KI holder sikkerhets­ledere våkne om natta

– Jeg synes det er mest interessant at 58 prosent peker på manglende kapasitet til å få gjennomført nødvendige sikkerhetstiltak, sier Magnus Ask, styreleder i Norsk informasjonssikkerhetsforum (ISF).

– Det tror jeg mange i denne salen kjenner seg igjen i. Vi mangler ikke en liste over risikoer og tiltak å få på plass, utfordringen er å få prioritert og gjennomført dem. 

Mandag la han frem en fersk kartlegging fra ISF på Sikkerhetsfestivalens første dag i Lillehammer. 

I den ferske spørreundersøkelsen svarer 90 personer, rundt halvparten av dem sikkerhetsledere, på hva som bekymrer dem mest og «holder dem våkne om natta». KI og tredjepartsrisiko kommer ut på topp når de kan velge to svar:

• Kunstig intelligens: 51 % (36 svar)
  
• Tredjepartsrisiko: 45 % (32)
  
• Risikoforståelse: 28 % (20)
  
• Kompetanse og kapasitet: 25 % (18)
• Konsentrasjonsrisiko og suverenitet: 20 % (14)
• OT og kritiske systemer: 10 % (7)
• Annet: 7 % (5)
• CISO-rollen: 3 % (2)
• Reguleringer: 3 % (2)
  
• Innkjøp og sikkerhetskrav: 1 % (1)
  

Krever grep fra politikere og bedrifter

– KI øker tempoet, trusselaktørenes kapabiliteter og angrepenes omfang, slår ISF fast i rapporten. 

Foreningen mener at «kapasitetsmangel gjør det vanskeligere å gjennomføre de tiltakene virksomhetene vet at de trenger, og leverandøravhengighet kan øke konsekvensene ved datainnbrudd og driftsstans». 

– Norske myndigheter og virksomheter må derfor øke tempoet i forsvarsarbeidet, blant annet gjennom trygg KI-støttet automatisering, tydeligere ansvar, kapasitetsbygging og bedre leverandørstyring, er den politiske oppfordringen fra ISF i rapporten. 

Nytt DDoS-angrep: ID-porten og Altinn nede siden søndag

– Vår driftspartner Vivicta bekrefter at det dreier seg om et tjenestenektangrep

Kontrollere KI med KI

Ikke alle deltakere på Sikkerhetsfestivalen har lederroller, men det er mange som kjenner til utfordringene. 

– Det er mye som skjer på KI-området, som mange ikke føler de har helt kontroll ennå, sier sikkerhetsarkitekt Arnstein Vestad i Trondheim kommune.

kode24 møter han og kollega og informasjonssikkerhetsrådgiver Jon Magne Nielsen på togstasjonen på veg til festivalen mandag formiddag. 

– Hva skal til for å få kontroll?

– Vite hva som skjer og forstå virksomheten vår og hva de prøver å gjøre og få til, så vi kan støtte dem på en god måte med verktøyene, samtidig som vi klarer å ivareta sikkerheten, sier Vestad. 

Nielsen peker på at automatiserte KI-angrep stiller krav til hvordan virksomheter organiserer seg. 

Vestads stalltips er å bruke kunstig intelligens selv for å beskytte seg selv, oppdage sårbarheter og stanse dem. 

– Det er del av svaret, i alle fall. 

– Hvor god er Trondheim kommune på disse tingene? 

– Vi prøver så godt vi kan, men det er som alle andre i kommunesektoren at det er begrensa. Sikkerhetsmiljøene er ofte relativt små. Om vi kanskje kan ta i bruk KI for å skalere det vi gjør på et eller annet vis, så kan jo det gi oss nytteverdi, sier Vestad.

Advarer mot KI sin «eksplosjon av løsninger – og dermed av feil»

– KI forsterker både det vi kan, og konsekvensene av det vi ikke forstår, advarer Mikael Åsbjørnsson-Stensland.

Bekymrer seg for datainnbrudd

Respondentene svarer også på hvilke to tredjepartsrisikoer som bekymrer dem mest. 

• Svaret er tydelig fra over 80 prosent: datainnbrudd hos leverandører. 
• 69 prosent frykter også leverandørsvikt og nedetid. 

Lenger ned på listen er 17 prosent bekymret for økonomisk utpressing av leverandør og nesten like mange for regulatoriske brudd (16 prosent). 

På spørsmål om det har vært sikkerhetshendelser i bedriften deres det siste året, svarer 49 prosent ja. 

Advarer: KI som testes vet at den testes

– KI-modeller har rømt fra testmiljøene i sommer. Etter min mening er ikke problemet bare lekk isolasjon, men at modellene kan gjennomskue selve testen, melder Jasvinder Sadana.