cyberkrigføring

I dag betegner cyberspace en «verden» av sammenkoplede datasystemer og informasjonsressurser. Det omfatter langt mer enn internett, og inkluderer alle systemer som kan kommunisere elektronisk, på den ene eller andre måten, uavhengig av om de er koblet til et nett eller ikke. Cyberspace er menneskeskapt, delvis ikke-materielt og grenseoverskridende.

Man kan forestille seg cyberspace som bestående av tre lag; et fysisk, et logisk og et menneskelig lag. Det fysiske laget består av alle fysiske gjenstander med en digital kapasitet og som har en konkret plassering. Det er alt fra datamaskiner, servere, rutere, lagringsenheter, kabler og så videre. Det logiske laget er den programvaren og den informasjonen som lagres og transporteres i systemet. Dette laget kan ikke eksistere uten det fysiske laget. Det menneskelige laget består av tilknytningspunkter til menneskelige brukere av systemene. Dette er ikke konkrete personer, men adresser, passord, brukertilganger og lignende.

Til alle tider har evne til å hindre, manipulere, ødelegge eller tappe andres informasjon vært et stort konkurransefortrinn. Å vite hva andre vet, eller narre dem til å tro noe som ikke er tilfelle, kan være en betydelig fordel nærmest uansett hvilke intensjoner man måtte ha. Det nye med cyberspace er at slike operasjoner ikke bare er uheldig for dem som berøres direkte, men kan få store, kanskje fatale, konsekvenser for hele samfunnet.

Cyberoperasjoner vil alltid involvere det logiske laget, men kan også involvere de to andre lagene. Hensikten med cyberoperasjoner er som oftest at de skal få effekten utenfor cyberspace. Et eksempel kan være å få en transformator til å eksplodere ved å manipulere dens elektroniske styringssystemer. Å sprenge et datalager med en fysisk bombe, defineres derimot ikke som en cyberoperasjon. En operasjon må involver det logiske laget for å bli definert som en cyberoperasjon.

Cyberoperasjoner kommer i prinsippet i to former; defensive cyberoperasjoner og offensive cyberoperasjoner. Defensive cyberoperasjoner er aktive handlinger for å beskytte egen evne til å bruke cyberspace, mens offensive cyberoperasjoner handler om å påvirke omgivelsene eller en motstander for å nå egne ambisjoner. For å redusere effekten av andres offensive cyberoperasjoner, etableres det digitale sikkerhetssystemer som skal bidra til at skjermet informasjon ikke spres til uvedkommende, at informasjonen ikke manipuleres, og at informasjonen er tilgjengelig for dem som trenger informasjonen og som har lovlig tilgang til den.

Cyberoperasjoner skiller seg fra tradisjonelle militære operasjoner på mange måter. Sammenlignet med militære operasjoner med moderne konvensjonelle våpen, kan operasjoner i cyberspace være svært kostnadseffektive. Det kan være ressurskrevende å utvikle effektiv skadevare, det vil si den programkoden som skal utføre uautoriserte handlinger på andres systemer. Det kan også være krevende å trenge igjennom sikkerhetssystemene, men sammenlignet med moderne kampfly og ubåter er dette tiltak som er tilgjengelig for mange med den nødvendige kompetansen.

I motsetning til tradisjonelle våpen, kan også skadevare ha et langt liv også etter at den er brukt. Den kan spre seg i cyberspace på ukontrollerbare måter, og kan også ramme dem som opprinnelig utviklet skadevaren. Følgeskadene av cyberoperasjoner, også de uintenderte, kan være enorme. På den annen side kan en skadevare brått miste sin effekt, om man finner effektive motmidler mot den i form av for eksempel antivirusprogram.

I motsetning til tradisjonelle våpen, har skadevare også et bredere spekter av nyttelast. Sprengstoff kan kun gjøre én ting, å sprenge, mens skadevare kan programmeres til å gjøre ulike ting, som å stjele verdier, utføre hærverk eller overvåke.

At det kan være vanskelig å forutsi effekten av ulike cyberoperasjoner, gjør det også krevende å orkestrere cyberoperasjoner med andre militære virkemidler. Å gjøre digitale virkemidler til en del av en fellesoperasjon krever derfor både forberedelser og kompetanse.

