Unntatt offentlighet iht. offentlighetsloven 6 første ledd 1) Redegjørelse, bortfall av ekomnett og tjenester i forbindelse med brannen på Oslo S

Transkript

1 Redegjørelse, bortfall av ekomnett og tjenester i forbindelse med brannen på Oslo S

2 Innhold Sammendrag... 3 Redegjørelse hendelse på Oslo S... 4 Beskrivelse av hendelse... 5 Konsekvens for tilbyderne og deres kunder... 6 Konsekvens for brukere Generelt robusthet og sårbarhet ved viktige ekomanlegg Post- og teletilsynets bruk av sikkerhets og beredskapsmidler over kap Post- og teletilsynet Post 70 Tilskudd til telesikkerhet og beredskap fokus og prioriteringer Faren for gjentagelser av denne type hendelser Er regelverk og eventuelle andre virkemidler tilstrekkelige? Nærmere om sikring av noderom Side 2 av 12

3 Sammendrag Basert på tilbakemeldinger fra tilbyderne, antas det at i hovedsak Internett-kunder samt en rekke telefonkunder og kunder av leide samband (ikke tallfestet) var uten tjenester i ca. 10,5 timer fra Blant disse var det en rekke samfunnsviktige kunder. Bakgrunnen for utfallet var strømstans og at aggregatløsningen som skulle levere nødstrøm til ekomanlegget, ikke var tilkoblet likeretter som igjen skulle forsyne mesteparten av ekomutstyret med 48 V nødstrøm. BaneTele og de andre tilbyderne som har utstyr på Oslo S, iverksatte ulike tiltak for å gjenopprette driften, herunder igangkjøring av mobilt aggregat. På grunn av røykutvikling og giftig gass tok det imidlertid tid før feltmannskapet fikk iverksatt dette. Tilbyderne har de senere årene etablert redundante løsninger på transportnettnivå. Dersom et noderom á la Oslo S faller ut, vil dette normalt ikke ha store konsekvenser for transportnettet. Kunder som tilhører det lokale aksessnettet, vil imidlertid kunne oppleve at tjenesten blir utilgjengelig dersom nødstrømmen uteblir og de ikke har sikret seg med redundante løsninger. Dersom redundante løsninger i transportnettet ikke var etablert, kunne potensielt over 1 million kunder blitt rammet av denne hendelsen. Dette viser at etablert sikring virker, om ikke adekvat siden det var svikt i forhold rundt nødstrømsaggregatet. BaneTele sin håndtering av situasjonen vil følges nærmere opp av Post- og teletilsynet. På nåværende tidspunkt ser det ut til at BaneTele reagerte raskt med tanke på å begrense skadeomfanget. Sett i etterkant av hendelsen er det et forbedringspotensiale innenfor informasjonsdeling med de andre tilbyderne og sluttkundene. BaneTele har også liten erfaring med slike hendelser, noe de kunne ha oppnådd gjennom å øve på håndtering av slike feilsituasjoner. Videre burde BaneTele fulgt bedre opp sin leverandør ROM Eiendom av nødstrøm med tanke på jevnlig testing av nødstrøm. BaneTele er i ferd med å evaluere situasjonen, og Post- og teletilsynet vil være i dialog med BaneTele med tanke på utbedringer på noderom på Oslo S samt andre noderom som BaneTele disponerer. Post- og teletilsynet inngikk avtale med BaneTele første gang i år, hvor det ble avtalt kompensasjon av merkostnader for stilling vedrørende sikkerhets- og beredskapsoppgaver og ledelse, samt en stilling med arbeidsoppgaver innen optimalisering av transportnettet, sikring av noderom og generell styrking av nettet. I tillegg innebærer avtalen styrking av feltberedskapen i region nord. Dette er videreført i avtaler for For 2008 er det i tillegg inngått avtale om innkjøp av 11 stk mobile nødstrømsaggregater som skal iverksettes i krisesituasjoner. Post- og teletilsynet har vært i jevnlig dialog med BaneTele, spesielt i 2007, vedrørende oppfølging av forhold knyttet til sikkerhet og beredskap i infrastrukturen. Post- og teletilsynet har tidligere blant annet spesifikt spurt om testrutiner for aggregater og noderommene, samt hvorvidt utstyret i noderommene, herunder Oslo S, er forsynt med nødstrøm i form av batteribackup og aggregat. BaneTele har da svart positivt på dette. Sannsynligheten for at noderom på Oslo S og andre noderom skal falle ut er generelt liten, men absolutt til stede. Imidlertid er det blitt og vil bli, iverksatt tiltak for å redusere konsekvensen ved slike utfall. Dette gjøres blant annet ved å etablere ytterligere redundante løsninger på forskjellige lokasjoner. Det er imidlertid kostnadskrevende og vanskelig å sikre seg 100% mot svikt i utstyr, og det er derfor nødvendig at samfunnsviktige kunder tenker gjennom sitt behov for sikkerhet og beredskap ved inngåelse av avtaler med tilbydere. Stortingsmelding 17 ( ) påpeker da også at det er vanskelig å sikre alle typer tjenester og infrastrukturer på en slik måte at de oppleves feilfrie uansett hva som måtte hende. Post- og teletilsynet er av den oppfatning at gjeldende regelverk hittil har vært tilstrekkelig for å ivareta det Post- og teletilsynet oppfatter er behovet for sikring, og operatørene selv innser behovet for å etablere tilstrekkelig grad av sikring. Dersom samfunnets behov for sikring etter hvert oppfattes som større enn hva etablert sikring tilsier, vil det imidlertid være behov for å se nærmere på regelverk og andre virkemidler, for eksempel økte bevilgninger via post 70. Side 3 av 12

