Tilbúnir að slökkva elda í netheimum

Þjóðir heims eru sífelt að verða meðvitaðri um þá hættu sem stafar af fyrirtækjum og stofnunum í gegnum netið. Undirbúningur nokkurs konar almannavarnateymis í netheimum er nú langt kominn hér á landi, og stefnt að því að hópurinn taki til óspilltra málanna um áramótin.

Eftir að hafa stungið höfðinu í sandinn árum saman og hundsað þá hættu sem stafað getur að íslensku samfélagi vegna ógna á netinu stigu íslensk stjórnvöld stórt skref seint á síðasta ári. Þá samþykkti ríkisstjórnin tillögu innanríkisráðherra um að koma upp sérstöku öryggis- og viðbragðsteymi vegna netárása.

Á því ári sem liðið er hefur verið unnið að undirbúningi fyrir stofnun viðbragðsteymisins. Stefnt er að því að það taki til starfa um áramótin, þó búast megi við því að starfsemin þurfi að slípast talsvert til fyrstu sex mánuðina, segir Þorleifur Jónsson, forstöðumaður tæknideildar Póst- og fjarskiptastofnunar (PFS).

Viðbragðsteymið verður á forsjá PFS, sem hafði um nokkurra ára skeið haft hug á því að stofna slíkan hóp áður en stjórnvöld ákváðu að láta slag standa.

Teymi af þessu tagi eru starfrækt í flestum vestrænum ríkjum, og eru kölluð CERT-teymi. CERT er skammstöfun fyrir enskt heiti slíkra teyma: Computer Emergency Response Team.

Íslenska teymið er kallað CERT-ÍS, og þar munu til að byrja með starfa þrír sérfræðingar um tölvuöryggismál. Á hinum Norðurlöndunum starfa 12 til 15 manns í sambærilegum hópum.

Almannavarnir á netinuVerkefni CERT-ÍS má líkja við nokkurskonar almannavarnir í netheimum, segir Stefán Snorri Stefánsson, hópstjóri CERT-ÍS hjá Póst- og fjarskiptastofnun. Hópnum er fyrst og fremst ætlað að bregðast við netárás á mikilvæga fjarskiptainnviði landsins, en einnig vinna að fyrirbyggjandi vörnum og vinna með erlendum hópum sem starfa á sama sviði.

„Það koma upp mörg netatvik á dag hér á landi, en þau eru mjög mis alvarleg,“ segir Stefán. Hann segir dæmi um atvik sem ekki væri talið mjög alvarlegt að sýkt tölva hér á landi sé notuð til að senda ruslpóst. Alvarlegt atvik væri til dæmis stórfelld netárás á eitt eða fleiri fjarskiptafyrirtæki.

„Stórfelldar árásir eru ekki algengar hérlendis. En við erum eins og slökkviliðið, það er ekki að berjast við stórbruna á hverjum degi, en við viljum að það sé til staðar með mannskap og tækjabúnað ef á þarf að halda,“ segir Stefán.

Fyrst um sinn mun CERT-ÍS eingöngu sinna fjarskiptafyrirtækjunum, en þegar fram líða stundir verður þeim sem starfrækja það sem kalla má ómissandi innviði samfélagsins boðið að nýta sér aðstoð hópsins, segir Stefán. Til að af því geti orðið þarf Alþingi að samþykkja breytingar á fjarskiptalögum og lögum um Póst- og fjarskiptastofnun þar sem CERT-hópnum eru mörkuð verkefni.

Hann segir dæmi þetta orkufyrirtækin, stofnanir sem sinni heilbrigðisþjónustu og fjármálastofnanir. Áður en hægt verður að sinna öðrum en fjarskiptafyrirtækjunum þarf þó að koma til aukið fjármagn til að stækka CERT-teymið.

Þorleifur segir að til greina komi að þau fyrirtæki og stofnanir sem þurfi að nýta sér þjónustuna greiði fyrir aukinn kostnað við CERT-teymið, á sama hátt og fjarskiptafyrirtækin.

Þurfa ekki að vera í skotlínunniMargvíslegar hættur blasa við þegar netið er annarsvegar. Hægt er að gera hnitmiðaðar árásir á fyrirtæki eða stofnanir í gegnum netið, annað hvort í þeim tilgangi að skemma, eða til að stela upplýsingum. Stefán segir stuld upplýsinga sífellt alvarlegra vandamál í netheimum.

Þá er komin fram ný kynslóð veira sem beinast gegn iðnstýringum sem stýra vélum í iðnaði, samgöngum og við orkuöflun. Til dæmis róbótum í verksmiðju eða túrbínum í orkuveri. „Þetta er það sem menn eru verulega hræddir við, þetta er ein ástæðan fyrir því að ríki eins og Bretland eru að auka verulega fjármagn sem fer í viðbrögð við netárásum,“ segir Stefán.

Hann segir íslenskar stofnanir eða fyrirtæki ekki þurfa að vera í skotlínunni til að lenda í tjóni vegna tölvuárása. Dæmi gæti verið tölvuvírus sem einhver hannaði til að skemma orkuver í einhverju landi, sem fyrir tilviljun notaði sama búnað og orkuver á Íslandi.

Hætta á gríðarlegu tjóniFjárhagslegt tjón sem getur hlotist af netárás á fjarskiptafyrirtæki getur verið gríðarlegt, segir Stefán. Fyrir utan annan kostnað getur traust almennings og fjárfesta á fyrirtæki sem verður fyrir alvarlegri árás laskast verulega, og gengi hlutabréfa lækkað í kjölfarið.

Stefán segir bein tengsl milli þeirra fjármuna sem settir eru í netvarnir og möguleikum netvarnanna til að takmarka tjón þess sem verði fyrir árás. Póst- og fjarskiptastofnun fær 30 milljónir króna til að reka CERT-teymið, en sú upphæð er dropi í hafið í samanburði við það tjón sem getur hlotist af tölvuárás á fjarskiptafyrirtæki, fyrirtæki í orkuframleiðslu eða fjármálafyrirtæki.

Kostnaður við íslenskt CERT-teymi var áætlaður um 45 milljónir króna á ári að lágmarki fyrir hrun. Nú þegar tölvubúnaður og ferðalög hafa hækkað í verði með gengisfellingu krónunnar hefur sú tala hækkað.

„Auðvitað væri betra að hafa meira fjármagn í starfsemina, en við gerum okkar besta miðað við hvað við höfum til umráða,“ segir Stefán.

„Við skulum heldur ekki gera lítið úr því að ríkisstjórnin tók mjög mikilvæga ákvörðun fyrir ári síðan, þegar hún ákvað að setja þetta verkefni í gang,“ segir Þorleifur. „Það er meira en að segja það í miðri kreppu.“