INTERVIEW: Krigshandlinger er rykket ind i cyberspace, og derfor skal Forsvarets medarbejdere huske, at de altid er interessante spionagemål. Sådan lyder det fra Thomas Lund-Sørensen, som er chef for Center for Cybersikkerhed. Han efterlyser højere ambitioner til cybersikkerheden i Forsvaret.

Medarbejdere i Forsvaret har en viden, som gør dem til interessante spionagemål for fremmede stater. Derfor har man som medarbejder i Forsvaret et særligt ansvar for at have styr på sikkerheden i cyberspace. Påmindelsen kommer fra Thomas Lund-Sørensen, der er chef for Center for Cybersikkerhed, den nationale instans, der rådgiver danske virksomheder og myndigheder om cybersikkerhed. Han er selv opmærksom på, at han som chef for Center for Cybersikkerhed altid er et interessant hackermål. For eksempel får han en del underlige emails, som han lader være med at åbne, fortæller han. Og når han rejser, sørger han altid for at ikke at efterlade sit it-udstyr uden opsyn.

Læs også: Medier og partier skal lære at håndtere trusler fra påvirkningskampagner

Den er dog ikke i nærheden lige nu, da han mødes med OLFI på sit kontor. Ingen mobiler kommer indenfor murene hos Center for Cybersikkerhed – faktisk skal man aflevere al form for teknologi, der kan gå online, i et skab nede i receptionen. Center for Cybersikkerhed er en del af Forsvarets Efterretningstjeneste. Og der er travlt for tiden. Forsvarsforliget 2018-2023 har afsat i alt 1,4 milliarder kroner til at styrke cybersikkerheden i Danmark, hvilket har givet en stor portion opgaver til Forsvarets Efterretningstjeneste og herunder Center for Cybersikkerhed.

Artiklen fortsætter under tweetet …

’Cyberstrategien er en naturlig forlængelse af #forsvarsforliget, hvor vi også prioriterer #cyber højt. De mange midler fra forliget kommer nu hele samfundet til gavn’ – @forsvarsmin præsenterer @regeringdk strategi for #cybersikkerhed https://t.co/yqZ5ZYAaiT #dkpol pic.twitter.com/Mqv0MU1rsX

— Forsvarsministeriet/Danish MoD (@Forsvarsmin) May 15, 2018

Der skal blandt andet etableres et døgnbemandet cybersituationscenter, som skal skabe et bedre overblik over cybertrusler. Overvågningen af computersystemer og netværk skal styrkes. Og der skal gives rådgivning om cybersikkerhed til virksomheder og offentlige institutioner. I sin trusselsvurdering fra maj 2018 vurderer Forsvarets Efterretningstjeneste, at truslen fra cyberspionage er meget høj, og at spionagen typisk udføres af andre landes sikkerheds- og efterretningstjenester.

”Det digitale rum er blevet et rum, hvor der kan blive udført forskellige former for krigshandlinger. I dag er det svært at forestille sig en militær konflikt, som ikke også vil have et digitalt element, hvor man forsøger at udnytte digitale svagheder,” siger Thomas Lund-Sørensen.

Han har været chef, siden centret blev oprettet i 2012 og ingen dengang rigtig talte om cybertrusler. Siden har cyberangreb som WannaCry i maj 2017 og NotPetya i juni 2017 lagt computere ned verden over, og cybersikkerhed har fået folks opmærksomhed.

”Der har været nogle begivenheder, som har gjort, at fokus på cybersikkerhed er blevet større. Flere lande, parlamenter, virksomheder og journalister har indset, at det her risikofelt, som man ikke havde taget højde for i sit daglige arbejde, er rigtig vigtigt.”

Hvad surfer soldaterne rundt efter?

Det fokus rammer også lige ned i Forsvarets hverdag, tilføjer han. Med risikoen for krigshandlinger i cyberspace er det også vigtigt med stærk cybersikkerhed i militære enheder. Sidste år blev det offentligt kendt, at hackere gennem to år havde stjålet oplysninger fra Forsvarets uklassificerede email-konti, blandt andet fordi der var brugt nogle alt for simple passwords. I øjeblikket kører Center for Cybersikkerhed derfor et projekt med fokus på at gøre internetforbindelserne på blandt andet stationerne i Skrydstrup, Karup og Frederikshavn forsvarlige og få dem overvåget, så centret kan holde øje med, hvad der kommer ind af ondsindet trafik.

”Vi er jo ligeglade med, hvad folk surfer rundt efter. Men vi er meget interesserede i at se, om man rammer en kompromitteret hjemmeside og downloader noget malware på sit system, eller om nogen forsøger at hacke sig ind på en forsvarsinstallation,” siger Thomas Lund-Sørensen.

