Cybersikkerhet i en urolig tid
I dagens geopolitiske landskap er «sikkerhet» et mangetydig og omfattende begrep. Det spenner fra fysisk beskyttelse av kritisk infrastruktur til digitale trusler, påvirkningsoperasjoner og komplekse hybride trusler. Det tradisjonelle skillet mellom vern mot utilsiktede (safety) og tilsiktede (security) hendelser blir stadig mer porøst, ikke minst i møtet med genuint uventede, overskridende og utspekulerte hendelser og angrepsmønstre.
Denne utviklingen utfordrer ikke bare hvordan man jobber med sikkerhet i praksis – den utfordrer selve måten sikkerhet tenkes på, begrepene og språket som brukes. Dette gjelder ikke minst cybersikkerhet som blir stadig viktigere fordi informasjonsteknologien bærer samfunnskritiske tjenester og funksjoner – den er infrastrukturenes infrastruktur.
En tilstand av gjentakende forstyrrelser, avbrudd og gjenvinningsfaser i og fra cyberdomenet er noe vi kanskje vil venne oss til selv om det ikke er i tråd med forventningene til et effektivt samfunn. En slik tilstand er formodentlig krusninger på overflaten sammenlignet med hva som venter hvis sårbarheter aktivt utnyttes og omsettes til virkninger i en mer tilspisset situasjon.
En ny normal: kontinuerlig press og skjøre systemer krever nye tilnærminger
Den geopolitiske utviklingen de senere år, i cyberdomenet så vel som i våre nærområder, og økende aktivitet fra statlige og ikke-statlige aktører har allerede bidratt til et tydelig skifte: vi har ikke lenger en stabil normalsituasjon med sporadiske unntak – trusselbildet og sikkerhetsbehovene fører til en tilstand av press og usikkerhet, slik som PST, NSM og E-tjenesten beskriver anno 2026.
I tillegg til økt bevisstgjøring om tradisjonelle trusler og sårbarheter preges dagens situasjon av
- hybride og skjulte aktiviteter
- nye trusler og angrepsvektorer, f.eks. gjennom KI og sosiale medier
- nye og til dels latente sårbarheter, f.eks. knyttet til digital suverenitet
- betydelige kaskadepotensialer og konsekvenser på nye områder, f.eks. cyber-fysisk og kognitiv sikkerhet
- konstant påvirkning over tid presser optimaliserte løsninger og operasjonelle grenser, og øker avhengigheter
Dette innebærer at det tradisjonelle skillet mellom normalitet og unntak (beredskap) er mer porøst enn før. Det tilsynelatende normale er blitt skjørere. Svaret på denne situasjonen kan ikke være kun å ty til stadig hyppigere beredskapssituasjoner.
Problemstillingen gjelder i høyeste grad også cyberdomenet isolert, der angrep kan være isolerte hendelser, men også inngå i kontinuerlige aktiviteter som opprettholder press og utfordrer personers, virksomheters og samfunnets tåleevne og reaksjonsmønster. Samtidig bidrar teknologisk utvikling – ikke minst KI – til både økt tempo og kompleksitet. Resultatet er et vedvarende, og i verste fall økende strategisk gap mellom hvor raskt truslene og sårbarhetene utvikler seg, og hvor godt og raskt samfunnet, bedrifter og personer klarer å utligne og svare på disse gjennom hensiktsmessige endringer. Om ikke smidighet har vært viktig nok før, så er det det nå.
Som en refleks av dette har det blitt stadig vanligere å snakke om sikkerhet som noe mer enn kalkulert og overveid svar på definert risiko. EU-direktiver og andre internasjonale standarder og føringer bruker begrepet «resilience» for å fremheve behovet å sikre kontinuitet i tjenester, også spesifikt for å opprettholde og kunne gjenopprette cyber funksjonalitet som andre tjenester er avhengige av. Som en refleks av dette setter også norsk lovgivning krav om denne type egenskaper, men benytter da norske begreper som robusthet, motstandsdyktighet, motstandskraft og gjenvinningsevne. Noen ganger blir dette også omtalt som «resiliens», en anglisisme som ikke har noe entydig motstykke i norsk språk generelt, og heller ikke på det mer snevre sikkerhetsområdet. Ved å redusere forståelsen av «resiliens» i sikkerhetsmessig kontekst til de forannevnte eller beslektede begreper, som f.eks. seighet, hardførhet og utholdenhet, risikerer vi imidlertid å gå glipp av viktig vitenskapelig fundert tankegods som kan redusere skjørhet, bringe samfunnets responsevne mot bl.a. cybertrusler mer på offensiven, og gjennom dette adressere et strategisk gap vi ikke kan leve med.
Språk, begreper og praksis henger sammen – og er kritisk for utvikling
Språk og begreper er en viktig premiss for samordnet praksis. Begreper som sikkerhet og resiliens er hver for seg polysemiske: de har mange ulike, men beslektede betydninger. Når polysemiske begreper brukes på tvers av fag, sektorer og organisasjoner medfører det gjerne frustrasjon, fragmentert praksis, uklare forventninger og manglende samordning.
Paradoksalt nok er en effektiv og samordnet iverksettelse av et stivnet og utilstrekkelig tankesett heller ikke tilstrekkelig for å lukke det strategiske gapet som skapes av vedvarende press og usikkerhet. Skjørheten i normaliteten kan bestå og utvikles og, enda farligere, verken bli sett eller anerkjent som utfordring. Legitim flertydighet av sentrale begreper kan i det minste åpne for samtale og utvikling, økt bevissthet om utfordringene, og gi et bredere handlingsrepertoar.
Den vedvarende konfrontasjonen og det medfølgende presset på sikkerhetsområdet gir imidlertid ikke særlig rom for refleksjon og ettertanke. Kanskje derfor er verken flertydigheten eller utviklingspotensialet knyttet til resiliens særlig fremtredende i Norges første nasjonale sikkerhetsstrategi. Denne hviler i stedet tungt og tilsynelatende statisk på begreper som robusthet, reservekapasitet, motstandsdyktighet og motstandskraft for å sikre nasjonal kontroll med bl.a. kritisk infrastruktur. Dette i kontrast til anbefalingen i en rapport fra FFI i 2019 som anerkjenner flertydigheten, men likevel «anbefaler at begrepet resiliens brukes på norsk, og at det ikke oversettes med robusthet og motstandsdyktighet», fordi «disse begrepene ikke er dekkende».
Denne teksten bygger i fortsettelsen på et litt uærbødig premiss: et uavklart, men i hovedsak snevert forstått resiliens-begrep er en svakhet og mangel ved den nasjonale sikkerhetsstrategien. Dette bidrar til å hemme utviklingen av ikke minst cybersikkerhet, der resiliens ikke sjelden brukes som et slagord eller paraplybegrep, men i praksis rommer alt fra hyllevare IT-løsninger til ideer og abstraksjoner om sofistikert tilpasningsevne.
I en videreføring av denne bloggposten vil vi komme tilbake med en nærmere analyse av hva som ligger i begrepet «resiliens», og peke på muligheter for andre tankesett og praksiser som kan øke cybersikkerheten. Målet er at begrepet cyber resiliens kan fylles med substansielt innhold utover å være kun et paraplybegrep, eller kun ett av flere synonymer for robusthet eller motstandsevne, -kraft eller -dyktighet.
Analysen vil være basert på en mer generell diskusjon av begrepet resiliens.