 1997-1999 • 1999-2001 • 2001-2003 • 2004-2007 • 2007-2010 Beskyttelse av samfunnet (BAS1) Sårbarhet i offentlig telekommunikasjon (BAS2) Sårbarhet i kraftforsyningen (BAS3) Sårbarhet i transportsektoren (BAS4) Sårbarhet i kritiske IKT-systemer (BAS5) Scenarioer og samfunnssikkerhet (BAS6) Tema i foredraget • Hva er samfunnskritisk IKT? – Historisk? – I dag? • Beskyttelse av samfunnskritisk IKT – Det offentliges rolle? Tradisjonell tenkning rundt beskyttelse av samfunnskritiske virksomheter (herunder IKT) Top-down: • Utgangspunktet har som regel vært ”rikets sikkerhet” • Identifisere hvilke sektorer som er viktige • Identifisere viktige IKT-systemer innenfor disse sektorene • Sette krav om sikring av de kritiske IKT-systemer • • Prosessen er styrt og drevet av det offentlige: – Lover/forskrifter/retningslinjer – Supplert med tilsyn – Offentlige pålegg om sikkerhetstiltak Tidligere var systemene også eid av offentlige aktører Hvilke IKT-systemer er viktige? Tradisjonell tenkning: 1. Systemer som understøtter krisehåndtering – Krisesamband, beslutningsstøttesystemer, informasjonsbilder 2. Kritiske infrastrukturer (for militære operasjoner?) – Energi, telekommunikasjon, transport – Drifts- og styringssystemer innenfor disse 3. Viktige funksjoner i hverdagen – Kritiske infrastrukturer igjen – Men også finans (verdipapiroppgjør, elektronisk betalingsformidling), helse (trygdeutbetalinger, elektroniske pasientjournaler), næringslivet (prosesstyring, logistikksystemer)... • Sterkt situasjonsavhengig! – Scenario/situasjon driver behovet Beskyttelse av samfunnet 2: Sårbarhet i offentlig telekommunikasjon (1999) • • • • Basert på en innledende rangering av kritiske samfunnsfunksjoner Scenariobasert gjennomgang av sårbarheter og konsekvenser av svikt i tjenester fra det offentlige telenettet Leveranse: – En prioritert liste over kosteffektivitetsberegnede tiltak (mye tradisjonell fysisk sikring) – Forslag om et offentlig regime som finansierte og håndterte beredskapsarbeidet innenfor infrastrukturen Virkning: – Økt fokus på teleberedskap, sårbarheter i infrastrukturer – Stortingsmelding 47 (2000-2001): Telesikkerhet og -beredskap i et telemarked med fri konkurranse – Viktig grunnlag for Sårbarhetsutvalget (2000) – (Men kun et fåtall av tiltakene ble gjennomført) Vil dette fungere i dag? Sannsynligvis ikke: • Mer dynamisk, mindre hierarkiserbart samfunn – Deregulering, konvergens, hurtigere anvendelse… – Vanskeligere å identifisere ”risikoobjekter” • Ingen klar forventning om hvilke kriser vi kan bli utsatt for – ”Ingen” tror på de store krisesituasjonene lenger, men lover og forskrifter har ofte sikkerhet mot disse som utgangspunkt • Mange konkurrerende målsettinger innen sikkerhet – Ikke minst pga. dramatisk økt anvendelse av IKT-baserte tjenester – IKT er en forutsetning for de fleste goder/tjenester i samfunnet – Hva skal da telle mest? • Individets eller samfunnets behov, myndighetenes eller virksomhetenes? • Tverrsektorielt problem – Hvem har ansvaret for sikkerheten? Anvendelse av IKT endrer seg hele tiden • • • Nye sosiale tjenester – Nye former for sosial samhandling, selvorganisering, osv. – Hvordan vil dette påvirke moderne krisehåndtering? Én infrastruktur, alle tjenester – Tjenestekonvergens – Aksess til alt fra ”PC” på innerlomma – Vanskelig å forutsi effekten av feil (både for ”angriper” og ”beskytter”) – Teknologien er i utgangspunktet