En rekke forsvars­kommuner utsatt for dataangrep: – Vi har ikke kontroll

– Det vi opplever nå er at kommunene har fått et større ansvar for nasjonal sikkerhet. Men dette klarer ikke små kommuner som Vadsø å håndtere alene, sier ordfører Wenche Pedersen (Ap).

Det som var kjent som et dataangrep mot Vadsø i februar i år, var i realiteten et angrep mot flere kommuner i Nord-Norge.

Ordføreren mener de må få hjelp fra nasjonale myndigheter.

– Det var en vekker, for dette handler ikke bare om Vadsø kommune. Det var flere kommuner som ble rammet i samme smeisen, sier Pedersen.

De er ikke alene. NRK har stilt 45 kommuner i Nord-Norge spørsmål om hvordan de sikrer at viktig informasjon ikke havner på avveier.

Svarene viser at flere mangler kontroll av hvem som slipper til på innsiden av kommunens systemer. Flere har opplevd angrep i løpet av det siste året.

Lekket passord på det mørke nettet

Det var på kvelden den 26. januar at alarmen gikk hos et revisjonsfirma i Nord-Norge.

Firmaet leverer tjenester til over 10 kommuner, blant dem flere forsvarskommuner. Det er kommuner som blant annet huser viktige militære installasjoner, havner og som skal sikre sensitive opplysninger om flere titusen innbyggerne.

En slik leverandør, som revisjonsfirmaet, er ifølge Nasjonal sikkerhetsmyndighet (NSM) et typisk mål for fremmed etterretning.

De har mange kommuner som kunder og når frem til mange datasystemer samtidig.

Myndighetene frykter blant annet at noen skal få tak i informasjon som kan brukes til å lamme samfunnet vårt.

Det kan være alt fra datasystemer som styrer vannforsyning, til angrep som setter hele kommunen ut av drift.

Hos revisjonsfirmaet i Finnmark hadde e-postadressene til ansatte havnet på det mørke nettet. Lederen sier de hadde gode sikkerhetsrutiner, med to-faktor pålogging og passord for hvert system. Likevel skjedde det.

På morgenen dagen etter stenger stengte firmaet sine systemer. Men de meldte ikke fra til sine kunder. Tanken hadde ikke slått dem da – at et angrep kan kunne ha gått videre til innsiden av flere kommuner i Troms og Finnmark.

Revisorfirmaet hadde adgang til kommunenes systemer gjennom pålogging.

Lederen i firmaet forteller til NRK at hackerangrepet skjedde i den mest hektiske tiden på året. Kommunene skulle levere årsregnskapet.

En uke etter at revisjonsfirmaet stengte ned, gikk alarmen på nytt. Noen hadde brukt passordene til å logge seg inn hos Vadsø kommune.

Det var IKT-sjef Eirik Andreassen i Vadsø kommune som oppdaget at det var unormal aktivitet på kommunens systemer.

Fra loggene kunne han se at noen hadde kommet seg inn natt til 2. februar. Da var de inne på systemene og Andreassen fant spor av dem flere steder.

– Heldigvis ble de stoppet på rekognoseringsstadiet. Vi så at de lette etter noe. Men kommunen klarte å stenge ned nettet før de fikk hentet ut data, forklarer IKT-sjefen.

Sporene peker mot en gruppe som driver med datainnbrudd og pengeutpressing ved hjelp av løsepengevirus.

Gruppa skal ifølge flere medier støtte Russlands annektering av Krim og skal ha angrepet flere vestlige institusjoner.

Det er gjerne gjennom leverandører og underleverandører av IKT-tjenester at angriperne kommer seg inn.

– Politiet banket på døra vår 8. februar. Først da skjønte vi at det var snakk om et større hackerangrep. Før dét trodde vi at det var noe som bare vedrørte oss, sier lederen for revisjonsfirmaet.

Sju kommuner ble angrepet

Vadsø og Sør-Varanger ble direkte angrepet og måtte stenge ned det kommunale nettet for å undersøke hvor kraftig de ble rammet.

Flere av de andre kommunene valgte å stenge ned sine systemer i frykt for angrep. I tillegg ble det gjort forsøk i Porsanger, Hammerfest og Alta.