4 Redegjørelse hendelse på Oslo S Noderommene på Oslo S inneholder vitalt kommunikasjonsutstyr for en rekke tilbydere, herunder BaneTele, Telenor, Ventelo og NextGenTel. Dette kapitlet redegjør for selve hendelsen som satte kommunikasjonsutstyret ut av drift, konsekvenser for brukerne og BaneTele samt andre aktørers håndtering av hendelsen. Beskrivelse av hendelse Ved midnatt oppstod det en kortslutning med påfølgende brann i inntakskabler for strøm på Oslo S. Kortslutning på strømkabel skyldtes trolig graveskade i 11kV høyspentkabel til Oslo S. Brannen spredte seg i kabelgater før den ble slukket etter kort tid. BaneTele leier to noderom inkludert leveranse av nettstrøm, nødstrøm, adgangskontroll og kjøling i andre og tredje etasje på Oslo S av ROM Eiendom. Noderommene er viktige også for andre operatører, både fordi operatørene leier telelosji hos BaneTele og fordi de som kjøper transmisjon av BaneTele har sammenkoblingspunkt på Oslo S. I følge BaneTele er ROM Eiendom ansvarlig for drift og vedlikehold av nødstrøm, adgangskontroll og kjøling. BaneTele hevder at de tidligere har fått oppgitt av ROM Eiendom at ekomutstyret er tilkoblet 2 nødstrømsaggregater (koblet i parallell) for leveranse av 230 V vekselspenning. Aggregatløsningen leverte også 230 V til en transformator, likeretter og batteribackup, og likeretteren forsynte ekomutstyr med 48V. Undersøkelser foretatt av BaneTele i etterkant av hendelsen viser at det aggregatløsningen ikke var tilkoblet likeretter som leverer 48V likespenning til utstyret som krever 48V 1. Strømbruddet medførte at nettelementer i noderommene på Oslo S gikk over på batteribackup, som de skulle. Imidlertid var det som nevnt ovenfor, ikke kobling mellom likeretter som leverer 48 V og transformator samt aggregat. Dette medførte at utstyret som går på 230V fikk strøm fra aggregatet, mens det utstyret som går på 48V ikke fikk strøm. Dette førte igjen til at egen batteribackup for 48V utstyr gikk tom etter 2 timer, med konsekvens at nettelementer i rommene falt ut og kundetrafikk ble berørt. BaneTele NOC registrerte derfor alarm ved bortfall av kraft rundt kl 0200, og iverksatte umiddelbar feilsøking og utkalling av feltteknikere. De rapporterte brann og full utrykning fra nødetater, i tillegg til full evakuering av Oslo S. BaneTeles beredskapsplan ble på bakgrunn av denne hendelsen iverksatt, og kriseledelse etablert. Lokalt på Oslo S ble det etablert lokal teknisk skadestedsledelse i samarbeid med byggeier. Feltteknikere og annet hjelpemannskap fikk ikke slippe inn på Oslo S før ca kl 0600, etter at brannen var slukket og området ble regnet som sikkert for mennesker. Årsaken til dette er at nødetatene alltid har HMS som viktigste prioritering. Bygg og noderom var også fylt av giftig gass fra brannen, samt halongass fra automatiske brannslukkingssystemer. Da det ble klart at strømkabler fra netteier ikke kunne repareres raskt og nødstrømmen for 48V feilet, valgte BaneTele å installere og sette i drift mobilt nødstrømsaggregat. Mobile nødstrømsaggregater var tilkoblet og i drift ca. kl. 1130, og kundetrafikken kom gradvis opp igjen etter hvert som de enkelte nettelementene ble koblet inn. I følge BaneTele fikk alle deres sluttkunder kontinuerlig fungerende ekomtjenester i tidsrommet mellom 1130 og Øvrig infrastruktur for BaneTeles transportnett var ikke skadet i brannen. På ettermiddagen ble strømkabler permanent reparert av netteier. For å kunne få i gang togtrafikk måtte kraftforsyningssystemet normaliseres. For BaneTele medførte dette et kontrollert brudd ca. kl , for å koble bort nødstrømsaggregat. Dette ble varslet kunder som kritisk feilretting. 1 Ett av aggregatene var også tatt ut av drift, men i følge BaneTele skal ikke dette ha noe å si for leveranse av nødstrøm siden aggregatene er koblet i parallell, og ett av aggregatene er tilstrekkelig for å drifte utstyret. Dette kunne imidlertid vært et problem dersom det ene aggregatet sviktet. Side 4 av 12

