Datatilsynet om DDOS-angrepene: – Dette er ikke guttestreker
Digdir sliter for andre dag på rad. – Trolig bevisste handlinger fra en aktør for å skape uro, sier Datatilsynet-rådgiver, som er enig i at Russland kan stå bak.
Publisert
– Dette er ikke vanlige guttestreker. Det har holdt på for lenge og blitt for intenst, sier Eirik Gulbrandsen, spesialrådgiver i Datatilsynet til kode24.
Han snakker om tjenestenektangrepene Digitaliseringsdirektoratet har vært under siden natt til mandag.
Guldbrandsen peker på VGs sak tirsdag om at det kan dreie som om angrep fra Russland som nasjon.
– Det er ganske sannsynlig. Hensikten med DDOS-angrep er jo å forstyrre driften i samfunnet og slik skape mistillit til myndighetene, sier Gulbrandsen til kode24 når vi møter han på Sikkerhetsfestivalen i Lillehammer.
Banale angrep
Han viser til hackingangrepet mot et demning i Bremanger i april i fjor, som PST mente at prorussike hackere stod bak, ifølge Aftenposten.
– Det skjedde ikke så mye, men det skaper usikkerhet. Rent teknisk er DDOS-angrep banale, men kan få store konsekvenser om du ikke får logget deg på viktige tjenester eller hentet ut medisiner på apotek, påpeker Gulbrandsen.
– Dette er sannsynligvis veldig bevisste handlinger fra en aktør for å skape uro, legger han til.
Sendte avviksmeldinger
Digdir har sendt flere avviksmeldinger om såkalt tilgjengelighetsbrudd til Datatilsynet, som er under behandling, opplyser Gulbrandsen til kode24.
– Det gjelder tjenester som over lengre tid ikke er tilgjengelige, det er et brudd på personvernregelverket. Ikke at Digdir har gjort noe galt, da de er utsatt for en aktiv handling, men man kan se på om de har de gode nok systemer, sier spesialrådgivere.
For Datatilsynet er DDOS-angrep særlig relevant opp mot personvern og tillit til myndighetene.
– Hvis du har gode og robuste systemer som tåler en trykk, så vil de i mindre grad bli utsatt for konsekvensene av slike angrep.
Han understreker at denne type massive DDOS-angrep ikke er normalen i Norge.
– Det har ikke vært vanlig at så sentrale tjenester i Norge angripes så hardt. Det er kanskje en ny situasjon vi må begynne å leve med.
– Det er ikke slik at dere straffer dem for å bli angrepet?
– Nei, alle kan bli angrepet, men man ser på om systemene i forkant var godt nok skrudd sammen, og hvordan håndterte du hendelsen etterpå.
Foreløpig er det ikke besluttet om Datatilsynet skal gjøre et tilsyn i saken.
Sammenligner med ruteknusing
– Er det mulig å beskytte seg mot slike massive DDOS-angrep?
– Nei, i utgangspunktet så er dette som ruteknusing.
Han sammenligner det med at hvem som helst kan kaste steiner på vinduer i en gate og knuse dem.
– Så er spørsmålet om vi skal må installere panserglass eller gitter foran vinduene. Man kan beskytte seg, men det koster. Er det det man ønsker, at det skal bli vanskeligere å ha et godt samfunn? Det er vanskselig å beskytte seg helt og fullt mot DDOS, men du kan skape en viss robusthet.
Mange typer DDOS-angrep
Denne uken er han på Sikkerhetsfestivalen i Lillehammer for å snakke om KI-bruk i offentlig sektor. Gulbrandsen opplyser at DDOS-angrepene ikke trenger være drevet av KI-agenter.
– DDOS er et veldig banalt type angrep som du ikke trenger KI til. Det er et enkelt script som bare står og dundrer løs. Men det kan godt være de bruker KI til å organisere, samordne det og forsterke det. Det vet vi ikke noe om, sier han.
– Hva med å bruke Cloudflare-tjenester for å beskytte seg mer?
– Det er en kostnad det også og kan medføre at tjenster blir mindre tilgjengelige og vanskeligere å bruke. Men det er ikke sånn at bare du kjøper den løsningen, har du løst problemet. Det er mange ulike typer DDOS-angrep.
– Hvilke tips har du til utviklere for å unngå slike angrep?
– Steg én er bevissthet om at dette kan skje. Men så er det viktig å si at det er virksomhetene som har ansvar for å skape de gode rammene for arbeidet, sier Gulbrandsen.
Foretrekk oss i Google Discover
Ved å legge oss til som foretrukket kilde i Google vil du blant annet få opp flere av sakene våre i Google Discover. Tusen takk for støtten!
