ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSIKRING

Transkript

1 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSIKRING

2 ÅRSRAPPORT 2018 NorSIS utgir sin årsrapport som en formell avrapportering til offentlige og private støttespillere og sam arbeids partnere. Samtidig er den et bidrag til økt forståelse for utfordringer og muligheter knyttet til digital iseringen av samfunnet og den tilliggende nødvendighet for og sikker hetspotensiale som ligger i økt åpenhet og styrket sam arbeid på tvers av sektorer. Virksomhetsredegjørelsen er strukturert i tråd med strategi fra 2018, med valgte innsats-/målområder. Utgiver: Norsk senter for informasjonssikring Ansvarlig: Peggy Heie, NorSIS Tekst: NorSIS Design: Mie Kristensen, NorSIS

3 INNHOLD DEL 1 Analyse og strategi 6 DEL 2 Virksomhet og resultater 12 innsatsområde 1: Veiledning 14 innsatsområde 2: Formidling 20 innsatsområde 3: Tilrettelegging 28 innsatsområde 4: Kunnskapsutvikling 34 DEL 3 Regnskap 43

4 Peggy Sandbekken Heie, administrerende direktør SAMARBEID ER NØKKELEN TIL SUKSESS! Den digitale hverdagen med intelligente digitale nettverk, teknologiplattformer og applikasjonsarkitektur skaper en stadig mer kompleks verden for de som skal sikre systemene og informasjonen. Tradisjonell sikkerhet er ikke tilstrekkelig for mobile enheter, skybaserte tjenester og åpne grensesnitt. Utviklingen medfører lange uoversiktlige verdikjeder som setter sikkerhets arbeidet på prøve. Sammenkobling av teknologi gjør at mange opererer nærmest i et felles økosystem og det kan være vanske lig å få fullstendig oversikt. Derfor blir security by design stadig viktigere, dvs. at man allerede i utviklingsfasen av systemer tenker og lager sikre løsninger. Tilgangsstyring og totrinnsbekreftelse I tillegg til dette er tilgangsstyring svært viktig. Det er ikke lenger tilstrekkelig å beskytte virksomhetskritiske systemer med enkle passord. Vi har sett mange eksempler på at åpne databaser med brukernavn og passord som stammer fra datainnbrudd, sammenstilles og benyttes til svindel og utpressing. Dette gir oss enda et viktig argument for å benytte totrinnsbekreftelse. Brukernavn og passord vil mest sannsynlig komme uvedkommende i hende en eller annen gang. Å ha en kode i tillegg til brukernavn og passord vil kunne hindre mange av svindelsakene i kjølvannet av disse datainnbruddene. Hvilke trusler treffer oss? NorSIS har gjennom sine tjenester, samarbeidspartnere og kontakter i 2018 mottatt informasjon om flere svindelforsøk og bedragerier. Jeg vil trekke frem to eksempler: 1. SMB-virksomheter ble utsatt for målrettet phishing-angrep fra kriminelle med økonomisk vinning som motiv. Felles for flere av de «vellykkede» bedrageritilfellene er virksomhetenes manglende informasjon om hvordan beskytte seg eller manglende kunnskap om metoder som de kriminelle benytter.

5 5 I mange av tilfellene så vi at: E-post ble benyttet som angrepsvektor. Totrinnsbekreftelse ble ikke benyttet ved pålogging i systemer. Rutiner for å sjekke henvendelser i en annen kanal enn der den ble mottatt kunne avverget flere av hendelsene. Økonomimedarbeidere og andre med betalingsfullmakter ble utsatt for sosial manipulering og phishing-angrep. 2. Innbyggerne ble utsatt for bølger av utpressingsforsøk. Årets siste måneder bar særlig preg av dette. Et betydelig antall mennesker ble, via e-post, forsøkt presset til å betale kryptovaluta for å hindre at utpresserne offentliggjorde offerets surfehistorikk på intime sider. Flere metoder ble benyttet for å forsikre offeret om de påståtte opptakene fra kameraet på datamaskinen deres fantes. Digitalisering krever samarbeid på tvers Utfordringene vi står ovenfor i digitaliseringen av samfunnet kan ikke løses av enkeltpersoner, virksomheter eller myndigheter alene. Det er gjennom samarbeid, erfaringsutveksling og informasjonsdeling på tvers vi kan bidra til at alle får en trygg digital hverdag. Hele virksomheten må delta i sikkerhetsarbeidet, digital sikkerhet er en del av forretningsprosessene i dagens samfunn. I 2019 vil NorSIS prioritere arbeid knyttet til opplæring og kompetanseheving blant målgruppen SMB og innbyggeren. Vi planlegger konkrete veiledninger og andre tiltak som kan gi de minste virksomhetene og enkeltpersoner bedre evne til å beskytte egne verdier og ta del i digitale gevinster. NorSIS er i en særstilling med våre gode og trofaste samarbeids partnere som støtter det arbeidet vi gjør og som vi er helt avhengige av. Vi retter en stor takk til disse.

6 DEL 1 ANALYSE OG STRATEGI SAMFUNNETS UTVIKLING OG NORSIS SIN ROLLE IKT-sikkerhet gjelder alle. Digitale løsninger gjelder alle i samfunnet, også digital sikkerhet. Arbeidstakere og privatpersoner forventer at leverandører, produsenter og myndigheter og andre bidrar til å sikre det digitale dagliglivet. I tillegg ser det ut til at mange har en forventning om at myndighetene hjelper dersom de blir utsatt for trusler eller hendelser på nett. Myndighetene ønsker på sin side, en digitalisering av samfunnet som er energi-, ressurs- og kostnadsbesparende. Samfunnet må som helhet ha en god sikkerhetskultur, tilstrekkelig kompetanse og høy tillit til digitale verktøy og kanaler. En forutsetning for å oppnå dette, er å kjenne til hvilke trusler en kan forvente å møte fremover og ikke minst hvordan disse truslene bør eller skal håndteres. Norge er et av de mest digitaliserte landene i verden, men digitale trusler kjenner ingen landegrenser. NorSIS kjenner til flere tilfeller der kriminelle utnytter sårbarheter hos små virksomheter for å ramme både de små, men også benytte disse virksomhetene for å ramme større virksomheter. NorSIS opplever at det er en utfordring at de minste virksomhetene ikke tar inn over seg eller er kjent med hvilket trusselbilde de opererer i og at også disse er attraktive ofre for ulike trusselaktører. En anerkjennelse av hvilke trusler som finnes, god kjennskap til egen verdi, i tillegg til en god egenevne til å beskytte seg, er viktig. Særlig fordi NorSIS erfarer at trusselaktørene som møter små og mellomstore virksomheter stadig blir mer profesjonelle og målrettede. Det stiller også større krav til sikkerhetsarbeidet. Dette gjelder uavhengig om virksomheten kjøper sikkerhetstjenester eller utkontrakterer sikkerhetsarbeidet til eksterne leverandører. En helhetlig tilnærming til sikkerhetsarbeidet er nødvendig, uavhengig av virksomhetens kjerneområde. Alle, fra styre og ledelse til de ansatte, må ha nødvendig og grunnleggende opplæring i digital sikkerhet. De ansatte må oppmuntres til å delta i opplæringsaktiviteter og det er viktig at ledelsen går foran som et godt eksempel. Godt trente og bevisste medarbeidere er virksomhetens beste middel for å møte og oppdage digitale trusler i hverdagen. Samtidig må tekniske systemer og hjelpemidler sikres og oppdateres.

7 DEL 1: ANALYSE OG STRATEGI 7 Den enkelte borger får stadig flere digitale enheter i hjemmet. Enhetene kommuniserer med hverandre og kan i verste fall benyttes til nettkriminalitet. Usikrede enheter kan benyttes til å angripe samfunns funksjoner eller til å angripe eller utnytte den enkelte bruker og dens personlige informasjon. Jo flere tjenester, systemer og enheter som knyttes sammen, desto lengre og mindre oversiktlig blir verdikjedene. Uoversiktlige verdikjeder gjør det vanskeligere å iverksette gode sikringstiltak. Det forutsetter også et samarbeid på tvers av samfunnsfunksjoner og sektorer for å få et fullstendig overblikk. NorSIS publiserte i desember rapporten «Trusler og trender : Hvilke digitale trusler møter oss på jobb og i hverdagen». I denne rapport en listes det opp ti trusler og to trender. De ti truslene er et resultat av henvendelser til NorSIS og erfaring oppsummert av de ansatte i NorSIS gjennom det arbeidet de har gjennomført i 2018: Ledelses- og direktørsvindel Uhell, uaktsomhet (vanvare) ID-tyveri Svindel (inkludert datingsvindel) Utpressing Krenkelser (mobbing) Sabotasje Sikkerhet på reise Spionasje De to trendene som er presentert er knyttet til sammenkobling av teknologi og stadig lengre verdikjeder med ulik teknologi og flere aktører involvert. NorSIS har gjennom 2018 erfart at sammenkobling av flere svindelmetoder er fremtredende. Gjennom å kombinere teknologi, tilgjengelighet, tilstedeværelse og virkemidler, blir angrepene stadig mer målrettede. Et eksempel på dette er når sammenkobling av informasjon fra tidligere datainnbrudd, for eksempel brukernavn og passord, benyttes til utpressing via e-post. Trusselaktørene henter ut informasjon og personifiserer utpressings-e-posten. Sesongbetont svindel og tilpassing av utpressingsbeløp er andre former NorSIS har erfart gjennom året. NorSIS har gjennom året forsterket sin rolle som en uavhengig ekspertorganisasjon med råd til virksomheter og befolkningen, samt bidratt til verdifull informasjon om samfunnets utvikling gjennom sine tjenester og erfaring. Summen av dette skal bidra til en tryggere digital hverdag for alle. Hvorledes NorSIS har løst oppgaven gjennom 2018 følger i de neste kapitlene. Strategi NorSIS sin strategi skal tydeliggjøre samfunnsrollen, prioritere hovedinnsats områdene, og fastsette overordnede mål. Strategien kon kret iserer målområder som skal gi retning til virksomheten og hvordan disse samspiller for at NorSIS skal løse sitt samfunnsoppdrag. Pågående og planlagt aktivitet er gruppert inn mot disse målområdene for systematisk å bidra til måloppnåelse.