5 BaneTele sitt telefonisystem og web ble fortløpende oppdatert med ny informasjon, i tillegg til at det ble sendt ut pressemeldinger. Konsekvens for tilbyderne og deres kunder BaneTele BaneTeles bredbåndstrafikk (internett, telefoni og datakommunikasjon) ble utilgjengelig for en del kunder, hovedsakelig i Oslo området. Svikt i tjenester for kunder: Hendelsen medførte brudd på samband eller redusert kapasitet ved redundante løsninger. BaneTele hadde 490 kunder og sluttkunder som var berørt av denne feilen. Flere av disse er operatørkunder som igjen har egne sluttkunder. Noen av operatørkundene har terminert sine transmisjonslinjer i enkle nettelementer i noderommet og ble derfor hardt berørt. Samfunnsviktige kunder berørt?: En rekke samfunnsviktige kunder ble berørt av hendelsen. De viktigste er Jernbaneverket (heretter JBV), EDB Business Partner og andre operatører i liste under. Politiets materiell- og datatjeneste (PMDT) er sluttkunde av EDB Business Partner. Disse kundene ble varslet i henhold til BaneTele sine retningslinjer (web, tlf og mail). Kommunikasjon til togfremføring ble berørt (JBV). BaneTele sine kunder som ble rammet av hendelse: Broadnet Hafslund Telecom (Priority) Homebase Initility IPOnly JBV KPNTelecom Medianett Network Computing System NextGenTel Romerike Bredbånd TDC/Song Telenor Troms kraft Umeo Ventelo ComNet Ventelo/Catch NC-Spectrum StarNordic(tidl Five Star Living) Skadereduserende tiltak: Mobilt nødstrømsaggregat ble bestilt av BaneTele for å få opp nettelementer og berørte kundesamband. Det var kontakt direkte med Telenor og andre losjikunder angående lokal teknisk skadestedsledelse og nødstrømsetablering. BaneTele sine kjernenettelementer ble prioritert fremfor telelosjikunder ved innkobling av reservekraft (rekkefølge), og det var felles teknisk skadestedsledelse med JBV og ROM eiendom. I utgangspunktet er det ROM Eiendom sitt ansvar å påse at nødstrøm fungerer tilfredsstillende, dersom de slik BaneTele hevder er ansvarlig for å levere denne tjenesten. Post- og teletilsynet mener imidlertid det er nødvendig at kjøper av slike tjenester følger opp sine leverandører og Side 5 av 12

6 faktisk påser at aggregater og annet blir testet jevnlig med last, slik god praksis tilsier. Dette har imidlertid ikke blitt fulgt godt nok opp av BaneTele i forbindelse med utstyret på Oslo S. Det bemerkes at BaneTele ved tidligere dialog i 2007 overfor Post- og teletilsynet har bekreftet at utstyret på Oslo S var tilkoblet nødstrømsaggregat og at aggregatene på noderommene til BaneTele jevnlig ble testet (1 gang pr mnd). Telenor Utfallet på Oslo S førte til brudd i Telenors tekniske funksjoner som var innplassert i teknisk rom tilhørende BaneTele på Oslo S, samt strømbortfall for 5 mobilbasestasjoner i GSM-nettet. Strøm til utstyr i det tekniske rommet er del av den leveranse Telenor mottar fra Bane Tele. For Telenor var konsekvensen begrenset til terminerende trafikk på Oslo S med andre ord lokalt til dette området. I tillegg ble leide linjer/samband berørt. Ingen kritiske samband eller samfunnsviktige kunder ble berørt. Totalt 14 kunder med til sammen 76 samband var berørt. 5 basestasjoner i Telenors mobilnett mistet strøm. Som følge av god overlappende basestasjonsdekning, førte dette kun til redusert kapasitet i det lokale geografisk avgrensede området. Tiltak iverksatt for å redusere konsekvensene av skaden etter at den var detektert. Telenor opplevde ikke at BaneTele tok kontakt for å informere om hendelsen. Telenor tok derfor kontakt med BaneTele. Aggregat skulle anskaffes for å gjenopprette strømforsyning til rommet, og Telenor ble lovet kapasitet til sitt utstyr. Telenor kalte ut entreprenør og etablerte sin egen skadestedsledelse. NetCom NetCom leier linjer fra Telenor, og ble berørt med utfall på 18 samband. Som følge av dette, falt 6 av NetCom s basestasjoner rundt Oslo S ut som følge av brudd i samband leid av Telenor, i perioden Dette dreide seg om basestasjoner med ulik funksjon. Noen var retningsbestemte innover i tunneler, andre dekket området rundt Oslo S. NetCom antar at det i noen områder ble registrert manglende dekning for mobilabonnenter, mens i andre områder var det overlappende dekning fra tilstøtende basestasjoner og utfallet var derfor ikke