Senere samme måned ble også forsvarskommunene Målselv og Fauske rammet av et annet dataangrep. Her utnyttet hackere at kommunens e-postserver ikke var oppdatert, og kom seg inn i systemene.

I mars kunne avisa Nordlys melde om et dataangrep mot Tromsø kommune.

IKT-sjef Eirik Andreassen i Vadsø mener at angrepsforsøkene særlig kommer fra to land.

– Vi ser det i loggen hver dag. Det kommer fra alle mulige land, men særlig Russland og Kina. Før konflikten i Ukraina skjulte de opprinnelsen med VPN. Nå kan vi se at de kommer rett fra St. Petersburg og Moskva, samt en rekke kinesiske byer.

I Alta har IKT-sjefen registrert det samme.

– Hvert sekund er det noen som forsøker å komme seg inn døra til våre systemer. Det er mye rart, men vi vet lite om intensjonen, sier IKT-sjef Kjell Magne Gabrielsen.

Noen dager etter angrepet mot Vadsø og Sør-Varanger i februar, satt ordføreren i Vardø i møte med Vadsø, Sør-Varanger og Statsforvalteren i Troms og Finnmark. Temaet var IKT-sikkerhet i kommunene.

Vardø kjøper revisortjenester fra et annet selskap og var ikke rammet av angrepet. Men ordfører Ørjan Jensen sier de registrerer mange forsøk.

– I dette teamsmøtet målte vi antall hackingforsøk. Vi målte 400 i løpet av en time, sier Jensen.

Vardø grenser til Russland i sørøst og har i likhet med Vadsø en etterretningsstasjon. Det er grunnen til at Vardø har skjerpet sikkerheten.

– Vi er klar over at kommunen vil være gjenstand for utenlandske aktører. Da Russland invaderte Ukraina gjorde Vardø betydelige investeringer i programvare, hardware og software. Det skal ikke være mulig å komme inn porten. Vi har også stengt ned porter fra naboland.

Har ansvar for nasjonal sikkerhet

Lenger sør er Fauske er et knutepunkt. Her går E6 forbi og en av de siste stoppene for Nordlandsbanen.

I tillegg ligger de like i nærheten av Forsvarets operative hovedkvarter (FOH) på Reitan. Kommunen har også tre lytteantenner som tilhører forsvaret rett utenfor sentrum.

IKT-sjef Tom Erik Holteng i Fauske sier de ikke har samme mulighet til bakgrunnssjekk av eksterne konsulenter, som fylkeskommune og stat. De må stole på at de innleide firmaene klarerer konsulentene som de henter inn.

– Dette er et dilemma, fordi ansvaret for sikkerheten ligger hos oss, sier Holteng.

Forsvarskommune har kun en IKT-konsulent

De er ikke de eneste som har det dilemmaet.

NRK har gått gjennom rapporter, hentet inn tall og stilt en rekke spørsmål til 45 kommuner i Nord-Norge. 24 av dem har svart. Vi har også intervjuet flere IKT-ledere.

En forsvarskommune opplyser at de kun har én IKT-konsulent og har derfor ikke engang muligheten til å svare på NRKs spørsmål.

En felles utfordring for de som svarer er at de mangler kompetanse på IKT. Løsningen for mange av dem er å hyre eksterne firmaer.

Det er et stort omfang. Tall fra Kommunal Rapport sin Leverandørdatabase viser at landets ti største leverandører av IKT fikk utbetalt til sammen 6 milliarder kroner av kommunene i 2021.

Flere av IKT-leverandørene kommunene kjøper tjenester fra, har ikke konsulenter selv. De hyrer konsulenter fra underleverandører.

NRKs undersøkelse viser at et fåtall av kommunene setter krav til IKT-sikkerhet i anbudene og kontraktene. Et fåtall sjekker underleverandørene og bakgrunnen til disse konsulentene.

– Vi har ikke satt noen krav tidligere. Det eneste som har havnet på bordet på kommunalt nivå er dette med TikTok og Telegram. Den øvrige geopolitikken har ikke vært dagsaktuell for oss, sier IKT-sjefen i Alta, Kjell Magne Gabrielsen.

