HÃ¥ndtering av IKT-kriser - Forsvarets forskningsinstitutt

48operativt nivå ser det ut til at aktørene vil ha samme rolle uansett om det dreier segom en IKT-krise eller en annen krise. Høyere opp i systemet vil spørsmålet bli om detskal etableres et Regjeringens kriseråd eller ikke. Når systemet først er etablert, vilrollen være den samme. Enheter som har koordineringsroller i kriser, ser ut til å hasamme rolle uansett, som for eksempel DSB sin koordineringsrolle mellom JD ogFylkesmannen.I alle scenariene kan det tenkes at et nasjonalt CERT kan få en rolle. Blant aktørenepå workshopen ble det nevnt at det vil være en umulig oppgave å samle all kunnskap ien generell ekstern ”ekspertgruppe”, på grunn av forskjellene som ligger i systemenehos de enkelte virksomhetene. Det vil derfor være et behov for sektorvise CERTer itillegg 88 . Dette er blitt foreslått som et viktig tiltak av flere aktører, for å få til en godinformasjonsutveksling mellom alle relevante virksomheter innen en sektor. Innenforde ulike CERT-ene bør det også tas stilling om CERT-ene skal være både varslingsogresponsenheter, slik praksis er i andre land.Hva er forskjellen på håndtering av IKT-kriser og andre kriser? Og er det mulig åsnakke om en ren IKT-krise? Det flere er enige om er at konsekvensene fort blir desamme, men ettersom årsaken til krisen i de ulike scenariene er forskjellige, må dehåndteres ulikt. Erfaringene fra arbeidsseminaret resulterte i noen synspunkter, på hvasom er spesielle utfordringer med IKT-kriser:”Sette navnelappen på: hvem eier den?””Alt stopper opp – ingenting styres manuelt lenger””Dersom det er snakk om fare for liv og helse har man et klart definert lovverk– for det andre er det litt mer ullent”I forhold til IKT-kriser kan man skille på (minst) to faktorer:1. Den opprinnelig årsak til krisen er en naturkatastrofe, som dermed rammerIKT-systemene.2. Årsaken til krisen er angrep mot/teknisk svikt direkte i IKT-systemene, somdermed gir konsekvenser for en rekke andre funksjoner. Her kan man vedangrep skille på to nye faktorer:a. Angrep mot én sektorb. Koordinerte angrep mot flere sektorerEn av aktørene under workshopen hadde en godt beskrivende kommentar tilforskjellen mellom disse to faktorene. Dersom det første tilfellet fører til strømbrudd,vil SCADA-systemene bryte sammen, med den konsekvensen at man bare må ventetil strømmen er tilbake igjen. Inntil da er dataene i systemet utilgjengelige, men de vilfortsatt være de samme som før strømmen gikk (dvs. tilgjengeligheten er svekket,men integriteten er i takt). Ved angrep på datasystemene får man en ny88 Som for eks. egen CERT for oljenæringen, telebransjen etc.