August har startet med flere tjenestenektangrep i Norge, både mot Digdirs tjenester, og mot Norsk Tipping. I media kan vi få inntrykk av at angrepet mot Norsk Tipping er verre for samfunnet, og at det egentlig ikke har noe å si om tjenestenektangrep gjør at digitale tjenester vi bruker i hverdagen blir utilgjengelige i timer eller dager.
På NRKs nettside kan vi lese at Nasjonal Sikkerhetsmyndighet også er av denne oppfatningen, at tjenestenektangrep er bare irriterende, ikke farlig. Opplevelsen av krenkelse og vondt i magen man får ved lekkasjer av sensitive data, som pasientjournaler og økonomiske opplysninger er nok ikke den samme bare fordi man ikke får logget inn på en tjeneste. Her står dataangrepet mot Lørenskog kommune som en kontrast, hvor sensitive data fra medisniske journaler har havnet på det mørke nettet (https://www.nrk.no/stor-oslo/xl/folsom-info-om-tusenvis-av-innbyggere-ble-funnet-pa-det-morke-nettet-1.17963757). Kanskje føles det til og mer verre at elsparkesykkelselskapet Ryde har hatt et datainnbrudd som gjør at informasjon om samtlige kunder er hentet ut.
Innen IT-sikkerhet, utgjør i teorien «KIT» et hellig triangel som skal beskyttes – konfidensialitet, integritet og tilgjengelighet. Tilgjengelighet har en tendens til å bli litt stemoderlig behandlet. I dagens samfunn er vi så avhengig av digitale systemer at nedetid i seg selv kan være svært problematisk og kostbart.
Natt til mandag 3. august ble digitale tjenester fra Digdir utsatt for tjenestenektangrep som gjorde at innlogging til mange offentlige tjenester ble utilgjengelig. Dette rammet ID-porten, Maskinporten, MinID, og en rekke løsninger som samfunnet er avhengige av og som bygger på disse tjenestene. Nedetiden varte ifølge loggen fra Digdir fra 00:50 på natten 03. august, og ble meldt å være tilbake i normal drift klokken 13:03 den 04. august. Det har tatt ytterligere tid før alle avhengige tjenester er normaliserte. Dette høres ganske teknisk ut, og kanskje også som «irritasjon» heller enn noe farlig. Men dette betyr:
Brukere får ikke logget inn hos offentlige tjenester som NAV, Helsenorge eller kommunale innsynsløsninger
Altinn og Skatteetatens løsninger fungerer ikke, slik at bedriftsregistreringer, rapportering og liknende vil ikke virke
Problemene forplantet seg også til helsevesenet og apotekene, hvor tilgang på medisiner og journaldata ble umulig: https://sykepleien.no/helsenorge-og-digitale-resepttjenester-tilbake-i-normal-drift-etter-dataangrep
Automatisk datadeling mellom etater stopper opp når maskinporten ikke fungerer. Dette gjelder for eksempel oppslag mellom NAV, Helsevesenet, Politiet og Skatteetaten.
Er dette alvorlig eller irriterende? Så lenge nedetiden ikke blir for lang kan vi nok hanskes med det. Dette har neppe ført til dødsfall eller andre svært alvorlige konsekvenser, men man skal ikke utelukke at det kan skje ved lengre bortfall av kritiske digitale tjenester. Bortfall av digitale tjenester avbøtes typisk med manuelle reserveløsninger og rutiner, men disse reduserer kapasiteten i tjenestene betydelig og vil bare blir brukt på de mest kritiske tilfellene.
De direkte forsinkelseskostandene av et slikt angrep er betydelige. Forsinkelser i tinglysninger, endring av legetimer, forsinkelser av medisinutlevering er ikke uten konsekvens. Det fører til kostnader, og det kan medføre betydelig ulempe og risiko for de som er avhengige av disse tjenestene.
Det som kanskje er verre er at tilliten vi har til det offentlige kan bli satt på prøve. Hvis nedetid på sentrale tjenester er et gjentakende problem, kan det skape mer motstand mot digitalisering, og de positive effektene vi som samfunn er avhengige av blir vanskeligere å oppnå.
Mens trusselaktøren her kan ha til hensikt å skape mistillit til det offentlige, og kanskje frykt i befolkningen, ønsker myndighetene å unngå at de lykkes med dette. Det kan være noe av grunnen til at man uttaler seg som man gjør om at «det er ikke et sikkerhetsbrudd, kun noe nedetid» og liknende. Digdir skriver for eksempel på sin nettside om angrepet at «Tjenestenektangrepet førte til at tjenestene i en periode var helt eller delvis utilgjengelige, men har ikke ført til sikkerhetsbrudd.» Dette har også blitt sendt ut som pressemelding, og NTB-omtalen med disse ordene har blitt gjentatt av de fleste mediehus.
Jeg synes vi skal slutte å omtale tjenestenektangrep som «irriterende», «rampestreker» og liknende. Når vi bygger et samfunn som er avhengig av digitale tjenester, er ikke bortfall av disse tjenestene irriterende – det er dyrt og kan så absolutt være farlig. Vi må motvirke trusselaktørens ønske om å ødelegge tilliten i samfunnet, men ikke ved å bagatellisere. Å ikke få tak i medisinen sin i tide er ingen bagatell, så kanskje virker denne språkbruken heller mot sin hensikt?