En viktig side ved cyberoperasjoner er at det kan være vanskelig å attribuere angrepet, det vil si å vite hvem som står bak, og med hvilke hensikt det har skjedd. Feil på digitale nettverk kan skyldes at noen med hensikt har påført skaden, men det kan også skyldes manglende kompetanse, slurv eller ytre påvirkning i form av for eksempel brann eller vanninntrenging i et serverrom. Og selv om skaden er intendert, kan det være vanskelig å fastslå hvem det er som står bak. Det kan også være krevende å si med sikkerhet på hvilke måte en aktør er delaktig i en cyberoperasjon.

Å finne de ansvarlige trenger imidlertid ikke å være umulig, selv om det kan være vanskelig og ressurskrevende. Spørsmålet er også i større grad hvem som kan stille ansvarlig for at et angrep har funnet sted, enn hvem som faktisk gjennomførte det.

En streng definisjon av cyberkrigføring, legger til grunn at en statlig aktør må stå bak et digitalt angrep på en annen stat. Om det ikke er statlige aktører involvert, er det cyberkriminalitet mer enn cyberkrigføring, men en eventuell statlig delaktighet kan være vanskelig å fastslå. En stat kan selv stå bak et dataangrep, men kan også bistå andre, enten direkte eller indirekte. Et angrep kan også gjennomføres fra et land hvor de statlige myndigheter ikke makter, eller ikke vil gripe inn for å stanse aktiviteten, eller stille de ansvarlige for retten.

Selv om angrep og ulovlig manipuleringen av datanettverk har vært en sikkerhetsfaktor helt siden 1960-tallet, var det science fiction-filmen WarGames fra 1983 som virkelig satte problemstillingen på kartet. I filmen kommer en datakyndig unggutt nærmest i vanvare seg inn det amerikanske forsvarets styringssystemer for atomvåpen, med potensielt katastrofale konsekvenser. Siden den tid har det vært en pågående diskusjon om hvor skadelig et dagangrep kan være, og hvor store uintenderte konsekvenser det kan få. Begreper som «Cyber Pearl Harbor» indikerer at konsekvensene kan være på linje med en omfattende konvensjonell krig. Andre har imidlertid ment at moderne datasikkerhetssystemer, og omfanget av alternative dataveier, gjør at frykten for et «digital Armageddon» er overdrevet.

Det kan også hevdes at cyberkrigen alt er i gang, og har vært det lenge. For eksempel skriver Nasjonal sikkerhetsmyndighet at antallet alvorlige hendelser registrert hos Nasjonalt cybersikkerhetssenter (NCSC) var tre ganger så mange i 2020 som i 2019. Mye av dette handler om økonomisk motivert kriminalitet, men det finner også daglig sted mange andre typer angrep, som for eksempel komplekse spionasjeoperasjoner mot norske mål, inkludert Stortinget. Slik aktivitet kan på et punkt få konsekvenser for Norges stats- og samfunnssikkerhet.

Det er også en diskusjon blant ekspertene om i hvilke grad avskrekking har effekt for å stanse alvorlige cyberangrep. Hjelper det å true med gjengjeldelse? Og i hvilke grad er det akseptabelt å true med gjengjeldelse i andre krigføringsdomener enn det digitale? Vil det for eksempel være akseptabelt å besvare et cyberangrep med kryssermissiler?

I Norge er det overordnede ansvaret for forsvar mot cyberangrep lagt til Nasjonal sikkerhetsmyndighet (NSM). Det praktiske arbeidet gjøres gjennom deres operasjonssenter Norwegian Computer Emergency Response Team (NorCERT), som er Norges nasjonale senter for håndtering av alvorlige dataangrep mot samfunnskritisk infrastruktur og informasjon.

I Forsvaret er Cyberforsvaret, med hovedkvarter på Jørstadmoen, ansvarlig for å etablere og opprettholde Forsvarets handlingsfrihet i det digitale rom, og for å beskytte Forsvarets IKT-systemer mot digitale trusler fra militære og sivile aktører.

• cyberspace
• internett
• skadevare
• antivirus

• Bergsjø, Håkon, Ronny Windvik og Lasse Øverlier (red.), Digital sikkerhet – en innføring (Oslo: Universitetsforlaget, 2020).
• Cunningham, Chase, Cyber Warfare – Truth, Tactics, and Strategies, (Birmingham, Packt, 2020).
• Greenberg, Andy, Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin's Most Dangerous Hackers (New York: Anchor books, 2020)
• Nasjonal sikkerhetsmyndighet. (2021). Risiko 2021 – helhetlig sikring mot sammensatte trusler.
• NOU 2015: 13. (2015). Digital sårbarhet – sikkert samfunn. Beskytte enkeltmennesker og samfunn i en digitalisert verden. Justis- og beredskapsdepartementet.