3 Sårbarhet i kritisk infrastruktur – utfordringer

Innledende utredning om kritisk infrastruktur til Utvalg for sikring av landets kritiske infrastruktur

Kjetil Sørli, Direktoratet for samfunnssikkerhet og beredskap, Enhet for analyse og utredning 17. januar 2005 (Revidert febr. 2005 og med oppdatert tabell per februar 2006)

3.1 Sårbarhet i kritisk infrastruktur - utfordringer

3.1.1 Innledning

Kritisk infrastruktur er fundamentet for samfunnets evne til å fungere både i normale situasjoner og i situasjoner der samfunnet utsettes for ekstraordinære påkjenninger. Ved svikt i kritisk infrastruktur er samfunnet ikke i stand til opprettholde den leveranse av varer og tjenester som befolkningen er avhengige av. 1 Det finnes flere definisjoner av begrepet, men i kjernen ligger noen svært viktige samfunnsfunksjoner, også omtalt som bærebjelkene i samfunnet. 2 Bærebjelkene kan deles opp i følgende:

• Energi- og kraftforsyning

• Informasjons og kommunikasjonsteknologi (IKT)

• Ledelse og informasjon

• Tilgang til rent vann og ernæring

• Helsetjenester

• Transport

Felles er at det ved alvorlig svikt i en eller flere av disse raskt vil oppleves massive forstyrrelser i samfunnet. 3 De har dermed et stort sårbarhetspotensiale. Felles er også at de i større eller mindre grad er gjensidig avhengige av hverandre og har en sektorovergripende karakter. Kritisk infrastruktur er imidlertid mer enn bare bærebjelkene. Kritisk infrastruktur finnes også innen områder hvor lengre tids avbrudd vil få store konsekvenser for samfunnet.

Norge var tidlig ute med forskning på sårbarheter i kritisk infrastruktur. 4 Forskningen har bidratt med å legge grunnlaget for sårbarhetsregulerende tiltak fra myndighetene. Det gjelder både i forhold til organisering, lovgivning og styrking av beredskapsressurser. Store deler av tidligere forskning er fremdeles relevant. Utredningen har derfor ett overordnet blikk på forskningsstatus så langt. Samtidig er samfunnet i kontinuerlig endring med hensyn til teknologi, organisasjon, politikk og trusler. Det vises derfor til temaer og fremtidsutfordringer som det hevdes det er viktig å få mer kunnskap om. Ut over dette har utredningen en kort oversikt over ansvar, oppgaver og arbeidsfordeling på myndighetssiden. Det vil ikke bli gitt en bred omtale av sårbarheter i samfunnskritisk infrastruktur i dag eller sårbarhetsreduserende tiltak myndighetenes har iverksatt de siste årene. DSBs anliggende i denne sammenheng er å gjøre opp en status på hva som er kjent om sårbarheter i samfunnskritisk infrastruktur og hvor veien burde gå videre.

3.1.2 Identifisering og prioritering av kritisk infrastruktur

Det er ikke etablert et helhetlig sett med kriterier for identifisering og prioritering av kritisk infrastruktur. En vanlig, men noe utilstrekkelig tilnærming, er å gå gjennom tidligere lister over kritisk infrastruktur og justere dem opp mot det aktuelle behovet der og da. 5 Dette vanskeliggjør en helhetlig prioritering mellom det viktige og uviktige. Statiske lister fanger heller ikke opp endringer i samfunnet.

Det er to overordnede elementer i en helhetlig tilnærming for utvelgelse og prioritering av kritisk infrastruktur. For det første må de kritiske sektorene identifiseres og prioriteres på et overordnet nivå ut fra et sett med utvalgskriterier. For det andre må sektorene operasjonaliseres ned til håndterbare størrelser, også her med hjelp av utvalgskriterier. Det er først på et detaljert nivå kompleksiteten og de gjensidige avhengighetene trer frem. Det blir gitt et eksempel på en slik prosess senere i utredningen i omtalen av den såkalte Østfoldundersøkelsen, hvor Østfold Energi brukte et halvt år på å kartlegge konsekvensene av kraftrasjonering i distribusjonsnettet i Østfold fylke.

Utvalgsprosessen er dessuten sektoravhengig. Eksempelvis er utfordringene annerledes for helsesektoren enn den er for transportsektoren. Utvalgsprosessen er også situasjonsbestemt. Kraftrasjonering på grunn av overforbruk i en streng kuldeperiode er annerledes enn kraftrasjonering etter bortfall av store produksjonsenheter om sommeren. Likeledes er det ved kraftrasjonering mer hensiktsmessig å prioritere strøm til et vannverk uten nødstrøm enn til et sykehus med tilstrekkelig nødstrøm. I en slik situasjon er rent vann mer kritisk for sykehuset enn ekstern kraftforsyning. Likevel ligger det sektorovergripende konstanter der, uavhengig av sektor og situasjon. Dette gjelder særlig i forhold til bærebjelkene i samfunnet. Utvalgsprosessen innebærer også å være i kontakt på et svært detaljert nivå med de virksomheter det berører samt andre eksperter på fagområdet.

For å identifisere sårbarheter i kritisk infrastruktur er Charles Perrows teori om systemulykker en fruktbar tilnærming. 6 En av hans hovedteorier er at mestring av tett koblede systemer krever sentralisert styring. Et tett koblet system vil ikke fungere uten sentralisert styring og forstyrrelser vil hurtig berøre resten av systemet. Ut fra et slikt perspektiv vil de tett koblede systemene være mer sårbare fordi helheten er avhengig av at «hjernen» fungerer. Perrows teori fungerer dermed som et verktøy for å identifisere infrastruktur hvor toleransen for avbrudd er svært små. For eksempel er strømforsyning langt mer sårbar enn drift av renovasjon. Begge har en kritisk funksjon i samfunnet, men mens strømforsyning er avhengig av noen få kontrollsentraler for å fungere, er det mulig å drifte renovasjon desentralisert. På samme måte er jernbane og lufttrafikk i Norge avhengig av styring fra driftsentraler i sanntid, mens busstrafikk kan operere uten en sentralisert styring, eller i hvert fall med langt lavere krav til sentralisert kontroll og styring i sanntid. Identifisering og kartlegging kan omtales som en første grunnleggende fase. Ut over dette vil det være nødvendig å vurdere hvilket skadepotensiale og hvilke risikoer sårbarhetene utgjør, gjøre prioriteringer og å fange opp eventuelle endringer som kan inntreffe over tid. Det mangler per i dag en god metode for å dekke alle aspektene av dette, særlig i forhold til å identifisere og prioritere.

3.1.3 Ansvar, oppgaver og arbeidsfordeling på myndighetssiden

Samfunnssikkerhets- og beredskapsarbeidet overfor kritisk infrastruktur er organisert ved at det departementet som har ansvar for en sektor til daglig også har ansvaret ved en krisesituasjon. Beredskapsorganiseringen følger dermed ansvarsprinsippet i tillegg til prinsippene om nærhet og likhet. 7 Ut over dette har Justis- og politidepartementet et samordnings- og tilsynsansvar og en særlig initiativplikt ved kriser. Det innebærer et ansvar for å utarbeide overordnede retningslinjer, koordinere og fremme proposisjoner og meldinger til Stortinget, tilrettelegge rammebetingelser, ta initiativ, være pådriver, avklare ansvarsforhold i gråsoner og treffe prinsipielle avgjørelser på samfunnssikkerhets- og beredskapsområdet. Statsministerens kontor kan dessuten ta initiativ til å fastsette en særskilt organisering av krisehåndteringen. Hvis normale beslutningssystemer ikke fungerer på grunn av ekstraordinære sikkerhetspolitiske omstendigheter, er det utarbeidet egne krisehåndteringssystemer.

Sektorvis ansvar for beredskap og/eller forebygging innen samfunnskritiske sektorer og områder kan fremstilles på følgende måte i tabellform 8

Det fragmenterte ansvaret tilsier et sterkt fokus på Statsministeres kontor og Justis- og politidepartementets samordnende rolle, og at det i forbindelse med omorganiseringen av departementer og underliggende etater den senere tid bør gjennomføres en tverrsektoriell analyse for å avdekke uavklarte beredskapsmessige roller. Dette må også relateres til utfordringer på beredskapssiden knyttet til deregulering og privatisering av virksomheter som spiller en rolle for samfunnets sikkerhet. Innenfor en slik analyse vil Politiet, Forsvaret, redningstjenesten og det regionale og kommunale apparatet også inngå. I denne sammenheng fremstår det som en særlig utfordring å oppdatere lovstrukturen i forhold til å ha en sektorovergripende tilnærming innenfor samfunnssikkerhet, beredskap og forsvar.

Transportsektoren har de senere år gjennomført tiltak for å beskytte kritisk infrastruktur. Luftsikkerheten ble styrket etter innføringen av ny forskrift i mai 2004. 9 Forskriften krever bedre sikring av fly og økt kontroll av blant annet passasjerer, bagasje, flybesetninger, lufthavnansatte, frakt og post. Sikkerhetskontrollen omfatter både innenlands og utenlands rute- og chartertrafikk. For norske lufthavner gjelder dermed de samme sikkerhetskravene som for lufthavnene i EU. Skip og havner fikk styrket sikkerhet med innføring av EUs og FNs regler for havnesikkerhet. 10 De inneholder en rekke myndighetskrav og krav til konkrete sikkerhetstiltak som skal iverksettes om bord på skip i internasjonal fart og i havneanlegg som betjener slike skip. Målet er å forhindre terroranslag mot internasjonal skipsfart.