8 8 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING Mål NorSIS har i sin strategi for definert følgende målområder og formulert følgende tre strategiske hovedmål i perioden: Posisjon NorSIS skal ha en sterk posisjon som en av Norges best kjente aktører innen informasjonssikkerhet for våre målgrupper. Samarbeid NorSIS skal oppleves og være anerkjent som en attraktiv og verdifull samarbeidspartner. Effekt NorSIS informerer og deler kunnskap som skaper forståelse og påvirker adferd som gir en tryggere digital hverdag. Målgrupper NorSIS har en rolle som kunnskapsformidler og veileder overfor befolkningen på individnivå, og derved hele det norske samfunn. Vedtektene fastsetter hovedmålgruppen som i prinsippet alle norske virksomheter i privat og offentlig sektor. De små og mellomstore virksomhetene skal prioriteres. I praksis retter senteret seg mest mot den enkelte innbygger, små og mellomstore bedrifter i privat sektor og mot kommuner i offentlig sektor. Målområder NorSIS samler sin aktivitet innenfor fire innsatsområder, som bygger opp under valgte mål. Disse danner grunnlag for operativ innretting av den samlede virksomheten: 1. Veiledning NorSIS er en veileder. Senteret skal bidra til godt nettvett og gi råd til de som føler seg krenket på nett, og til de som opplever uønskede hendelser og er utsatt for datakriminalitet. 2. Formidling NorSIS er en formidler. Senteret skal formidle kunnskap gjennom en ekspertrolle i media og tilby attraktive møteplasser og arenaer for å utveksle erfaringer og øke kompetansen om informasjonssikkerhet. 3. Tilrettelegging NorSIS er en tilrettelegger. Senteret skal invitere til bredt samarbeid og partnerskap, og tilrettelegge samarbeidsfora og koordinere tiltak som fremmer informasjonssikkerhet. 4. Kunnskapsutvikling NorSIS er en kunnskapsutvikler. Senteret skal utvikle og identifisere, samle og sammenstille, analysere og formidle kunnskap om informasjonssikkerhet. Metoder NorSIS arbeider på flere nivåer, og bruker en rekke metoder og virkemidler for å løse sitt samfunnsoppdrag. En grunnleggende tilnærming er samarbeid: strategisk partnerskap og operativt samvirke med aktører som har sammenfallende mål, gjerne gjennom nettverk. Samarbeid og

9 DEL 1: ANALYSE OG STRATEGI 9 nettverksbygging, nasjonalt og internasjonalt, er også en hovedoppgave i virksomhets- og målområdet tilrettelegging. NorSIS bruker media bevisst som en hovedkanal for formidling. Med sin fagekspertise og formidlingsevne har senteret bygd opp en posisjon i og gjennom media, og når vidt ut med råd og veiledning. Hyppig medieopptreden bidrar også til økt kjennskap og til å gjøre egne kanaler bedre kjent. Verdifull formidling skjer også gjennom foredrag, praktiske demonstrasjoner og konferanser. Den årlige kampanjen, Nasjonal sikkerhetsmåned, står i en formidlingsmessig særstilling. NorSIS tilbyr flere veiledningsverktøy som redskap for økt sikkerhet. Med nettbaserte tilbud som selvhjelpssider, nettsamtaler og telefonbistand stilles råd og verktøy til disposisjon, særlig for de som er utsatt for datakriminalitet eller opplever krenkelser på nett. NorSIS har bred fagkompetanse på sine innsatsområder. Trusselbildet er sammensatt, informasjonsmengden formidabel og dynamikken stor. Det er derfor tiltagende behov for analyse for å avdekke ut for dringer og identifisere tendenser. Egne utredninger, så vel som analyse av samlet materiale, er en forutsetning for å fylle samfunnsrollen som uavhengig rådgiver for norske virksomheter og myndigheter, og som pådriver av prosesser. NorSIS har selv svært begrenset kapasitet, sett opp mot samfunnsoppdraget og de samlede samfunnsutfordringene. Desto viktigere for den strategiske utviklingen er rollen som den nøytrale nettverksbyggeren og funksjonen som den koordinerende katalysatoren, tuftet på senterets unike, uavhengige posisjon. Kort og konsist om NorSIS NorSIS er en liten organisasjon med kort historie og en sentral aktør med solid posisjon. Senteret har siden 2002 bygd nettverk og fostret samarbeid: opplyst om cybertrusler, veiledet om risikohåndtering og skapt sikkerhetsbevissthet. Hva NorSIS er en ekspertorganisasjon med et sentralt samfunnsoppdrag. Senteret skaper samfunnsverdi ved å bidra til økt kunnskap om, og bevissthet rundt, informasjonssikkerhet. Senteret er en nøytral, ikke-kommersiell aktør: en brobygger og nettverksbygger, og formelt sett en medlemsforening. Hvor NorSIS er en nasjonal samfunnsaktør med hovedkontor på Gjøvik. Senteret opererer i møte med mennesker på nettet, i media, på konferanser og arrangement. Egne hovedkanaler er nettstedene norsis.no, slettmeg.no og nettvett.no. Senteret bidrar til aktivitet over hele landet, særlig gjennom Nasjonal sikkerhetsmåned.

10 10 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING Hvorfor NorSIS er et samfunnsinstrument. Senteret er opprettet for å møte digitaliseringens utfordringer: slik at alle kan ta del i mulighetene som oppstår: Digitalisering er en forutsetning for verdiskaping og velferd, men innebærer nye trusler og sårbarhet som må møtes med effektive mottiltak. NorSIS er del av det nasjonale forsvarsverket spesielt til støtte for små og mellomstore bedrifter, kommunene og enkeltmennesket. Hvordan NorSIS er en katalysator. Senteret bygger nettverk mellom offentlige og private virksomheter, nasjonalt og internasjonalt. Det samler, systematiserer og sprer informasjon: tilrettelegger for samarbeid, gir råd og veiledning. Det iverksetter tiltak, bidrar til åpenhet og inviterer til felles samfunnsinnsats.

11 brukere av nettvett.no brukere av slettmeg.no fikk tilgang til e-læring sikkerhetspåminnelser utsendt 5935 saker håndtert av slettmeg.no følgere på Facebook 6436 mottakere av nyhetsbrev 229 veiledninger på nett 9 konferanser arrangert i omsetning i offentlig støtte 10 fast ansatte og 8 studentmedarbeidere (deltid)

12 DEL 2 VIRKSOMHET OG RESULTATER VIRKSOMHET OG RESULTATER 2018 Måloppnåelse 2018 Veiledninger ut mot virksomheter og befolkningen publiseres på nettvett.no. Det er i strategi og tjenester lagt opp til at det ved nyhetsartikler og annet råd-/opplæringsmateriell skal vise til våre vei led ninger på nettvett.no Dette har bidratt til en formidabel økning i antall unike brukere på siden. I 2017 ble det fokusert på søkeroptimalisering av tjenesten. Dette, samt fokusering på å rette brukere mot konkrete veiledninger, har medført at treffprosenten og antall unike brukere på nettvett.no har økt fra til i Det er også på nettvett.no publisert et kurs for befolkningen som ble løftet frem i Nasjonal sikkerhetsmåned. Opplæringspakken som ble tilbudt virksomheter i Nasjonal sikkerhetsmåned inneholdt også lenker til konkrete veiledninger på nettvett.no Antall ansatte som mottok opplæring i Nasjonal sikkerhetsmåned i 2018 var arbeidstakere mot i Dette er en god økning i nå ut til flere ansatte. Opplæringsmateriellet er fortsatt gratis for virksomheter med færre enn 20 ansatte. Det har vært tatt grep i 2018 for bedre å kunne tilby statistikk over gjennomføring til de virksomheter som deltar og benytter opplæringsmateriellet til NorSIS. NorSIS hadde en satsning på økt synlighet i media i Dette resulterte i et toppår med antall saker i media. Det har i 2018 vært noe redusert satsning på synlighet, men samtidig fokus på å holde et godt synlig nivå, noe som statistikken viser (tabell side 14). Slettmeg.no fikk gledelig offentlig finansiering i Dette har vært viktig for å sikre opprettholdelse av tjenesten og øke fokus på hjelp til innbyggerne. Det var utfordringer våren 2018 å ansette riktig kompetanse til å besvare en-til-en henvendelser, men dette løste seg høsten Det har vært en økning i antall besvarte en-til-en henvendelser på nær 11 %, fra Telefontiden er igjen utvidet til fire dager og lengre åpningstid om ettermiddagen. NorSIS har vurdert sin måloppnåelse som tilfredsstillende, det er en økning i antall besøkende på nettsidene og NorSIS når mange gjennom media via de ulike tjenestene. NorSIS arbeider sammen med flere samarbeidspartnere og sammen generer dette et høyt aktivitetsnivå. Andel statlig finansiering til drift var 61 % i 2018.

13 DEL 2: VIRKSOMHET OG RESULTATER 13 Resultatindikator Kriterier Vurdering Økt kunnskap og bevissthet om informasjonssikkerhet. Tilskudd fra JD som andel av samlet driftsbudsjett. Samarbeidspartnere: omfang og type. Relevant informasjon til rett målgruppe: formidlet som grunnlag for økt bevissthet og effektive tiltak. Balansert offentlig tilskudd og egen finansiering. God inndekning av ideelle formål. Bidra til økt offentlig/privat samarbeid. Bredde i sammensetting og effekt av samarbeidet. NorSIS har styrket målgruppenes bevissthet ved å kommentere og gi råd ved vesentlige sårbarheter og hendelser. NorSIS har nådd bredt ut med veiledning, formidling og opplæring. 50 % 51,76 % 61,18 % NorSIS sin andel av offentlighet finansiering er økt siden Dette skyldes finansiering av slettmeg.no fra 2018, med 2 i statlig støtte NorSIS arbeider systematisk med å få de rette samarbeidspartnere i relevante sektorer. God faglig forankring og felles målsettinger er viktige kriterier. Fora og nettverk for utveksling av informasjon. Skape og opprettholde arenaer for å dele informasjon. NorSIS arbeider aktivt med å ha relevante samarbeidspartnere. Det satses på flerårige kontrakter og langsiktig samarbeid, snarere enn mange partnere med begrenset varighet. Det søkes samarbeidspartnere som støtter opp under det målrettede arbeidet mot NorSIS sine målgrupper. Antall leverte nyheter på norsis.no per uke. Antall besøkende og sidevisninger på norsis.no. Relevant og regelmessig informasjon. 3, , , NorSIS har tilrettelagt faglig relevante arenaer, med deltakelse fra alle aktuelle sektorer på konferanser og i nettverk, med generell åpen deling av informasjon. Antall besøkende og sidevisninger på veiledninger på nettvett.no. Bredde og aktualitet, som dekker målgruppens behov for praktisk veiledning Veiledninger på nettvett oppdateres i takt med hendelser og inntrufne sårbarheter. Siden er blitt betraktelig mer besøkt i Antall personer som har fått hjelp fra slettmeg. no, og endring. Kapasitet til å håndtere faktiske henvendelser, med akseptabel responstid ,88 % % ,9 % Offentlig finansiering av tjenesten har bidratt til en økning i antall henvendelser besvart. Antall besøkende og sidevisninger på slettmeg.no. Etablert og kjent tjeneste som dekker målgruppens behov for faktisk hjelp Nettstedet er flittig og stabilt besøkt. Medieeksponering med antall omtaler, og endring. Nasjonal sikkerhetsmåned (antall partnere, personer i e-opplæring). Antall konferanser og seminarer arrangert. Antall foredrag holdt. Evne til å håndtere henvendelser og utnytte muligheter til formidling av informasjon og råd. Relevante tema og opplevd verdi: antall partnere og rekkevidde på e-opplæring. Ivareta behov særlig på områder som ikke dekkes av andre aktører. Imøtekomme målgruppenes etterspørsel etter direkte formidling % 17 partnere (NorSIS) ,87 % 19 partnere (NorSIS) % 23 partnere (NorSIS) NorSIS har høy synlighet i media og har stabil medieeksponering. Medieeksponering ble prioritert høyt i 2017, nivået i 2018 er også høyt i forhold til tidligere år. Rapportering av antall ansatte som mrapportering av antall ansatte som mottok opplæring gjelder bestilling via sikkert.no. Totalt antall virksomheter og ansatte som har fått mulighet til opplæring har økt NorSIS opplever at det er etterspørsel etter konferanser, men ser at det arrangeres flere konferanser i samfunnet enn tidligere. NorSIS har beholdt de best besøkte arenaene Etterspørsel etter foredrag er på et stabilt nivå. Faste tjenester og prosjekter medfører jevnt tilbud om foredrag.