merkbart for kundene. Ventelo De direkte konsekvensene for Ventelos del innebar strømutfall for en del IP-utstyr plassert på Oslo S som forsynes med 48V. En del annet utstyr bevarte sin 230V strømforsyning, men mistet forbindelsen til omverden på grunn av utfallet av nettelementene som går på 48V. Dette medførte blant annet brudd for kunder på en Ethernet-ring i Oslo. Bacbone-samband fra Oslo til Tønsberg var nede i flere perioder. Dette medførte redusert kapasitet til kunder i Vestfold. Ventelo har IP-terminerte kunder direkte på Oslo S som ble påvirket av hendelsen, og dette er en blanding av privat- og bedriftskunder. Totalt sett ga utfallet brudd for ca Internett- og VPNkunder i Oslo, Buskerud og Østfold fra kl 0150 til cirka Cirka 50 fiberkunder hadde utfall fra kl 0150 til cirka kl I tillegg til brudd pga. dette strømutfallet hadde BaneTele et annet fiberbrudd i Trondheim på linje som Ventelo leier. Denne doble feilen ga utfall for betydelige deler av Ventelo sin Internett/VPNkundemasse i hele landet fra kl 1701 til (Dette var perioden BaneTele brukte til å gå fra aggregat-drift til vanlig drift). Tiltak iverksatt for å redusere konsekvensene av skaden etter at den var detektert. Berørte parter fikk informasjon om hendelsen. I tillegg fikk Ventelos kundesupport informasjon som var nyttig i forhold til videre håndtering av supporthenvendelser. Ventelo har 230V-48V likerettere (aggregater) i beredskap og sendte mannskap til Oslo S for å koble disse til sitt mest nettkritiske utstyr. Arbeidet ble påbegynt 0800, ble noe forsinket pga. vanskeligheter med å få tilgang til utstyret, og utstyret var oppe igjen klokken Side 6 av 12

7 NextGenTel NextGenTel har IP-utstyr plassert i telelosji-rom hos BaneTele på Oslo S. Dette utstyret var fullstendig uten strøm i perioden kl til kl Kunder i Østfold, Mjøsregionen og de som terminerer direkte på OsloS mistet internett-forbindelse med tilhørende tjenester. Totalt var ca kunder berørt. Butikkdatasystemet for 1 kunde falt ut pga et routingproblem. Problemet berørte ca 800 butikker i Norge og Sverige. Tiltak iverksatt for å redusere skadene: Det ble umiddelbart fra NextGenTels side startet arbeid med å opprette forbindelse for kundene. Østfold (ca kunder) hadde full forbindelse kl Mjøsregionen (ca kunder) fikk forbindelse med sterkt redusert kapasitet fra kl.0915 til kl Problemet med butikkdatasystemet var løst kl.1030 Det bør også nevnes at NextGenTel er i ferd med å gjennomføre en vesentlig utbygging i sitt nett som vil gi økt redundans. Det allerede planlagte arbeidet for å gi alle regioner på Østlandet redundant terminering, ble fullført 29. november fra NextGenTel sin side. Det gjenstår for BaneTele å få rutet disse sambandene utenom OsloS. Tele2 Tele2 har ikke noe eget utstyr plassert på Oslo S, men leier i det vesentligste sine transmisjonssamband fra BaneTele, og ble derfor rammet når disse falt ut. Hendelsen førte til at to av sambandene Tele2 leier, Oslo-Drammen og Oslo-Sarpsborg, ble brutt. De direkte konsekvensene var at 325 sluttkunder i Østfold mistet sin ADSL forbindelse. Utover dette mistet Tele2 bare en av to redundante samband, og hendelsen fikk ingen merkbare konsekvenser. Tele2 oppgir ingen egne skadereduserende tiltak, da de ikke eide utstyr på Oslo S. Konsekvens for brukere Hendelsen på Oslo S medførte først og fremst utfall knyttet til bredbånd og i noen utstrekning enkelte mobilbasestasjoner i Oslo. I hovedsak var Internett-kunder samt en rekke telefonkunder og leide samband (ikke tallfestet) uten tjenester i ca. 10,5 timer fra I henhold til god praksis var utstyret og transmisjonssamband i stor utstrekning redundant, noe som reduserer konsekvensen dersom et noderom skulle bli ute av funksjon. Kort oppsummert er det etablert redundans på transportnett-nivå og mindre grad av redundans på aksessnett-nivå. Dersom denne redundansen ikke hadde vært implementert, kunne potensielt 1 million sluttkunder blitt berørt. Post- og teletilsynet anser derfor at ulike sikringstiltak fungerte som forventet med unntak av forholdene vedrørende nødstrømsaggregat på Oslo S, jfr delkapittel BaneTele. Enkelte kunder, herunder også JBV, har inngått avtale med BaneTele om definerte krav til oppetid og kvalitet på leveransene. Det er på det rene at hendelsen medførte et brudd på disse avtalene. Det er i denne sammenhengen verdt å bemerke at samfunnsviktige kunder generelt har et ansvar for å sikre seg i henhold til eget sikringsbehov. Flere samfunnsviktige kunder, herunder Oslo Børs, har sikret seg med redundante løsninger, men det var også flere samfunnsviktige kunder som ikke hadde gjort dette, og de opplevde derfor totalt utfall av tjenesten. Det synes i etterkant av hendelsen at tilbyderne som kjøper tjenester av BaneTele, ikke synes de mottok god informasjon om hendelsen. BaneTele gikk ut med informasjon via hjemmesider, mail og telefon samt via pressemeldinger. Side 7 av 12

