Ís­land þarf að breyta um takt í netöryggismálum

Evrópa hefur á undanförnum árum gjörbreytt nálgun sinni á sviði netöryggis. Það sem áður var fyrst og fremst talið tæknilegt viðfangsefni einstakra fyrirtækja og stofnana er nú orðið órjúfanlegur hluti af þjóðaröryggi, viðbúnaði og efnahagslegu öryggi ríkja.

Þessi breyting er hvorki ástæðulaus né tilviljun. Stafræn þróun og þjónusta samfélaga hefur aukist, ógnir orðið flóknari og hraðari og mörkin milli netógna, spennu í alþjóðastjórnmálum og samfélagslegs öryggis orðið sífellt óskýrari.

Viðbrögð Evrópu endurspegla þessa nýju stöðu en á undanförnum árum hefur verið mótaður víðtækur rammi um netöryggi, áfallaþol og viðbragðsgetu, sem nær til mikilvægra innviða, stafrænnar þjónustu, tæknivara og samstarfs ríkja þegar alvarlegar netógnir steðja að.

Ísland er ekki undanskilið þessari þróun og stendur frammi fyrir sömu ógnum og önnur Evrópuríki. Aftur á móti höfum við ekki fylgt þessari þróun netöryggisumgjarðar nægilega hratt eftir. Það er kominn tími til að breyta um takt.

Við þurfum meira en innleiðingu nýrra reglna

Netöryggislöggjöf okkar byggir á innleiðingu tilskipunar frá 2016. Það gefur auga leið að tími er kominn á endurskoðun. Netöryggisrammi hefur verið endurnýjaður innan ESB en Ísland hefur dregist aftur úr í innleiðingu evrópsks netöryggisregluverks.

En það væru mistök að líta á verkefnið eingöngu sem lagalega innleiðingu einstakra ESB-gerða. Við þurfum að horfa á þessa þróun í stærra samhengi og tryggja varnir og viðbúnað með sem bestum hætti. Netöryggi mikilvægra innviða er almannahagsmuna- og þjóðaröryggismál. Það snýst um getu samfélagsins til að viðhalda nauðsynlegri þjónustu, standast alvarlegar truflanir og ná skjótri endurreisn þegar á reynir.

Þess vegna þarf innleiðing nýs regluverks að vera hluti af heildstæðri stefnu um netöryggi Íslands en ekki snúast einungis um kröfur á einstaka rekstraraðila. Við þurfum skýra forgangsröðun, samhæfða stjórnsýslu, nauðsynlega sérþekkingu og fjárfestingu í framfylgd krafna og viðbragðsgetu. Markmiðið eitt og sér getur ekki verið að innleiða lágmarkskröfur. Markmiðið verður að vera mælanleg aukning á netöryggi og seiglu íslensks samfélags.

Við höfum upplýsingar til að taka betri ákvarðanir

Fjarskiptastofa hefur undanfarin ár byggt upp áhættumiðað eftirlit með netöryggi mikilvægra innviða. Sú reynsla sýnir að markvisst eftirlit, eftirfylgni og samstarf við rekstraraðila geta skilað raunverulegum framförum. Þá hefur verið settur kraftur í að byggja upp netöryggissveit stjórnvalda CERT-IS. Við erum því ekki á byrjunarreit.

Árið 2025 framkvæmdi Fjarskiptastofa samhæft sjálfsmat hjá rekstraraðilum nauðsynlegrar þjónustu. Með því fengust í fyrsta sinn samanburðarhæfar upplýsingar um þroskastig netöryggis mikilvægra innviða þvert á mismunandi geira samfélagsins. Niðurstöðurnar sýna að það eru tækifæri til úrbóta. Meirihluti aðila nær ekki þeim lágmarksviðmiðum um stöðu netöryggis sem Fjarskiptastofa hefur lagt til grundvallar og lagakröfur eru um, þótt einnig séu vissulega aðilar sem standa vel.

Þessi þekking er verðmæt og gerir okkur kleift að sjá hvar áhættan er mest, hvar aðgerða er þörf og hvar við getum náð mestum árangri. En upplýsingar einar og sér styrkja ekki netöryggi. Við sem samfélag þurfum að breyta þessari þekkingu í ákvarðanir, forgangsröðun og samstilltar aðgerðir.

