Det var den 12. februar PST, Etterretningstenesta og Nasjonal sikkerheitsmyndighet la fram tre eigne rapportar om Nasjonal trusselvurdering. I rapporten frå PST kom det mellom anna fram at forskingsleiarar, gjesteforskarar og studentar frå Kinas forsvar, hadde fått innpass på ein norsk forskingsinstitusjon som dei ikkje ville namngi.
• Les i Uniforum: PST varslar om kinesiske militære forskarar og studentar i Noreg
Alle dei tre etterretningstenestene oppfordra universitet, høgskular og andre forskingsinstitusjonar om å sørgja for å ha gode rutinar for å hindra at forskingsdata og andre data skulle koma på avvegar.
I januar kom Riksrevisjonen med ein rapport som peika på at universitet, høgskular og forskingsinstitutt hadde for dårlege system for IT–sikkerheit.
• Les i Uniforum: Riksrevisjonen fryktar at dårleg sikring kan føra sensitive forskingsdata på avvegar
– Har vore klar over risikoen
Universitetsdirektør Arne Benjaminsen ved UiO har sett seg godt inn i desse rapportane og i dei åtvaringane både etterretningstenestene og Riksrevisjonen kjem med.
– For det første, så er me og har vore klar over risikoen i rapportane frå PST og Nasjonal sikkerheitsmyndighet. Og me har jobba grundig med IT–sikkerheit gjennom lang tid. Me har ein eigen organisasjon som er kompetent på det området, peikar han på.
Tilrådingane frå Riksrevisjonen:
Riksrevisjonen tilrår at Kunnskapsdepartementet:
- avklarar samarbeidet mellom departementet, Direktoratet for høgare utdanning og kompetanse og Sikt om informasjonssikring, og avklarar kva NOKUTs rolle skal vera.
- gjennomgår verkemiddelbruken og vurderer tiltak som i større grad treff forskingsverksemdene som har størst behov for støtte.
- sikrar eit godt informasjonsgrunnlag om sikringsstilstanden og verdiane i sektoren, og fylgjer opp at risikoreduserande tiltak på sektornivå blir gjennomførte.
Riksrevisjonen tilrår også at departementet ser til at forskingsverksemdene:
- sørgjer for at leiingssystemet for informasjonssikring blir implementert fullt ut slik at styret og toppleiing har oversikt over sikringstillstanden, kan sikra at vedtekne tiltak vert gjennomførte og at tiltaka faktisk forbetrar tryggleiken slik som føresett.
- sørgjer for betre oversikt over forskingsdata som skal vernast.
- set i verk tekniske og organisatoriske sikringstiltak som dei ser som nødvendige, for å redusera risikoen for at dataangrep lykkast. (Kjelde: Riksrevisjonen)
Så viser han til undersøkinga Riksrevisjonen har gjennomført.
– Me fekk i januar ein revisjon frå Riksrevisjonen med vurderinga av IT–sikkerheita i universitets– og høgskulesektoren. Det var både ein revisjon og ei undersøking av nokre institusjonar, mellom dei også UiO, stadfestar han.
– Me har god sikring
Arne Benjaminsen meiner undersøkinga har gitt UiO gode svar på fleire ting som har å gjera med IT–sikkerheit:
– Me har fått stadfesta at me har god sikring av data som treng ekstra vern. Og me har ein systematikk i informasjonstryggleiksarbeidet på universitetet, blant anna gjennom ei eiga eining i UiO–IT som har ansvaret for dette, seier han til Uniforum.
Benjaminsen gir masse skryt til denne eininga som er kjent som UiO–Cert.
– Den har ivaretatt IT–sikkerheitsarbeidet på ein svært godt måte, slår han fast.
– Å oppretta denne eininga har vore eit godt grep hos oss for å sikra den systematikken. Riksrevisjonen har dokumentert at me etterlever den beste praksisen for dei sikkerheitstiltaka som dei undersøkte, konstaterer han.
UiO blei ikkje utsett for inntrengingstest
Arne Benjaminsen synest det er viktig at Riksrevisjonen har gjennomført ei slik undersøking som også har inkludert UiO.
– Det bidrar til at me får utvikla og skjerpa vårt eige arbeid for informasjonstryggleik. Han opplyser til Uniforum at Universitetet i Oslo ikkje var eitt av dei universiteta der Riksrevisjonen gjennomførte ein inntrengingstest.
– Går det an å seia at UiO har bestått eksamen i IT–sikkerheit?
– Me har bestått eksamen, stadfestar han, og han legg til:
– Me har eit leiingssystem for informasjonstryggleik, og me har eit godt vern av forskingsdata, og ikkje minst eit godt vern av data som inneheld personopplysningar. Der har me gode system som er utvikla av miljøa på UiO. Og det er viktig, konstaterer han.
– Så ope som mogleg og så sikkert som nødvendig
Då den nasjonale trusselvurderinga frå etterretningstenestene i Noreg blei lagt fram for to veker sidan, var PST mest kritisk til situasjonen på universitet, høgskular og andre forskingsinstitusjonar. PST hadde prov på at dei på ein stad hadde gitt innpass til forskingsleiarar, gjesteforskarar og studentar som var knytte til Kinas forsvar. PST meiner at institusjonane må passa betre på.
– Er det nokre tiltak UiO har gjort når det gjeld dette?
– I arbeidet med IT–tryggleik har me orden på arbeidet med å fylgja opp dei krava som er komne på eksportkontroll, svarar Benjaminsen.
Han fortel at UiO har etablert gode rutinar og informasjon internt og oppdaterte nettsider. Det normale sikkerheitsarbeidet og merksemda UiO skal ha på dette området, er etablert, forsikrar han.