8 Generelt robusthet og sårbarhet ved viktige ekomanlegg Post- og teletilsynet har i 2007 gjennomført omfattende kartlegging av infrastruktur samt eksisterende sikkerhet og beredskap hos ekom-operatørene med vesentlig markedsandel i Norge. Kartleggingen har vært rettet inn mot 6 ulike ekom-operatører 2, med fire hovedkategorier ekomtjenester: Transportnett og overføringstjenester Fastnett-telefoni (PSTN/ISDN) Mobiltelefoni Internett (først og fremst Internettaksess men også bredbåndstelefoni) Et av resultatene fra analysen er en rangert oversikt over de 850 antatt viktigste ekom-lokasjonene i Norge. Det som kan trekkes ut av denne rangeringen er at det er lokasjoner som skiller seg ut som meget viktige, i den forstand at spesielt mye ekomutstyr knyttet til transport og kritisk infrastruktur er plassert på disse lokasjonene. Noderommet på Oslo S er blant disse. Nevnte ekomutstyr er imidlertid dublert på andre fysiske lokasjoner, eller inngår i en ringstruktur som medfører at samfunnet er mindre sårbart sammenliknet med at noderommet ellers ville representert et såkalt Single-point-of-failure (SPOF). Det er imidlertid en del aksessutstyr på disse noderommene også, og disse vil oppleve utfall av tjeneste dersom strømmen faller bort og nødstrømssikringen ikke fungerer, med unntak for de kunder som har sikret seg ved å inngå avtale med tilbyder vedrørende robusthet. Det er i følge Post- og teletilsynets statistikk rundt 250 aktører som tilbyr tjenester innenfor ekomsektoren i dag. De fleste av disse kjøper kapasitet og/eller tjenester fra de 6 8 største tilbyderne med infrastruktur i Norge. Flere av aktørene har etablert prosesser for arbeidet med sikkerhet og beredskap, og enkelte har delvis eller helt implementert anerkjente standarder som ITIL og BS7799, noe som bidrar en helhetlig tilnærming til kvalitet, sikkerhet og beredskap. Det er en klar tendens blant tilbyderne at de ved utbygginger i nettet planlegger med utstrakt grad av redundans, noe som nettopp bidrar til å redusere sårbarheten i forhold til om ett noderom skulle falle ut av produksjon. Gode overvåkingssystemer bidrar også til å reagere raskt dersom en feilsituasjon inntreffer. Post- og teletilsynets bruk av sikkerhets og beredskapsmidler over kap Post- og teletilsynet Post 70 Tilskudd til telesikkerhet og beredskap fokus og prioriteringer Denne budsjettposten er en oppfølging av de tidligere SSO-avtalene mellom Samferdselsdepartementet og Telenor ASA. Gjennom avtalene skulle Telenor sikre samfunnets behov for ekomtjenester i krise- og krigssituasjoner ved å innføre økt beredskap og å gjennomføre sikringstiltak for telesektoren. Som en følge av blant annet avmonopoliseringen av bransjen og ekomloven av 2003, ble Post 70 opprettet for å dekke merkostnader hos ekomtilbyderne for sikkerhets og beredskapstiltak som er utover ordinære kommersielle behov. Post- og teletilsynet hadde allerede i 2005 budsjettansvar for tilskudd til samfunnspålagte oppgaver vedrørende totalforsvaret (Kap 1360 Post 71), og har siden 2006 vært tilskuddsforvalter for Post 70 som er øremerket telesikkerhet og beredskap. I 2005 valgte Post- og teletilsynet av historiske og budsjettmessige hensyn å videreføre den eksisterende ordningen med Telenor (sikkerhetsklareringer, øvelser, beredskapsplaner, samarbeid med kommunale, fylkeskommunale og statlige myndigheter m.v.), sikring av videre drift av fjellanlegg og bunkersanlegg samt vedlikehold og drift av allerede anskaffet beredskapsmateriell. Tiltakene berørte i hovedsak tradisjonell infrastruktur for fastnettelefoni. Fra og med 2006 og frem til i dag er områdene utvidet til også å omfatte infrastruktur for mobiltelefoni og internett. Dette har medført at tiltakene i større grad har gått ut på pålagte 2 BaneTele, NetCom, Ventelo, Tele2, NextGenTel og Telenor delt inn i 4 ulike forretningsområder med tilhørende infrastrukturer Side 8 av 12