Flere tiltak i andre sektorer er under utarbeidelse. Eksempelvis i telesektoren arbeider Post- og teletilsynet med skjerpede sikkerhetskrav til leverandørene. I dag er det slik at Ekomlovens bestemmelser om krav til sikkerhet i utgangspunktet omfatter alle leverandører av telefoni- og kommunikasjonstjenester. 11 Til og med 2005 er det i tillegg inngått særlige avtaler med Telenor om spesielle sikkerhetstiltak. Fra og med 2006 vil alle leverandører med IKT infrastruktur av betydning og andre leverandører med leveranser til brukere med samfunnskritisk funksjon bli omfattet av slike avtaler. Sikkerhetskravene omfatter blant annet tiltak innen fysisk og logisk sikring av kommunikasjonssystemer, krav om beredskapsplanlegging og prioritering av ressurser. Videre gjennomføres det kriseøvelser i regi av Post- og teletilsynet, der hensikten er å koordinere ressursutnyttelse på tvers av leverandørgrensene i en krisesituasjon. 12 Krav om nasjonal autonomi på produksjon og leveranse av teletjenester er under utredning. Prioritetsordning som muliggjør at særlig viktige brukere kan få prioritet på mobiltelefontjenester i en krisesituasjon er under utredning med assistanse fra Telenor Mobil, NetCom og Direktoratet for samfunnssikkerhet og beredskap.

I Forsvarsdepartementet utarbeides det nye retningslinjer for objektsikkerhet. Sikkerhetslovens bestemmelser om objektsikkerhet ble sammen med det øvrige regelverket for informasjonssikkerhet og personellsikkerhet iverksatt 1. juli 2001. Bestemmelsene om objektsikkerhet i loven er for kortfattede til å fungere som veileder for offentligheten. Forsvarsdepartementet som regelverksforvalter for sikkerhetsloven arbeider nå med å endre loven på dette punkt slik at det skal bli mulig å få til en tverrsektoriell utvelgelse, klassifisering og defensiv beskyttelse av objekter som er skjermingsverdige av hensyn til rikets sikkerhet og selvstendighet og andre vitale nasjonale sikkerhetsinteresser. Loven definerer objekt som eiendom. Dette kan være materiell, bygninger, gjenstander, transportmidler med mer som kan være direkte mål for eller midler til å gjennomføre sabotasje eller terrorhandlinger.

3.1.4 Forskning og utredning

Det vil i løpet av 2005 pågå flere større forskningsprosjekter og utredninger på området kritisk infrastruktur. Ved Forsvarets forskningsinstitutt (FFI) startet BAS5 om sårbarhet i samfunnskritiske IKT-systemer opp høsten 2004. I oktober 2004 ble det etablert et utvalg for sikring av landets kritiske infrastruktur med fokus på omstilling og deregulering i virksomheter med kritisk infrastruktur. Ved Norges teknisk-naturvitenskapelige universitet (NTNU) og Stiftelsen for Industriell og Teknisk Forskning ved Norges tekniske høgskole (SINTEF) og ved Universitetet i Stavanger (UiS) og Senter for Risikostyring og Samfunnssikkerhet (SEROS) er det flere pågående prosjekter som er relevante. Det vil i det følgende bli fokusert på dette arbeidet.

3.1.4.1 BAS – Beskyttelse av samfunnet

Det mest omfattende og helhetlige arbeidet som er gjort i Norge om sårbarhet i kritisk infrastruktur og samfunnskritiske funksjoner er i de såkalte BAS-forskningsprosjektene ved Forsvarets forskningsinstitutt (FFI). Forskningen har på flere områder vært en premissleverandør for myndighetene.

BAS-prosjektene startet i 1994 som et samarbeid mellom FFI, Justis- og politidepartementet, det daværende Direktoratet for sivilt beredskap og relevante fagdepartementer. Bakgrunnen var erkjennelsen om endringer i de sikkerhetspolitiske utfordringene for samfunnet, og hadde som utgangspunkt at den sivile beredskapssektor hadde behov for et mer helhetlig grunnlag for ressursallokering og et bedre system for langsiktige planlegging. 13 Prosjektseriens langsiktige mål var og er å bidra til et gjennomarbeidet konsept for beskyttelse av samfunnet, samt støtte opp under en løpende prioritering av sårbarhetsreduserende tiltak. I studiene har det inngått sårbarhetsanalyser av ulike sektorer, studier av tilsiktede og utilsiktede trusler mot samfunnet og kosteffektivitetsanalyser av sårbarhetsregulerende og skadebøtende tiltak. BAS har så langt omfattet følgende prosjekter:

• 1994-1997 Samfunnets sårbarhet og organiseringen av beredskap (BAS1)

• 1997-1999 Sårbarhet i offentlig telekommunikasjon (BAS2)

• 1999-2001 Sårbarhet i kraftforsyningen (BAS3)

• 2001-2003 Sårbarhet i transportsektoren (BAS4)

• 2003 Sårbarhet i vannforsyningen (SIV)

• 2004-2006 Sårbarhet i samfunnskritiske IKT-systemer (BAS5)

En rekke problemstillinger har vært formative for prosjektene: Hvor sårbart er samfunnet og de ulike sektorene, hvilke trusler står samfunnet overfor, er beredskapen tilpasset trusselbildet og utfordringene, hvilke tiltak bidrar til å redusere sårbarheten, hva koster beredskap og beskyttelsestiltak og hvordan få mest mulig beredskap ut av hver krone?

3.1.4.1.1 Samfunnets sårbarhet og organiseringen av beredskap (BAS1)

I BAS1 på midten av 1990-tallet ble det klart at det moderne samfunnet generelt er sårbart, men at det er store forskjeller mellom ulike samfunnsfunksjoner. Det ble også funnet en stor grad av gjensidige avhengigheter mellom ulike samfunnsfunksjoner og at sårbarheten tenderte til å øke innen kritisk infrastruktur som følge av sentralisering og spesialisering. En gjennomgående trend ble også funnet å være IKT-avhengigheten på alle områder. Inn i dette bildet faller også at personellreduksjoner og effektivisering gir mindre rom for å møte uforutsette hendelser. Overgripende for alle funnene er at internasjonalisering og globalisering gjør det stadig vanskeligere å se på sårbarhet i et isolert nasjonalt perspektiv. Som en konklusjon ble det konstatert at alvorlig svikt vil få store konsekvenser, og at beredskapstiltak bar preg av å være lite tilpasset en endret virkelighet.

3.1.4.1.2 Sårbarhet i offentlig telekommunikasjon (BAS2)

Som en oppfølgning av BAS1 gjennomførte FFI en undersøkelse med fokus på sårbarhet i telenettet i BAS2 fra 1997 til 1999. 14 FFI fant som hovedtrender at markedshensyn i økende grad var styrende for sektoren og da særlig i forhold som sentralisering og samlokalisering, teknologisk utvikling og kompleksitet, og internasjonalisering og globalisering. FFI fant blant annet at telekommunikasjon legger til rette for å drifte virksomheter utenfor landets grenser. Det ble også observert at det offentlige telenettet var sårbart og hadde liten redundans. Videre ble det funnet at avhengigheten av kommunikasjon er stor og at konsekvensene ved bortfall er store, særlig ved kriser der det er viktig å handle raskt for å redde liv, helse og verdier. På grunnlag av funnene ble det i 1999 anbefalt en økt sikring av telenettet ved å vektlegge beredskapsplanlegging, forsterke informasjonssikkerheten, ha samøvelser, bedre reparasjonsberedskapen samt å innføre redundansrettede tiltak ved å konkret utbedre de verste fysiske sårbarhetene. Resultatene fra BAS2 var med å danne grunnlag for myndighetenes videre arbeid med å minske sårbarheter i telenettet, blant annet vet å gi innspill til Sårbarhetsutvalget og Samferdselsdepartementets revisjon av teleberedskapen..

3.1.4.1.3 Sårbarhet i kraftforsyningen (BAS3)

I 1999 startet BAS3 med fokus på sårbarhet i kraftforsyningen. 15 Særlig to funn var interessante i et samfunnsperspektiv. For det første at sårbarheten i kraftforsyningen øker, og for det andre at befolkningens avhengighet av strøm øker. Prosjektet kom frem til at den fysiske infrastrukturen er relativt godt dimensjonert, men at et ensidig fokus på kosteffektiv drift fører til at sårbarheten øker. Forbruket har tatt igjen produksjonskapasiteten, og kraftsystemet kjøres på grensen av kapasiteten med en delvis foreldet infrastruktur. Det ble pekt på at enkle feil kan gi store konsekvenser. Senere ble dette bekreftet i 2003 ved strømutfallene i Nord-Amerika, England, Danmark og Sverige og Italia. 16 Prosjektet fant videre at reparasjonsberedskapen var svak, og at det var for lite fokus på de store utfordringene blant annet ved at kravene til beskyttelse var gammelmodige. Stigende sårbarhet ble også observert i kraftindustriens økende avhengigheten av IKT-systemer. Norsk kraftforsyning styres fra et fåtall driftssentraler med fjernstyring via avanserte IT-systemer, og sammenkopling av ulike datasystemer blant annet mot internett ble funnet å representere en sikkerhetsrisiko.

