Sikkerhedsfolk: Danmark åben for cyber-angreb

Hvis Danmark bliver angrebet af fjendtlige kræfter i cyberspace, er det i dag op til en gruppe hjælpsomme internetudbydere at sikre forsvaret.

Et grelt eksempel på et cyberangreb fandt sted i Estland i 2007, da hackere angreb landets it-infrastruktur. Den primære internetudbyder, offentlige hjemmesider og netbankerne blev ramt og lagt ned fordi landet stod uden egentlig it-beredskab. Og mens cyberkrigen buldrede, rasede folk i gaderne med brosten.

»Estland er et godt eksempel. Jeg er sikker på, at de ærgrer sig over, at de ikke havde et beredskab,« siger konsulent Peter Kruse fra it-sikkerhedsfirmaet CSIS Security Group.

Danmark står i dag i en lignende situation uden etableret it-beredskab, der har ressourcer og kompetencer til at skride ind i en konfliktsituation.

»Alt er muligt, hvis der er tilstrækkelig kraft og motivation bag angrebet. Har man den fornødne tid, resurser og viden, så kan man forberede et lammende angreb på it-infrastrukteren: ISP'er, elværker, skattesystemer, nyhedsmedier og hele molevitten,« fortsætter han.

Det, der kunne forhindre en lignende situation i Danmark, er en myndighed, som ikke eksisterer. Eksperter har længe anbefalet en såkaldt GovCERT (Government Computer Emergency Response Team), der fra centralt hold kan varsle og dæmme op for trusler mod it-infrastrukturen, og flere kilder peger over for Ingeniøren på, at behovet kun bliver større, efterhånden som digitaliseringen af samfundet skrider frem.

Frivillig indsats

Det tætteste, Danmark kommer på en GovCERT, er Undervisningsministeriets enhed DK-CERT, der hører under UNI-C. Men DK-CERT har ingen muligheder for at beordre nødvendige modtræk. Alt foregår på frivillig basis.

Dertil kommer, at alle de store internetudbydere er med i det danske ISP-sikkerhedsforum, hvor også DK-CERT sidder med. Opstår der et problem, der kræver hjælp fra internetudbyderne, er hjælpsomheden stor. For eksempel ved at spærre for bestemte IP-adresser , som det senest skete, da 8.000 danske netbankkunder blev angrebet i slutningen af januar i år.

I den slags situationer er reaktionstiden kritisk, hvilket allerede blev fastslået af It- og Telestyrelsen i en rapport fra juni 2007:

»I en varslingssituation tæller hvert sekund. Det er derfor essentielt, at der er tale om en central løsning, der kan stå for den overordnede indsamling og koordinering samt udsendelse af varsler på effektiv vis, frem for forskellige lokalt forankrede varslingscentre,« som det hed i rapporten.

Videnskabsminister Helge Sander mener tilsyneladende ikke, at en decentral løsning har konsekvenser for Danmarks samlede it-beredskab:

»Det forhold, at der ikke er oprettet en GovCERT i Danmark, betyder ikke, at Danmark er uden beredskab. I dag har vi blandt andet DK-CERT, som overvåger it-sikkerheden på forskningsområdet, og på Forsvarsministeriets område er der taget beslutning om at etablere en varslingstjeneste for det militære område,« svarer Helge Sander på et paragraf 20-spørgsmål om den manglende GovCert-myndighed.

Version2 har dog for nylig afdækket, at den omtalte varslingstjeneste på det militære område ikke kan kaldes en CERT-funktion, og som sagt har DK-CERT ingen myndighed til at gribe ind.

Ifølge den omtalte rapport fra It- og Telestyrelsen hastede det allerede i 2007 med at få oprettet en central myndighed for varsling og koordinering af indsatsen mod et cyberangreb, og rapporten anbefalede et implementeringsprojekt ? der dog aldrig er blevet til noget.

Kan tænke fremad

Juridisk direktør i Telia, Jens Ottosen-Støtt kan sagtens se fidusen i en GovCERT:

»Alle ansvarlige teleselskaber har tænkt over konsekvenserne af et muligt cyberangreb. Vi kan konstatere, at mange andre lande har en GovCERT, og at det virker hos dem. Vores samarbejde i ISP-forum har karakter af nu-og-her, mens en GovCERT kunne kigge fremad, så det ville bestemt være en styrkelse af beredskabet,« siger han.

Videnskabsminister Helge Sander vil først kommentere indholdet af artiklen over for Version2, når han har besvaret et spørgsmål om GovCERT-funktionen i Folketingets udvalg for videnskab og teknologi.