IT-Branchen: Statens arbejde med it-sikkerhed er for lukket

Af Birgitte Hass
Adm. direktør i IT-Branchen

Når hackere en kold decemberaften lukker ned for elforsyningen for en kvart million mennesker i Ukraine, eller når de med Ransomware fryser skærmene på hospitaler i London og logistikvirksomheder som Mærsk i flere dage, bliver det pludselig meget tydeligt, at den stigende digitaliseringsgrad i samfundet sætter helt nye krav til it-sikkerheden.

Det kræver en stor viden og fortsat awareness, hvis man vil stå imod de stadigt mere professionelle it-kriminelle. Og det kan kun lykkes, hvis vi samarbejder på tværs af det offentlige og det private.

Danmark bør prioritere cybersikkerhed
Trusselsniveauet fra e-spionage, it-kriminalitet og cyberterrorisme rettet mod både offentlige og private mål vil fortsat stige. Det viser blandt andet trusselsvurderinger fra Center for Cybersikkerhed samt flere af it-branchens egne trusselsrapporter.

I et digitaliseret land som Danmark, hvor vi lever af vores viden og innovation, er vi desværre særligt interessante for hackere, der lever af at stjæle forretningskritiske data og sælge dem videre til konkurrerende virksomheder.

Erhvervsspionage er da også et af de områder, der er i stærkest vækst, og erhvervsspionage står nu bag hvert fjerde it-sikkerhedsbrud. Det viser tal fra Verizons 2017 Data Breach Investigations Report.

En væsentlig forudsætning for, at det kan lykkes, er større åbenhed omkring arbejdet i Center for Cybersikkerhed.

Birgitte Hass, adm. direktør i IT-Branchen

Manglende sikkerhed koster både erhvervslivet og samfundet penge, tabte vækstmuligheder og måske i sidste ende menneskeliv. Derfor er it-sikkerheden mere end nogensinde før kritisk for Danmark, og vi bør være et foregangsland inden for cybersikkerhed.

Men det kræver en markant opprioritering af området.

Dumpekarakter til samarbejdet
Center for Cybersikkerhed har gjort et kæmpe arbejde for at øge it-sikkerheden i Danmark, og det skal de have ros for. Men på ét væsentligt punkt står de til dumpekarakter.

Arbejdet med it-sikkerhed i staten er for lukket, fragmenteret og inkluderer ikke godt nok de virksomheder, der reelt er i fare for at blive ramt af angrebene.

Og det skyldes ikke mindst Center for Cybersikkerhed. Det manglende samarbejde mellem staten, it-branchen og erhvervslivet betyder, at branchens viden og kompetencer ikke bliver brugt i centerets arbejde, ligesom det omvendt betyder, at den viden, som skabes gennem centerets arbejde, ikke kommer branchen til gode.

Når centeret for eksempel udgiver trusselsrapporter, involverer de ikke de store it-leverandører eller de danske sikkerhedsleverandører. Virksomheder, som ellers har stor erfaring og ekspertise på området, og må siges at have ”fingeren på pulsen” i forhold til, hvad der opleves af sikkerhedshændelser hos deres kunder i Danmark.

Samtidig bliver Center for Cybersikkerheds arbejde ikke underlagt den samme gennemsigtighed som den øvrige forvaltning, hvilket i praksis forhindrer, at trusselsvurderinger og øvrige rapporter fra Centeret diskuteres i åbenhed.

Et fælles ansvar at skabe et sikkert land
Sikkerheden omkring vores digitale infrastruktur og i erhvervslivet er alt for vigtig til, at vi kan tillade os at arbejde i siloer og ikke bruge hinandens viden.

Der er i den grad brug for øget oplysning til borgere og virksomheder i forhold til den enkeltes digitale ansvar. En opgave, som centeret på ingen måde løfter.

Skal vi for alvor styrke samarbejdet omkring it-sikkerheden i Danmark, bør vi skabe en god platform for samarbejde om it-sikkerhed, hvor vi deler viden og koordinerer initiativer, så sikkerheden omkring vores kritiske infrastruktur kan løftes gennem et offentligt-privat partnerskab.

Vi vil anbefale regeringen at oprette et nationalt Cybersikkerhedsråd med repræsentanter fra både det offentlige, branchen og borgerne til at skabe fælles retning og samarbejde.

En væsentlig forudsætning for, at det kan lykkes, er større åbenhed omkring arbejdet i Center for Cybersikkerhed.

Det får vi kun, hvis centeret flyttes til en koordinerende civil myndighed, hvor de ikke er undtaget forvaltningsloven, og hvor de ikke begrænses af Forsvarsministeriets lukkede samarbejdskultur.