IT-håndtering i det offentlige

Den siste store virusplagen som har skyllet over oss de siste månedene har rammet over 10 millioner PC'er verden over. Viruset, som egentlig er det vi kaller en orm, har fått navnet "Conficker" og mistenkes å stamme fra Ukraina. Ormen utnytter en kjent sårbarhet i en service på både klient- og serverOS, så det er mange potensielle maskiner som kan bli rammet. Når man først er rammet prøver ormen å laste en ny versjon av seg selv, stenge ned en del tjenester osv. I bunn og grunn sørge for at man ikke får benyttet maskinen på vanlig måte. Du kan lese mer om dette her. Å "vaksinere" seg mot ormen er faktisk så enkelt som å kjøre Windows Update og hullet blir tettet. Dersom man allerede er infisert, er det et utall programmer som kan hjelpe deg.

Og her er vi ved kjernen av problemet. Staten har blitt rammet hardt, og ikke minst ble Politiet lammet av Confickerviruset i lang tid. Årsaken er rett og slett dårlig håndtverk fra IT-ansvarliges side. Det skrikes og hyles om at Windows og Microsofts programmer er full av huller og utsetter det offentlige for unødvendig risikoeksponering, men jeg mener at problemet ikke ligger i progamvaren, men hos de som jobber med IT i det offentlige. Som Digi skrev noen uker før Politiet ble angrepet av ormen: "Dumme brukere får virus". Det er faktisk så enkelt!

Det offentlige må virkelig skjerpe seg når det gjelder forvaltningen rundt sine IT-systemer, spesielt rundt de nettsentriske løsningene og klienthåndteringen. Det er som Eirik Rossen skriver i sin kommentar på Digi:

IT-sikkerhet handler bare til en viss grad om teknologi. Det handler først og fremst om brukere. Det handler om kultur, om å vise ansvar, om å ta forholdsregler, om å legge opp sin adferd i visshet om hva slags risiko man løper.

Og her har vår ordensmakt virkelig sviktet. Og det mener jeg ikke er akseptabelt overhodet. Hvordan skal de få gjort jobben sin dersom støttesystemene deres ikke fungerer? Eller enda værre, at uvedkommende kan få tak i opplysninger om straffesaker, bevis o.l. Når klientene og de nettsentriske løsningene er kompromittert, kan man f.eks. få bevis, avhør eller bilder til å forsvinne eller bli endret og ødelegge en etterforskning og gjerningspersonene kan gå fri. Kan og vil vi leve i et slikt samfunn der ordensmakten ikke klarer å forvalte systemene sine sikkert?

Det offentlige, og Politiet spesielt, bør ha et temmelig strikt sikkerhetsregime vedrørende sin forvaltning av IT-systemer og IT-infrastruktur. Det er klart at de ikke har IT og IT-sikkerhet som primæroppgave, men det finnes selskaper som oss i Atea som sitter på mye ekspertise for å redusere risikoen og gjennomføre arbeidet for å komme dit.

I fremtiden vil vi se mye mer av det som kalles cyber-kriminalitet, altså kriminalitet ved hjelp av nettet. Jeg håper virusangrepet virkelig var en tankevekker for de som har ansvaret og at de er seg ansvaret bevisst og gjør noe med utfordringene. Forsvaret klarer det, så her kan Politiet virkelig lære av dem.

Virus eller ikke, Wilhelms Widunderlige Werden vil alltid være tilgjengelig for alle...