Er amerikanske leverandører til å stole på?

Vi må også vurdere scenarier der samarbeidet med USA kan bli mer utfordrende.
Bjørn Høiås, ElviaDet ulmer blant eksperter og de ansvarlige innen cybersikkerhet i den norske kraftbransjen.

De siste ukenes turbulens med amerikanere på vei i full fart vekk fra vestlige sikkerhetsstrukturer sender sjokkbølger i alle retninger, også blant de som jobber hver dag for å sikre kraftsystemet, nett og produksjonsanlegg.

Ikke lenger usannsynlig

For hva skjer dersom fiendtlige aktører ønsker tilgang til scada-systemer eller vil overvåke produksjon, transmisjon og distribusjon i kraftnettet, og amerikanske systemleverandører får politisk ordre fra øverste hold om å deaktivere brannmurene? Eller de vil kompromittere så vel driftsdata som persondata i systemet?

Før 2025 hørtes dette ut som et mildt sagt usannsynlig plot for en elendig spionfilm. Men de siste ukene hendelser og bevegelser på den geopolitiske arenaen viser at alt som før var usannsynlig, nå må regnes inn med en viss sannsynlighet.

Fiendtlige

– Vi må også vurdere scenarier der samarbeidet med USA kan bli mer utfordrende, sier Bjørn Høiås, som er sjef for informasjonssikkerhet (CISO) i Elvia, til Energiteknikk.

– Jeg sier ikke at vi er der, eller at vi har konkludert med at vi er der, men vi må likevel ha planer for alle eventualiteter, inkludert dette, sier han.

Høiås forteller til Energiteknikk at temaet diskuteres mer enn bare i lunsjen og rundt vannkjøleren, i hvert fall hos Norges største regionalnettselskap. De har også hatt formelle møter der dette diskuteres seriøst.

Bør ta diskusjonen

Energiteknikk har spurt seniorforsker Marte Høiby i SINTEF Digital AS om norske kraftselskaper nå bør ta diskusjonen og vurdere amerikanske teknologi- og systemleverandører på samme linje som kinesiske leverandører.

– Jeg tror ikke vi har den fulle oversikten over hvor langt man har kommet i å ta inn over seg en ny geopolitisk struktur. Men industrien er en viktig del av totalforsvaret, og de bør absolutt ta denne diskusjonen på alvor, sier Høiby, som også er gjesteforsker ved Institutt for forsvarsstudier (IFS).

Kan kompromitteres

At systemer med amerikanske komponenter kan kompromitteres av egne eller andre aktører anser hun ikke som utenkelig.

– Akkurat nå ser det ut til at amerikanerne ikke engang har kontroll i egne rekker. Det vi opplever at vi har under kontroll, må være opp til ny vurdering, sier hun.

Norske bedrifter og organisasjoner kan være måltavle for hybridangrep, det vil si angrep som ikke er typiske konvensjonelle krigsangrep, men som tillater skade under terskel for deklarert krig.

Alvor

– Da må vi ta alle aktører som spiller i det storpolitiske spillet på alvor, sier Høiby.

Hun viser til at kraftsystemer er knyttet til teknologi med stor åpenhet der man ikke alltid har vært gode til å beskytte kraftsensitiv informasjon.

– Hvis USA ikke ønsker å ta en like sentral del i europeisk forsvar framover, er dette noe vi bør ta med i en slik vurdering, sier Høiby, men trekker også fram kraftutvekslingen med Europa.

– Det er en del av forsyningssikkerheten, så vi er på ingen måte autonome i dette bildet. Selv om dette siste er et mer politisk argument, kan ulike former for press mot land i Europa forstyrre en slik struktur, understreker Høiby.

– Må bli bedre

– Vi har havnet i en situasjon der vi er nødt til å bli mye bedre på risikostyring av leverandørkjedene våre og vurdere om reduksjon av leverandøruavhengighet er mulig, sier leder for Forum for informasjonssikkerhet i kraftforsyningen (FSK), Thomas Lidahl Mørtsell, til Energiteknikk.

Han oppfordrer bransjen til å ta tak og intensivere diskusjonen rundt nye trusselbilder og sikkerhetsstrukturer.

Med dette mener han særlig at vi må tørre å stille spørsmål ved om det er en økt usikkerhet ved internasjonale selskapers leveransevilje, eller evne, som følge av usikkerhetene knyttet til politisk stabilitet i etablerte handels- og sikkerhetspolitiske allianser.

Begrensede ressurser

– Små nasjoner og små organisasjoner har begrenset med økonomiske og kompetansebaserte ressurser til å gjøre jobben for å sikre oss godt nok for å møte dagens trusselbilde og usikkerheter. Vi bør styrke felles modeller for samarbeid, risikostyring og dialog, og utvikle standardavtaler i stedet for å være låst til individuelt tilpassede avtaler, mener han.

Mørtsell peker også på at amerikanske systemleverandører kan ha noen drakoniske kontraktsbetingelser som kan være svært vanskelig og kostbart å endre eller komme ut av dersom dette skulle bli ønskelig før avtalt kontraktsutløp.

Velger å tro

Han er tilbakeholden med å legge noe trusselstempel på amerikanske leverandører og aktører, og sier han velger å tro at USA er til å stole på frem til noe annet er bevist i handling.

Men helt trygg er han ikke, og viser til avsløringen om hvordan den amerikanske etterretningsorganisasjonen NSA spionerte på blant annet allierte via spionvare i systemer fra Cisco.

Det førte likevel ikke til samme opprop som det ville blitt dersom det samme hadde blitt oppdaget på produkter fra kinesiske Huawei eller HikVision eller lignende.

– Det kan ha sammenheng med at USA den gang ble sett på som en trygg alliert, selv om de av og til utførte uønskede handlinger mot allierte. Jeg er ikke sikker på om en liknende situasjon i dag ville gått like upåaktet hen, sier Mørtsell.

Les også:

NVE vurderer endringer i beredskapskrav for skytjenester