Konsekvensene av langvarige strømbrudd ble funnet å være at kritiske samfunnsfunksjoner stopper opp og at store deler av befolkningen meget raskt vil få behov for hjelp. Særlig kritisk er det at kraftbortfall i kuldeperioder vil medføre rask nedkjøling av en boligmasse som i stor grad er avhengig av elektrisk strøm for varme. Også krisehåndteringsevnen vil lide i en slik situasjon. På tiltakssiden anbefalte FFI en minimumspakke med bedre IT-sikring, en økt reetableringsevne og bedre sikring av viktige objekter. Det ble også anbefalt at marginene i systemet må økes, for eksempel med nybygging, sikring av importert kraft og fortsatte sparetiltak på forbruket.

3.1.4.1.4 Sårbarhet i transportsektoren (BAS4)

BAS4-prosjektet ble etablert i 2001 med fokus på sårbarhet innen transportsektoren. 17 FFI fant en rekke samfunnsmessige endringer som påvirket transportsektoren, blant annet i forhold til at transporttjenester har gått fra å være et knapphetsgode til at vi i dag har et overskudd. Sektoren har også i stor grad gått fra å være nasjonal til internasjonal, med en økende markedsdominans blant de store selskapene. I perioden som prosjektet løp ble også terrortrusselen aktualisert, og det ble iverksatt studier som så transportsektoren opp mot den nye trusselen. Statistikk om tidligere terrorhendelser fra hele verden ble sammenstilt, og resultatene viste at det innen transportsektoren var transport på veg som var mest utsatt, men at Norge og Skandinavia har vært lite utsatt i forhold til andre deler av verden. Samtidig ble det vist til at dette kan endre seg, og da særlig i forhold til Norges engasjement i andre konflikter, i forhold til spredning av kompetanse på IKT-siden og i forhold til en større villighet blant terrorister til å bruke masseødeleggelsesvåpen. Den generelle sårbarheten ble funnet å være lav på grunn av mangfold og redundans i de forskjellige transportformene. Likevel ble det gjort oppmerksom på at sektoren er sårbar overfor terrorhandlinger fordi den er tilgjengelig, synlig og attraktiv som mål.

3.1.4.1.5 Sårbarhet i vannforsyningen (SIV)

I 2003 kom resultatene av en mindre studie om sårbarhet i vannforsyningen. 18 Hovedmålet var å avdekke potensielle trusler og svakheter, og foreslå tiltak for å redusere sårbarheten. Rapporten viste at norsk vannforsyning inneholder et mangfold og en variasjon som gjør det mindre relevant å gi noen generelle anbefalinger til prioritering av enkelttiltak. Det er samspillet mellom de ulike tiltakene, så som tekniske, operasjonelle, vedlikeholdsmessige, kunnskapsmessige og øvelsesmessige som avgjør den helhetlige sikkerheten i vannforsyningen. Hvert vannverk må ses på som unikt og risikoen vurderes lokalt. Også sårbarhet opp mot terrorisme, beredskapsløsninger, ekstremt vær, konkurranseutsetting og privatisering ble vurdert. Av interessante funn i denne sammenhengen er at det ble funnet å være lett tilgang til mange anlegg. I studien blir det fremhevet at faren for alvorlige terroranslag mot vannforsyningen i Norge vurderes som meget liten, men at andre typer fysiske sabotasjeaksjoner er mer sannsynlige. Ekstremt vær vil trolig inntreffe stadig hyppigere. De fleste vannverk kan kjøres manuelt i en periode med bortfall av IKT-system, men større vannverk blir mer og mer avhengige av IKT-systemer når det gjelder prosesstyring, overvåking m.v. Det ble også funnet mangel på redundans, utfordringer knyttet til kompetanse og rekruttering, og at fremtidig konkurranseutsetting og privatisering kan gjøre at beredskap ikke blir prioritert. Regelverket knyttet til vannforsyning er oppfattet som noe overlappende, og det etterlyses en klarere organisering av beredskap på nasjonalt og regionalt nivå. SIV-studien avdekket også at kun halvparten av landets vannverk hadde utarbeidet en beredskapsplan og at bare 10 % hadde gjennomført øvelser de siste tre årene. Videre ble det avdekket begrensninger med hensyn til analysekapasitet og muligheter i forhold til spesialiserte analysetjenester for å identifisere agens i vann. Som en videreføring av SIV er det bl.a. igangsatt et prosjekt som tar sikte på å utarbeide et bransjespesifikt veiledningsmateriell for vannforsyning. Hensikten er gi vannverkene og deres rådgivere et bedre hjelpemiddel i arbeidet med vurdering av sårbarhet, utarbeidelse av beredskapsplaner, avklaringer av forholdet til samfunnet omkring (herunder overordnet operativ beredskap), gjennomføring av beredskapsøvelser m.v.

3.1.4.1.6 Sårbarhet i samfunnskritiske IKT-systemer (BAS5)

Høsten 2004 startet det så langt siste prosjektet i BAS-serien, BAS5. Prosjektet kom etter at Direktoratet for samfunnssikkerhet og beredskap (DSB) og Nasjonal sikkerhetsmyndighet (NSM) ble gitt i oppdrag av Justis- og politidepartementet (JD) å initiere et forskningsprosjekt for å undersøke hvordan sårbarhet i IKT-systemer kan påvirke viktige nasjonale samfunnsinteresser og -funksjoner. Forsvarets forskningsinstitutt utfører prosjektet som vil vare i om lag 2 år. I tillegg ble det innledet et samarbeid med Universitetet i Stavanger, Høgskolen på Gjøvik og Norges teknisk-naturvitenskapelige universitet i Trondheim om prosjektgjennomføringen.

Bakgrunnen for prosjektet er at nesten all oppmerksomhet på IKT-sikkerhet er rettet mot dagligdagse hendelser. Eksempler på dette er virusangrep og lokal driftsstand. Det er derfor naturlig for myndighetene å stille spørsmål om konsekvensene ved ekstraordinære hendelser. Dette er særlig viktig sett på bakgrunn av at vi er vitne til en akselererende bruk av IKT i samfunnskritiske systemer. Sårbarhetspotensialet kan derfor sies å hatt en dramatisk økning de siste årene. Også på trusselsiden er det skjedd endringer ved at det i dag bygges opp kompetanse og kunnskap for på sikt kunne ramme en nasjon gjennom dataangrep. Vi ser at slagmarken er i ferd med å utvides til også å omfatte samfunnskritiske IKT-systemer. Målsetningen er å komme med konkrete forslag til tiltak for å redusere sårbarhet, og videre at forslagene skal kunne danne grunnlag for myndighetenes videre arbeid med å skape et robust samfunn. Målsettingen er videre å utvikle og anvende en risiko- og sårbarhetsmetode på samfunnsviktige IKT-systemer, utvikle og anvende en metodikk for å rangere tiltak som reduserer sårbarheten og utvikle og anvende en metode for å rangere kritiske IKT-systemer og samfunnsfunksjoner.

BAS5 er organisert som et spleiselag. Norges forskningsråd er en tung bidragsyter ved siden av DSB. I tillegg bidrar departementer og underlagte etater med i prosjektet med arbeidsinnsats og finansiering. Også FFI har gått inn med midler i prosjektet. Oppdragsmiljøet omfatter så langt:

• Direktoratet for samfunnssikkerhet og beredskap

• Nasjonal sikkerhetsmyndighet

• Justis- og politidepartementet

• Forsvarets sikkerhetsavdeling

• Oljedirektoratet

• Norges vassdrags- og energidirektorat

• Moderniseringsdepartementet

• Post- og teletilsynet

• Samferdselsdepartementet

• Sosial- og helsedirektoratet

• Kredittilsynet

• Norges forskningsråd

• Statnett

3.1.4.2 NTNU og SINTEF

NTNU har en teknologisk og naturvitenskapelig hovedprofil. Samtidig har universitetet et bredt fagtilbud i medisin, samfunnsvitenskap, humaniora og kunstfag. NTNU vektlegger tverrfaglighet i forskning og undervisning. Stiftelsen SINTEF består av åtte forskningsinstitutter, og i SINTEF-gruppen inngår også fire forskningsaksjeselskaper. 19 SINTEFs visjon er teknologi for et bedre samfunn. SINTEF samarbeider nært med NTNU og Universitetet i Oslo (UiO). Personell fra NTNU arbeider på SINTEF-prosjekter, mens SINTEF-ansatte underviser ved NTNU. Fellesskapet innebærer en utstrakt, felles bruk av laboratorier og utstyr.

Ved NTNU og SINTEF foregår det mye forskning som direkte omhandler eller grenser opp mot sårbarheter i kritisk infrastruktur. Det gjelder innenfor områder som transport, kraftforsyning, vannforsyning og IKT. I det følgende vil de mest aktuelle studiene bli presentert.

