38
Vannspeilet 4–2020
Hvordan er IKT-sikkerheten hos norske vannverk? – Har vi blitt bedre siden Mattilsynets undersøkelse i 2016 etter flere år med økt fokus?
| Av Martin Gilje Jaatun, SINTEF Digital og Jon Røstum, Powel/Volue De seinere år har det vært et økende fokus på informasjonssikkerhet i vannbransjen. I 2016 gjennomførte Mattilsynet en undersøkelse blant norske vannverk om informasjonssikkerhet, som fikk Nasjonal Sikkerhetsmyndighet (NSM) til å utbryte «Vannbransjen skjønner ikke at vi ikke skjønner!» Dette var i 2016, og spørsmålet nå er om vannbransjen i Norge står bedre rustet overfor de digitale truslene? I løpet av sommeren 2020 ble det gjennomført en spørreundersøkelse blant norske kommuner for å få rede på hvordan det nå står til med IKT-sikkerheten. Noen av resultatene fra denne spørreundersøkelsen diskuteres i dette innlegget. Som en del av STOP-IT prosjektet ble det i løpet av juni 2020 gjennomført en spørreundersøkelse blant norske kommuner knyttet til IKT-sikkerhet for å få et overblikk over nivået på bevissthet og beredskap når det gjelder cybersikkerhet i vannbransjen. Informasjonssikkerhet er hele organisasjonen sitt ansvar, men et ekstra ansvar hviler på ledelsen for å sikre at det blir satt fokus på problemstillingen. Både når det gjelder forankring hos ledelsen og bevissthet i hele organisasjonen ser vi en negativ utvikling siden 2016. Om det faktisk står dårligere til, eller om det skyldes at en nå har fått øynene opp for at informasjonssikkerhet ikke var så lett som en opprinnelig trodde, er usikkert. En ser derimot en forbedring knyttet til bruk av passord. Flere enn tidligere har personlige brukernavn og passord. Tilsvarende utvikling er det også når det gjelder fjerning av standard passord i IT-løsningene. Til tross for en positiv utvikling, er det fortsatt vannverk som ikke har unike brukernavn og passord, og det finnes også IT-løsninger som bruker standard passord.
Drikkevannsforskriften § 8 setter krav til nødvendig kompetanse og opplæring. Dette inkluderer også kompetanse og opplæring knyttet til informasjonssikkerhet hvor det er hver enkelt ansatt
som utgjør «forsvaret i dybden». Det er som figuren viser en økende andel av kommunene som mener at det ikke er gode nok rutiner for å sikre tilstrekkelig opplæring og videreutdanning av