Samtidig er UiO klar over bodskapen frå PST og dei andre tenesteorgana frå styresmaktene. Og universitetet registrerer at det er eit arbeid i samfunnet rundt oss.
Dette var funna til etterretningstenestene:
- Russland er den største etterretningstrusselen i Noreg i 2024, også innanfor norsk teknologi med sivil eller militær nytteverdi.
- Russland er interessert i norsk nordområdepolitikk. Derfor vil norske politikarar, departement og andre premissleverandørar vera utsette etterretningsmål.
- Kinesiske forskingsleiarar, gjesteforskarar og studentar knytte til det kinesiske militæret opererer i Noreg
- Akademia og norske bedrifter har vore mål for etterretningstenestene frå fleire framande statar. Formålet har i hovudsak vore å styrkja deira eigen militære kapasitet, skriv PST.
-Iran og Nord-Korea blir også nemnde som makter som driv etterretning i Noreg. Iran er også ute etter å stilna opposisjonelle kritiske stemmer i utlandet.
(Kjelder: 2024-rapportane til Etterretningstenesta, PST og Nasjonal sikkerhetsmyndighet)
– Når organ knytte til styresmaktene på dette området kjem med sine vurderingar, då vil det seia at me skal ha ekstra merksemd hos oss, peikar han på..
– Samtidig er det aller meste av verksemda me driv på med på UiO, open, understrekar han og viser til at openheit er viktig i samarbeid om forskning.
– Mantraet hos oss som i resten av samfunnet er: Så ope som mogleg og så sikkert som nødvendig, understrekar han.
Universitetsdirektør Arne Benjaminsen poengterer at det er viktig med ei likevekt mellom å vera eit ope universitet og samtidig ha gode sikkerheitsrutinar,
– Me prøver å balansera så godt som mogleg mellom openheit og dei krava som blir stilte frå styresmaktene og andre.
– Særleg når det gjeld data og IKT–sikkerheit, tenkjer eg at me har eit stort ansvar for å ha orden på dette sjølve, noko som me har fått dokumentert at me har, forsikrar han.
– Uheldig om data skulle ha kome på avvegar
Arne Benjaminsen viser til at i forskinga som blir driven på UiO, der det er persondata involvert, særleg knytt til helsefag, så har UiO etablert eit system for forvaltning og handtering av persondata.
– Me har lagt ein stor innsats i å oppgradera regimet for forvaltning og handtering av persondata.dei siste åra. Eg tenkjer at det er viktig for dei som er involverte og deltar i forskingsprosjekta våre, og også for legitimiteten for at me driv forskingsprosjekt på ein trygg måte, seier han.
Arne Benjaminsen er spesielt opptatt av å sikra at personopplysningar ikkje kjem ut.
– Det hadde vore veldig uheldig om slike typar data, skulle ha kome på avvegar. Det hadde vore endå meir alvorleg for dei berørte, enn om UiO hadde vore utsett for ei eller anna form for cyberkriminalitet. Så det å sikra legitimiteten og rutinane til den pågåande forskingsaktiviteten som me driv, er svært viktig. Det har me lagt vekt på, og der har me gode og vel tilpassa system, forsikrar Arne Benjaminsen.
– Me er ikkje politi
Han trekkjer også fram Tenesta for sensitive data ved UiO som veldig viktig.
– Kvalitetssystemet for involvering av personar og handtering av persondata i forskinga vår, er viktig. Det har me laga gode system for å ivareta, seier han.
– Det er fleire tilsette ved UiO som har bakgrunn frå Kina og Russland. Kva gjer de for at dei skal føla seg likeverdige med andre tilsette etter trusselvurderingane frå etterretningstenestene?
– Me diskriminerer ingen på grunnlag av nasjonalitet. Me skal vera vakne og merksame, men me er ikkje politi. Det er det sikkerheitstenestene som er.
Og åtvaringane frå sikkerheitstenestene skal ikkje gå utover det internasjonale samarbeidet til UiO. Det garanterer Arne Benjaminsen.
– Eit viktig poeng er at me held fram med det internasjonale samarbeidet. Nokre viktige unntak er det, til dømes Russland, der samarbeidet er suspendert. Me legg opp til å informera godt, og me arbeider også saman med andre universitet om å få gode interne rutinar for det som heiter eksportkontroll, peikar han på.
Ingen grunn til å slappa av på krava
– Så regelverket for eksportkontroll har enno ikkje ført til avgrensingar i forskingssamarbeidet til UiO?
– Nei, og me søkjer eksportlisensar der det er nødvendig. No skal det koma eit nytt Direktorat for eksportkontroll, så me er spente på kva det vil føra til. I det store og det heile legg me vekt på å balansera behovet for ope internasjonalt forskingssamarbeid halde saman med å ivareta dei krava styresmaktene stiller.
Han slår fast at sjølv om Riksrevisjonens undersøking dokumenterte at UiO har gode rutinar for IT–sikkerheit, er det ingen ingen grunn til å slappa av på krava.
– Her er det viktig at me framleis er godt tilpassa dei utfordringane som måtte oppstå rundt oss, poengterer han.
• Les meir om nasjonal trusselvurdering og datatryggleik:
PST varslar om kinesiske militære forskarar og studentar i Noreg
Riksrevisjonen fryktar at dårleg sikring kan føra sensitive forskingsdata på avvegar
Eks-NTNU-professor frikjent: – Denne saken burde aldri ha blitt ført for retten
PST slår fast: Forskings- og utdanningsinstitusjonar er utsette etterretningsmål
Supersikker datateneste ved UiO hjelper forskarar til å gjera nye funn
Logg inn for å kommentere