Østre Toten: Hva skjedde, hva kostet det, og hva må en seriøs virksomhet gjøre

1. Innledning

Den 9. januar 2021 ble Østre Toten kommune rammet av et av de mest alvorlige dataangrepene noen norsk kommune har opplevd. Det er ikke en fagsak. Det er en styresak. Saken forteller oss hva som står på spill når en virksomhet – kommune, bedrift eller organisasjon – ikke har tatt IT-sikkerhet på alvor.

For styret og ledelsen i en hvilken som helst organisasjon er Østre Toten et av de fewst caseene i norsk næringsliv og offentlig sektor som samler alle tre elementene i én sak: et konkret angrep, et konkret tap i kroner, og en konkret juridisk konsekvens i form av en bot. Det er en sak som kan leses i fem minutter, og den bør bli lest av alle som sitter i et styre, en daglig lederstilling, eller har ansvar for å godkjenne et budsjett.

2. Hva skjedde

Natt til 9. januar 2021 ble kommunens digitale systemer lammet av et løsepengevirus [1]. Kommunen mistet tilgang til e-post, sentrale fagsystemer, pasientjournaler i helsevesenet, og interne verktøy for administrasjon [1].

Konsekvensen var umiddelbar og konkret:

• 1000 datamaskiner måtte gjenopprettes [1].
• 1300 ansatte måtte jobbe med penn og papir i en lengre periode [1].
• Tjenestene overfor innbyggerne ble i store deler stoppet eller forsinket [1].

Etter at det ble klart at også sensitive personopplysninger var eksponert, bekreftet kommunedirektør Ole Magnus Stensrud den 31. mars 2021 at innbyggernes sensitive personopplysninger – inkludert opplysninger om barn – var delt på mørke nett av en internasjonal hackergruppe [3]. Stikkprøver viste at det handlet om sensitive kategorier [3].

Datatilsynet skrev i sitt vedtak at personopplysningene var «tapt for kommunen og delt i ukjent omfang på det mørke nettet», og at det derfor var umulig å forhindre videre deling og kompromittering – noe som gjør saken «særlig alvorlig» [1].

Samme måned som Østre Toten ble rammet, ble også AKVA Group og Hurtigruten angrepet, og Kripos pekte på en tydelig trend av profesjonelle, organiserte trusselaktører i Norge [1].

3. Konsekvensene i kroner og øre

Det som gjør Østre Toten særlig verdt å studere, er at tallene er konkrete. De er ikke estimater, og de er ikke hemmelighet. De er i offentlig dokumentasjon.

Totalt: et anslag på 39 mill. kroner i direkte kostnader – 35 mill. i tap, 4 mill. i bot – hvorav Staten har bidratt med 16 mill. [1]. Resten av tapet skal kommunen dekke av sine egne midler, altså fra penger som i utgangspunktet var avsatt til andre formål.

Statssekretær Kjersti Bjørnstad (Sp) i Kommunal- og distriktsdepartementet var ærlig i NRK: «Det er helt opplagt at kommunen ikke har hatt sine systemer på stell. Og det er derfor Datatilsynet har varslet en bot» [1].

Datatilsynets bot på 4 mill. kroner var – og er fortsatt – den største boten noen kommune har fått [1]. Avdelingsdirektør Veronica Jarnskjold Buer i Datatilsynet roste samtidig kommunens håndtering i etterkant som «forbilledlig» [1].

4. Hva saken viser om styring og ansvar

Det er tre ting som skiller Østre Toten fra de fleste andre dataangrep-sakene:

Første: saken ble publisert, og tallene ble kjent. Kommunen valgte å være åpen, og det gir oss muligheten til å se den fullstendige bildet. Det er sjelden i denne typen saker.

Andre: saken endte med en bot. Ikke fordi kommunen handlet feil under angrepet – tvert i mot, Datatilsynet roste oppryddingen – men fordi sikkerhetsopplegget før angrepet ble vurdert som utilstrekkelig [1]. Det er et viktig signal: god reaksjon reduserer ikke ansvaret for at angrepet skjedde.

Tredje: saken viser at «vi hadde ikke tid» ikke er en forsvarlig holdning. DSBs Elisabeth Longva mente kommunen kunne spart penger dersom de hadde tatt datasikkerhet på alvor [1]. Vidar Sandland (Norsis) kalte valg om ikke å betale løsepenger «en seier for kampen mot datakriminalitet» [1] – men det er en seier som burde unngått å bli nødvendig.

5. Lærdommer – hva en seriøs virksomhet bør gjøre

Østre Toten er ikke en sak om dårlig vilje. Kommunen gjorde mye riktig i etterkant. Men sakene like før 9. januar 2021 er det som bør bekymre oss. Her er de konkrete lærdommene:

1. IT-sikkerhet er en styresak, ikke en IT-sak. Styret bærer ansvaret for forsvarlighet, uansett om det er delegert videre til daglig leder eller IT-sjef. Det er styret som blir stilt til ansvar overfor myndigheter, forsikring, kunder og eiere.

2. Forsvarlighet må dokumenteres. Det er ikke nok å ha 2FA, brannmurer eller backup. Det er like viktig å kunne vise at det er gjennomtenkt, revidert og at ansatte er kjent med det. Det er den dokumentasjonen Datatilsynet leter etter – og det er det forsikringsselskapene krever.

3. Backup må testes, ikke bare eksistere. En backup som ikke har blitt testet for gjenoppretting, er ikke en backup. Det er et håp.

4. Krisehåndtering og kommunikasjon må øves. Østre Toten ble rost for kommunikasjonen [1], men det kom etter at det var for sent. En øvingsplan som ikke har blitt praktisert, er en teori.

5. Leverandøravhengighet er en egen risiko. Når en ekstern leverandør har tilgang til sensitive data – som var tilfellet i Østre Toten, hvor sensitive dokumenter ble delt via et eksternt system [3] – er leverandøren en del av egen sårbarhetsflate.

6. Kulturelt: «vi har ikke tid» er ikke en holdning. Det er en risikodekning. Og de som bærer den, er de som sitter i styret.

6. Avslutning

Østre Toten kostet anslagsvis 35 mill. kroner i tap, 4 mill. kroner i bot, 16 mill. kroner i statsstøtte, og et uant beløp i tillit – selv om den ble gjenopprettet. [1]

Det er ikke en sak for IT-avdelingen. Det er en sak for styret, for daglig leder, for økonomiansvarlig, for den som godkjenner budsjettet, og for den som skal forklare for eierne, myndighetene og kundene hvorfor tingene gikk som de gikk.

Hva vi kan gjøre i morgen, er enkelt: se på hva vi i dag har, hva vi ikke har, hva vi ikke vet, og hva vi ikke kan vise. Og deretter ta en beslutning – ikke om vi skal ha IT-sikkerhet, men om vi kan ha oss råd til ikke å ha den.

Svaret i Østre Toten var: vi kunne oss det ikke.

Les mer om kritisk nettverksinfrastruktur →