Øget cybersikkerhed kan ikke løses af forsvaret alene

Dette er et internationalt debatindlæg: Jyllands-Posten har sammensat et korps af kommentatorer, der debatterer og analyserer verden omkring os.

Truslerne fra cyberspace har i stigende grad fået offentlighedens opmærksomhed. Derfor blev det kun mødt med sparsom kritik, da politikerne besluttede at tilføre cyberområdet 1,4 mia. kr. de kommende seks år.

En stor del af de 1,4 milliarder går til Center for Cybersikkerhed under Forsvarets Efterretningstjeneste. De skal bl.a. bruges til overvågning af datatrafik, til at opbygge en cybersituationsenhed, der viser det aktuelle trusselsbillede, og til at styrke de forebyggende og rådgivende indsatser.

Tiltagene er helt naturlige, hvis centret fortsat skal kunne forhindre de mest sofistikerede aktører i at infiltrere danske netværk. Det er imidlertid ikke tilstrækkeligt at se cybersikkerhed udelukkende som et forsvarspolitisk problem. Øget cybersikkerhed kræver en bred tværministeriel indsats og flere ressourcer til et andet centralt tiltag på området: den kommende nationale strategi for cyber- og informationssikkerhed.

Her rækker de afsatte 100 mio. kr. ikke. Lad mig give fire eksempler på hvorfor:

Den kritiske it-infrastruktur: I Danmark har vi ikke oplevet et cyberangreb, der forstyrrer samfundsvigtige it-systemer såsom vandværk eller elforsyning. Terrorister besidder ikke kompetencerne, ligesom fremmede stater næppe øjner politiske fordele ved at slukke lyset i København, Odense eller Esbjerg.

Alligevel kan dårligt implementerede og misvedligeholdte it-systemer godt blive ofre for tilfældige forstyrrelser: Det skete f.eks., da det britiske sundhedsvæsen sidste forår fik krypteret vigtige journaloplysninger og dermed ikke kunne tilgå dem i sine computere.

Forsvaret og Center for Cybersikkerhed skal sikre, at lignende episoder ikke finder sted i Danmark ved at overvåge data og give teknisk støtte. Denne opgave vanskeliggøres imidlertid af en overordnet manglende politisk beslutning om, hvilke virksomheder og myndigheder der faktisk udgør Danmarks kritiske infrastruktur, og som derfor skal pålægges krav om ekstra høje it-sikkerhedsstandarder.

Tab af intellektuelle rettigheder: Forsvarets Efterretningstjeneste vurderer, at truslen fra statsstøttet cyberspionage mod danske virksomheder er høj. Det virker som en passende opgave for Center for Cybersikkerhed at støtte virksomheder som f.eks. Novo Nordisk eller Vestas, hvis nye udviklingsidéer kan være mål for cyberspionage.

Det kræver dog, at virksomhederne er villige til at invitere staten ind i de fortrolige it-systemer.

Men en indsats, der teknisk skal forebygge, at fortrolig information bliver stjålet, kan ikke stå alene. Mængden af avancerede og vedvarende cyberspionagekampagner må også begrænses. Det er en opgave, der går ud over forsvarsforliget og kræver et internationalt diplomatisk pres på de statsaktører, der støtter cyberspionage. Det er en opgave for Danmarks nye tech-ambassadør.

Økonomisk kriminalitet: Identitetstyveri og afpresning er den cybertrussel, som den almene dansker bør være mest på vagt overfor. Heldigvis er størstedelen af cyberkriminalitet ikke særlig teknisk sofistikeret.

Man vil derfor kunne minimere den økonomiske cyberkriminalitet betragteligt ved at investere i at forbedre danskeres generelle it-hygiejne – både når det gælder vores brug af it-produkter og vores færden på internettet. Det er dog ikke en opgave for forsvaret, men snarere for f.eks. Digitaliseringsstyrelsen.

Derudover vil det minimere de tekniske fejl, som muliggør meget kriminel adfærd i cyberspace, hvis vi investerer i standarder og licens- og mærkningsordninger, som vi kender det fra medicinalindustrien og smileyordninger. Investeringer, som vil være med til at øge kvaliteten af de it-produkter, der bliver udviklet og implementeret.

Påvirkningskampagner: Den seneste tilføjelse til familien af cybertrusler er påvirkningskampagner. Særligt Rusland beskyldes for at udføre disse kampagner i forbindelse med præsidentvalgene i USA og Frankrig.

At lækkede oplysninger får en undergravende effekt, når de spredes på sociale medier, er ikke påvist. Men truslen synes alligevel størst i de samfund, som allerede har dybe sociale og politiske splittelser; hvor mistroen til de traditionelle medier er stor, og hvor den almene kildekritik er dårlig.

Det er Forsvarsministeriets opgave – i samarbejde med Udenrigsministeriet – at sikre, at falske historier om f.eks. danske soldater som voldtægtsmænd i Estland bliver dementeret. Men de bredere og mere langsigtede tiltag mod påvirkningskampagnerne går udover den forsvarspolitiske værktøjskasse. Her er uddannelse i kildekritik, styrkelse af de anerkendte medier og generelle socialpolitiske tiltag afgørende.

Derfor: Lad os følge forsvarsforliget op med en ambitiøs national strategi for cyber- og informationssikkerhed, som ikke lader sig spise af med 100 millioner.