Ógnarumhverfið bíður ekki eftir okkur

Á sama tíma og við vinnum að því að efla grunnnetöryggi mikilvægra innviða er ógnarumhverfið að breytast með áður óþekktum hraða. Stafræn þróun ein og sér eykur áhættufleti. Hræringar á sviði alþjóðamála einnig. Flóknari birgjakeðjur og vaxandi háð erlendum tæknilausnum skapa nýja veikleika og áhættu.

Tækniþróun á borð við gervigreind er að gjörbreyta forsendum netvarna. Hún gerir árásaraðilum kleift að finna og nýta veikleika í net- og upplýsingakerfum með mun meiri hraða en áður, Þetta þýðir að tíminn sem rekstraraðilar hafa til að greina ógnir og bregðast við þeim styttist verulega. Við þurfum því að endurhugsa hvernig við byggjum upp netvarnir, með aukinni áherslu á hraða greiningu, fyrirfram skilgreind viðbrögð og sjálfvirkni þar sem því verður við komið. Þessi þróun undirstrikar jafnframt að netöryggi verður að vera hluti af kjarnastjórnun og áhættustýringu starfseminnar, en ekki afmarkað verkefni tæknideilda eða spurning um hlítni við lágmarkskröfur gagnvart eftirlitsaðila. Þess er nú hreinlega krafist í nýrri netöryggislöggjöf ESB.

Frá umræðu til aðgerða

En það eru ekki bara rekstrarðilar sem þurfa að bregðast hratt við. Stjórnvöld þurfa að endurskoða hvernig við vinnum saman að netöryggi á landsvísu. Það er ekki nóg að hvert stjórnvald, hver stofnun eða hver rekstraraðili vinni einangrað að sínum verkefnum. Við þurfum nauðsynlegt og skyldubundið samstarf svo að stjórnvöld hafi yfir að ráða heildstæðri og stöðugt uppfærðri áhættumynd netöryggis fyrir samfélagið. Hér þurfa upplýsingar um stöðu mikilvægra innviða, þróun netógna og áhættu og möguleg samfélagsleg áhrif að vera metin saman. Sú mynd þarf að vera grundvöllur ákvarðana um forgangsröðun, viðbúnað og fjárfestingar í netöryggi til lengri og skemmri tíma.

Þörfin fyrir samtal og samstarf um þessi mál er jafnframt ástæða þess að mikilvægt er að skapa vettvang þar sem ólíkir aðilar geta miðlað þekkingu og reynslu. Netöryggisráðstefna Fjarskiptastofu verður haldin 27. október og verður áherslan í ár á netöryggi og seiglu samfélagsins. Þar verður fjallað um þær áskoranir sem við stöndum frammi fyrir og hvernig við getum styrkt getu samfélagsins til að takast á við þær.

Við þurfum að breyta um takt í netöryggismálum á Íslandi. Stjórnvöld þurfa að gæta þess að nálgast evrópskt netöryggisregluverk ekki fyrst og fremst sem innleiðingarverkefni og líta á það sem hluta af stefnumótandi uppbyggingu þjóðaröryggis og samfélagslegs áfallaþols. Rekstraraðilar þurfa að þroska netöryggi sitt og færa sig frá því að uppfylla lágmarkskröfur yfir í virka áhættustjórnun sem tryggir öryggi og samfellu mikilvægrar þjónustu.

Við þurfum að vinna saman með nýjum hætti, þvert á stjórnvöld, atvinnulíf, sérfræðisamfélag og nýsköpun. Nýta verður betur þá þekkingu og getu sem er til staðar hjá öllum þessum aðilum til að ná sem bestum árangri. Við erum lítið samfélag og höfum alla burði til að byggja upp öflugra samstarf en við höfum gert hingað til. Það getur sannarlega verið styrkur í smæðinni. En verkefnið krefst sameiginlegrar sýnar, skýrrar ábyrgðar, samstilltra aðgerða og skuldbindingar æðstu stjórnvalda.

Við vitum meira um stöðu netöryggis á Íslandi en áður, bæði stöðu mikilvægra aðila og ógnarlandslagið sem við búum við. Nú þurfum við að nýta þá þekkingu til að taka ákvarðanir og byggja upp þær varnir og þá seiglu sem íslenskt samfélag þarf á að halda.

Höfundur er sviðsstjóri netöryggissviðs Fjarskiptastofu.