3.1.4.2.1 Sårbarhet i transport

Innenfor landbasert transport på veg og bane spenner aktiviteten blant annet over følgende tema:

• Ulykkesdata og risiko i vegnett, erfaringstall for ulykkesrisiko, effekter av tiltak, metodikk for å evaluere nye tiltak, sårbarhetsanalyser for vegnettet, risiko og krisehåndtering i veg- og jernbanetunneler

• Trafikksikkerhet som funksjon av drift og vedlikehold av vegnettet, herunder vinterdrift, dekketilstand og fartsgrenser

• Sikringssystemer for jernbane, herunder vurdering av sikkerhet og interoperabilitet

• Holdninger, kjøreatferd og sikkerhetskultur, herunder trafikantenes fysiske forutsetninger samt holdninger og atferd hos spesielle trafikkantgrupper

• Lovgivning, kontroll og sanksjoner, herunder evaluering av aksjoner og tiltak som prikkbelastning, sammenhenger mellom deregulering og trafikksikkerhet med mer.

Det er et stort potensial for å bedre sikkerheten innenfor landbasert transport så vel ved tiltak rettet mot de enkelte elementene (trafikantene, kjøretøyene, transportsystemet) som ved tiltak av mer generell karakter. Det er ellers en stor utfordring å avklare hvordan trafikksikkerheten skal veies mot andre hensyn som økonomi, miljøforhold og lignende ved evaluering av aktuelle tiltak.

Omfanget av forsknings- og utviklingsaktiviteten på disse områdene beløper seg til 10-15 mill kr. pr. år. Forskningsprogrammet Risiko og sikkerhet i transportsektoren (RISIT) og nullvisjonssatsingen til Statens vegvesen utgjør for tiden et viktig grunnlag for aktivitetene ved NTNU og SINTEF på dette feltet. Forskningsaktiviteten finansieres ellers av en rekke ulike oppdragsgivere både i inn- og utland.

Av andre stikkord kan nevnes:

• Deregulering innenfor jernbane – hva er beste praksis innenfor EU?

• Deregulering og transportsikkerhet innenfor veg, bane, luft og sjø; en kunnskapsoversikt.

• Etablering og oppfølging av sikkerhetskritiske funksjoner innenfor Jernbaneverkets trafikkstyring .

• Katastrofepotensialet ved uønskede hendelser innenfor transport; hvilke faktorer avgjør om en hendelse utvikler seg til en storulykke?

3.1.4.2.2 Sårbarhet i kraftforsyningen

SINTEF har nylig gjennomført en analyse av sårbarheten i den nordiske kraftforsyningen på oppdrag fra Nordisk Ministerråd med tittelen Vulnerability of the Nordic Power System. 20 Formålet med studien var å identifisere faktiske og mulige hendelser i kraftsystemet som kan lede til alvorlige konsekvenser for samfunnet, og foreslå tiltak for å redusere og håndtere kritiske situasjoner. Tre sett av basishendelser er analysert: energiknapphet i tørrår, effektknapphet ved streng kulde og nettsammenbrudd. Disse kan hver for seg eller i kombinasjon føre til tre typer uønskede hendelser: Ekstreme priser, rasjonering og omfattende utfall 21 av strømforsyningen. Disse hendelser klassifiseres i henhold til alvorlighetsgraden. Sannsynligheten for hendelsene og alvorlighetsgraden bestemmer sammen risikoen, som deles inn i tre nivåer: i) lav risiko, som ikke krever tiltak, ii) medium risiko, hvor tiltak bør vurderes med hensyn til kostnader og iii) høy risiko, som anses som uakseptabelt og følgelig krever tiltak.

Resultatet av analysen viser at sannsynligheten for energiknapphet er på medium nivå for dagens system. Sannsynligheten for en situasjon som i vinteren 2002/03 eller verre er estimert til én gang hvert tiende år. Hvis en antar at produksjonskapasiteten utvides i takt med forbruksøkningen vil risikonivået være tilsvarende i 2010. Uten en slik økning i produksjonskapasiteten vil risikoen for ekstreme priser øke betydelig.

Med hensyn til effektknapphet tilsier analysen at risikonivået er lavt, delvis fordi det allerede har vært iverksatt en rekke tiltak av systemoperatørene. Imidlertid forventes dette å forverres til medium risiko mot 2010, fordi produksjonsøkningen primært skjer på anlegg med et lavere effektbidrag enn dagens produksjonssystem.

Også med hensyn til omfattende utfall anses risikonivået å være medium. Risikoen ligger primært i muligheten for større utfall i Sør-Skandinavia. Slike utfall vil alltid omfatte mange mennesker og dermed ha store konsekvenser. Denne situasjonen er imidlertid ikke vesentlig endret etter liberaliseringen. Det er ingen direkte indikasjoner på at dette vil forverres mot 2010, men det er en viss bekymring med hensyn til endringer i vedlikeholdsrutiner og tilgang på kvalifisert personell.

Rapporten anbefaler en rekke tiltak, deriblant reduksjon av usikkerheten i fremtidige reguleringstiltak, økning av elastisiteten i etterspørselen, reduksjon av virkningen av høye priser til utsatte grupper, forbedring og harmonisering av rammebetingelser for nettutbygging innenfor Norden, forbedret systemovervåkning, vern og trening av driftspersonale og sterkere satsing på forskning.

3.1.4.2.3 Sårbarhet i vannforsyning

SINTEF har de siste årene arbeidet mye med forfallsproblematikk i vannledningsnettet og hvordan dette påvirker påliteligheten til vannledningsnettet. Det er utviklet flere typer simuleringsmodeller for dette. SINTEF har også et stort internasjonalt nettverk på området og har bl.a. ledet EU-prosjektet Computer Aided REhabilitation of Water Networks (CARE-W) som omhandlet rehabiliteringsplanlegging av vannforsyningsnett. De største norske kommunene har vært med på dette arbeidet. Tre ulike modeller for å analysere sårbarheten i vannforsyningssystem er blitt utviklet og inngår i prosjektet. CARE-W var ferdig januar 2004. 15 forskningsinstitusjoner og 13 sluttbrukere/kommuner over hele Europa deltok i prosjektet. 22 Dette er verktøy som er nyttig for å tallfeste hvor sårbar vannforsyningen er, og hvilke tiltak som kan settes inn for å øke sikkerheten. Systematisk bruk av pålitelighetsmodeller for vannforsyning er et nyttig tiltak for å tallfeste sårbarheten i vannforsyningsnettet og for å kunne vurdere avbøtende tiltak på nettet.

På oppdrag fra Kommunal- og regionaldepartementet (KRD) har SINTEF også utført arbeidet med VARFIN – Utredning om informasjonssystem og finansieringsregime for vann. og avløpssektoren. 23 Et av delmålene med prosjektet var å vurdere hvorvidt det finansieringsregime som er innført på kraftnettsiden, kan overføres til VA. 24 Det ligger her en stor utfordring i å sikre at sårbarheten ikke økes ved deregulering. Tiltak for å opprettholde sikkerheten innen vannforsyning er beskrevet i rapporten. I St.prp. nr. 64 (2003-2004) Om lokaldemokrati, velferd og økonomi i kommunesektoren 2005 er VARFIN-utredningen m.m. drøftet, og KRD signaliserer der oppstart av arbeidet med å utvikle et nasjonalt informasjonssystem for VA-sektoren. Vurdering av alternativt finansieringsregime til dagens selvkostregime utsettes til man har høstet erfaringer med et nasjonalt informasjonssystem (benchmarking).

SINTEF utfører også forskning innenfor vannbehandling, eksempelvis i forhold til parasitter og virus i drikkevann.

3.1.4.2.4 Sårbarhet innenfor IKT

Forskningsrådets program IKT Sikkerhet og sårbarhet (IKT SoS) går fra 2004 til 2007. Programmet vil prioritere prosjekter der resultatet av FoU fra et informasjonssikkerhetssyn bidrar til å:

• Gjøre systemer og infrastruktur for elektronisk informasjonsutveksling robust og sikker.

• Utvikle innbyggeres og virksomheters holdninger slik at det bygges en sikkerhetskultur rundt bruk og utvikling av informasjonssystemer og elektronisk informasjonsutveksling .

• Etablere nye tjenester og produkter der sikkerhetsteknologi muliggjør nye måter å arbeide på, nye forretningsmodeller eller høyere effektivitet og god brukervennlighet.

• Utvikle, vedlikeholde og håndheve lover og forskrifter slik at de fremstår og kan anvendes på en enkel og oversiktlig måte.

• Muliggjøre deteksjon og sporing av sikkerhetshendelser med pålitelige og effektive metoder.

• Redusere kostnadene forbundet med etablering av riktig informasjonssikkerhet for målgruppen.

De prosjekter som SINTEF / NTNU er involvert i og som hittil er godkjent av Forskningsrådet via IKT SoS-programmet  er:

• iAccess - Aksesskontroll i helsesystemer.

• IRMA - Hendelsesrapportering og oppfølging av IKT sikkerhetsbrudd via videreutvikling av sikkerhetskultur i olje og gass-sektoren.

• TID - TIDS stempling og oppfølging IKT hendelser i etterkant.

Andre godkjente prosjekter der NTNU / SINTEF spiller en rolle er:

• SWAP - Sikker Trådløs kommunikasjon for bærbare PCer.

• BAS5 – via FFI – Sårbarhet i samfunnskritiske IKT-systemer.