14 INNSATS- OMRÅDE 1 VEILEDNING NorSIS er en veileder. En av senterets strategiske oppgaver er å bidra til godt nettvett og gi råd til de som føler seg krenket på nett, opplever uønskede hendelser eller utsettes for datakriminalitet. Dette oppnås hovedsakelig ved å besvare henvendelser og med praktiske veiledninger. Nettvett.no NorSIS overtok fra 1. desember 2015 driftsansvaret for tjenesten nettvett.no. Dette kom i stand gjennom en samarbeidsavtale mellom NorSIS, Nasjonal kommunikasjonsmyndighet (Nkom) og Nasjonal sikkerhets myndig het. Tjenesten ble opprettet i 2005 av daværende Post- og teletilsynet (PT) på oppdrag fra regjeringen. Målet er å bidra til sikrere bruk av internett, særlig blant innbyggere og hos små og mellomstore bedrifter. Formålet er å videreutvikle og revitalisere tjenest en, og sikre at portalen fortsatt bidrar til koordinert og forbedret informasjon om sikkerhet og sikkerhetskultur. NorSIS har fått redaktøransvaret og det daglige driftsansvaret. Nkom og NSM er med på eiersiden, og bidrar til innhold og utvikling. Nettvett har fokus på å nå små og mellomstore bedrifter (SMB), i tillegg til befolkningen generelt. Det legges vekt på at de råd og veiledning er som gis skal være enkle og forståelige. Det er også et betydelig fokus på å få etablert online opplæringspakker for ulike grupper og i ulike tema. I 2018 ble online-kurset «Sikkerhet i hverdagen» publisert, mens det p.t. arbeides med et eget kurs for seniorer og et kurs for strukturert arbeide med informasjonssikkerhet for SMB-virksomheter. Slettmeg Slettmeg.no er en gratis råd og veiledningstjeneste for folk som opplever å bli krenket på internett eller i sosiale medier. Tjenesten har vært drevet av NorSIS siden Tjenesten har åpningstider på telefon mandag til torsdag til Tjenesten kan også kontaktes via kontaktskjema på slettmeg.no eller via e-post til hjelp@slettmeg.no. Her vil man få råd og vei ledning på hvordan man bør gå frem. På nettsiden slettmeg.no finnes det veiledninger for hvordan man skal gå frem for å slette informasjon om

15 DEL 2: VIRKSOMHET OG RESULTATER 15 seg selv på nettet. I tillegg finnes det en oversikt over gjeldene lovverk samt annen relevant informasjon. Nettsiden hadde brukere i Dette er noenlunde likt som foregående år. Nettsidene ble i starten av 2017 oppgradert. Dette flyttet mange brukere fra å søke hjelp via telefon og e-post til å enklere kunne finne hjelpen på nettsiden. Vi ser at denne trenden forsetter, selv om vi nå begynner å se en økning igjen av de som kontakter hjelpelinjene til slettmeg.no. Trafikkanalysen viser at de fleste går rett til veiledningene, og at de finner det de leter etter. Tjenesten har i løpet av 2018 håndtert 5935 saker. Dette er en økning på 11 % fra året før. Det er over 60 % kvinner som kontakter tjenesten via hjelpelinjene til slettmeg.no. Dette tallet har vært noenlunde uforandret de siste årene. Trenden med at menn ikke søker hjelp på samme måte som kvinner fortsetter. Dette er et interessant fenomen og slettmeg.no har derfor vært pådriver og bidragsyter i flere forskningsprosjekter som skal se nærmere på dette fenomenet. Ca. 40 % av alle henvendelser slettmeg.no mottar er fra personer som er 26 år eller yngre. Det betyr at ca. 60 % av alle henvendelser kommer fra personer som er eldre enn 26 år. Mange som kontakter tjenesten befinner seg i en fortvilet situasjon, og mange føler seg rettsløse og maktesløse. Sakene er ofte preget av tabu, og man ønsker ikke å involvere kjente, det være seg foreldre, lærere eller lokalt politi. Det at mange tar kontakt med slettmeg.no gir svært verdifulle data. Dette kan for eksempel være data som kan lære oss noe om årsakssammenhenger som ikke alltid er opplagte. I mange tilfeller avdekkes det også at de råd som gis ofte kan ha en bieffekt som er vanskelig å kunne forutse. Det er derfor svært nyttig å få denne feedbacken på de rådene som gis. Dette er et område slettmeg.no ønsker å styrke i tiden som kommer. ID-tyveri NorSIS jobber med å forebygge ID-tyveri og hjelper ofre med veiledning og rådgivning for å beskytte deres identitet mot bruk i svindel. Vi bistår også med veiledning og rådgivning i å få tilbake kontrollen over egen identitet både fysisk og digitalt. Den årlige konferansen IDentitet ble gjennomført i februar Konferansen ble gjennomført med 154 deltakere og viser at det er interesse for en slik samlingsarena der store deler av offentlig og privat sektor innenfor identitetsområdet møtes for å diskutere problemstillinger. Deltagelsen sank noe fra året tidligere, men dette ser vi på som naturlig nå når anskaffelsesprosesser for nytt nasjonalt ID-kort er avsluttet og potensielle leverandører ikke lenger har samme engasjement inn mot offentlig forvaltning. Programkomitéen besto i 2018 av representanter fra Politidirektoratet og Skatteetaten, foruten NorSIS. I samarbeid med Skatteetaten gjennomfører NorSIS en årlig undersøkelse for å kartlegge omfanget av identitetstyveri i Norge. Årets undersøkelse viser at det er en svak nedgang i antall ID-tyveri. Spørreundersøkelsen gjennomføres med tusen respondenter med spørsmål om noen har utnyttet deres identitet til å begå straffbare handlinger de to siste år. I 2018 svarte 3,9 % nordmenn at de har vært utsatt for ID-tyveri de siste to år, mot 3,3 % i Endringen er relativt liten (ikke signifikant), og vi sier derfor at kriminalitetsformen fortsatt har omlag ofre som har opplevd at noen har benyttet deres identitet

16 16 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING til å begå straffbare handlinger i løpet av de to siste år. I motsetning til i fjor var det i denne målingen en litt høyere andel blant kvinnene som oppgir å ha blitt utsatt for dette, men denne forskjellen er liten. De med høy utdanning er også mer utsatt for ID-tyveri. Undersøkelsen viser at handel på nett med en annens identitet samt at noen har tatt opp lån/kreditt i en annens person navn er mest fremtredende. 38 % oppgir at de har anmeldt forholdet. Dette er en økning på 6 % fra i fjor. Det som ser ut til å være den viktigste årsaken til at folk ikke anmelder er at dette blir fanget opp av banken eller stedet der man forsøker å misbruke andres identitet. Av de som ikke har anmeldt svarer 38 % at dette skjedde og at en derfor ikke gikk til anmeldelse. 17 % oppgir at dette ordnet de opp i selv, og dermed ikke så noen grunn til å anmelde. Like mange oppgir at de ikke tok dette seriøst nok selv, eller at de rett og slett ikke tenkte på å anmelde det. Ytterligere 13 % svarte at de enten ikke led noe økonomisk tap eller at det ble stoppet før det hadde noen konsekvenser. Det er videre noen få som følte at de selv hadde dummet seg ut eller at de var skyld i det selv. Også at de ikke tror politiet ville prioritere det blir nevn av en. Innenfor ID-feltet bidrar NorSIS også inn i nasjonalt ID-nettverk og i referansegruppen til KoID underlagt SKATE. Dette er arenaer hvor de fleste forvaltningsenheter innenfor ID-området i offentlig og privat sektor deltar. Forumet ledes av Nasjonalt ID-senter og Skatteetaten. Tidligere har NorSIS poengtert behovet for en overordnet styringsenhet og strategi på feltet, på tvers av sektorer. KoID er en kjærkommen tilvekst som skal stå for en koordinering av ID-feltet med en visjon om «En person, en identitet i Norge». NorSIS støtter dette arbeidet og vil bidra med forbrukerperspektivet inn i det videre arbeidet med helhetlige rutiner for, og tilnærminger til, håndtering av dokumentog identitetsverifisering. NorSIS ønsker også på dette tidspunkt å poengtere behovet for en overordnet styring og strategi på feltet, på tvers av sektorer. Stopp nettsvindel Stopp nettsvindel-forum drives av NorSIS med støtte fra deltagerne selv, som tar på seg å være vertskap for forumet. I dette forumet legges det vekt på presentasjon av trender, metoder og fremgangsmåter som svindlere benytter. Det fokuseres på erfaringsutveksling, basert på at deltagerne har kontroll på det overordnede trusselbildet generelt og spesielt for egen virksomhet. I forumet blir det derfor naturlig å diskutere: Hva kan gjøres for å redusere omfanget? Tiltak og virkemidler. Hva kan forbrukerne selv gjøre? Enkle forbrukertips og gode råd ut fra det aktuelle svindelbildet. Felles advarsler i media. Hva må myndighetene ta ansvar for? Hva har bransjen(e) ansvar for?

17 DEL 2: VIRKSOMHET OG RESULTATER 17 Vi gjennomføre forumet med en uformell tone og med representasjon fra flere ulike bransjer både offentlig og privat. Dette bidrar til å tenke litt bredere enn utfordringer i egen virksomhet. NorSIS arrangerte dette forumet 2 3 ganger i året og erfarer i større og større grad at aktører setter seg sammen for å se på problemstillinger som har blitt tatt opp i forumet. Nøkkelen for dette forumet er erfaringsutveksling hvor åpenhet og trygghet skal være gjeldende. Dette skaper grobunn for samarbeid internt i bransjer og på tvers eksisterende skillelinjer. Deltagelsen på disse møtene ligger på ca aktører, store og små. Telenor, Telia, Nextgentel, Nordea, Sparebank1, DNB, Coop, Tryg For sikring, Buypass, Vipps, Politiet, Payex, Finn.no, Datatilsynet, Finanstilsynet, Forbrukertilsynet og KLP deltar regelmessig, for å nevne noen. Dette forumet er også med på å gi verdifull informasjon til NorSIS. Ved bred deltagelse her vil vi få god innsikt i svindelhverdagen til norske virksomheter. Dette bidrar til å skape vårt situasjonsbilde som vi kan tilpasse vårt arbeid mot. Vi gis også mulighet til å invitere med oss deltagende virksomheter til små og store samarbeid mot vår egen målgruppe direkte.

18 NETTVETT Nettvett er en tjeneste hvor man finner informasjon, råd og veiledning om sikrere bruk av internett. >130 veiledninger 2440 følgere på Facebook ca unike besøkende i måneden VISJON En trygg digital hverdag for alle. MÅLGRUPPE Målgruppen for Nettvett er befolkningen generelt, fra barn til voksne og eldre, samt små og mellomstore bedrifter og virksomheter. Nettvett skal gjennom råd, veiledning og opplæring bidra til økt kompetanse og forståelse for informasjonssikkerhet i tjenestens målgruppe. Det legges vekt på enkel og forståelig formidling, tilpasset de ulike delene av målgruppen. Nettvett er et samarbeid mellom Norsk senter for informasjonssikring (NorSIS), Nasjonal sikkerhetsmyndighet (NSM) og Nasjonal kommunikasjonsmyndighet (Nkom). NorSIS drifter tjenesten og har redaktøransvaret.

19 ID-TYVERI Nettvett.no gir deg informasjon om forebygging og håndtering av ID-tyveri. ÅRLIG UNDERSØKELSE Andelen av den norske befolkningen over 18 år som har blitt utsatt for ID-tyveri de siste to år. 5,9 % 3,1 % ,3 % ,9 % ,2 % ,9 % ,2 % ,3 % ,9 % NORSIS BIDRAR TIL Å Forebygge ID-tyveri. Støtte deg som enkeltperson og organisasjonen som har blitt utsatt for ID-tyveri. ARRANGEMENT NorSIS arrangerer årlig i februar en IDentitetskonferanse. NorSIS arrangerer Stopp nettsvindel-forum 2 3 ganger i året. NorSIS deltar som aktør i Nasjonalt ID-nettverk. NorSIS deltar som aktør i Nasjonal ID-nettvert og i referansegruppen for KoID.

