Rapportene fra E-tjenesten og PST beskriver nasjonale og internasjonale forhold som påvirker trussel­bildet.  

Rapportene kan gi aktørene i vår næring innsikt og kunnskap til å ta gode beslutninger i møte med trusselbildet, og iverksette tiltak for å redusere risiko som er tilpasset den enkelte virksomhet. Siden trusselaktørene blir stadig dyktigere må også tiltakene forbedres. Løsningene som var gode i fjor er kanskje brukbare i år, men holder neppe mål neste år.

På regjeringens pressekonferanse 12. februar trakk justisminister Emilie Enger Mehl fram tre forhold å være spesielt oppmerksom på:

  1. Økt bevissthet om hvordan virksomhetene kan beskytte seg bedre.
  2. Nye og forsterkede trusler medfører behov for bedre verktøy til beskyttelse.
  3. Samordnet innsats for best mulig effekt av ressursene.

Norge som sentral gassleverandør

Norge er den viktigste leverandøren av gass til Europa og petroleumsindustrien har kunnskaper og benytter teknologi som er attraktive for både Russland og Kina. Derfor blir næringen nøye fulgt, og disse landene benytter ulike metoder i sine forsøk på å tilegne seg innsikt og kunnskap om de teknologiske løsningene.

PST sier at det ofte benyttes digital rekruttering gjennom sosiale medier og chattegrupper i spionasjearbeidet. Dette suppleres med avanserte cyberoperasjoner samt at norske kompetansemiljøer er attraktive for kinesiske akademikere.

Videre fremhever PST petroleumsnæringens virksomheters rolle som stabil energileverandør:

De er særlig utsatt fordi Norge har blitt en mer sentral energileverandør for Europa etter angrepskrigen mot Ukraina. Russland betrakter bruk av energirelaterte virkemidler som et sentralt ledd i å så splid i Vesten.

Nasjonal trusselvurdering 2024, PST

Verdikjeder

NSM påpeker at det kan være lettere å utnytte mindre selskaper og underleverandører enn de store aktørene. Derfor er det like viktig at også mindre selskaper har gode sikkerhetsrutiner. De påpeker videre fire viktige punkter:

  1. Kartlegg og bli kjent med dine verdikjeder
  2. Forbedre den digitale beskyttelsen
  3. Vær nøye med personellsikkerhet
  4. Tenk sikkerhet i verdikjeder og anskaffelser

Når virksomheten kjenner sine verdikjeder og har en god situasjonsforståelse, har den et godt fundament til å styrke beskyttelsen av virksomheten. Videre må en kjenne avhengigheter så som informasjons- og kommunikasjonssystemer, tjenester som er utkontraktert og andre underleverandører.

Sårbarheter hos en leverandør, er sårbarheter som påvirker din virksomhet. Gode rutiner for kvalifisering og sikkerhetsmessig oppfølging av leverandører er derfor viktig for virksomhetens sikkerhet.

Selv om den enkelte virksomhet har gode rutiner, er ikke dette alltid tilstrekkelig. NSM skriver:

Det er sjeldent den ansatte i seg selv er av interesse, men heller hvordan enkeltpersoner kan utnyttes som inngangsport til virksomhetens verdier. På denne måten kan en ansatt som i god tro trykker på en lenke eller åpner et vedlegg i e-post som tilsynelatende er sendt fra en kollega, gi en trusselaktør omfattende tilgang til virksomhetens nettverk og interne systemer.

Risiko 2024, NSM

Organisatoriske og menneskelige tiltak

Havtil har i sine tilsyn sett at å identifisere, iverksette og opprettholde virkningsfulle organisatoriske og menneskelige tiltak ofte kan være mer krevende enn for tekniske tiltak. Det er også vanskeligere å måle og verifisere virkningen av slike tiltak.

Det er derfor utfordrende å finne de gode løsningene i dette arbeidet. Like fullt viser rapportene at organisatoriske og menneskelige tiltak er like viktige som de tekniske løsningene.

Fjernarbeid

Tilgjengeliggjøring av sanntidsdata er en forutsetning for integrerte arbeidsoperasjoner. Sammen med fjerntilgang gir dette muligheter for bedre utnyttelse av intern og ekstern ekspertise.

Over tid har tilgangen på sikkerhetsløsninger for fjerntilgang økt. Samtidig ser vi at utnyttelse av sårbarheter også i sikkerhetsløsningene for fjernarbeid har økt. Det er derfor viktig å fortsatt forbedre sikkerheten knyttet til fjernarbeid, teknisk så vel som operativt.

KraftCERT

Gjennom Havtil sitt samarbeid med KraftCERT har operatører og redere tilgang til trusselvurderinger som er spisset inn mot sektoren. I desember 2023 ble denne trusselvurderingen supplert med en tiltakspakke som beskriver konkrete tiltak for hver av truslene.   

Vurderingene og tiltakene omhandler både de tekniske løsningene som benyttes i industrielle IKT-systemer,  samt anbefalinger knyttet til personell som har tilgang til disse systemene.

Trussel- og risikovurderingene

I RISKO 2024 – Nasjonal sikkerhet – et felles ansvar vurderer NSM risikoen for at samfunnet blir rammet av tilsiktede handlinger som kan skade viktige samfunnsinteresser.

PST sin årlige trusselvurdering Nasjonal trusselvurdering 2024 er en analyse av ventet utvikling innenfor PSTs ansvarsområde, som terror, spionasje og trusler mot myndighetspersoner.

I den årlige trusselvurderingen FOKUS 2024 gir Etterretningstjenesten analysen sin av status og ventet utvikling innenfor tematiske og geografiske område som tjenesten vurderer som særlig relevant for norsk sikkerhet og nasjonale interesser.

Du kan bidra til å forbedre det nasjonale situasjonsbildet

Gode sektorvise og nasjonale situasjons- og trusselbilder krever en fungerende kjede fra årvåkenhet hos den enkelte, gjennom rapporteringssystemer hos selskapene og videre rapportering til myndighetene.

Når virksomhetene har rutiner for intern varsling, samt system for viderevarsling til Havtil, KraftCERT, PST eller NSM, er det enklere for de ansatte å melde fra.

Havtil har inngått avtale med KraftCERT, som ivaretar den operative rollen som sektorvis responsmiljø for petroleumsnæringen. Alle cyberhendelser i sektoren varsles KraftCERT.

Hva må varsles?

Mistanke om, forsøk på eller gjennomført sikringshendelse, digitalt eller fysisk.

Hva skal varsles til Havtil?

Styringsforskriften § 29 angir kravene for varsling og melding om fare- og ulykkessituasjoner. Dette gjelder også for cyber og sikringshendelser.

Skjemaet finnes på https://www.havtil.no/kontakt-oss/varsle-oss/

Hvordan varsler du andre myndigheter?

Råd og veiledning

Benytt næringslivskontaktene i ditt politidistrikt. https://www.politiet.no/kontakt-politiet/naringslivskontakter/

Lenker til trusselvurderingene 2024