• Rapportering av Sikkerhetsbrudd i prosesstyring (SCADA 25 ) knyttet til elektrisitetsforsyning, og annen infrastruktur.

• Enforce - Oppfølging av IKT politikk.

• Ambasec - Dynamisk modellering av sikkerhetskultur.

• Legal Inf. Security Regulations – Utvikling av Informasjonssikkerhet via lovverket.

• Gjennomføring av konferansen Safecomp 2005.

3.1.4.2.5 Sikkerhet og sårbarhet generelt

SINTEF Teknologi og samfunn har definert Sikkerhet og sårbarhet som et utviklingsområde. Målsettingen er å videreutvikle kompetanseområdet sikkerhet og sårbarhet gjennom internasjonalt samarbeid i store EU-prosjekt. Som et ledd i dette er SINTEF blant annet. koordinator i EU prosjektsøknaden Water for billions hvor risiko og sårbarhet er en egen arbeidspakke. Søknaden er levert til 1. gangs evaluering oktober 2004.

Av andre prosjekter som er rapportert, kan stikkordmessig nevnes:

• Fem perspektiver på organisatoriske ulykker og fleksible organisasjoner.

• Slank og sårbar? Om verdien av organisatorisk redundans.

• Feiltoleranse, barrierer og sårbarhet innen petroleumsnæringen.

• Risiko på tvers – en gjennomgående og helhetlig strategi for risikovurdering innen HMS-området.

Informasjons- og systemsikkerhet er et satsningsområde i SINTEF IKT. Avdelingen har arbeidet med sikringssystemer for jernbane i 25-30 år og er utnevnt til Teknisk kontrollorgan i henhold til EU-direktiv 96/48. Det satses også på videreutvikling og etablering av samarbeidsrelasjoner til relevante institutter og bedrifter i Europa og USA.

NTNU har i flere år samarbeidet med Nasjonal Sikkerhetsmyndighet (NSM) og tidligere Forsvarets Overkommando, Sikkerhetsstaben (FO/S) om utvikling av metoder for risiko- og sårbarhetsanalyser av informasjon og følsomme objekter.

NTNU tilbyr en rekke kurs i risiko- og sårbarhetsanalyse og i informasjonssikkerhet. NTNU har startet et omfattende forskningsprogram innenfor informasjonssikkerhet. 26

NTNU har etablert et internt nettverk for forskning og undervisning innenfor Risiko- og sårbarhetsstudier (ROSS). 27 ROSS-nettverket har videre status som Marie Curie Training Site innenfor risiko og sårbarhet. Dette betyr at EU har vurdert ROSS som et egnet miljø for doktorgradsutdanning i Europa.

3.1.4.3 UiS og SEROS

Forskningen ved sikkerhetsmiljøet ved Universitetet i Stavanger (UiS 28 ) og ved Senter for Risikostyring og Samfunnssikkerhet (SEROS 29 ) har som formål å bidra til å bygge et sikrere og mer robust samfunn. Ved å arbeide for å utvikle ny metodikk og kompetanse innen fagområdet risikostyring og samfunnssikkerhet ønsker miljøet å bidra til å redusere menneskelige, miljømessige og økonomiske tap i samfunnet. Kompetanse samles spesielt fra fagområdene risikoanalyse og risikostyring med fokus på ulykker, skader og tap, økonomisk risikostyring med fokus på kontraktsformer, markedsanalyser og prosjektstyring og samfunnssikkerhet med fokus på samfunnsplanlegging, beredskap, krisehåndtering og sikkerhetsledelse. Mye av den forskningsaktivitet som foregår har direkte eller indirekte relevans for kritisk infrastruktur, enten ved forskning på sårbarhet i systemer eller i forskning innen trusler mot systemene. I tillegg utarbeides det årlig masteroppgaver av både samfunnsvitenskapelig og teknisk karakter hvor ulike sikkerhetsaspekter ved kritisk infrastruktur studeres og analyseres.

Følgende forskning på kritisk infrastruktur foregår ved UiS og SEROS:

• Transportsektoren (vei, båt, jernbane, fly)

• Informasjonssikkerhet (IT)

• Helsesektoren

• Sårbarhet i samfunnskritisk IKT (BAS 5)

3.1.4.3.1 Transportsektoren

Prosjektet Risikoanalyse- og styring under Forskningsrådets program Risiko og sikkerhet i transportsektoren (RISIT), er utviklet av det samfunnssikkerhetsfaglige miljøet ved Høgskolen i Stavanger og Rogalandsforskning. De overordnede målsettinger er å utvikle egnet metodikk for risikoanalyse og å utvikle kunnskap og en hensiktsmessig tenkning om hvordan slike analyser skal brukes i en plan- og beslutningskontekst. Spesielt inngår kopling mellom risikoanalyser og kost/nytte-vurderinger og risikoakseptkriterier.

Det samfunnssikkerhetsfaglige miljøet ved UiS er videre involvert i et prosjekt for Vegdirektoratet der temaet er «organisering av trafikksikkerhetsarbeidet i fylkeskommuner og kommuner - virkning på trafikksikkerheten.» Målet er å finne ut om organiseringen har betydning for trafikksikkerhetsarbeidet i både fylkene og kommunene.

Det er søkt om støtte til et forskningsprosjekt med fokus på risikoutfordringer knyttet til samtidige endringsprosesser i norsk transportsektor. Dette er, med forbehold om innvilging fra Norges forskningsråd, et fremtidig forskningsprosjekt innen luftfart, jernbane og sjøtransport med oppstart medio 2005.

Samfunnssikkerhetsmiljøet har to doktorgradsstipendiater som forsker på sikkerhet inn mot transportsektoren. Det ene prosjektet, transportsikkerhet og risiko, ser primært på aktørene innefor transportsystemet med fokus på forebygging av ulykker gjennom optimal risikostyring. Det andre prosjektet – Robuste organisasjoner, slakk og sikkerhet – fokuserer på hvordan man kan være i stand til å utvikle mer robuste organisasjoner, organisasjoner som har evnen til å håndtere feil og uventede hendelser. Prosjektets empiriske arbeid vil i første fase foregå innenfor luftfartsbransjen, men vil muligens utvides med helsesektoren.

3.1.4.3.2 Helsesektoren

UiS har inngått avtale med Helse Vest vedrørende et forskningsprogram innen håndtering av feil og avvik i helsesektoren. Dette er et 3-årig forskningsprogram innen pasientsikkerhet med studier i Helse Stavanger, oppstart 2005.

3.1.4.3.3 Informasjonssikkerhet

Samfunnssikkerhetsmiljøet har et doktorgradsprosjekt innen analyse av informasjonssikkerhetshendelser med fokus på blant annet hvordan varierte typer dataangrep fører til ulike konsekvenser for varierte bransjer i samfunnet, for eksempel bank/finans og helse. Studiet vil se på type angriper, metodikk og konsekvens, samt dra implikasjoner av dette til videre forebyggende arbeid.

3.1.4.3.4 Andre forskningsprosjekter og teoriutvikling ved UiS og SEROS

Miljøet innen risikostyring utvikler metoder for analyse av barrierer og risiko (BORA-prosjektet) i tillegg til utvikling av prinsipper, metoder og modeller for beslutningstaking under usikkerhet, der risiko og sårbarhet er sentrale problemstillinger. Ut over dette foregår det en fortløpende teoriutvikling ved UiS og SEROS innen håndtering av risiko, risikovurderinger, risikoanalyser, beslutningsanalyser og beslutningsstøtte. Denne forskningen er ikke sektorspesifikk, men kan brukes inn mot studier av flere bransjer og sektorer i samfunnet.

Det forskes også på erfaringsoverføring og organisatorisk læring i beredskapsorganisasjoner. 30

Kurset Samfunnsplanlegging og Sikkerhet II, ved mastergradsstudiet i samfunnssikkerhet, omhandler sårbarhet i infrastruktur. Følgende temaer blir tatt opp som dagsseminarer: Vann, avløp, renovasjon, kraftforsyning, transportsektoren, IKT og sikkerhet, og arealplanlegging for et mer robust samfunn.

UIS og SEROS er også involvert i BAS 5 om sårbarhet i samfunnskritiske IKT-systemer.

3.1.4.4 Østfoldundersøkelsen

I forbindelse med den anstrengte kraftsituasjonen våren 2003 ble landets energiverk pålagt å revidere sine planer for kraftrasjonering ved utkobling. Østfold Energi reviderte og utarbeidet rasjoneringsplanene våren 2003 for et område som dekker 2/3 av Østfold. 31 Det ble gjennomført en detaljert undersøkelse av virkningen på samfunnet og laget planer for rasjonering med roterende sonevise strømutkobling basert på dette. Det ble avdekket overraskende mange alvorlige samfunnsmessige konsekvenser.

Da rasjoneringsplanen ble laget, ble samfunnsfunksjonene veid opp mot hverandre som beskrevet i rasjoneringsforskriften etter følgende prioritet:

1. Liv og helse

2. Vital samfunnsmessig infrastruktur

3. Næringsliv, økonomiske interesser

Alle kraftledninger som kan utkobles ved fjernstyring, ble kartlagt helt ned til den enkelte adresse på så å si alle samfunnskritiske funksjoner. Tidlig viste problemet seg å være at strømnettet ikke er konstruert med tanke på rasjonering ved utkobling. Utgangspunktet for arbeidet ble derfor at rasjonering nesten er umulig, men dersom vi likevel må, hva gjør vi da?