20 20 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING INNSATS- OMRÅDE 2 FORMIDLING NorSIS er en formidler. Senteret har en ekspertrolle i media, og tilbyr attraktive arenaer for å utveksle erfaringer og øke kompe tansen innen informasjonssikkerhetsområdet. Dette søkes særlig oppnådd gjennom offentlig tilstedeværelse og ved å imøtekomme henvendelser fra media. Media NorSIS bruker media systematisk for å nå et bredt publikum med informasjon og forebyggende tiltak. Senteret får hyppige mediehenvendelser og har en sterk posisjon i media, et resultat bygget opp over flere år. NorSIS var hyppig i media i I 2018 hadde vi ingen store hend elser på området, men et jevnt trykk av svindel og utpressing mot både virksomheter og enkeltpersoner. NorSIS har sterk tilknytning til enkelte tema som ID-tyveri, og sammen med Skatteetaten bidrar vi med en årlig statistikk over utbredelsen. Statistikk over ulike fagtema, som for eksempel krenkelser på nett og utpressing, blir ofte referert til i media og gjør at NorSIS blir hyppig kontaktet ved slike hendelser. Mediestrategien innbefatter en prioritering av hvilke kanaler NorSIS skal bruke for å nå sine målgrupper, for å skape effekt. NorSIS har valgt en strategi basert på faglig posisjon og god kontakt med media, og benytter derfor ikke betalt annonsering. NorSIS jobber både reaktivt og proaktivt med media i henhold til å støtte opp rundt det å sikre at befolkningen forholder seg til det trusselbildet og tiltak som også bekreftes via trusselrapporter fra NSM, PST, E-tjenesten og Kripos. NorSIS hadde i 2018 i alt 1402 medieoppslag i form av artikler i tradisjonell presse, innslag på radio og TV, samt nettbaserte medier. Det ga et gjennomsnitt på 26,9 per uke. Medieoppslagene fordelte seg hovedsakelig prosentvis på NorSIS: 60 %, Slettmeg: 20 %, sikkert.no: 6 %, Findusprisen: 1 %, og Nettvett: 13 %. Møteplasser NorSIS har utviklet egne, og benytter andres møteplasser for å formidle informasjon og dele kunnskap for å skape nettverk. Dette ble videreført i 2018, særlig ved Nasjonal sikkerhetsmåned og konferansene våre. Som uavhengig aktør har NorSIS tilgang til aktører i både offentlig og privat sektor, og kan ikke minst gjennom egne arenaer invitere til tverrsektorielt samarbeid.

21 DEL 2: VIRKSOMHET OG RESULTATER 21 Nasjonal sikkerhetsmåned en arena for nasjonalt samarbeid Nasjonal sikkerhetsmåned er en nasjonal dugnad for en sikrere digital hverdag for alle. Innsatsen og bidragene inn i dugnaden kommer fra både privat og offentlig sektor. Grunnen til at vi trenger denne nasjonale dugnaden er det skrikende behovet for kunnskap som kommer i kjølvannet av at samfunnet rundt oss digitaliseres. Dette øker både verdiskapningen og effektiviseringen, men i praksis betyr det også at kjente samfunnsfunksjoner omstilles. At nye bransjer og nye vaner kommer til, og ikke minst at vi må forholde oss til et mer komplisert trusselbilde enn tidligere. Mottagerne av opplæring, foredrag, materiell og andre bidrag er ansatte i alt fra bittesmå til store virksomheter. I år hadde vi også et eget kurs rette mot privatpersoner. Digitaliseringen berører oss alle, både som privatpersoner og som ansatt i en virksomhet. Derfor er det viktig at vi alle lærer å ta et ansvar for vår egen digitale sikkerhet. Nasjonal sikkerhetsmåned bidrar til samfunnet ved å bevisstgjøre om, og opplæring, i hvordan den enkelte kan forebygge sikkerhetshendelser. Dette kan føre til et tryggere digitalt samfunn. Kunnskap er ferskvare og sikkerhetsutfordringene vi alle står overfor endrer seg. Derfor er det et kontinuerlig behov for Nasjonal sikkerhetsmåned. I 2018 bidro totalt 23 dedikerte partnere fra offentlig og privat sektor til å gjennomføre sikkerhetsmåneden for åttende gang. Det at NorSIS er uavhengig gjør det mulig å sikre en bredde i type samarbeidspartnere fordelt mellom næringsliv, det offentlige, akademia og internasjonalt. Næringsliv Noen samarbeidspartnere har vært med flere år på rad. Næringslivets sikkerhetsråd (NSR), offentlig sektor representert ved blant annet Difi, Kripos og Datatilsynet og Nasjonal sikkerhetsmyndighet (NSM) er noen av aktørene vi har hatt et godt samarbeid med over mange år. Når også store næringslivsaktører deltar aktivt, sender de et viktig signal til egen bransje, media og øvrig næringsliv. I tillegg bidrar dette samarbeidet til en økning i spredningen av forebyggende informasjon ut til befolkningen. Budskapet spres både via NorSIS egne kanaler, samarbeidspartnerens kanaler, og media. Denne bredden i spredning er spesielt viktig ved større nasjonale hendelser som rammer forbruker og SMB-markedet, som for eksempel phishing. Det offentlige NorSIS har en lang historikk med å samarbeide med Nasjonal sikkerhetsmyndighet (NSM). Eksempelvis samarbeides det om forebyggende informasjon og veiledning og i det å få ut viktige informasjon og budskap knyttet til informasjonssikkerhet. Dette videreføres også i år. Andre aktører vi fører en aktiv dialog med er eksempelsvis Difi, Kripos og Datatilsynet. AKTIVE BIDRAGSYTERE 2018: (FINANSIELT ELLER MATERIELT) Bits NSR Uninett Ikomm Datatilsynet KINS NTNU Tryg Forsikring If Forsikring XtraMile Junglemap ENISA Difi NSM AD Nordea Forbrukerrådet ISF Sans Institute Justis-, innvandrings- og beredskapsdepartementet

22 NASJONAL SIKKERHETSMÅNED MÅL FOR KAMPANJEN Reflektere digitale innbyggere. Ansvarsbevisste virksomheter. Et motstandsdyktig samfunn. 23 dedikerte samarbeidspartnere distribuerte sikkerhetspåminnelser 47 antall foredrag virksomheter kjøpte opplæringspakken E-LÆRING Personer som mottok e-læring

23 DEL 2: VIRKSOMHET OG RESULTATER 23 Akademia NorSIS er lokalisert på campus i NTNU i Gjøvik. Dette gir NorSIS tilgang til samarbeidsmuligheter med blant annet forskningsmiljøet Center for Cyber for Information and Security (CCIS) og NTNU Gjøvik. I tillegg er flere studenter ved NTNU ansatt i deltidsstillinger knyttet til vår tjeneste Slettmeg.no og til øvrig arbeid for NorSIS. Internasjonalt samarbeid ENISA er NorSIS viktigste internasjonale samarbeidspartner. De har vært vår samarbeidspartner i ni år. Som nasjonal koordinator for Nasjonal sikkerhetsmåned i Norge, har NorSIS en sterk posisjon i ENSIA. Vi er et av landene som er mest aktive med tanke på å engasjere partnere og næringsliv, arrangere foredrag, bruke media og skape positiv oppmerksomhet via opplæringspakken med mere. Det er viktig for oss å fortsette dette gode samarbeidet med partnere via våre etablerte arenaer. Da kan vi sammen fortsette å bygge kunnskap om informasjonssikkerhet og håndtering av sikkerhetshendelser og på den måten bidra til å styrke Norge i møte med dagens og fremtidens digitale trusler. I tillegg til vårt samarbeid med ENISA, samarbeider vi med Stop.Think.Connect. Samarbeid om Nasjonal Sikkerhetsmåned I oktober 2018 ble Nasjonal sikkerhetsmåned arrangert for åttende gang. Også i 2018 bestod kampanjens største volum av opplæringspakken som NorSIS lager. Den består av e-læring, andre typer materiell og sikkerhetspåminnelser ansatte ved 365 norske bedrifter fikk tilgang til e-læringen fra NorSIS. Det er en økning fra fjoråret, både i antall ansatte som mottok pakken og i antall virksomheter som kjøpte eller mottok opplæringspakken. Opplæringspakken er gratis for virksomheter med under 20 ansatte. Også i 2018 økte antallet deltagende små virksomheter. Dette er vi godt fornøyde med, siden NorSIS sin hovedmålgruppe er små og mellomstore virksomheter (SMB-markedet). I tillegg til opplæringspakka NorSIS lager, utarbeider også flere virksomheter eget materiell. Samarbeidspartnere og støttespillere, fra både offentlig og privat sektor, er avgjørende for å kunne gjennomføre sikkerhetsmåneden. I 2018 deltok 23 dedikerte partnere. Samarbeidspartnerne bidro på ulike måter til økt aktivitet og fokus på informasjonssikkerhet både før, under og etter oktober. Våre samarbeidspartnere har rapportert om interne aktiviteter med opplæring, eksterne kampanjer mot kunder og andre, og foredrag for andre virksomheter. Mange av disse, ønsker å bidra til dugnaden. De ser det som en god anledning til å rette oppmerksomhet mot et viktig tema. Samtidig gir det dem en god anledning til å profilere seg og sin sikkerhetsvirksomhet.

24 24 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING Foredrag NorSIS holdt i foredrag. Det er på samme nivå som tidligere år. Det har vært prioritert prosjektoppgaver og deltakelse i arbeidet med nasjonal strategi. Dette har påvirket aktivitetene noe. Like fullt er foredrag en viktig måte å nå målgruppene på, både for å formidle og opplyse, og til nettverksbygging og dialog. NorSIS opprettholdt sitt gode skussmål som en attraktiv formidler gjennom foredrag og demonstrasjoner. Særlig er foredrag av typen demonstrasjoner av hvordan bli angrepet digitalt, populært. Konferanser NorSIS benytter konferanser som møteplasser. De tilrettelegges for ulike målgrupper, og flere har tilknytning til Nasjonal sikkerhetsmåned. I 2018 ble det holdt ni konferanser. Derved bygges sektorovergripende fagnettverk.

25 DEL 2: VIRKSOMHET OG RESULTATER 25 Arrangement Dato Beskrivelse Security Divas Konferansen har siden den ble etablert i 2010, utviklet seg til å bli et viktig nettverk for kvinner som studerer eller arbeider med informasjonssikkerhet. Sikkerhetstoppmøte # Diskusjonsforum og erfaringsutveksling ihht. til Chatham House Rules med ulike aktuelle temaer, tre møter i året, i samarbeid med NTNU og KPMG IDentitet Konferanse om erfaringer fra ulike miljøer som jobber med identitet eller identitetsforvaltning i samarbeid med Skattedirektoratet og Politidirektoratet. Sikkerhetstoppmøte # Diskusjonsforum og erfaringsutveksling ihht. til Chatham House Rules med ulike aktuelle temaer, tre møter i året, i samarbeid med NTNU og KPMG. SikkertNOK Åpningskonferanse for Nasjonal Sikkerhetsmåned, et seminar arrangert i samarbeid med KPMG. Kraft IS Fagseminar om informasjonssikkerhet for kraftindustrien, arrangert i samarbeid med NVE. Stopp nettsvindelen Stopp nettsvindelen # Åpning sikkerhetsmnd

26 SLETTMEG Slettmeg.no er en råd- og veiledningstjeneste for personer som opplever krenkelser på nett. Tjenesten er gratis for publikum. VEILEDNING Brukere kan kontakte tjenesten enten på telefon, e-post, kontaktskjema eller sosiale medier. På nettsiden slettmeg.no finnes det guider og nyttige tips for hvordan du kan gå frem for å få slettet opplysninger. HÅNDTERTE SAKER UNIKE BESØKENDE

