Den digitale gråsonen: Når jobb og privatliv flyter sammen

I 2021 brukte en ansatt i det amerikanske oljedistribusjonsselskapet Colonial Pipeline det samme passordet på en jobbkonto som på Netflix. Det passordet ble inngangsporten til et cyberangrep som stanset nær en tredel av drivstofftransporten i USA.

Roar Thon, fagdirektør i Nasjonal sikkerhetsmyndighet (NSM), er tydelig på én ting i denne sammenheng:

– Ingen teknologiske løsninger er frikoblet menneskelig atferd. Arbeidstakerne vil alltid være en del av sikkerheten i en virksomhet.

Konsekvensene i tilfellet Colonial Pipeline var ekstreme, men denne typen digitale vaner er ikke uvanlig. Vi svarer på e-post fra kjøkkenbordet, leser Teams-meldinger på mobilen og logger inn på jobb-PC-en etter at barna har lagt seg.

Thon understreker at sikkerhet handler vel så mye om å utvikle en god sikkerhetskultur som om å ha den rette teknologien. Samtidig mener han det er en feilslutning å bygge sikkerhet på at ansatte aldri skal gjøre feil.

– De fleste angrep starter fortsatt med at noen klikker på et vedlegg eller en lenke, men for de fleste ansatte er det å åpne vedlegg og klikke på lenker en del av jobben. Derfor må systemene være bygget slik at ett feilklikk ikke utvikler seg til en katastrofe.

Et godt eksempel er mobiltelefonen.

Mange arbeidsgivere forventer at ansatte bruker telefonen både privat og på jobb. Da oppstår også spørsmålet om hvem som bestemmer hvordan den skal brukes og hvilke apper som kan være installert.

NSM anbefaler at virksomheter som stiller telefon til disposisjon bruker såkalte flåtestyringsverktøy.

– Da kan telefonen i praksis deles i to. Den ansatte kan bruke Spotify og Facebook privat, samtidig som jobbdata ligger i et adskilt område, forklarer Thon.

Mer komplisert blir det dersom arbeidsgiver forventer at ansatte bruker sin private telefon i jobbsammenheng. I den sammenhengen viser Thon til debatten som oppsto da NSM gikk ut og frarådet enkelte apper på telefoner brukt i offentlig sektor.

– Mange oppfattet dette som at vi ønsket et forbud mot TikTok. Vår hovedbekymring var imidlertid ikke én app, men summen av alle appene vi bruker, påpeker Thon.

Selv om NSM anbefaler en rekke sikkerhetstiltak, betyr ikke det at arbeidsgivere fritt kan stille tilsvarende krav til sine ansatte. Det er et skille Datatilsynet er opptatt av.

– Det finnes ikke noe lovverk som pålegger ansatte å tenke cybersikkerhet også i privatlivet. Ansvaret ligger hos arbeidsgiveren, som skal sørge for tilstrekkelig sikkerhet og nødvendig opplæring, understreker spesialrådgiver Eirik Gulbrandsen i Datatilsynet.

Også han peker imidlertid på at virksomheter må ta høyde for at mennesker gjør feil.

– Dårlige systemer spiller arbeidstakerne dårlige, understreker han.

Datatilsynet mener i all hovedsak at passord alene ikke gir tilstrekkelig sikkerhet for innlogging på jobbsystemer. Denne holdningen ser også ut til å bre om seg i arbeidslivet.

– Vi er fornøyde med å se at stadig flere virksomheter går over til ulike former for phishing-resistent innlogging, som for eksempel flerfaktorautentisering gjennom ulike tilgangsnøkkel-løsninger.

Passord, telefoner og sikkerhetsløsninger er en stor del av diskusjonen, men god sikkerhet handler åpenbart om langt mer enn teknologi alene. Også informasjon vi frivillig deler om oss selv kan bli brukt av uvedkommende.

For Thon i NSM handler det først og fremst om at informasjon kan settes sammen.

– Tidligere sendte svindlere ut én e-post til tusenvis av mennesker med en tanke om at for eksempel problemer med en DNB-konto ville være relevant for en viss andel av mottakerne. Nå kan de ved hjelp av kunstig intelligens på en effektiv måte lage langt mer målrettede angrep basert på informasjon du selv har delt. Dersom du for eksempel er opptatt av seiling og får en e-post om at det er et problem med medlemskortet til seilforeningen du stadig legger ut bilder fra på Facebook, er sjansen langt større for at du klikker på en lenke du burde holdt deg unna.

Likevel er han opptatt av at folk ikke skal bli redde for å leve digitale liv.

– All informasjon har en verdi for noen. Men det betyr ikke at vi skal gå rundt og være redde. Vi skal leve livene våre også.

Gulbrandsen fra Datatilsynet peker på at selv om diskusjonen er brennaktuell, er problemstillingen i seg selv ikke noe nytt. Informasjon har alltid vært en verdifull ressurs, og det har alltid eksistert mennesker som ønsker å utnytte den.

– Forskjellen er teknologien vi har tilgjengelig. Den gir oss enorme muligheter, men den gir også dem som ønsker å misbruke informasjon helt nye verktøy, påpeker han.

For å illustrere poenget sitt, trekker han inn adgangskort som et viktig sikkerhetstiltak hos de fleste store virksomheter de siste tiårene.

– Hvis en ansatt med adgangskort slipper inn tre personer bare fordi de ser ut som de hører hjemme der, gir det ikke den tiltenkte sikkerheten.

Historien vi innledet med, om det alvorlige cyberangrepet på Colonial Pipeline, illustrerer nettopp dette. Angrepet begynte ikke med avansert skadevare, men med en helt vanlig digital vane: at et passord ble brukt flere steder. Det er en påminnelse om at skillet mellom privat og jobb ikke alltid er like tydelig, og at god sikkerhet handler om samspillet mellom teknologi, systemer og menneskene som bruker dem.