Private virksomheder må selv forsvare Danmark i cyberspace

USA, Storbritannien, Tyskland, Frankrig og Holland har det, bare for at nævne et par stykker. Men i Danmark har vi ikke en samlet national cyberstrategi, der lægger retningslinjerne for, hvordan vi beskytter vores digitaliserede samfund.

»I bliver virkelig nødt til at se på det nu,« siger Peter Sommer, professor i cybersikkerhed ved London School of Economics.

I Vesteuropa i dag er omkring 80 procent af den såkaldte kritiske infrastruktur ejet af private virksomheder, og Danmark er ingen undtagelse. Selv om man måske ikke tænker over det i hverdagen, er stort set alt afhængigt af elektronisk infrastruktur for at fungere: vand, el, brændstof; selv supermarkederne styrer deres indkøb og lagerstatus elektronisk. Hver enkelt virksomhed og sektor har naturligvis en interesse i at beskytte sit eget elektroniske netværk.

»Men,« tilføjer Peter Sommer: »Hvis I ikke har nogen med et overblik, så har I et problem,« siger han.

Overset område

Peter Sommer er medforfatter til en rapport for OECD, der har undersøgt, hvordan OECD-landene beskytter deres elektroniske infrastruktur. Selv om der ikke er overhængende fare for omfattende cyberangreb, der kan lægge et helt land ned, bliver landene alligevel nødt til at ruste sig bedre elektronisk, konkluderer rapporten. Om ikke andet så fordi den elektroniske infrastruktur også er en altafgørende del af kriseberedskabet i alle andre katastrofe-situationer.

Men regeringerne har en tendens til at fokusere alt for meget på den militære infrastruktur og alt for lidt på den private civile, mener Peter Sommer.

»Det er virkeligt et af de oversete områder i hele cyberkrigdiskussionen. Man er meget optaget af, hvad angrebsgrupper kan gøre, eller hvilke former for angreb der kan finde sted. Men man tænker ikke nok på, hvordan man skal forsvare sig, eller hvordan du skal komme dig oven på et angreb. Regeringerne tænker heller ikke nok på, at de ikke kan gøre det store selv, medmindre de samarbejder med de store private sektorselskaber,« siger han.

Statslig vagthund

For et halvt år siden fik Danmark sin egen statslige cybervagthund, GovCERT (Governmental Computer Emergency Response Team), der holder øje med cyberangreb mod danske myndigheder. Men det er stadig hvert enkelt ministerium, der er ansvarlig for at beskytte den del af landets kritiske infrastruktur, som ligger inden for dets område. Det er det såkaldte sektoransvar. Det betyder eksempelvis, at Energistyrelsen har ansvaret for at beskytte elnettet, også mod trusler fra cyberspace, forklarer Thomas Kristmar, der er chef for GovCERT.

»De generelle sektorkrav er, at man skal gøre, hvad der er nødvendigt for at opretholde forsyningen. Der er ikke nogen øvre eller nedre grænse,« siger han.

GovCERT kommer kun med gode råd, og fra 1. juli i år vil den 12 mand store enhed også kunne tilbyde at overvåge datatrafikken for private virksomheder, der er beskæftiget inden for kritisk infrastruktur. Men det er en frivillig betalingsordning, og virksomhederne står stadig selv for at beskytte infrastrukturen.

»Vores sensorer vil opdage et it-angreb, og så kan vi varsle myndigheden om, hvordan man kan imødegå det. Afhængig af hændelsens art og karakter kan vi i et vist omfang bistå dem. Men vi bliver ikke deres interne sikkerhedsafdeling, de skal have styr på deres ting selv,« siger Thomas Kristmar.

Profit og sikkerhed

Fordelen ved sektoransvaret er, at det er fagfolkene i den enkelte sektor, der har det bedste indblik i de sårbarheder, deres område har. Orlogskaptajn Peter Jacob Blædel Gottlieb, analytiker ved Forsvarsakademiet med fokus på cybersikkerhed, har denne vurdering af princippet:

»Det er som sådan et sundt princip i nogle henseender, når vi tænker på mange traditionelle ulykker og trusler, men det betyder, at de enkelte virksomheder selv skal fastsætte en standard, selv lave en risikovurdering og selv skal balancere udgifter til sikkerhed kontra indtægt,« påpeger Peter Jacob Blædel Gottlieb.

Omvendt er det ikke en løsning, at staten overtager ansvaret og opgaven, men man bliver nødt til at samarbejde, for der er en gensidig afhængighed, mener han: »Cyberspace er netop kendetegnet ved manglende grænser, og jeg ser det som en udfordring at delegere ansvaret for cyberspace til sektorer, hvis grænser ikke tilsvarende eksisterer i cyber-space. Det fordrer efter min mening en strategisk forankring, hen over sektorerne, som man efterhånden ser det i flere andre lande,« siger han.

Problemet er, at staten og virksomhederne har fælles interesser, men ikke nødvendigvis samme prioritering. Statens fremmeste opgave er sikkerhed, mens virksomhedernes er profit, påpeger Peter Sommer.

»Alle vil gerne samarbejde, men når virksomhederne skal til at bruge rigtige penge, kommer problemerne,« siger han. Som eksempel på problemet med at styre private virksomheder til et fælles bedste peger han staternes problemer med at få banksektoren til at ændre adfærd både før og efter finanskrisen.

»Bankerne har taget imod pengene fra bankpakkerne, men de gør ikke, hvad staten vil have dem til. Det kan gentage sig i cyberspace,« siger Peter Sommer.