27 SECURITY DIVAS En konferanse om informasjonssikkerhet for og med kvinner. MÅL FOR KONFERANSEN Mål for konferansen er å gi kvinner som jobber med eller studerer sikkerhet, faglig påfyll og inspirasjon. Med en kvinneandel på kun 11 % er det svært viktig å beholde kvinnene som jobber innen sikkerhet i sine jobber og sikre at nyutdannede ønsker en karriere innen sikkerhet. Gjennom Security Divas ønsker NorSIS å bidra til at vi får flere kvinner i sikkerhetsmiljøet. «En konferanse med og for kvinner! Stor variasjon over tema «sikkerhet». Ikke for stor og uoversiktlig konferanse» «Evne til stadig fornying og evne til å presentere temaer vi hører mye om på en god måte» 327 medlemmer i nettverket Security Divas på LinkedIn ANTALL DELTAKERE

28 INNSATS- OMRÅDE 3 TILRETTELEGGING NorSIS er en tilrettelegger. Senteret skal tilrettelegge for samarbeidsfora, bidra til å skape nettverk og samordne aktivitet som fremmer informasjonssikkerhet. Dette skal oppnås gjennom de aktiviteter som er beskrevet nedenfor. Tilrettelegging er viktig. De store samfunnsutfordringene knyttet til digitaliseringen og dens sikkerhetssårbarhet viser behovet for bredt samarbeid: Tverrfaglig og sektorovergripende så vel som både nasjonalt og internasjonalt. Tilrettelegging for nettverksbygging er en nøkkel. Hovedaktivitet 2018 NorSIS er tuftet på samarbeid og tilrettelegger for arenaer for samarbeid. NorSIS har skiftet fokus de siste to årene til å sikte på langsiktige samarbeidsformer og avtaler. De langsiktige relasjonene med riktige partnerskap vil gi NorSIS bedre rammevilkår for å ivareta samfunnsoppdraget på en best mulig og effektiv måte. Måloppnåelse 2018 NorSIS oppfylte sitt mål om å ta en aktiv rolle som brobygger, nettverksaktør og katalysator, og lykkes i 2018 med å utvikle gode samarbeid med verdifulle partnere. Nettverk NorSIS skal bidra til en tryggere og mer robust digital hverdag for en bred målgruppe: I realiteten hele Norges befolkning. Som en liten organisasjon med små ressurser er det begrenset hva senteret selv kan gjøre. NorSIS er derfor avhengig av å arbeide sammen med andre, i partnerskap og nettverk. Dette er samtidig avgjørende for å bibeholde og utvikle egen kompetanse. Ved at kunnskap deles, styrkes samfunnets samlede kompetanse og motstandskraft. NorSIS la også i 2018 stor vekt på å etablere og videreutvikle gode relasjoner til et bredt spekter av aktører i offentlig, privat og frivillig sektor. I stor utstrekning tilrettelegges kontaktskaping og relasjonsbygging ved egne møter, seminarer og konferanser.

29 DEL 2: VIRKSOMHET OG RESULTATER 29 Nasjonalt nettverk NorSIS samarbeider tett med offentlige aktører. På myndighetsnivå er dette Justis- og beredskapsdepartementet. Etatene Nasjonal Sikkerhetsmyndighet, Nasjonal Kommunikasjonsmyndighet, Direktoratet for forvaltning og IKT (DIFI) og Datatilsynet, er relevante og verdifulle samarbeidspartnere. I tillegg samarbeider vi tett med Politiet, Bufetat, Skatteetaten og kommunal- og fylkeskommunal sektor. I tillegg har vi dialog med flere av Stortingets komitéer og de ulike politiske partiers faggrupper. I privat sektor har det vært nært samarbeide med ulike akt ører. Fullstendig tabell over samarbeidsaktører er vist på side 30. Vår uavhengighet gjør det mulig å være en samarbeidspartner, men også en pådriver både samfunnsmessig, men også politisk. Mye av samarbeidet er knyttet til våre prosjekter og tjenester som Nasjonal Sikkerhetsmåned, Slettmeg, Nettvett, samt seminarer og konferanser. Det gir et handlingsrom som er godt mottatt av samarbeidspartnere. Mye av samarbeidet er knyttet til interne og eksterne aktiviteter som sikkerhetsmåneden, seminarer og konferanser. Andre partnerskap er knyttet til prosjekter, media og fellestiltak. Akademiske miljøer inngår også i NorSIS sitt nettverk, blant annet NTNU i Gjøvik og Center for Cyber and Information Security (CCIS). Det er også nært samarbeid med flere responssentre (CERT-er), herunder NorCERT og sektorvise som FinansCERT. NorSIS er med i flere sammenslutninger, inklusive Næringslivets sikkerhetsråd (NSR) som senteret har et aktivt samarbeid med. En stor del av nettverksbygging i 2018 var Nasjonal sikkerhetsmåned, en kampanje med mange i sving, med ett felles mål: et kompetanseløft innen IKT-sikkerhet. Måneden er et av landets viktigste tiltak for å skape bredt samarbeid og samordnet innsats, på tvers av sektorer. Som ansvarlig får NorSIS styrket eget nettverk og skapt fruktbare samarbeidsrelasjoner. Sikkerhetsmåneden har etablert seg som en svært viktig arena for samarbeid og åpenhet, som igjen bidrar til et mer robust digitalt Norge. Internasjonalt nettverk I 2018 ble NorSIS sitt samarbeid med EUs sikkerhetsorgan European Union Agency for Network and Information Security (ENISA) videreført. ENISA er ansvarlig for Nasjonal sikkerhetsmåned som de oppfordrer alle EU-land til å gjennomføre. NorSIS har siden 2011 vært nasjonal koordinator for Nasjonal sikkerhetsmåned i Norge, og bidrar aktivt inn i ENISAs planlegging av kampanjen. NorSIS deltar på møter og evalueringer i regi av ENISA. NorSIS samarbeider også med Europols Cyber Crime Center i Nasjonal sikkerhetmåned og har gjennom oktober delt deres kampanjemateriell. NorSIS er også medlem i organisasjonen Stop.Think.Connect. NorSIS ble invitert av Digitaliseringstyrelsen i Danmark til å fortelle om sin organisasjonsform og tjenester. I møtet ble kontaktpunkter etablert og det vil bli ytterligere samarbeid med myndighetsorganet i 2019.

30 30 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING Samarbeidspartnere 2018 Offentlige virksomheter Private virksomheter Internasjonale virksomheter Andre virksomheter Center for Cyber and Information Security Cyberforsvaret Datatilsynet Forbrukerrådet Forsvarsdepartementet Fylkesmann i Oppland Fylkesmann i Hedmark HelseCERT Høgskolen i Lillehammer Justis- og beredskapsdepartmentet Kommunal informasjonssikkerhet Kommunal- og moderniseringsdepartementet (KMD) Kripos Politidirektoratet Nasjonal Kommunikasjonsmyndighet Nasjonal Sikkerhetsmyndighet Nasjonalt ID-senter NordCert Norges vassdrags- og energidirektorat Norsk Sikkerhetsforening Norges teknisknatur vitenskapelige universitet (NTNU) Utdanningsdirektoratet Skatteetaten Unit Kommunenes Sentralforbund (KS) Barne-ungdom og familie direktoratet (Bufdir) Miljødirektoratet Gjøvik Kommune Oppland Fylkeskommune Lillehammer Kommune Kripos Næringslivskontakter i politiet (12 distrikt) Politiets nettpatrulje Kripos Politiets nettpatrulje Oslo OsloMET Cyberingeniørhøgskolen Statistisk sentralbyrå Gausdal videregående skole Gjøvik videregående skole Utdanningsdirektoratet Oslo politidistrikt Nettpatruljen Medietilsynet Accenture Bits Nordic Financial CERT KPMG Nordea Næringslivets sikkerhetsråd Telenor Virke YouGov Seniornett Goodwill Bonvik kommunikasjon Nordviken AS KraftCert Watchcom PwC Equinor XtraMile Gjensidige If Finn.no Secure Practice Online.no Norsk Tipping Buypass Mnemonic Stream media BDO Response Analyse AdColony Dataforeningen i Hordaland Difi Business Analyze Facebook Regnskap Norge European Union Agency for Network and Information Security Europol National Cyber Security Alliance (USA) Stop.Think.Connect Abelia NITO ISF IKT Norge

31 DEL 2: VIRKSOMHET OG RESULTATER 31 Sikkerhetstoppmøte NorSIS arrangerte i oktober og november 2018 sikkerhetstoppmøter, for åttende år på rad. Rundebordskonferansene med avgrenset del takelse (normalt 40) er i hovedsak myntet på sikkerhetsledere i norske virksomheter. Det ble ikke gjennomført noen sikkerhetstoppmøter første halvår 2018 da det var behov for å endre konseptet som en følge av at det har blitt mer krevende å fylle møtene med nok deltakere og å skaffe nok ressurser til gjennomføringen. NorSIS legger opp til å ta et større ansvar for gjennomføring av møtene fremover enn det som har vært tilfellet frem til nå. Møtet under Nasjonal sikkerhetsmåned ble holdt i Bergen, i samarbeid med Dataforeningen i Hordaland. Tema for møtene var: Risiko ved tjenesteutsetting. Security Divas I januar 2018 ble Security Divas arrangert for åttende gang. Formålet med fagkonferansen er å engasjere og inspirere kvinner som arbeider med informasjonssikkerhet og IKT. Vi ønsker også å bidra til faglig utvikling og rekruttering av kvinner til bransjen. Arbeidet med Security Divas går derfor også inn som endel av NorSIS oppfyllelse av sitt samfunnsansvar. Blant annet har vi i 2018 jobbet med å følge opp innspillene på frokostmøtet i 2017 der det var et uttalt ønske om å videreutvikle Security Divas til et levende nettverk. Vi har et samarbeid med Accenture for å jobbe frem en strategi for veien videre for Security Divas. Strategien skal presenteres på Security Divas-konferansen Kraft-IS Kraft-IS ble arrangert 13. og 14. november, på Gardermoen med 66 deltakere. Kraft-IS er en informasjonssikkerhetskonferanse for kraftbransjen i Norge. Målet med arrangementet er å skape en felles og økt forståelse for trusselbildet og viktige sikringstiltak knyttet til informasjons sikkerhet. Arrangementet gir også mulighet til å knytte kontakter med andre i samme funksjon og bransje. Konferansen arrangeres av Norsk senter for informasjonssikring (NorSIS) i samarbeid med NVE og KraftCERT.

32 32 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING Arendalsuka Under Arendalsuka leide NorSIS lokalet «Drømmeplassen» hvor vi holt foredraget «Trusler og trender med live hacker-demo». Arrangementet fikk gode tilbakemeldinger og flere interesserte måtte avvises på grunn av plassmangel. Vi informerte om de største trusler og trender for 2018 samt demonstrerte live hvordan noen av disse kunne utnyttes. Det ble blant annet demonstrert hvor enkel en hacker kan ta over din Facebook-konto, datamaskin, mobiltelefon og hvordan du kunne bli svindlet. Deltakerne fikk også en del tips og triks til hvordan man best kan beskytte seg. Prosjekt: Norwegian Cyber Range NorSIS deltar inn i prosjektet Norwegian Cyber Range (NCR) som gjennom føres av NTNU. NorSIS sin målsetning med deltagelse i prosjektet er todelt. For det første sitter NorSIS med en mengde data som kan benyttes som grunnlagsdata for NCR. Disse dataene må kartlegges, struktureres og anonymiseres før de kan benyttes i NCR. Det andre NorSIS ønsker å bidra med inn i prosjektet er kunnskapsutvikling. NCR kan bli en god kilde til kunnskapsutvikling og kunnskapsbygging for NorSIS målgruppe. Gjennom bidrag til å utvikle gode tjenester i NCR ønsker NorSIS å legge til rette for gode sikkerhetstjenester som kan benyttes av både befolkningen generelt og små og mellomstore bedrifter spesielt. NorSIS har i varierende grad vært involvert i de innledende prosjektaktivitetene, og NorSIS sin del av prosjektet er planlagt gjennomført i perioden Rammen for NorSIS sin prosjektdeltagelse er 4,75 MNOK over de tre årene.