robust, men arkitekturen kan gi sårbare løsninger Sensorsamfunnet – Ubiquitous Sensor Network – allestedsnærværende sensornettverk – Registrerer menneskelig bevegelse/ID, egenskaper til målet det er utplassert ved osv. – Overalt, alltid, i sanntid – Hvem samler denne informasjonen? Allestedsnærværende sensornettverk Hentet fra: Daeyoung Kim, Ubiquitous Sensor Networks (2006) Konsekvenser av utviklingen? • Det blir vanskelig å si at det ene IKT-systemet er mer viktig enn det andre – Noen åpenbare kandidater finnes fremdeles • Sentrale driftssystemer i infrastrukturer og samfunnsfunksjoner – Men i verste fall snakker vi bare om ”ett stort system” – Viktig for hvem? Når? Hvorfor? • Ny anvendelse av IKT gjør det nødvendig å tenke nytt rundt sikkerhet – Hvilken rolle skal det offentlige ha? Hva kan vi gjøre? Bruce Schneier, amerikansk sikkerhetsekspert: • ”Security is a process, not a product” Mulig tolkning? • Vi har tradisjonelt vært for fokusert på produktene som skal løse våre problemer: – Den gode strategien, forskriften, tiltakslistene, prioriteringslistene… – Dette blir stadig mindre meningsfylt på IKT-området • Utviklingen går for raskt (foreldelse) • Kompleksiteten øker (relevans) • Sikkerhet må være en del av den løpende beslutningsprosessen i virksomhetene, og ikke komme som pålegg i ettertid (fra ledelsen, fra offentlige organer) – Mer fokus på det kommersielt drevne sikkerhetsarbeidet – Mindre rom for ”rikets sikkerhet” – Evne til rask avvikshåndtering viktigere enn forebygging Det offentliges rolle? • Naturlige avklarende spørsmål: – Hvilke utfordringer og trusselbilder skal sikkerhetsarbeidet rettes mot? – Hvilke ambisjonsnivåer og målsettinger skal vi arbeide mot? – Hvilke virkemidler kan, basert på relevans og realisme, bidra til å oppfylle målsettingene? • Virkemidler må vurderes i en kontinuerlig løpende prosess – Ikke generelle krav uten målsetting – Ikke ”skippertaksbaserte” tiltakslister, statiske krav og rangeringslister osv. – Virkemidlene må være gjennomførbare, både med hensyn til tilgjengelige økonomiske ressurser og forvaltningens kompetanse om problemene Hvilke virkemidler er aktuelle? • Storkunde på vegne av samfunnet – Være pådriver for hensiktsmessige kundeavtaler ift. sikkerhet • Kompetanseutvikler for ”massene” – Utvikle bredt anlagt informasjon om IKT-sikkerhet til ulike typer kundegrupper, f eks i form av best practices og guidelines • Føre tilsyn med at beredskapsplaner utvikles og følges ut fra en minimumsstandard • Arrangere faglig samarbeid mellom konkurrerende aktører på området - samøvelser Beskyttelse av samfunnet 2: Sårbarhet i offentlig telekommunikasjon (1999) • • • • Basert på en innledende rangering av samfunnsfunksjoner En systematisk scenariodrevet gjennomgang av sårbarheter og konsekvenser av svikt i den sentrale offentlige IKT-infrastrukturen på slutten av 1990-tallet Løsningen var: – En prioritert liste over kosteffektivitetsberegnede tiltak (mye tradisjonell fysisk sikring) – Forslag om et offentlig regime som finansierte og overså sikkerhetsarbeidet innenfor infrastrukturen Virkning: – Økt fokus på teleberedskap, sårbarheter i infrastrukturer – Stortingsmelding 47 (2000-2001): Telesikkerhet og –beredskap i et telemarked med fri konkurranse – Sentralt grunnlag for Sårbarhetsutvalget (2000) – Men kun et fåtall av tiltakene ble gjennomført Dette er ikke svaret • Takk for oppmerksomheten!