9 beredskapsforpliktelser og administrativt arbeid hos tilbyderne (sikkerhetsklareringer, øvelser, beredskapsplaner og lignende), anskaffelser av beredskapsutstyr (eksempelvis nødstrømsaggregater, transportable master, radiolinjeutstyr og lignende) samt ulike tiltak for å sikre økt robusthet i infrastrukturen (ekstra servere, flere regionale IX-punkter mv.). Post- og teletilsynet valgte i tillegg å utvide antall tilbydere som ble pålagt beredskapsforpliktelser og som således også ble omfattet av ordningen om kompensasjon av merkostnader. Post- og teletilsynet har nå avtaler med Telenor ASA, NetCom, BaneTele og USIT. I 2008 vil Post- og teletilsynet videreføre ordningen med anskaffelse av beredskapsutstyr (herunder eksempelvis nødstrømsaggregater) til utvalgte tilbydere og pålegge disse administrative beredskapsforpliktelser. Samtidig vil Post- og teletilsynet vurdere løpende hvilken infrastruktur, tiltak og tilbydere som tilskuddene fra Post 70 vil berøre. Imidlertid vil fokuset i økt grad dreies over på kritisk mobil- og internett infrastruktur. Post- og teletilsynet inngikk avtale med BaneTele første gang i april 2007, hvor det ble avtalt kompensasjon for merkostnader for stilling vedrørende sikkerhets- og beredskapsoppgaver og ledelse, samt en stilling med arbeidsoppgaver innen optimalisering av bredbåndsnettet, sikring av noderom og generell styrking av nettet. I tillegg innebærer avtalen styrking av feltberedskapen i region nord. Dette er videreført i avtalene for For 2008 er det i tillegg inngått avtale om innkjøp av 11 stk mobile nødstrømsaggregater som skal iverksettes i krisesituasjoner. Post- og teletilsynet har vært i jevnlig dialog med BaneTele, spesielt i 2007, vedrørende oppfølging av forhold knyttet til sikkerhet og beredskap i infrastrukturen. Faren for gjentagelser av denne type hendelser Uansett hvor mye sikringstiltak som etableres i et enkelt noderom, vil det alltid være en viss sannsynlighet for at noderommet faller ut som følge av svikt i nød-/reserveutstyr. Tilbyderne har derfor i de siste årene bygd inn redundans som er fordelt på flere lokasjoner (for eksempel ringstruktur på transportnett-nivå). Dette medfører at samfunnet ikke er så avhengig av ett enkelt noderom, og det er først og fremst dette som skaper robusthet i ekominfrastrukturen. BaneTele sin håndtering av situasjonen vil følges nærmere opp av Post- og teletilsynet. På nåværende tidspunkt ser det ut til at BaneTele reagerte raskt med tanke på å begrense skadeomfanget. Sett i etterkant av hendelsen, er det et forbedringspotensiale innenfor informasjonsdeling med de andre tilbyderne og sluttkundene. BaneTele har også liten erfaring med slike hendelser, noe de kunne ha fått gjennom å øve på slike situasjoner. Videre burde BaneTele fulgt bedre opp sin leverandør ROM Eiendom av nødstrøm med tanke på jevnlig testing av dette. Det er videre Post- og teletilsynets mening at BaneTele skulle ha påsett at likeretter er tilkoblet nødstrømsaggregatet, gjennom jevnlig inspeksjon og testing. BaneTele er i ferd med å evaluere situasjonen, og Post- og teletilsynet vil være i dialog med tanke på utbedringer på noderom Oslo S samt andre noderom som BaneTele disponerer. I forhold til noderommet på Oslo S, vil tiltaket derfor være å gjøre en risiko- og sårbarhetsanalyse for å avdekke hvorvidt det fortsatt er kritisk infrastruktur som ikke har redundante løsninger på alternativ lokasjon, og iverksette eventuelle tiltak som følge av dette. Videre vil Post- og teletilsynet påse at feilen vedrørene forsyning av nødstrøm, blir utbedret. Det vil også være relevant å se nærmere på de testrutinene som BaneTele har og hvorvidt disse ble etterlevd for noderommet på Oslo S. I tillegg er det nødvendig med en gjennomgang på andre noderom hos BaneTele for å påse at situasjonen er tilfredsstillende for disse, samt vurdering av rutinene for oppfølging av noderom hos BaneTele. Post- og teletilsynet anser det som svært kostnadskrevende å sikre hvert enkelt noderom slik at sannsynligheten for utfall blir svært liten. Etter Post- og teletilsynets mening er følgende 3 sikringstiltak de mest effektive: Etablering av redundante løsninger lokalisert på fysisk adskilte noderom Side 9 av 12