33

34 INNSATS- OMRÅDE 4 KUNNSKAPSUTVIKLING Rapport om digital sikkerhetskultur i befolkningen. Det norske samfunnet blir stadig mer digitalisert. Tidligere manuelle oppgaver og prosesser blir digitalisert, og de digitale tjenestene knyttes hele tiden tettere sammen i nye og komplekse strukturer. Tradisjonelt har nok mange sett på disse nye strukturene som rene teknologiske strukturer. Sammenkoblinger av systemer, tjenester, infrastrukturer og enheter. Det har vært mange trusler mot de digitale strukturene, men helt siden «Morris-ormen» så sitt lys i 1988 har man i hovedsak snakket om de teknologiske truslene, og de teknologiske konsekvensene. Nå som digitaliseringen skjer i hele samfunnet mener NorSIS at vi ikke kan skille mellom teknologien og mennesket. Mennesker har nesten alltid en plass i risiko- og årsakskjedene. I tillegg opplever også menneskene konsekvenser når teknologien brukes til, eller rammes av, kriminelle formål. I tillegg til å utvikle ny kunnskap om hvordan man best skal beskytte teknologien mot digitale trusler, må samfunnet også utvikle ny kunnskap om hvordan mennesket blir mer robust i møtet med teknologi og digitale trusler. Teknologien påvirker samfunnsutviklingen. Dette betyr at teknologien også påvirker den enkelte, men vi vet også at den enkelte kan påvirke digitaliseringen i samfunnet. Dette så vi blant annet i debatten rundt Datalagringsdirektivet for noen år siden. Måten befolkningen engasjerte seg i debatten bidro til å gjøre fordeler og ulemper ved direktivet kjent. Digital sikkerhetskultur er samfunnets felles verdier, holdninger, normer, kunnskaper og handlinger om det å kunne ta del i et digitalisert samfunn på en trygg måte. Den digitale sikkerhetskulturen skal gjøre både den enkelte, og samfunnet i sin helhet, mindre sårbare mot digitale trusler. Dette bidrar til å bygge tillit til de digitale tjenestene slik at samfunnet kan høste alle godene som digitaliseringen kan gi oss. Det er derfor svært gledelig å se at stadig flere har fokus på digital sikkerhetskultur og på menneskene som bruker digitale tjenester. NorSIS mener at man likevel må være ydmyke for at samfunnet foreløpig ikke vet nok om hvordan utfordringene skal løses. Hjelper det å opplyse de ansatte om trusler og sårbarheter? Hvilke typer opplæring fører til at elever lærer bedre nettvett, og hvilke typer opplæring har minimal effekt? Vil det som fungerer i en bedrift ha samme effekt i andre bedrifter?

35 DEL 2: VIRKSOMHET OG RESULTATER 35 NorSIS har siden 2015 kartlagt digital sikkerhetskultur i befolkningen, på skoler og i bedrifter, og vi begynner nå å se hvordan utviklingen er over tid. Dette er svært viktig, for det er kun gjennom en slik kartlegging at en kan oppdage om nøkkelindikatorer har den utviklingen en ønsker seg. Tillit er en forutsetning for digitaliseringen. Myndighetene må vite om befolkningen har tillit til at opplysningene deres behandles på en trygg måte, og at de får hjelp dersom de blir utsatt for datakriminalitet. En slik kartlegging av befolkningen gir myndighetene en tilbakemelding på om det de gjør for å bygge sikkerhets kultur har ønsket effekt. Våre hovedfunn I rapporten «Nordmenn og digital sikkerhetskultur 2017» slår vi fast at nordmenn er dårlig rustet til å møte den digitale revolusjonen. Fordi både trusselbildet og det teknologiske landskapet er i endring, er det nødvendig at befolkningens kunnskap om hvordan en skal beskytte seg mot kriminalitet og andre uønskede hendelser på nett oppdateres. Ettersom digitale enheter i de tusen hjem også kan brukes til å an - gripe grunnleggende samfunnsfunksjoner eller til å begå nett kriminalitet i stor skala, er det imidlertid ikke bare snakk om egenbeskyttelse. Den enkeltes holdninger til og oppførsel knyttet til digital sikkerhet kan derfor får store og direkte konsekvenser for samfunnet som helhet. I samme rapport slår vi også fast at frykt for digitale trusler og mistro til at politiet vil hjelpe dersom noe skjer, er skadelig for digitaliseringen av samfunnet. Årets rapport viser at situasjonen ikke har blitt vesentlig bedre. Konklusjonene fra forrige rapport er derfor fremdeles gyldige. Økende frykt I årets undersøkelse observerer vi at befolkningen har en økende frykt knyttet til deler av deres digitale liv. I 2018 mener flere at de utsetter seg selv for risiko på nett enn i Den gang svarte 58 % at de er helt eller delvis enig i påstanden om at de utsetter seg selv for risiko på nett, mens det i 2018 er 73 % som svarer det samme. Dette er en økning på 15 prosentpoeng. Samtidig opplever færre at de får tilstrekkelig informasjon om digitale trusler. I 2015 sa 68 % seg helt eller delvis enig i at de får tilstrekkelig informasjon om dette, mens det i 2018 er 61 % som sier det samme. Flere forbinder også det å bruke offentlige tjenester på nett med høy risiko enn tidligere. I 2015 svarte 13 % at de i ganske stor eller svært stor grad forbinder slik bruk med høy risiko, mens det i 2018 er 21 % som svarer det samme. En økning på åtte prosentpoeng. Denne observasjonen understøttes også av at 30 % av de spurte ikke har tillit til at myndighetene sikrer informasjonen de har registrert om dem. Vi gjør en tilsvarende observasjon for det å bruke nettbank, i 2018 forbinder flere det å bruke nettbank med høy risiko enn tidligere. I 2015 svarte ti prosent at de forbinder slik bruk med høy risiko, mens det i 2018 er 19 % som svarer det samme. Det er en økning på ni prosentpoeng. NorSIS mener det er uheldig at flere oppfatter det mer risikabelt å nettbank og andre digitale tjenester enn tidligere. Vi vet imidlertid ikke nok om bakgrunnen for denne økningen. En mulig forklaring er at risikoen knyttet til slik bruk faktisk har økt. NSM skriver i sin

36 36 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING rapport Risiko 2018 at Norge står overfor økende risiko for å bli rammet av sikkerhetstruende hendelser, men rapporten sier ikke spesifikt at dette gjelder bruk av nettbank eller offentlige tjenester på nett. Vi kan imidlertid ikke utelukke at risikoen faktisk øker, og at endringen i befolkningens oppfatning kommer som en følge av dette. En annen mulig forklaring er at folk tror at risikoen øker, uten at den faktisk gjør det. Dette er i så fall også problematisk, for det kan tyde på at informasjonen omkring slik risiko enten er mangelfull eller feilaktig. NorSIS antar at kunnskap om risiko spiller en rolle her, og minner om at mindre enn en fjerdedel av befolkningen sier at de har fått opplæring i digital sikkerhet i løpet av de siste to årene. Kunnskap alene styrer ikke nødvendigvis hva befolkningen mener om risiko, men NorSIS mener likevel at det er av svært stor betydning at flere nordmenn får opplæring i nettvett. Vi ønsker at nordmenn skal utvise sikker adferd på nett, og på den måten forebygge uønskede hendelser. Men på tross av god forebygging, går det noen ganger galt. Når dette skjer er samfunnets motstandsdyktighet mot digitale trusler også avhengig av hva den enkelte vet om slike trusler, og hvordan de forholder seg til dem. I september 2018 observerte NorSIS en stor økning av forsøk på utpressing av norske innbyggere. Mange, trolig flere tusen, mottok en e-post der avsender hevdet å ha brukt datamaskinens kamera til å filme vedkommende mens han eller hun onanerte foran skjermen. Avsenderen truet med å dele filmen med mottagerens venner på Facebook, dersom det ikke ble betalt inn et større beløp til utpress eren innen en gitt frist. Vår felles digitale sikkerhetskultur påvirker hva den enkelte gjør når en får slike trusler. Blir man engstelig for at utpresseren faktisk sitter på en slik video, og derfor betaler det som kreves? Gjenkjenner man det som en falsk trussel og sletter e-posten? Søker man hjelp fra eksperter for å finne ut hva dette er? Informerer man sine venner om at dette er en trussel som også kan ramme dem, og gir råd om hva de bør gjøre? Å redusere frykten for å bruke digitale tjenester bør være et mål for samfunnet. Det er mange som deler ansvaret for å oppnå dette. Myndighetene må sørge for at det finnes tidsriktig informasjon om trusselbildet. Deretter må de, sammen med sikkerhetsbransjen og andre aktører som arbeider for digital sikkerhet, sørge for gode og effektive tiltak som både enkeltpersoner og bedrifter kan bruke for å møte truslene som finnes. På stedet hvil Hovedinntrykket etter årets undersøkelse er at det jevnt over ikke er store endringer i befolkningens sikkerhetskultur fra undersøkelsene i 2015 og Selv om vi skal være tilfreds med at det ikke har blitt verre på noen områder, er vi ikke tilfreds med at det ikke har blitt bedre. Særlig på områder der vi forventer en positiv fremgang. Det er fremdeles færre enn 25 % av de spurte som sier at de har fått opplæring i løpet av de to siste årene. Videre er det kun en tredjedel

37 DEL 2: VIRKSOMHET OG RESULTATER 37 av sier at de bruker totrinnsbekreftelse der det er mulig. Dette til tross for at det er et av de aller viktigste tiltakene man kan gjøre for å beskytte seg mot mange former for digitale trusler. Vi observerer ut fra dette, lite bevegelse i både holdninger og adferd rundt digital sikkerhet fra 2015 til Undersøkelsen i seg selv gir ikke svaret på hvorfor det er slik. Det er mange aktører i Norge som bidrar til å gi befolkningen økt kunnskap og større bevissthet rundt digitale trusler. Myndighetene, skolene, virksomheter i offentlig og privat sektor, bransjeorganisasjoner, aktør er i sikkerhetsbransjen og enkeltpersoner bidrar alle til dette. Når vi likevel ikke finner noen endringer i befolkningen på flere viktige områder, er det riktig å stille spørsmål ved om den samlede innsatsen har den effekten som samfunnet har behov for. Dette er selvsagt en svært sammensatt og kompleks problemstilling. Å endre holdninger og adferd er utfordrende. Det gjør heller ikke oppgaven enklere at det ikke foreligger noe tydelig og omforent målbilde for digital sikkerhetskompetanse i befolkningen. I forbindelse med lansering av ny nasjonal strategi for digital sikkerhet, vil Justisog beredskapsdepartementet også gi ut en egen kompetansestrategi. Hvordan denne følges opp, vil ha stor betydning for befolkningens digitale sikkerhetskultur i tiden fremover. NorSIS forutsetter at strategimålene er tydelige, og at departementet evaluerer måloppnåelsen i årene fremover. Våre årlige under søkelser om nordmenns digitale sikkerhetskultur bør inngå som et viktig grunnlag i evalueringene. For å skape de endringene vi mener er nødvendige, er det imidler tid ikke bare regjeringen og departementene som må ha en mer målrettet innsats. Det er mange som har en stemme i det offentlige ordskiftet. Disse bidrar til å lære opp og til å endre holdninger og adferd hos folk flest. NorSIS mener myndighetsaktørene, slik som Nasjonal sikkerhetsmyndighet, Nasjonal kommunikasjonsmyndighet, Direktoratet for sikkerhet og beredskap og Utdanningsdirektoratet, har et særskilt ansvar å utvikle og evaluere tiltak for å endre befolkningens digitale sikkerhetskultur. NorSIS anbefaler også at alle aktører som gir råd og opplæring til den enkelte innbygger har tydelige mål for sine aktiviteter og at disse også er gjenstand for evaluering. NorSIS har gjennom sitt oppdrag et tydelig medansvar for å bidra til befolkningens kunnskaper, holdninger og en adferd som gjør dem til trygge digitale innbyggere. Når vi nå ser at effekten av dette arbeidet uteblir, er det all grunn til å evaluere vår egen tilnærming til å løse dette oppdraget. NorSIS har tradisjonelt tilnærmet seg de ulike målgruppene på forskjellige måter. Norske bedrifter har fått anledning til å gjennomføre sikkerhetsopplæring i forbindelse med Nasjonal sikkerhetsmåned som koordineres av NorSIS. I Nasjonal sikkerhetsmåned gis bedriftene mulighet til å kjøpe en tidsriktig opplæringspakke. Denne er gratis for bedrifter med opp til 20 ansatte. Kanalene for å nå den enkelte innbygger har i hovedsak vært medieoppslag i sosiale medier, aviser, radio og fjernsyn, og gjennom veiledninger på nettvett.no. NorSIS tar nå nye grep for å sikre at den enkelte får mulighet til å skaffe seg mer og bedre informasjon om hvordan de bør forholde seg til digitale trusler. Som en del av Nasjonal sikkerhetsmåned i 2018 ble opplæringstilbudet utvidet til også å omfatte den enkelte innbygger,