De er en av flere kommuner som blir med i NSMs varslingssystem for digital infrastruktur (VDI). Det betyr at de får en sensor på nettet som skal fange opp unormal aktivitet til og fra Alta havn. Det er fordi den er såkalt kritisk infrastruktur.

Dersom forsvaret skal flytte sine styrker nordover, er Alta viktig for å sette disse på land.

– Det er en ny verden. Vi må begynne å tenke på sikkerheten fra det geopolitiske perspektivet.

NSM er Norges ekspertorgan for IKT-sikkerhet. De gir også råd og veiledning til private og offentlige virksomheter som er ofre for hacking. Flere kommuner oppgir at de følger NSMs grunnprinsipper for IKT-sikkerhet.

– Men det er ikke nok, mener ordfører Wenche Pedersen i Vadsø.

– NSM sier de kan hjelpe til. Det er ikke noen hjelp at NSM ringer IKT-folkene etter et dataangrep og skal ha ditt og datt når de sitter og jobber. Da bør de sitte stille og vente til de har gjort jobben. Jeg hadde forventning om at de skulle bidra med noe praktisk.

Hun mener NSM må styrkes, slik at dem kan hjelpe til når kommunene står i ei krise.

– Vi kan ikke ha 350 kommuner som alle skal ha sine egne greier, dette må være noe vi gjør sammen.

Flere kommuner reagerer i likhet med Pedersen på at små kommuner sitter alene med ansvaret for å forsvare landet mot inntrengere.

– Bildet er nå så komplekst og små kommuner har ikke kompetanse til å håndtere dette. Vi småkommuner savner mer statlig styring, sier IKT-sjefen i Måsøy kommune.

– Dette er kommunenes ansvar

Det at kommunene mangler kontroll på leverandører, underleverandører og konsulenter utgjør ifølge NSM en betydelig risiko for rikets sikkerhet.

– Kommunene må være bevisst sitt ansvar, og det krever ressurser. Vi har også påpekt at kontrollen med underleverandørene er for dårlig. Det er viktig at kommunene stiller krav til eksterne tjenester, sier Martin Albert-Hoff.

Han er avdelingsdirektør ved NSM sitt cybersikkerhetssenter. Han understreker at det ikke er noe galt i å leie inn ekstern kompetanse, tvert imot. Kommunene kan få både god og riktig bistand.

Han medgir at det kan være vanskelig å gjøre egen kontroll av underleverandører når kommunen i utgangspunktet mangler kompetansen selv.

– Man må forstå leverandøren, hvilke tjenester som blir levert og hvilke underleverandører som brukes,

I likhet med Albert-Hoff i NSM, mener statssekretær Hans-Petter Aasen i Justisdepartementet, at dette er kommunenes ansvar.

– I et sikkerhetsperspektiv krever økt tjenesteutsetting bedre oppfølgning av leverandører, herunder at virksomhetene har god nok kompetanse om bestillinger og at det gjøres tilstrekkelig sikkerhetsfaglige vurderinger. Dette er spesielt viktig i den skjerpede sikkerhetspolitiske situasjonen vi står i, skriver Aasen.

Han legger til at trusselaktører kan utnytte sårbarheter i verdikjedene, og dette er avgjørende for kommunenes evne til å levere viktige tjenester til befolkningen.

Aasen understreker at de i 2022 ga 50 millioner kroner som skulle gå til arbeid med digital sikkerhet i kommunen.

Dersom disse pengene skulle bli fordelt på de 356 kommunene her til lands, ville det blitt rundt 140.000 kroner til hver.

De fleste kommuner i NRKs undersøkelse sier de allerede har skjerpet sikkerheten, eller er i ferd med å gjøre det. Men de ber om mer hjelp og mer penger.

– Vi er klar over at vi har ansvar, men ansvaret er begynt å bli ganske stort i den sikkerhetspolitiske situasjonen vi står i nå, påpeker Vadsø-ordfører Wenche Pedersen.

Men regjeringen kan ikke love mer penger.

– Ansvaret for å ha tilstrekkelig digital sikkerhet ligger hos kommunene. Sentrale myndigheter gir nasjonale råd, anbefalinger og informasjon om trussel- og risikobildet, så kommunene kan vurdere hvilke tiltak som er nødvendige, skriver Aasen.