10 Tilstrekkelig fysisk sikring av hvert enkelt noderom (sikring basert på det som til enhver tid anses som beste praksis/norm) De kunder som har behov for ekstra sikring utover normalbehovet, må inngå avtaler med tilbyder som dekker dette behovet, eventuelt sikre seg med redundans i form av tjenester som benytter separate/atskilte infrastrukturer. Post- og teletilsynet ser en trend i at tilbyderne bygger inn økt redundanse i infrastrukturen, og derved redusering av såkalte Single-point-of-failures (SPOF), som for eksempel hos Telenor Mobil og NextGenTel. Sistnevnte hadde senest i fjor en SPOF plassert på Oslo S med mulige konsekvenser for flere hundre tusen bredbåndskunder plassert på Oslo S dersom utfall skulle inntreffe. På grunn av siste års utbygging av økt sikring fikk ikke denne hendelsen så store konsekvenser som den ellers kunne fått for disse kundene. Post- og teletilsynet ser ofte at det er en kombinasjon av minst to ulike uheldige hendelser som skaper større utfall. Sannsynligheten for to usannsynlige hendelser i to uavhengige systemer er meget lav, men får ofte store konsekvenser når det først inntreffer. De samfunnsviktige kundene har også et medansvar for å sikre seg i henhold til sine behov. Det er i dag et samsvar mellom pris på tjeneste og kvaliteten samt robustheten på tjenesten. Post- og teletilsynet mener dette er fornuftig, siden dette skaper harmoni mellom de ulike behovene abonnentene har og prisen de må betale for dette. Det hender fra tid til annen at teknisk utstyr feiler og skaper utfall for et antall abonnenter. Virkemidler for å redusere sannsynlighet for utfall vil blant annet være å etablere større grad av redundans i utstyr, men det vil alltid være en viss sannsynlighet for utfall. Det er derfor vesentlig at samfunnsviktige kunder etablerer alternative løsninger for kommunikasjon i tilfelle ordinær tjeneste skulle svikte. Dette innebærer for eksempel at kunder som har økt behov for sikkerhet, bør inngå avtale med tilbyder om økte krav til kvalitet og oppetid. I tillegg bør det for kritiske funksjoner hos samfunnsviktige aktører, vurderes hvorvidt det bør inngås en separat avtale med annen tilbyder for å sikre leveranse uansett hva som måtte skje med leveransene fra den første tilbyderen. Vurderingen bør gjøres basert på kundens egen risiko- og sårbarhetsanalyse, hvor kunden selv må vurdere hvilken risiko som aksepteres. Dette kundeansvaret er blant annet påpekt i FFI s rapport Sikkerhet og sårbarhet i elektroniske samfunnsinfrastrukturer refleksjoner rundt regulering og tiltak (utdrag): Et myndighetsengasjement på området rammebetingelser og tilrettelegging kan være å bidra til at relevant informasjon om sikkerhet flyter mellom operatørene og deres kunder, og at det etableres hensiktsmessige kundeavtaler dem i mellom. Herunder kommer også å utvikle bredt anlagt informasjon om sikkerhet til ulike typer kundegrupper, f eks i form av best practices. Hensikten med dette er at en kunde i størst mulig grad skal vite om hvilken grad av sikkerhet en tjeneste innehar. Dette for å kunne forstå den risikoøkning egen virksomhet utsettes for som følge av anvendelsen av tjenesten. Det er svært viktig at det offentlige som kunde blir foregangsvirksomheter på dette området. Inntrykk samlet inn gjennom BAS-prosjektene over tid har vist at offentlige kunder ofte har vært svake i denne sammenheng. Mange av disse har en holdning om at dette er sektoransvaret til et annet offentlig organ. EKOM-tjenester og ulike IKTbaserte infrastrukturer skal som følge av dette sektoransvaret i utgangspunktet være robuste, og er dermed ikke vår sak. Da bestiller man de tjenestene som er rimeligst, uten hensyn til sikkerhet. I Nasjonale retningslinjer for å styrke informasjonssikkerheten , står følgende:...alle virksomheter som eier samfunnskritisk IKT-infrastruktur må innføre beskyttelsestiltak og etablere reserveløsninger som sikrer opprettholdelse av drift og leveranser. Beredskapen for håndtering av brudd i samfunnskritisk IKT-infrastruktur må styrkes både hos tilbydere og brukere Overnevnte innebærer at både tilbyder og bruker må ta et ansvar for å sikre at det er et sikkerhetsog robusthetsnivå som samsvarer med brukers behov. Side 10 av 12