38 38 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING ikke bare ansatte i norske bedrifter. Vi mener at dette vil føre til at befolkningen i enda større grad følger de råd og anbefalinger som gis. Om den nye nasjonale kompetansestrategien, og den samlede innsatsen fra alle sikkerhetsaktørene, gjør Norge til et trygt sted å være en digital innbygger vil vise seg i årene som kommer. NorSIS vil på sin side kontinuerlig evaluere effekten av egne tiltak. Vi vil også arbeide for at alle sikkerhetsaktører har et oppdatert situasjonsbilde på nordmenns digitale sikkerhetskultur. Prosjekt: Ny nasjonal strategi for digital sikkerhet Det er nå vel seks år siden regjeringen ga ut forrige nasjonale strategi for informasjonssikkerhet. Norge var blant de første nasjonene som ga ut en slik strategi, tilbake i Når regjeringen nå lanserer en ny strategi, er det for å forberede nasjonen på fremtidens behov for å sikre det norske samfunnet mot digitale trusler som er i stadig utvikling. Arbeidet med strategien ble påbegynt i desember Strategigruppen har bestått av representanter fra Justis-, beredskaps- og innvandringsdepartementet, Forsvarsdepartementet, Nasjonal sikkerhets myndighet og Norsk senter for informasjonssikring (NorSIS). En styrke i arbeidet har vært den åpne og inkluderende prosessen med å utvikle strategien. Det ble lagt opp til en svært bred involvering. I praksis betyr det at alle som har hatt ønske om å delta, har fått mulighet til det. Det ble blant annet gjennomført en strategikonferanse med 300 deltakere, og workshoper der deltakerne kunne gå mer i dybden på sine innspill. NorSIS mener at dette bidrar til å sikre en forankring av strategien i norske virksomheter, og at strategien har blitt bedre som en følge av alle innspillene. NorSIS har hatt et sentralt ansvar i planlegging og gjennomføring av konferansene og workshopene i prosjektet. Regjeringen har valgt en strategi der utfordringene skal løses gjennom samarbeid. Det er spesielt pekt på tre samarbeidsområder: samarbeid mellom offentlig og privat sektor, samarbeid mellom sivil og militær sektor og internasjonalt samarbeid. NorSIS har alltid løst sitt oppdrag gjennom samarbeid, og gjennom å fasilitere samarbeid mellom andre. De komplekse utfordringene som digitaliseringen gir kan ikke løses av enkeltaktører. Myndighetene kan ikke alene gjøre internett trygt for alle, like lite som eiere av kritisk infrastruktur, eller den enkelte innbygger kan det. Det er gjennom å samarbeide, altså å dele informasjon, erfaringer og kunnskap om de løsningene som fungerer, at vi gjør det digitale samfunnet til et trygt sted å være. Til strategien gis det ut en tiltaksplan som viser det store omfanget av det arbeidet som gjøres for å trygge samfunnet. NorSIS har også bidratt inn i dette arbeidet. Tre av tiltakene i tiltaksplanen som NorSIS leverer er: Nasjonal sikkerhetsmåned, nettvett.no og slettmeg.no.

39 DEL 2: VIRKSOMHET OG RESULTATER 39 Prosjekt: Prosjektplan for Oppfølging av anbefalinger i Difirapport 2018:4 Difi har påbegynt et forprosjekt for å følge opp anbefalingene som er gitt i Difi-rapport 2018:4. NorSIS har levert innspill til Vedlegg 3: Sikkerhetskultur og kompetanse. Delprosjektet har som mål: Virksomheter kartlegger sin sikkerhetskultur. På bakgrunn av kartleggingen utformer virksomheten eventuelle tiltak til forbedring. Hovedproduktene er: Hovedprodukter Beskrivelse Metode for kartlegging av digital sikkerhetskultur. Veiledning for kartlegging av digital sikkerhetskultur. Veiledning for arbeid med digital sikkerhetskultur og kompetanse. Initial kartlegging av digital sikkerhetskultur. Vurdere/foreslå føringer for bruk. Delprosjektet er foreløpig ikke finansiert. Delprosjektet tar utgangspunkt i NorSIS metode for kartlegging av digital sikkerhetskultur, og tilpasser denne til bruk i statsforvaltningen. Delprosjektet utvikler en veiledning for kartlegging av digital sikkerhetskultur for bruk i virksomhetene. Delprosjektet utvikler en veiledning for arbeid med digital sikkerhetskultur for bruk i virksomhetene, herunder vurdering av kompetanseutvikling og tiltak for endring av sikkerhetskultur. Delprosjektet gjennomfører en initial kartlegging av digital sikkerhetskultur i statsforvaltningen. Delprosjektet skal utarbeide forslag til føringer for hvordan statsforvaltningen skal bruke leveransene i delprosjektet. Prosjekt: Prosjekt for utvikling og utprøving av kompetansetiltak i grunnutdanningen knyttet til digital sikkerhetskultur Digitalisering er en viktig forutsetning for å kunne produsere tjenester/ produkter på en rasjonell måte og derigjennom sikre fremtidig velferd. I dette perspektivet er det naturlig at også utdanningsmyndighetene tar et betydelig ansvar for at norske ungdommer blir trygge digitale innbyggere, og sørge for å utvikle mer kunnskap om ungdom og digital sikkerhetskultur. Digital oppdragelse er både foreldre og skolens ansvar. Digital oppdragelse handler ikke bare om å forstå forskjellen på rett og galt, men alle de små og store tingene den enkelte må gjøre hver eneste dag for at de selv og de rundt en skal være trygge digitale innbyggere. For et samfunn som allerede er avhengig av digitale tjenester, og som i fremtiden skal gå gjennom ytterligere digitale transformasjoner, er dette av svært stor betydning. Dette er så viktig for samfunnet at vi ikke kan overlate det til mer eller mindre tilfeldig oppdragelse i det enkelte hjem. På samme måte som samfunnet tar

40 40 ÅRSRAPPORT 2018 NORSK SENTER FOR INFORMASJONSSSIKRING ansvar for at den enkelte skal ha holdninger, kunnskap og adferd som gir trygghet i trafikken, trenger vi at samfunnet tar et større ansvar for at alle skal være trygge på nett. Dette bør skje strukturert gjennom fag i skolen. Det må være en helhetlig tilnærming som har fokus på verdier, holdninger, normer, kunnskap og adferd på sikkerhetskultur. Skolene bør gis kunnskap og verktøy for å kunne gå foran som gode forbilder for de unge, og sørge for at alle barn og ungdommer får arenaer der de kan lære mer om hvordan de skal bli trygge digitale innbyggere. Prosjektets overgripende målsetting er å videreutvikle og pilotere verktøy som vil være avgjørende for å sikre «digital sikkerhetskultur» og gjennom det være en muliggjører for digitalisering. Pilotaktivitetene rettes målrettet inn mot ungdomsgruppen som en del av den videregående opplæringen. Dette vil bli gjennomført ved å sette lærere og ledere i videregående skole i stand til å gi en kvalifisert kompetanseoverføring for å bidra til å utvikle elevene til trygge digitale innbyggere. Prosjektmål Prosjektets mål er å øke forståelse/kompetanse og bidra til mestring hos elever og nøkkelaktører i grunnutdanningen om ut fordringer knyttet til digital hverdag. Prosjektet adresserer i dette problemstillinger av stor betydning for barn og unges psykiske helse. Aktivitetene er kunnskapsbasert og prosjektet skal også jobbe for å på en bedre og mer effektiv måte fange og strukturere data som bidrag til nasjonal kunnskapsutvikling og forskning innen feltet digital sikkerhet og personvern. En viktig forutsetning for å lykkes med dette er tett samarbeid med fylkeskommunen og kommunesektoren/ks som skoleeiere samt Utdanningsdirektoratet. Dette for å ivareta den helhetlige samfunnsansvarsrollen. NorSIS og slettmeg.no ønsker Oppland og skoler i regionen som sin pilot- og referansearena i dette arbeidet. Delmål 1. Etablere prosjektplattform og velge skoler i Oppland. 2. Utvikle digitalt introduksjonskurs i digital sikkerhetskultur for lærere og skoleledelse. 3. Utvikle læreplantilpassede undervisningsmoduler i digital sikkerhetskultur for undervisning. 4. Utvikle digitalt introduksjonskurs i digital sikkerhetskultur/rolleforståelse for foreldre til elever i grunnutdanningen. 5. Gjennomføre forprosjekt for å utvikle digitalt informasjons-/kulturutviklingskonsept for skolesektoren blant annet ved anvendelse av spillelementer og -teknologi. 6. Planlegge og arrangere erfaringsoppsummering/-konferanse. 7. Evaluere, dokumentere og anbefale videreføring inklusiv initiativ til kunnskapsutvikling gjennom samhandling med forskningsaktører. Prosjektet ble igangsatt høsten 2018, og vil ferdigstilles ved utgangen av 2019.