Læs også: Claus Hjort: Cyberangreb fra Rusland er den største trussel mod Danmark

”Vi ser meget spionage mod Forsvarets medarbejdere, fordi de har adgang til oplysninger, som er interessante for en række fremmede stater. Men der kan også være andre motiver bag cybertruslerne. Det kan for eksempel være risiko for, at danske våbensystemer ikke fungerer, som de skal, fordi de er blevet hacket. Eller at nogen har  forudinstalleret ondsindet software og på den måde senere vil kunne sætte vigtige militære systemer ud af spillet. Vi har dog endnu ikke set denne form for målrettede angreb.”

Forsvarets fordel

Derfor mener Thomas Lund-Sørensen også godt, at man kan tillade sig at have højere ambitioner til Forsvarets sikkerhedsniveau og sætte højere krav til cybersikkerhed.

”Som medarbejder i Forsvaret har man helt klart et stort ansvar for at beskytte de oplysninger, man har adgang til – og et større ansvar for at opføre sig sikkerhedsmæssigt fornuftigt.”

Det gælder både i forhold til ikke at have klassificerede oplysninger liggende på private emails, hvilket er ulovligt. Eller at holde sig fra usikre netværk, når man er ude at rejse med sin arbejdscomputer. Og det gælder også, når man skal oprette sig et password.

”Der er så mange dårlige passwords – de der 12345678-passwords. Der er  virkelig et stort behov for at gøre opmærksom på, at det er en udfordring. Og gode passwords er jo noget af det, vi prædiker,” siger Thomas Lund-Sørensen og remser Center for Cybersikkerheds faste sikkerhedsråd op: Hold dine systemer opdaterede og hold dig fra genbrug af passwords. For bruger man det samme password på tværs af hjemmesider, og en hjemmeside bliver hacket, har uønskede personer pludselig adgang til det password alle de andre steder, det også bliver brugt.

Artiklen fortsætter under billedet …

Til gengæld har Forsvaret den kæmpestore fordel, at der allerede er en sikkerhedskultur, som er opbygget gennem mange år, mener Thomas Lund-Sørensen. Indtil nu har fokus hovedsageligt været på det fysiske og på klassisk spionage. Nu skal Forsvarets medarbejdere også til at vænne sig til en digital sikkerhedskultur.

”Jeg hørte lige den anden dag, at Pentagon nu har forbudt sine medarbejdere at bruge apps med lokaliseringsdata – for eksempel fitness-apps. De kan jo afsløre, hvor man rent faktisk opholder sig henne, og det er jo ikke altid, man er interesseret i, at andre skal vide det. Der er vi endnu ikke nået til i Danmark. Men det viser, at vi som forsvarsfolk skal være særligt opmærksomme på, hvordan oplysninger kan udnyttes af andre, som vil os det ondt.”

Et fremragende spionredskab

For eksempel gennem ens mobiletelefon. Thomas Lund-Sørensen kalder mobilen for ’et fremragende spion-redskab’, for den er fyldt med sensorer, der kan registrere, hvad der foregår, og den har et godt kamera og internetforbindelse. Det er jo også derfor, man bliver bedt om at lade den ligge nede i receptionen, når man skal besøge Forsvarets Efterretningstjeneste.

”Det var en god idé at placere Center for Cybersikkerhed ved en efterretningstjeneste. Vi får adgang til viden og teknikker, som vi ikke ville have adgang til, hvis vi sad i en myndighed længere væk.”

Han er meget uenig i den kritik, der har været rettet mod Center for Cybersikkerhed. Blandt andet den, der handler om, at centrets viden bliver en del af en efterretningsvirksomhed og dermed ikke bliver delt.

”Hvis vi ikke kan anvende vores oplysninger til at beskytte danske institutioner, er oplysningerne ikke meget værd. Vi forsøger at omsætte de højt klassificerede oplysninger, man har i efterretningstjenesten, så de faktisk kan anvendes af dem, der nu har opgaven med at bremse et cyberangreb eller beskytte sin virksomhed. Det er meget vigtigt, at vi ikke monopoliserer denne her viden. Den skal være tilgængelig og i relevant omfang også gerne offentligt tilgængelig,” siger han og tilføjer:

”Det er en stor tillidserklæring , at vi har fået nye, vigtige opgaver i forsvarsforliget og også har fået midlerne til at gennemføre dem. Men ’it is not a free lunch’ – der skal leveres resultater tilbage.”