For at rasjoneringen skulle ha noen virkning skulle kun 25 % av forbruket være fast innkoblet. Resten skulle kobles ut flere timer hvert døgn. Unntaket er at noen få viktige samfunnsfunksjoner får strøm hele døgnet. Nettet er imidlertid ikke bygget opp med tanke på strømrasjonering. Dersom vannverket skal ha strøm, får et meget stort område med «gratispassasjerer» rundt vannverket også strøm. Tilsvarende med trykkforsterkere for drikkevannet, kloakkpumper, telefonsentraler, sykehus, sykehjem, bakerier, politistasjoner, brannstasjoner, radio- og TV-sendere, basestasjoner for navigasjonssystemer, fyrlykter, tollstasjoner og så videre. Mye av dette må derfor likevel kobles ut dersom rasjoneringen skal ha noen effekt. Konsekvensene blir derfor også store.

Det er flere tusen lokale brytere geografisk spredd rundt om i hele fylket. De må kobles ut og inn manuelt på forskjellige steder mange ganger hvert døgn. I praksis er dette ikke mulig. For at rasjonering ved roterende sonevise utkoblinger rent praktisk skal kunne gjennomføres, må utkoblingen skje med fjernstyrte brytere ut fra halvstore transformatorstasjoner hvor hver bryter leverer strøm til et relativt stort geografisk område. Dette gir gratispassasjerer. Det er også slik at hvert område må være utkoblet mange timer ved rasjonering, ellers tas det oppsparte igjen ved innkobling, hvor alle elektriske apparater starter samtidig og drar mye strøm i startfasen.

De konkrete problemstillinger var mange. For eksempel ble det funnet at dersom alle sykehus, legevakter, sykehjem og ambulansestasjoner skulle ha fast forsyning, blir i praksis all strøm brukt opp på grunn av gratispassasjerene. Rent praktisk er det umulig å drive et sykehus uten strøm, men helt umulig uten rent vann, vaskeritjenester og mat. Det er også slik at noen sykehus kun har panelovner til oppvarming. For sykehjem ble det funnet at flere av institusjonene ikke kan få fast strømforsyning ved en slik rasjonering. Rent drikkevann til resten av befolkningen er også kritisk. Ved trykkbortfall vil det sive noe avløpsvann inn i vannrørene, og det kan dermed bryte ut epidemier. Dersom det leveres vann, men uten avløpspumper i drift, går avløpsvann i overløp til gater og kjellere. Uten fast forsyning av strøm må også meierier stoppe på grunn av bakterievekst, kjølelager på slakterier blir for varme, bakerier rekker ikke å få varmet opp bakerovnen og mat i butikkenes kjøledisker må kastes. Med sonevise utkoblinger vil også skipstrafikken måtte stanse når fyr, skipsledsbelysning og radarovervåkning er uten strøm. Togtrafikken får kjørestrøm sentralt, men strøm til bommer og signalanlegg tas ut lokalt, og på hver strekning vil det alltid være ett område som er utkoblet.

Telenettets konstruksjon forutsetter en normal strømforsyning. Bare de aller viktigste sentraler har dieselaggregat. Noen sentraler har batterireserve, men mange har ingen reservestrøm i det hele tatt. Mobilnettet slås raskt ut ved strømbrudd. Batteri løser heller ikke alle problemer. Å lade opp store nødstrømsanlegg for noen få timers drift, tar flere døgn. Dersom anleggene bare har strøm få timer før neste utkobling, lades heller ikke batteriene helt opp, og de ødelegges fort.

Industrien får også store problemer. Smelteovner ødelegges, ekstrudere og prosesser tettes og kontrakter brytes.

Elverkenes bemanning og utstyr er tilpasset en normalsituasjon. Ved rasjonering må det kobles i flere titalls brytere hver time hele døgnet, noe som krever store arbeidsressurser. Svært mange av disse bryterne har ligget fast inne i mange år, og det er ikke sikkert at de virker. De er heller ikke konstruert for å kobles flere ganger i døgnet.

Merk at til forskjell fra fullstendig utfall 32 vil det ved roterende utkoblinger alltid være noe som virker. For eksempel er det alltid en bensinstasjon som har strøm i nærheten. Østfold har 53.000 barn i skoler, barnehage og skolefritidsordninger. Ved manglende oppvarming må skoler stenges, noe som vil påføre småbarnsfamilier store praktiske problemer. Det må sannsynligvis løses ved at foreldre er hjemme fra arbeidet. Østfold har ikke storbyenes utfordringer med lange veitunneler som krever ventilasjon, stor avhengighet av strøm til lysregulering for å unngå trafikkaos og avhengighet av T-bane.

I Østfold representerer et titalls store bedrifter om lag halvparten av alt strømforbruk i hele fylket. Dersom myndighetene kan beordre utkobling av noen få bedrifter, ville derfor hele samfunnet ellers skånes.

Det kan se ut som at det er svakheter i forhold til lovverket ved at kommunene ikke er pålagt å ha nødstrøm til alle vannverk og kritiske trykkøkningsstasjoner. Likedan har ikke sykehusene nødstrømsanlegg som kan klare full drift. Tilsvarende konklusjon kom frem i et forprosjekt utført av DSB hvor det fremgår at nødstrømsforsyningen på sykehus har en gjennomgående lav pålitelighet. 33

Etter at Østfoldundersøkelsen ble gjennomført har bevissthetsnivået blitt hevet. Blant annet har det vært gjennomført flere øvelser på overordnet nivå, og problemstillingene er derved kommet på dagsordenen. Østfoldundersøkelsen gir også en god illustrasjon på hvor avhengig samfunnets sikkerhet er av en stabil strømforsyning, og på at vi må operasjonalisere oss ned på et svært detaljert nivå før vi kan gjøre reelle prioriteringer.

3.1.4.5 OECD

Organisasjonen for økonomisk samarbeid og utvikling (OECD) sin rapport Emerging Systemic Risks in the 21st Century - An agenda for Action (OECD, 2003) blir fulgt opp gjennom et nytt prosjekt: Risk Management Policies in Selected OECD Countries. Norge deltar i dette prosjektet med et Case Study som omhandler nasjonal organisering av tiltak med hensyn til IKT-sikkerhet. Målet med dette er dels å gi bidrag til generelle retningslinjer fra OECD med hensyn til risikostyring, dels å bidra til norsk policy på området IKT-sikkerhet.

3.1.4.6 Sårbarhetsutvalget fra 2000

I september 1999 ble det såkalte sårbarhetsutvalget nedsatt for å utrede det moderne samfunnets sårbarhet med sikte på å styrke samfunnets sikkerhet og beredskap. 34 Rapporten ble ferdig juli 2000. Utvalget konkluderte blant annet med at samfunnet er langt mer sårbart enn tidligere, og at svikt i noen få grunnpilarer og funksjoner i samfunnet kan resultere i kritiske problemet for samfunnet som helhet. Tap av telekommunikasjon og energiforsyning vil få særlig store konsekvenser. Utvalget viste videre til at andre aspekter som bidrar til økt sårbarhet kommer som følge av teknologiske endringer, økende kompleksitet i samfunnet, økende krav til effektivitet og kostnadsreduserende tiltak, redusert antall personell i viktige samfunnssektorer og økende privatisering av offentlige tjenester. Utvalget tok også for seg utfordringer knyttet til terrorisme. Utvalgets arbeid la et grunnlag for vår forståelse for sårbarheter i samfunnskritisk infrastruktur, og har bidratt med grunnlagsmateriale for flere av de tiltak vi har sett i de senere år.

3.1.4.7 Utvalg for sikring av landets kritiske infrastruktur

I oktober 2004 ble det nedsatt et utvalg for sikring av landets kritiske infrastruktur. Utvalget skal kartlegge virksomheter som antas å ha betydning for rikets sikkerhet og vitale nasjonale interesser. Videre skal utvalget kartlegge de virkemidler som brukes for å sikre nasjonale interesser når offentlige virksomheter privatiseres. Eksempler på områder som utvalgets vurdering skal omfatte er kraftsektoren, telesektoren, vannforsyningen og tilsvarende. Utvalgets rapport skal være ferdig til august 2005. 35

3.1.5 Trender og utviklingstendenser

Det er så langt gjort rede for større forsknings- og utredningsarbeid på sårbarhet i kritisk infrastruktur, blant annet på trender og utviklingstendenser som påvirker samfunnets sårbarhet. Dette er trender knyttet til globalisering, gjensidig avhengigheter, IKT-avhengighet, sentralisering, kraftavhengighet, omstilling, deregulering og privatisering. Mange av trendene er godt dokumentert i tidligere arbeider, og det vil i det følgende bli fokusert på tre temaer som DSB vil hevde krever større oppmerksomhet fremover i forbindelse med sårbarheter i kritisk infrastruktur. For det første deregulering og bortsetting 36 , for det andre bruken av IKT i samfunnskritiske funksjoner og for det tredje globalisering. Felles for de tre er at de er sektorovergripende. Utfordringene er dermed av en slik karakter at de også må løses sektorovergripende.