11 Er regelverk og eventuelle andre virkemidler tilstrekkelige? Regulering av ekomsektoren og markedet har medført et stort antall ekomaktører som tilbyr et stort mangfold av tjenester. Denne markedssituasjonen har også medført flere redundante infrastrukturer og en situasjon der kundene i stor grad selv velger hvilke typer tjenester og hvilken kvalitet og robusthet som ønskes. Dette forutsetter at det tilbys en grunnleggende infrastruktur (transportnett) som er meget robust, og at tilstrekkelig grad av sikkerhet og robusthet ivaretas gjennom avtale mellom tilbyder og kjøper av tjenestene. Forutsatt dette, vil det alltid være et spørsmål om hvorvidt viktige noderom og forsåvidt aksessnettet bør være sikret bedre for å imøtekomme samfunnets behov. Pr idag er ikke tilbyderne forpliktet til å levere tjenester i henhold til kvalitetskrav som en bestemt oppetid, med mindre det er inngått avtale om dette mellom kunde og tilbyder. Post- og teletilsynet erfarer at behovet for robusthet i ekom infrastruktur varierer blant ulike brukergrupper, men trenden er en økende forventning i samfunnet til at tilbudte tjenester fungerer 100% til enhver tid. Slik sett er samfunnet, og derved politisk ledelse, premissgivende for ambisjonsnivået vedrørende sikkerhet og beredskap innenfor ekom infrastrukturen. Stortingsmelding 17 ( ) påpeker da også at det er vanskelig å sikre alle typer tjenester og infrastrukturer på en slik måte at de oppleves feilfrie uansett hva som måtte hende. Post- og teletilsynet er av den oppfatning at gjeldende regelverk hittil har vært tilstrekkelig for å imøtekomme det Post- og teletilsynet oppfatter er samfunnets behov for sikring, men mest fordi tilbyderne selv innser behovet for å etablere tilstrekkelig grad av sikring. Dersom samfunnets behov for sikring etter hvert oppfattes som større enn hva etablert sikring tilsier, vil det imidlertid være behov for å se nærmere på regelverk, praktisering av dette og andre virkemidler, for eksempel økte bevilgninger via post 70. Nærmere om sikring av noderom I sin kartleggingsprosess har Post- og teletilsynet gjennomført en undersøkelse av operatørenes generelle sikring av noderom, med stedlig tilsyn på enkelte noderom. Følgende er lagt til grunn i undersøkelsen: Redundans: Redundans er kartlagt både i form av fysiske punkter og for transmisjonsforbindelsene mellom punktene. For at et nettelement skal kunne regnes som fullt ut redundant må det både være dublert på to geografiske lokasjoner, nettelementer på nivået under må ha transmisjon til to eller flere av denne type nettelementer, og det må være lastdeling på kapasiteten. Fysisk sikring: De fleste krav stilles i henhold til klassifisering av anlegg hos de ulike operatørene. Fysisk sikring av lokasjoner kan måles på ulike måter, og Post- og teletilsynet har kommet fram til følgende kriterier som for så vidt går igjen hos alle operatørene: - Innbrudd (Krav til vegger/dører/vinduer, deteksjon og varsling) - Kabelføringer (Krav til dybde, tildekning eventuelt separate innføringer) - Brann (Krav til vegger/dører/vinduer, deteksjon, automatisk slukking og varsling) - Vanninntregning (Krav til vegger/dører/vinduer, deteksjon og varsling) - Temperatur (Redundant kjøling, deteksjon og varsling) - Strømforsyning og reservekraft (Overvåkning, redundant innføring i bygg, batteribackup, aggregat, mengde drivstoff) - Lynavledning (Anlegg spesifisert med < år/lyn) - Eksplosjon (Krav til vegger/dører/vinduer) - EMP sikring - ABCR/fortifikatorisk sikring Reservekraft: Hvorvidt det er etablert batteribackup og nødstrøm på kritisk nettutstyr, og om det er etablert redundante løsninger (for eksempel gjennom dublering av ekomutstyr og ringstruktur). I tillegg hvorvidt nødstrømsløsningen testes jevnlig og hvorvidt det er alternativ innmating av strøm gjennom separate strømføringer inn til noderommet. Feltstyrke og reservemateriell: Dette punktet måler på mange måter beredskapen, hva operatøren har i bakhånd hvis en større hendelse skulle inntreffe. Spørsmål som det er forsøkt å finne svar på er: Side 11 av 12

12 - Vakt/overvåkning? Er det døgnkontinuerlig, og foregår det hjemmefra eller fra driftsenter? - Antall nettelementer på lager? Er det basert på oppkjøpsavtale eller eget lager? Er det enkeltdeler eller hele nettelementer i container? - Hva finnes av transportabel reservekraft? - Lovede rettetider, feks. ifølge SLA eller definert i forhold til kjernenett/viktige nettelementer? - Egen feltstyrke eller innleide entreprenører? Indikasjon på antall og geografisk plassering. - Varierer beredskapen og rettetiden i forkskjellige deler av landet? Sikkerhet og beredskap vurdert i forhold til viktighet - generelt Ovennevnte viste at de viktigste anleggene er godt sikret av tilbyderne på eget initativ, og noderommene er i stor utstrekning i overensstemmelse med ovennevnte punkter. Tilbyderne har sågar sikret enkelte noderom med for eksempel separat alternativ strømføring på annen kurs inn til noderommet. Side 12 av 12