Sikkerhet i en urolig verden: KI, geopolitikk og industriens vei fremover

På skjermen i møterommet ser dere økonomidirektøren delta i et videomøte fra en konferanse i utlandet, og hun ber om at en hastebetaling sendes til en ny leverandør innen klokken tolv, fordi en politisk situasjon i et naboland gjør at vanlige rutiner må vike. Ansiktet er hennes, stemmen er hennes, og hun nevner interne detaljer som bare ledergruppen kjenner til. Det er bare ett problem: Økonomidirektøren har aldri ringt.

Et slikt scenario hørte for få år siden hjemme i en spionfilm. I dag er det en realistisk situasjon, og det tar under et minutt å gjenskape økonomidirektøren. Stemmen, ansiktet, måten hun formulerer seg på. Verktøyene som gjør det mulig er tilgjengelige for langt flere enn statlige aktører.

Samtidig endrer verden rundt oss seg raskere enn vi har vært vant til. Krig i Europa, skjerpede stormaktsforhold, nye eksportkontroller og en teknologiutvikling som går raskere enn både virksomheter og regulering klarer å henge med på, gjør at trusselbildet ikke lenger handler bare om datasikkerhet i tradisjonell forstand. Det handler om hvordan virksomheten skal stå seg i en periode som ser ut til å bli mer urolig, ikke mindre.

Når geopolitikk blir en del av sikkerhetsarbeidet

Krigen i Ukraina markerte et tydelig skifte. Allerede på invasjonsdagen i februar 2022 ble satellittjenesten KA-SAT rammet av et målrettet cyberangrep, som spredte seg til sivile abonnenter i flere europeiske land. Hendelsen illustrerte noe vi må ta inn over oss: Når kriger føres med digitale virkemidler, kan tilfeldige tredjeparter rammes.

For norsk industri og næringsliv betyr dette flere ting samtidig. Vi er nabo til Russland, vi er medlem av NATO, og vi er en betydelig eksportør av energi og maritim teknologi. Vår digitale infrastruktur, undersjøiske kabler, kraftforsyning, havbruk og energiforedling er ikke bare næringsvirksomhet, men også del av et bilde som overvåkes nøye av aktører med helt andre mål enn kommersiell konkurranse. Etterretningstjenestens og PSTs åpne trusselvurderinger har de siste årene gjentatt det samme budskapet: Skillet mellom nasjonal sikkerhet og næringslivets sikkerhet er i ferd med å viskes ut.

Til dette kommer mer langsiktig pre-posisjonering. Amerikanske myndigheter har de siste årene advart åpent om at statlige aktører plasserer seg i kritisk infrastruktur lenge før et tenkt konfliktscenario. Kampanjen kjent som Volt Typhoon, knyttet til kinesiske aktører, er et tydelig eksempel. Målet ser ikke ut til å være umiddelbar økonomisk gevinst, men tilgang i beredskap, dersom situasjonen skulle endre seg. For en virksomhet som drifter kraftverk, vannforsyning, telekommunikasjon eller havner, er dette ikke en akademisk problemstilling.

KI: Et tveegget verktøy

Generativ kunstig intelligens har på få år gått fra forskningsfelt til hverdagsverktøy. Det gir muligheter, men også en helt ny verktøykasse for trusselaktører.

Phishing var i mange år gjenkjennelig på dårlig språk, klønete formuleringer og merkelige avsenderadresser. Med moderne språkmodeller er den tiden forbi. En angriper kan nå produsere troverdige meldinger på flytende norsk, tilpasset bransje, rolle og pågående saker, i stort volum og til lav kostnad. Deepfake-teknologi, der både stemme og bilde kan etterlignes, gjør at også telefon- og videomøter må betraktes med en annen skepsis enn før.

Saken som rammet det britiske ingeniør- og designselskapet Arup tidlig i 2024, omtalt nærmere i faktaboksen, illustrerte dette tydelig. En ansatt deltok i et videomøte med flere antatte kollegaer, og utførte i god tro betydelige overføringer i etterkant. Senere viste det seg at alle de andre i møtet var KI-genererte. Det vi tradisjonelt har lært ansatte å se etter, var ikke lenger nok.

Krevende med bruk av KI internt

Samtidig er KI også et viktig forsvarsverktøy. Det brukes til å oppdage avvikende mønstre i nettverkstrafikk, til å analysere store mengder logger, til å støtte hendelseshåndtering og til å gjøre det enklere å holde oversikt over sårbarheter i komplekse miljøer. På sikkerhetssiden er KI ikke et alternativ til mennesker, men et verktøy som kan gjøre kompetente fagmiljøer betydelig mer effektive.

Mer krevende er bruken av KI internt i virksomhetene. Når ansatte limer inn kontrakter, kildekode, kundedata eller produksjonsdetaljer i offentlige tjenester for å spare tid, kan informasjon havne på avveie uten at noen oppfatter det som en sikkerhetshendelse. Mange virksomheter har ennå ikke etablert tydelige retningslinjer, opplæring og tekniske kontroller for ansvarlig bruk av KI.

EUs forordning om kunstig intelligens, AI Act, vil de nærmeste årene stille konkrete krav på dette området, særlig for systemer som brukes i kritiske prosesser.