3.1.5.1 Deregulering og bortsetting

Deregulering av kritisk infrastruktur er en del av en internasjonal trend, og er en politisk styrt prosess for videreutvikling av samfunnet. Deregulering og privatisering innebærer å innføre eller skjerpe konkurransen innenfor en sektor, og betyr at offentlige myndigheter overfører kontroll fra én sentral myndighet til en eller flere aktører som opererer etter markedsøkonomiske prinsipper. Virksomheter med beredskapsoppgaver dereguleres også, blant annet virksomheter som på grunn av deres økonomiske viktighet eller på grunn av deres kritiske funksjon for samfunnet kan sies å utgjøre en del av nasjonens vitale interesser. Overfor disse virksomhetene er det behov for å sikre at beredskapsoppgavene kan ivaretas på en hensiktsmessig måte. Et annet trekk i denne sammenheng er at eierstrukturen i selskaper kan fremstå med uklar nasjonalitet og at eierkonstellasjoner i prinsippet kan endres raskt. Det er også en utfordring at utviklingen går så hurtig at myndighetsorganer blir hengende etter både organisatorisk og i forhold til lovgivningen. Ved slike anledninger handler det ofte om manglende evne til å kommunisere et samfunnsansvar overfor aktører hvis fremste prioritet er å sikre inntjening. Summert opp på engelsk kan det omtales som at the business of business is business and nothing else .

Inn i dette bildet kommer også bortsetting. Hensikten med bortsetting er å fokusere på egne kjerneområder i en virksomhet ved å sette ut aktiviteter som er definert som perifere. Det kan være drifting av IKT-systemer, vedlikehold, regnskap og så videre. Som resultat kan driften bli mer kosteffektiv, men samtidig gjør virksomheten seg avhengig av andre virksomheter for tjenester som er sentrale for opprettholdelse av egen drift. Manglende forståelse og nærhet til driftskritiske løsninger i egen virksomhet kan derfor skape en sårbarhet overfor uforutsette hendelser. Bildet kompliseres ytterligere ved at sentrale tjenester kan bortsettes uavhengig av geografi, og det kan derfor oppstå situasjoner hvor samfunnskritiske funksjoner er avhengig av tjenester utført utenfor landets grenser, og dermed utenfor nasjonal kontroll. Sårbarheten øker i takt med kompleksiteten.

Samfunnssikkerhet og beredskapsspørsmål knyttet til deregulering og bortsetting i forskjellige sektorer er svært komplekse og uensartede, og DSB ser det derfor som viktig å opprettholde en høy utrednings- og forskningsinnsats med et sektorovergripende blikk på området.

3.1.5.2 Sårbarhet og IKT i kritisk infrastruktur

Et annet sektorovergripende utviklingstrekk som DSB ønsker å trekke frem er teknologiutvikling innenfor IKT. Som med globalisering er den en viktig del av samfunns- og velstandsutviklingen. Samtidig stiller den samfunnet overfor ett sett med nye sårbarhetsutfordringer. Det skyldes at befolkningens velferd i økende grad er avhengig av teknologiske løsninger som er koblet sammen i nettverk. På de fleste sektorer bryter samfunnskritiske tjenester sammen uten tilgjengelighet til IKT. Den potensielle sårbarheten og skadepotensialet er derfor særdeles høy.

Et gjennomgående trekk er datanettverkenes tendens til å klumpe seg sammen rundt knutepunkter. 37 Fordi det mangler oversikt over punktene og hvor sårbare de er, står samfunnet overfor en strukturell sårbarhet som er vanskelig å håndtere. Knutepunktene i datanettverk er av forskjellig karakter. Det kan være knutepunkter av informasjon, programvare eller maskinvare. Når det gjelder det sistnevnte er det i Norge flere knutepunkter, blant annet de såkalte NIXene som er samtrafikkpunkter for IP-trafikk i Norge. 38 Mye av internettrafikken går gjennom disse punktene, og en svikt vil få uoversiktlige konsekvenser.

En annen side er at ny teknologi legger til rette for å effektivisere drift ved å sentralisere tjenester. Dette gir samtidig enkeltpersoner stor makt til å forårsake skade, enten den er tilsiktet eller utilsiktet. Teknologien muliggjør på mange måter at liten tue velter stort lass, også innenfor kritisk infrastruktur. Det er dermed en sårbarhet i denne sammenhengen at makt til å forårsake sårbarhet og skade forsvinner innover, bort fra systemnivå ned til individnivå. Det setter ekstra krav til opplæring, kontroll med tilgang og håndtering av innsideproblematikk.

Innenfor kritiske samfunnsfunksjoner vokser også sårbarhetspotensialet etter hvert som prosesser som tidligere ble kontrollert innenfor lukkede systemer, i økende grad kobles til internett. Eksempelvis styrings- og prosessystemer som blir koblet opp mot administrative systemer, som igjen blir koblet opp mot internett for å imøtekomme publikums behov for informasjon. Det er også vekst i teknologiske løsninger hvor eksempelvis driftspersonale plassert utenfor eget nettverk har behov for å knytte seg direkte opp mot egne prosessystemer, og hvor internett er koblingen mellom bruker og det interne nettverket. Denne utviklingen kommer hovedsakelig som et resultat av krav til økt effektivitet.

En sektor hvor dette de senere år er blitt tydelig, er i olje- og gassektoren med såkalte eDrifts-løsninger. eDrift er en samlebetegnelse for et driftskonsept der ny informasjons- og kommunikasjonsteknologi og sanntidsdata utnyttes for å optimalisere operasjoner på sokkelen. eDrift blir omtalt som et tredje effektivitetssprang for olje- og gassindustrien. 39 eDrift skal bidra til å redusere kostnadsnivået, akselerere produksjonen, øke utvinningsgraden og bedre HMS-resultatene. 40 Flere eDrift-konsepter er i drift hos forskjellige selskaper og flere er på vei. Sleipner B fjernopereres fra Sleipner A, Hod fra Valhall, Huldra fra Veslefrikk og Tambar fra Ula. På Ekofisk har ConocoPhillips avbemannet to plattformer, installert én ubemannet plattform og lagt planer for fjernoperasjon av nye, opprinnelig bemannede enheter. Dessuten skal de nye undervannsinstallasjonene til Ormen Lange og Snøhvit fjernopereres fra landanlegg. Det er også mulig å fjernoperere store deler av produksjonsanlegget på Troll A fra landanlegget på Kollsnes. eDrifts-konseptet vil akselerere og forsterke utviklingen. 41

Det er knyttet store forventinger til eDrift. Samtidig åpner utviklingen opp for nye sårbarheter i en samfunnskritisk sektor. Eksempelvis vil et typisk kontrollsenter på land ha flere leverandørdrevne støttesentre som opererer geografisk uavhengig av kontrollsenteret. Støttesentrene har behov for å koble seg på ved for eksempel feilretting, og det vil som regel skje ved hjelp av internettbasert kommunikasjon. Kritiske styringssystemer får da en fysisk tilkobling mot utenverden via internett. Offshoreinstallasjonene er også sårbare overfor driftstans hos de landbaserte kontrollsentrene ved strømstans, brann og lignende. Ut over dette er det en generell betraktning at økende kompleksitet i tekniske systemer og datasystemer samt nye grensesnitt mellom menneske og maskin er faktorer som i tillegg øker risikoen for feil og åpner for utilsiktede konsekvenser og nye sårbarheter.

I USA er det i forlengelsen av slike utfordringer kommet frem en særlig bekymring overfor beskyttelse av SCADA-systemer, senest i forbindelse strømutfallet august 2003 som rammet store deler av det nordøstlige USA og det sørlige Canada. 42 Et SCADA-nettverk består av sammenkoblede IKT-systemer og programvare som utfører en rekke funksjoner spredt utover forskjellig industri og kritisk infrastruktur. De amerikanske SCADA-systemene var i utgangspunktet konstruert for å operere i isolerte nettverk med tanke på funksjonalitet, ikke sikkerhet. 43 I USA er de nå i økende grad enten direkte eller indirekte koblet til internett blant annet fordi driftspersonell har behov for å overvåke de SCADA-tilkoblede systemene utenfor det interne nettverket. Dette øker risikoen for uautorisert tilgang til systemenes kontrollmekanismer. I USA og Canada er opprettelsen av et eget SCADA-sikkerhetsprogram under vurdering for å sikre en helhetlig tilnærming til både den fysiske og logiske sikkerheten i slike systemer. 44 SCADA-systemer er av interesse i vår sammenheng fordi de også i Norge er nødvendige for driften av samfunnskritiske funksjoner.

Sårbarheten i IKT-systemer kan illustreres ved hendelsen i Sverige i mai 2004, da dataormen Sasser slo ut et stort antall PCer på sykehus i Västra Götaland og Lund. Ormen slo blant annet ut tilgangen til røntgenbilder og elektroniske pasientjournaler. Resultatet var at pasienter ble flyttet eller omdirigert til andre sykehus. Likevel kan ikke episoden karakteriseres som kritisk. Ingen pasienter led skade og Sasser fikk ingen alvorlige konsekvenser for mulighetene til å gi individuell hjelp til trengende pasienter. Hendelsen avslørte derimot hvor sårbar en organisasjon er når den er avhengig av IT-systemer på døgnkontinuerlig basis. 45 Dette var en lavtrusselhendelse som ikke var spesifikt rettet mot noe enkelt mål. Det er derimot naturlig å anta at et høykapasitetsangrep rettet mot svenske sykehus kan få helt andre og dramatiske konsekvenser. Det er også naturlig å anta at et høykapasitetsangrep også kan skje mot norske sykehus, selv om de mest kritisk systemene ikke er tilgjenglige via åpne systemer som internett. Ormen fikk da også noen få, men mindre konsekvenser for norsk helsevesen ved at lokalsykehuset i Orkdal hadde driftsproblemer med de pasientadministrative systemene, de elektroniske pasientjournalene samt laboratorie- og røntgensystemet på grunn av Sasser.

