Spørgsmål om tid før næste store cyberangreb

Danmark er et af de mest digitaliserede lande i verden. Det gør mange ting nemmere, men det gør os også meget sårbare som nation. Det siger James Hindsgavl, som er underviser på den helt nye Cybersikkerhedsuddannelse på EK – den første af sin slags i Danmark. I disse dage starter de første studerende, som skal være med til at afbøde den stigende sikkerhedstrussel mod Danmark.

"Hvis nogen vil skade os, er vi virkelig sårbare," sigerJames Hindsgavl med reference til blandt andet sabotage af kabler i Østersøen, jamming af GPS-signaler over Bornholm og senest Lolland samt Nets, der blev lagt ned.

Hvilket er noget af det, vi har hørt om. Men de fleste danskere ved ikke, hvor mange angreb kritisk infrastruktur bliver udsat for på daglig basis, og hvor galt, det har været ved at gå.

Kritisk infrastruktur under angreb

Eksempelvis er det mest omfattende målrettede angreb mod det danske energinet blevet afsløret: ”Det var i maj 2023. Her var det tankevækkende tæt på, at strømforsyningen blev ramt. Systemerne var så pressede, at de måtte skifte til såkaldt ’island mode’, hvor de kobler sig helt af det digitale netværk for at beskytte sig selv og manuelt styrer forsyningen til elnettet.”

I december lykkedes det hackere at manipulere med vandtrykket og sprænge et vandrør – der var tale om et mindre indgreb, men Center For Cybersikkerhed  har hævet trusselsniveauet, og det er derfor vi skal preppe og købe ekstra vand," konstaterer James lakonisk.

Situationen er særligt bekymrende, fordi Danmark befinder sig i en sårbar situation ift. Rusland. Men det er ikke kun russerne, der udgør en trussel.

"Både Rusland og Nordkorea har kastet ransomware efter os i mange år," fortæller James Hindsgavl. Angrebet der lagde Mærsk ned var fra russiske aktører, og mange virksomheder har haft problemer som følge af en nordkoreansk industri, der ved hjælp af ransomeware indsamler midler til landets drift”

Overvågning er blevet normen

Mens danskerne bekymrer sig om jodpiller, ligger den egentlige trussel i den teknologi, vi alle bærer rundt på til daglig. Pegasus-overvågningsteknologien, udviklet af Israel, er blevet solgt til slyngelstater og kan kompromittere alle mobiltelefoner. Som i alle uden undtagelse. Og uden at du kan gøre hverken fra eller til.

"Alle smartphones kan åbnes af Pegasus," siger James Hindsgavl. "Det er blandt andet derfor vores kamppiloter bliver udstyret med en Nokia 3210, men også for at undgå diverse applikationer sender lokationer til de forkerte.”

Men det er ikke bare Pegasus, vi skal bekymre os om.

”Når vores ministre har været i Rusland eller Kina, bortskaffes telefonen, når de kommer hjem, fordi telefonerne bliver inficeret på en måde, som er helt umulig at identificere.”

"Den eneste grund til, at vi andre går rundt med smartphones, er fordi vi tænker, at ingen gider lytte på os. Men vi slæber alle sammen rundt på overvågningsudstyr."

Med- eller modstander?

Danmark er en del af ’Nine Eyes’ – et overvågningssamarbejde med blandt andre USA, Canada og Australien – i alt ni lande – deraf navnet. Det giver amerikanske efterretningstjenester omfattende adgang til dansk kommunikation.

"De har adgang til alt, hvad der foregår på nettet og kan gå tre måneder tilbage. Email, søgninger - alt hvad de finder interessant bliver læst og undersøgt og sendt til USA."

"Og når amerikanerne kan lytte med – også i ministerier - så kan de jo fx skræddersy et tilbud, som gør, at alle andre end amerikanske kampfly falder ned af brættet. Selv om det ikke er et dokumenteret forløb, må vi erkende, at allierede også kan være modspillere, når det handler om handel og kontrakter," forklarer James Hindsgavl.

"Og det bliver ekstra svært at beskytte sig, når man i er et lille land, simpelthen fordi det kræver store ressourcer at sikre landets integritet mod fremmede statsmagter."

Hardware-afhængighed skaber blindhed

En væsentlig del af problemet er, at Danmark ikke selv producerer den kritiske teknologi, vi er afhængige af.

"Vi er lidt ristede som europæere, fordi vi ikke selv har hardware og platforme," siger James. "Tyskland er begyndt at kigge på ikke-amerikanske alternativer som fx Linux, fordi Microsoft har bagdøre og samarbejder med den amerikanske regering."

Mens amerikanske sikkerhedsstandarder kræver, at alle medarbejdere, der arbejder med produktion af følsomt udstyr sikkerhedsgodkendes, har Danmark ingen mulighed for at tjekke hardware i produktion, der kommer fra fx Kina og USA.

”Vi så, hvordan den israelske efterretningstjeneste havde held til at infiltrere forsyningskæden til leverance af personsøgere og udstyre dem med eksplosiver rettet mod en terrororganisation.”

I GDPR -regi ser vi også en kamp udspille sig mellem EU og techgigganter fra både Kina og USA. EU ønsker at beskytte borgere mod uforvarende at dele data og mod manipulation og desinformation.

Signatur sabotage

Mens det næppe er sandsynligt, at Rusland kommer rendende med kampvogne og soldater, så er digital sabotage en realitet, og noget vi skal regne med mere af.

"Og det er mindst lige så effektivt som en kampvogn. Hvis Tesla får en opdatering, som giver besked om, at 500.000 biler skal bremse samtidig, så... Derfor ser vi nu en ny disciplin, der i de seneste par år fylder stadigt mere inden for it-sikkerhed: OT – Operationel Technology der handler om at beskytte industrielle systemer, fordi pumper og ventiler og maskiner i dag kører på industriprotokoller, der er blevet et mål for ondsindede aktører"

Vi lever i en tid, hvor vores digitale infrastruktur er under konstant angreb fra sofistikerede aktører. Spørgsmålet er altså ikke, om det sker, men hvornår vi bliver ramt for alvor.

"Lige nu er Rusland mestre i digital irritation med fx GPS-jamming, og danske kommuner modtager cirka 400 cyberangreb om dagen. Vi kan ikke bevise, at det er dem, men det er lidt ligesom, når man forgifter mål med Novichok. Det er jo en signatur, som sender et signal."

Vejen frem

Cybersikkerhed ikke længere er et teknisk nicheområde, men en national sikkerhedsprioritet, og løsningen kræver både tekniske tiltag og en ny generation af cybersikkerhedseksperter. I Danmark ser vi store virksomheder, som har etableret ’blue teams’, der holder øje med trusler og reagerer hurtigt – som fx da Microsoft fik fjernet en ondsindet opdatering, der var spredt ud i Ukraine. Men der er brug for langt flere kompetencer.

"Vi er som land meget digitaliseret og måske netop derfor også relativt godt klædt på," vurderer James Hindsgavl, "men vi har brug for flere dimittender med cybersikkerhedskompetencer."

Nye EU-krav i form af NIS2-direktivet, AI-ACT og det kommende CRA – Cyber Ressilience Act stiller skærpede krav til cybersikkerhed og deling af data, i både offentlige og private organisationer, men problemet er, at de færreste ved, hvordan det skal implementeres, og hvordan det bliver en del af hverdagen.

Heldigvis udgiver James Hindsgavl inden længe en bog om netop NIS2, og hvordan virksomhederne kan implementere de nye krav.

Og også det, kan de kommende dimittender fra Cybersikkerhed hjælpe med.