Når NSM slår fast at «tjenestenektangrep er forstyrrende, ikke farlig», sender myndigheten et uheldig styringssignal til norske ledere. Lav teknisk kompleksitet er ikke det samme som lav samfunnsrisiko, skriver Roger Ison-Haug i Computerworld.
Da Nasjonal sikkerhetsmyndighet 4. august 2026 publiserte artikkelen «Tjenestenektangrep er forstyrrende, ikke farlig», var budskapet trolig ment å avdramatisere. Det er en oppsiktsvekkende kategorisk formulering fra Norges direktorat for nasjonal forebyggende sikkerhet.
NSM har rett i én snever betydning: et tradisjonelt tjenestenektangrep innebærer normalt ikke at noen har brutt seg inn, endret data eller hentet ut personopplysninger. En tjeneste overbelastes til den blir treg eller utilgjengelig. Men fra dette følger det ikke at angrepet er ufarlig. NSM forveksler her angrepsmetoden med konsekvensen. Det avgjørende er ikke hvor avansert angrepet er, men hvilken funksjon som rammes, hvor lenge den er utilgjengelig, og hvor mange som er avhengige av den.
Informasjonssikkerhet hviler på tre egenskaper: konfidensialitet, integritet og tilgjengelighet.
Likevel omtales sikkerhet ofte som om det bare handler om å holde uvedkommende ute. I vårt digitale samfunn kan det være like alvorlig at de autoriserte brukerne ikke slipper inn. Under angrepet 3.–4. august ble blant annet HelseID, Reseptformidleren og Kjernejournal berørt, og Apotek 1 bekreftet problemer. Det er ikke offentlig dokumentert hvor mange pasienter eller apotek som ble rammet, eller om utleveringen av legemidler faktisk ble forsinket. Hendelsen viste likevel hvor raskt et tilgjengelighetsangrep mot en digital felleskomponent kan forplante seg til helsetjenestene.
Ord fra NSM er ikke bare folkeopplysning. De leses av departementer, direktorater, kommuner, styrer og budsjetteiere. Når sikkerhetsmyndigheten sier «ikke farlig», kan det oppfattes som en åpning for å nedprioritere redundans, reservekapasitet, manuelle nødløsninger og øvelser, og for å akseptere at kritiske tjenester hviler på én leverandør eller én felleskomponent. I neste budsjettmøte kan «ikke farlig, bare irriterende» bli brukt som argument mot nettopp de investeringene i robusthet som NSM ellers etterlyser.
Myndigheten risikerer dermed å svekke den beredskapskulturen den er satt til å styrke. Retningen i både gjeldende og kommende regelverk er den motsatte. For informasjonssystemer omfattet av sikkerhetsloven er tilgjengelighet ved tjenstlig behov et uttrykkelig sikkerhetskrav. Digitalsikkerhetsloven krever at omfattede tilbydere reduserer konsekvensene av hendelser slik at tjenesteleveransen kan opprettholdes. NIS2-direktivet, som ennå ikke er gjennomført i norsk rett, forsterker kravene til risikohåndtering og virksomhetskontinuitet. Tilgjengelighet er derfor ikke bare et driftsanliggende, men også et sikkerhets- og ledelsesansvar.
Det seneste angrepet mot Digitaliseringsdirektoratet illustrerer poenget. Angrepet rammet ID-porten, MinID og flere andre fellesløsninger. Altinn, eSignering og Digital postkasse ble også påvirket, og enkelte berørte tjenester var i korte perioder helt utilgjengelige. Samtidig opplyste Digdir at det ikke var indikasjoner på sikkerhetsbrudd eller at personopplysninger var kommet på avveie.
Begge deler kan være sant: Det forelå ingen indikasjoner på inntrenging, og hendelsen var likevel alvorlig. Når en digital felleskomponent rammes, kan konsekvensene forplante seg til tjenestene, virksomhetene og innbyggerne som er avhengige av den. Det er selve kjennetegnet på systemrisiko.
Legg igjen en kommentar