Et nyere felt er såkalte KI-agenter, autonome systemer som kan utføre oppgaver på egen hånd, koble seg til andre systemer og treffe beslutninger uten menneskelig mellomledd. Slike systemer åpner for store gevinster, men også for nye angrepsflater. Promptinjeksjon, der instrukser smugles inn i data agenten leser, og misbruk av tilganger agenten har fått for å utføre legitime oppgaver, er problemer vi bare så vidt har begynt å forstå.

Avhengigheter i et endret teknologilandskap

Det internasjonale teknologilandskapet ser annerledes ut enn for ti år siden. Eksportkontroll på avansert halvlederteknologi, ulike sanksjonsregimer, krav om datalokalisering og en tydeligere bevissthet om hva utenlandsk eierskap betyr for kritiske tjenester, preger handlingsrommet til både virksomheter og myndigheter. For en norsk industribedrift kan dette utløse spørsmål man tidligere ikke trengte å stille:

• Hva skjer hvis en tjeneste produksjonsstyringen er bygget rundt, blir omfattet av eksportrestriksjoner?

• Hva betyr lovgivning som CLOUD Act for data lagret hos skytjenester underlagt fremmed jurisdiksjon?

• Har vi en plan dersom rammeverkene for dataoverføring mellom EU og tredjeland endrer seg, slik vi har sett gjennom Privacy Shield og Data Privacy Framework?

• Hvem eier egentlig den programvaren produksjonen er avhengig av, og hva slags risiko følger med eierskapet?

Begrepet digital suverenitet brukes stadig oftere, også utenfor politiske dokumenter. I praksis handler det om å forstå hvor virksomheten har avhengigheter den ikke kan kontrollere selv, og om å ha valgt disse avhengighetene bevisst.

Det betyr ikke at alt skal flyttes hjem, eller at internasjonale leverandører bør unngås. Det betyr at avhengighetene må være kjent, vurdert og kompensert for der det er mulig. Åpen kildekode er en vesentlig del av dette bildet. Mye av den infrastrukturen virksomheter hviler på, er programvarekomponenter som vedlikeholdes av enkeltpersoner og små frivillige miljøer. Hendelser som xz-utils-bakdøren, som ble oppdaget i siste øyeblikk våren 2024, illustrerer hvor utsatt slike komponenter kan være for langsiktig infiltrasjon. EUs Cyber Resilience Act og økt oppmerksomhet om SBOM (Software Bill of Materials) er blant tiltakene som er på vei.

Den kvantesikre fremtiden

Et siste tema som hører hjemme i en samtale om fremtiden, er kvantedatamaskinen og dens konsekvenser for kryptografien som beskytter dagens kommunikasjon.

Kvantedatamaskiner som er kraftige nok til å bryte mye av dagens asymmetriske kryptografi, finnes ennå ikke. Likevel planlegger standardiseringsorganer, myndigheter og store teknologimiljøer allerede for en overgang til kvantesikre algoritmer. Trusselen kalles ofte harvest now, decrypt later: data som stjeles og lagres i dag, kan dekrypteres om ti, femten eller tjue år, dersom innholdet fortsatt har verdi da. For konstruksjoner, kontrakter, helsedata, statshemmeligheter og forretningskritisk informasjon med lang levetid, er dette en reell risiko allerede. Vi kan selvfølgelig spekulere i hvilken form for nedgravde hemmeligheter som vil bli avslørt i fremtiden, når tidligere forventede sikre lager viser seg å være en gullgruve av hemmeligheter.

For industri med utstyr som har lang levetid, og hvor sertifikathåndtering, signering av oppdateringer og sikker kommunikasjon mellom enheter spiller en rolle, er dette ikke et abstrakt fremtidsspørsmål. Maskiner som settes i drift i 2026, kan godt være i drift i 2040. Kryptografien som beskytter dem må være tilpasset også årene som kommer.

Et mønster som peker fremover

Den røde tråden gjennom dette er enkel. Sikkerhet for industri og næringsliv er ikke lenger noe IT-avdelingen kan ta seg av alene, og det er ikke et stabilt felt der man kan ta fri etter at årsplanen er signert. Det er en del av virksomhetens evne til å eksistere over tid, i en verden som ser ut til å ha sluttet å være forutsigbar.

De virksomhetene som kommer best ut av de neste årene, er ikke nødvendigvis de med flest verktøy eller størst budsjett. Det er de som har forstått at fremtiden ikke kommer som én enkelt hendelse å håndtere, men som en serie endringer å være forberedt på, og som har bygget både teknologi, organisasjon og kultur for å møte dem.

­

Denne artikkelen er del av en artikkelserie om digital usikkerhet og leverandørkjeder. Du finner lenke til de andre sakene i serien under.

Del 1: Når systemene svikter: Beredskap for det digitale avbruddet

Når en hendelse skjer, er det for sent å begynne planleggingen. For industrien finnes det noen sentrale spørsmål som bør være avklart i god tid i forveien.

Del 2: Leverandørkjedeangrep: Når sårbarheten ligger utenfor egne vegger

Norske industribedrifter er vant til å øve på brann, utslipp og ulykker. Men hva skjer når det er leverandøren din som blir rammet, og produksjonen din stopper opp uten at dine egne systemer i utgangspunktet er angrepet?