Tilsvarende ble det amerikanske kjernekraftverket David-Besse i Ohio rammet av Slammer-ormen i januar 2003. Anlegget var for anledningen avstengt, men angrepet fra Slammer satte et viktig overvåkningssystem ut av drift i nærmere fem timer. 46 Årsaken var delvis en feilimplementert forbindelse inn i anleggets datanettverk, og delvis at en datamaskin uten virusbeskyttelse ble feilaktig ansett å være frittstående fra anlegget og dermed ikke hadde behov for beskyttelse. Det fantes redundante, analoge reservesystemer som var upåvirket av ormen, men driftsoperatørene fikk en betraktelig økt arbeidsbelastning. Også denne episoden var en lavtrusselhendelse som ikke var rettet mot noe enkelt mål.

På bakgrunn av slike erkjennelser er det grunn til å reise spørsmål med om sikkerheten er godt nok ivaretatt når driften av samfunnskritiske funksjoner får en kobling opp mot internett. Dette gjelder overfor lavkapasitetstrusler som Slammer og Sasser, men gjør seg i særlig grad gjeldene overfor den mer ukjente delen av trusselspekteret hvor ondsinnede aktører med høy kapasitet fatter interesse. Det må tilføyes at det er iverksatt logiske sikringstiltak mellom de systemene som kontrollerer og styrer prosessene innen samfunnskritiske områder og de administrative og publikumsrettede tjenestene. Det er likevel knyttet en viss usikkerhet til hvor effektive disse er, noe eksemplene ovenfor viser. Det finnes per i dag ingen oversikt over hvor utbredt koblingen mellom prosessystemer og åpne datanettverk er for de forskjellige kritiske samfunnssektorene, men utviklingen så langt tilsier at dette er et område i vekst.

Uavhengig av om de mest kritiske systemene er godt nok sikret, vil også en svikt i de administrative og publikumsrettede tjenestene være problematisk for samfunnet som helhet. Bortfall av tjenester knyttet til ordrebestilling, fakturering, vareflyt, nettbanktjenester, IP-telefoni og lignende vil få store konsekvenser meget raskt. I løpet av få år er slike tjenester blitt vesentlige i befolkningens daglige gjøremål. Det er forventet at avhengigheten vil øke i årene som kommer.

3.1.5.3 Internasjonale trender

Felles for det som er tatt opp er at det har trekk koblet til globalisering. Globaliseringen gir en rekke fordeler blant annet økt velferd og et større kulturelt mangfold, men det åpner samtidig opp for økt sårbarhet. Norsk produksjon og tjenesteyting blir i økende grad vevd sammen med og blir avhengig av resten av verden. Dette går også den andre veien, særlig i forhold til andre lands avhengighet av vår olje- og gassproduksjon. Produksjonsstopp i Norge betyr stopp i leveransene til mottagerland. Globalisering gjør oss dermed ikke bare potensielt mer sårbar, den bidrar også til andres sårbarhet. Et nytt trekk de senere år finner vi i koblingen mellom globalisering og avanserte IKT-løsninger. Samfunnskritiske funksjoner kan nå i økende grad bli kontrollert av driftssentraler utenfor landets grenser. Dette gjelder særlig på finans- og energisektoren, men også til en viss grad transportsektoren. Vi ser at makt til å motarbeide sårbarhet forsvinner utover, bort fra nasjonalstaten. En forsterkende effekt er at befolkningen i økende grad er avhengig av disse tjenestene for å løse dagligdagse utfordringer. Avhengigheten er blant annet fundert i at befolkningen er mindre robust overfor uforutsette hendelser i dag enn tidligere. Dette gjelder særlig i de større byene.

3.1.6 Kunnskapsbehov

3.1.6.1 Tilrettelegging for kunnskapsutvikling

Samfunnets raske endringstakt tilsier fortsatt fokus på forskning og utredning om sårbarhet i kritisk infrastruktur. For det første bør det opprettes et eget forskningsprogram i Norges forskningsråd med fokus på samfunnssikkerhet. En utredningsgruppe er nå etablert i regi av Norges forskningsråd. Hensikten med en slik løsning er å sikre en helhetlig tilnærming som involverer mange. For det andre bør det finansieres et permanent miljø for forskning om samfunnets sårbarhet for eksempel ved Forsvarets forskningsinstitutt. Som tidligere vist har FFI siden 1994 vært ledende på forskning om samfunnets sårbarhet med BAS-prosjektene. Likevel fremstår det som en utfordring at BAS-prosjektene finansieres ad-hoc fra prosjekt til prosjekt og at miljøet står i fare for å forvitre mellom hvert prosjekt. Det er også et aspekt at de sikkerhetspolitiske utfordringene i dag er av mer sivil enn militær karakter. Økt fokus ved FFI på sivil sårbarhetsforskning vil styrke den sivile kompetansen, og skape et permanent miljø som ser militære og sivile utfordringer i sammenheng. For det tredje vil det fortsatt være behov for å starte tidsavgrensede forskningsprosjekter med ad-hoc midler. Det ligger i sakens natur at hendelser som utfordrer samfunnets sikkerhet dukker opp uten varsel. Det må ligge inne en kapasitet for kortere analyser av hendelser ut over det myndighetene selv er i stand til å utføre.

DSB anser at en slik tredelt tilnærming for å tilrettelegge for kunnskapsproduksjon innen sårbarhet i kritisk infrastruktur, vil bidra til balanse mellom myndighetenes behov for anvendt forskning og forskningsmiljøenes behov for en fri og uavhengig rolle. Samtidig vil det bidra til å etablere en langsiktighet som vil motvirke at kunnskapsforvaltningen i for stor grad blir hendelsesorientert.

3.1.6.2 Sentrale temaer

DSB understreker behovet for en sektorovergripende tilnærming overfor sårbarheter i SCADA-systemer og andre prosesstyringssystemer i samfunnskritisk infrastruktur. Fordi de samfunnskritiske funksjonene er en del av globaliseringen, og fordi endringene skjer i et høyt tempo, anser DSB at globalisering er en sektorovergripende utfordring hvor kunnskapstilfanget må økes. Dette gjelder særlig i forhold til nasjonalstatens relevans og styringsmulighet. Større samarbeid ut over grensene er nødvendig. Det gjelder både i forhold til kunnskapsutvikling, men også i forhold til det operative samarbeidet. Vi mangler også kunnskap om sårbarhet overfor terrorisme sett opp mot samfunnskritisk infrastruktur.

3.1.7 Oppsummering og anbefalinger

Norge var tidlig ute med bevissthet omkring sårbarhet i kritisk infrastruktur. I 1994 startet BAS-forskningen ved FFI. Det også større miljøer ved Universitetet i Stavanger og Norges teknisk-naturvitenskapelige universitet som arbeider med sårbarheter i kritisk infrastruktur. I 2000 ble bevisstheten om det sårbare samfunn løftet opp til et politisk nivå med sårbarhetsutvalgets rapport. 47 Samtidig er samfunnet i konstant endring, og det ligger en utfordring i å tilpasse seg disse endringene. Denne utredningen har hatt som fokus de overordnede sektorovergripende utfordringene, både i forhold til det vi vet, og i forhold til hvor vi burde gå videre for å redusere sårbarheter.

Oppsummert anbefaler DSB følgende:

• At det etableres et sektorovergripende sett med kriterier for identifisering og rangering av samfunnskritisk infrastruktur. Det pågår et arbeid i BAS5 på dette.

• At det i forbindelse med omorganisering av myndighetsansvar og dereguleringer gjennomføres en helhetlig analyse om tverrsektorielle konsekvenser i forhold til forebygging og beredskap i samfunnskritisk infrastruktur.

  • Innenfor dette at det ses nærmere på konsekvensene for lovverket innenfor samfunnssikkerhet.

• At det holdes et særlig fokus på tre områder hvor myndighetene har behov for ytterligere kunnskap:

  • Bruk av IKT i samfunnskritiske funksjoner, med et særlig blikk på sektorovergripende utfordringer for SCADA og prosesstyringssystemer

  • Sektorovergripende konsekvenser for beredskap og samfunnssikkerhet ved deregulering av samfunnskritiske sektorer og virksomheter

  • Sektorovergripende konsekvenser av globalisering for samfunnskritisk infrastruktur

• At det legges til rette for kunnskapsforvaltning i Norge ut fra:

  • Å opprette et eget forskningsprogram i Norges forskningsråd med fokus på samfunnssikkerhet.

  • At det sikres finansiering for å opprette et permanent forskningsmiljø ved FFI med fokus på samfunnets sårbarhet

  • At det sikres kapasitet til ad-hoc analyser av samfunnets sårbarhet