41 KARTLEGGING AV INFORMASJONS- SIKKERHETS KULTUR MÅL FOR AKTIVITETEN Årlig innsamling av data om informasjonssikkerhetskultur på nasjonalt nivå og fra næringslivet. Produsere et godt grunnlag for utvikling av politikk innen informasjonssikkerhet. Produsere et beslutningsgrunnlag for sikkerhetstiltak i norske bedrifter og virksomheter besvarelser 0 foredrag 1 virksomhet kartlagt FELLESSKAP ADFERD STYRING & KONTROLL INTERESSE INFORMASJONS- SIKKERHETS- KULTUR TILLIT KOMPETANSE VILJE TIL DIGITAL- ISERING RISIKO - FORSTÅELSE

42

43 DEL 3 REGNSKAP

44 Årsregnskap 2018 Norsk Senter for Informasjonssikring Resultatregnskap Balanse Noter til regnskapet Org.nr.:

45 DRIFTSINNTEKTER OG KOSTNADER Norsk Senter for Informasjonssikring RESULTATREGNSKAP FOR 2018 Note Salgsinntekt Annen driftsinntekt Sum driftsinntekter Varekostnad Lønnskostnad Avskrivning varige driftsmidler Annen driftskostnad Sum driftskostnader DRIFTSRESULTAT Finansinntekt og finanskostnad Annen renteinntekt Annen finansinntekt Annen rentekostnad Resultat av finansposter ÅRSRESULTAT OVERFØRINGER Avsatt til annen egenkapital SUM OVERFØRINGER Org.nr:

46 Norsk Senter for Informasjonssikring BALANSE PR. 31. DESEMBER 2018 Note EIENDELER Inventar og utstyr Sum varige driftsmidler SUM ANLEGGSMIDLER OMLØPSMIDLER Fordringer Kundefordringer Andre fordringer Sum fordringer Betalingsmidler Bankinnskudd og kontanter Sum betalingsmidler SUM OMLØPSMIDLER SUM EIENDELER Org.nr:

47 (ikke deltatt)

48 Regnskapsprinsipper Årsregnskapet er satt opp i samsvar med regnskapsloven og NRS 8 - God regnskapsskikk for små foretak. Virksomheten er organisert som en forening og den ble stiftet 2. februar Driftsinntekter Inntektsføring ved salg av varer skjer på leveringstidspunktet. Tjenester inntektsføres etter hvert som de leveres. Skatt Foreningen er unntatt beskatning. Klassifisering og vurdering av anleggsmidler Anleggsmidler omfatter eiendeler bestemt til varig eie og bruk. Anleggsmidler er vurdert til anskaffelseskost. Varige driftsmidler balanseføres og avskrives over driftsmidlets økonomiske levetid. Avskrivningsperioden for fast eiendom anskaffet etter 2009 er dekomponert i en del som gjelder råbygget og en del som gjelder faste tekniske installasjoner. Varige driftsmidler nedskrives til gjenvinnbart beløp ved verdifall som forventes ikke å være forbigående. Gjenvinnbart beløp er det høyeste av netto salgsverdi og verdi i bruk. Verdi i bruk er nåverdi av fremtidige kontantstrømmer knyttet til eiendelen. Nedskrivingen reverseres når grunnlaget for nedskrivingen ikke lenger er til stede. Klassifisering og vurdering av omløpsmidler Omløpsmidler og kortsiktig gjeld omfatter normalt poster som forfaller til betaling innen ett år etter balansedagen, samt poster som knytter seg til varekretsløpet. Omløpsmidler vurderes til laveste verdi av anskaffelseskost og virkelig verdi. Fordringer Kundefordringer og andre fordringer oppføres til pålydende etter fradrag for avsetning til forventet tap. Avsetning til tap gjøres på grunnlag av en individuell vurdering av de enkelte fordringene. Note 1 Lønnskostnader og ytelser, godtgjørelser til daglig leder, styret og revisor Lønnskostnader Lønninger Arbeidsgiveravgift Pensjonskostnader Andre ytelser Sum Selskapet har i 2018 sysselsatt 9,8 årsverk. Pensjonsforpliktelser Selskapet er pliktig til å ha tjenestepensjonsordning etter lov om obligatorisk tjenestepensjon. Selskapets pensjonsordninger tilfredsstiller kravene i denne lov. Ytelser til ledende personer Daglig leder Styret Lønn Annen godtgjørelse Sum Honorar til revisor eks. mva utgjør: 2018 Lovpålagt revisjon Regnskapsteknisk bistand Andre attestasjonstjenester 0 Andre tjenester utenfor revisjon Skatterådgivning- teknisk oppsett av ligningspapirer 0 Sum

49 Note 2 Offentlig tilskudd Selskapet har mottatt kr i grunnfinansiering. For øvrig er det mottatt prosjektstøtte på kr Note 3 Anleggsmidler Driftsløsøre, Sum inventar ol. Anskaffelseskost pr Tilgang kjøpte anleggsmidler = Anskaffelseskost Akkumulerte avskrivninger = Bokført verdi Årets ordinære avskrivninger Økonomisk levetid 3 år Selskapet leier kontorlokaler. Årets kostnad inkl felleskostnader utgjør kr Note 5 Bankinnskudd Innestående midler på skattetrekkskonto (bundne midler) er på kr Note 6 Egenkapital Annen Sum egenkapital egenkapital Pr Endringer ført mot EK 0 0 Pr Årets resultat Pr

50

51

52 Deloitte AS Trondhjemsvegen 3 NO-2821 Gjøvik Norway Tel: Til årsmøtet i Norsk Senter for Informasjonssikring UAVHENGIG REVISORS BERETNING Uttalelse om revisjonen av årsregnskapet Konklusjon Vi har revidert Norsk Senter for Informasjonssikrings årsregnskap som viser et overskudd på kr Årsregnskapet består av balanse per 31. desember 2018, resultatregnskap for regnskapsåret avsluttet per denne datoen og noter til årsregnskapet, herunder et sammendrag av viktige regnskapsprinsipper. Etter vår mening er det medfølgende årsregnskapet avgitt i samsvar med lov og forskrifter og gir et rettvisende bilde av organisasjonens finansielle stilling per 31. desember 2018, og av dets resultater for regnskapsåret avsluttet per denne datoen i samsvar med regnskapslovens regler og god regnskapsskikk i Norge. Grunnlaget for konklusjonen Vi har gjennomført revisjonen i samsvar med lov, forskrift og god revisjonsskikk i Norge, herunder de internasjonale revisjonsstandardene International Standards on Auditing (ISA-ene). Våre oppgaver og plikter i henhold til disse standardene er beskrevet i Revisors oppgaver og plikter ved revisjon av årsregnskapet. Vi er uavhengige av organisasjonen slik det kreves i lov og forskrift, og har overholdt våre øvrige etiske plikter i samsvar med disse kravene. Etter vår oppfatning er innhentet revisjonsbevis tilstrekkelig og hensiktsmessig som grunnlag for vår konklusjon. Styrets og daglig leders ansvar for årsregnskapet Styret og daglig leder (ledelsen) er ansvarlig for å utarbeide årsregnskapet i samsvar med lov og forskrifter, herunder for at det gir et rettvisende bilde i samsvar med regnskapslovens regler og god regnskapsskikk i Norge. Ledelsen er også ansvarlig for slik intern kontroll den finner nødvendig for å kunne utarbeide et årsregnskap som ikke inneholder vesentlig feilinformasjon, verken som følge av misligheter eller utilsiktede feil. Ved utarbeidelsen av årsregnskapet må ledelsen ta standpunkt til organisasjonens evne til fortsatt drift og opplyse om forhold av betydning for fortsatt drift. Forutsetningen om fortsatt drift skal legges til grunn for årsregnskapet så lenge det ikke er sannsynlig at virksomheten vil bli avviklet. Revisors oppgaver og plikter ved revisjonen av årsregnskapet Vårt mål er å oppnå betryggende sikkerhet for at årsregnskapet som helhet ikke inneholder vesentlig feilinformasjon, verken som følge av misligheter eller utilsiktede feil, og å avgi en revisjonsberetning som inneholder vår konklusjon. Betryggende sikkerhet er en høy grad av sikkerhet, men ingen garanti for at en revisjon utført i samsvar med lov, forskrift og god revisjonsskikk i Norge, herunder ISA-ene, alltid vil avdekke vesentlig feilinformasjon som eksisterer. Feilinformasjon kan oppstå som følge av misligheter eller utilsiktede feil. Feilinformasjon blir vurdert som vesentlig dersom den enkeltvis eller samlet med rimelighet kan forventes å påvirke økonomiske beslutninger som brukerne foretar basert på årsregnskapet. Deloitte AS and Deloitte Advokatfirma AS are the Norwegian affiliates of Deloitte NWE LLP, a member firm of Deloitte Touche Tohmatsu Limited ("DTTL"), its network of member firms, and their related entities. DTTL and each of its member firms are legally separate and independent entities. DTTL (also referred to as "Deloitte Global") does not provide services to clients. Please see for a more detailed description of DTTL and its member firms. Registrert i Foretaksregisteret Medlemmer av Den norske Revisorforening Organisasjonsnummer: Deloitte AS

53 side 2 Uavhengig revisors beretning Norsk Senter for Informasjonssikring Som del av en revisjon i samsvar med lov, forskrift og god revisjonsskikk i Norge, herunder ISA-ene, utøver vi profesjonelt skjønn og utviser profesjonell skepsis gjennom hele revisjonen. I tillegg: identifiserer og anslår vi risikoen for vesentlig feilinformasjon i årsregnskapet, enten det skyldes misligheter eller utilsiktede feil. Vi utformer og gjennomfører revisjonshandlinger for å håndtere slike risikoer, og innhenter revisjonsbevis som er tilstrekkelig og hensiktsmessig som grunnlag for vår konklusjon. Risikoen for at vesentlig feilinformasjon som følge av misligheter ikke blir avdekket, er høyere enn for feilinformasjon som skyldes utilsiktede feil, siden misligheter kan innebære samarbeid, forfalskning, bevisste utelatelser, uriktige fremstillinger eller overstyring av intern kontroll. opparbeider vi oss en forståelse av den interne kontroll som er relevant for revisjonen, for å utforme revisjonshandlinger som er hensiktsmessige etter omstendighetene, men ikke for å gi uttrykk for en mening om effektiviteten av organisasjonens interne kontroll. evaluerer vi om de anvendte regnskapsprinsippene er hensiktsmessige og om regnskapsestimatene og tilhørende noteopplysninger utarbeidet av ledelsen er rimelige. konkluderer vi på hensiktsmessigheten av ledelsens bruk av fortsatt drift-forutsetningen ved avleggelsen av årsregnskapet, basert på innhentede revisjonsbevis, og hvorvidt det foreligger vesentlig usikkerhet knyttet til hendelser eller forhold som kan skape tvil av betydning om organisasjonens evne til fortsatt drift. Dersom vi konkluderer med at det eksisterer vesentlig usikkerhet, kreves det at vi i revisjonsberetningen henleder oppmerksomheten på tilleggsopplysningene i årsregnskapet, eller, dersom slike tilleggsopplysninger ikke er tilstrekkelige, at vi modifiserer vår konklusjon om årsregnskapet og årsberetningen. Våre konklusjoner er basert på revisjonsbevis innhentet inntil datoen for revisjonsberetningen. Etterfølgende hendelser eller forhold kan imidlertid medføre at organisasjonen ikke fortsetter driften. evaluerer vi den samlede presentasjonen, strukturen og innholdet i årsregnskapet, inkludert tilleggsopplysningene, og hvorvidt årsregnskapet gir uttrykk for de underliggende transaksjonene og hendelsene på en måte som gir et rettvisende bilde. Vi kommuniserer med dem som har overordnet ansvar for styring og kontroll blant annet om det planlagte omfanget av revisjonen og til hvilken tid revisjonsarbeidet skal utføres. Vi utveksler også informasjon om forhold av betydning som vi har avdekket i løpet av revisjonen, herunder om eventuelle svakheter av betydning i den interne kontrollen. Uttalelse om andre lovmessige krav Konklusjon om registrering og dokumentasjon Basert på vår revisjon av årsregnskapet som beskrevet ovenfor, og kontrollhandlinger vi har funnet nødvendig i henhold til internasjonal standard for attestasjonsoppdrag ISAE 3000 Attestasjonsoppdrag som ikke er revisjon eller forenklet revisorkontroll av historisk finansiell informasjon, mener vi at ledelsen har oppfylt sin plikt til å sørge for ordentlig og oversiktlig registrering og dokumentasjon av organisasjonens regnskapsopplysninger i samsvar med lov og god bokføringsskikk i Norge. Gjøvik, 7. mars 2019 Deloitte AS Geir Bergum Pettersson statsautorisert revisor

54

55

56 NORSK SENTER FOR INFORMASJONSSIKRING Norsk senter for informasjonssikring (NorSIS) er en uavhengig aktør som med sin fagkompetanse og sine nettverk bidrar til økt verdiskaping, styrket velferd og en trygg digital hverdag. NorSIS fremmer samarbeid i det vitale tangeringspunktet mellom offentlig privat og frivillig sektor med kunnskap og for kultur. NorSIS står bak følgende nettjenester: norsis.no nettvett.no slettmeg.no idtyveri.info Teknologiveien Gjøvik Org. nr: Telefon: norsis.no post@norsis.no