Fyrirtæki meta netöryggi sitt betra en það reynist
Þegar Fjarskiptastofa tekur út netöryggi mikilvægra innviða lækkar einkunnin yfirleitt töluvert frá því sem fyrirtækin gáfu sér sjálf. Þetta segir Unnur Kristín Sveinbjarnardóttir, sviðsstjóri netöryggissviðs Fjarskiptastofu, í nýjasta þætti hlaðvarpsins Tæknitals. Þar ræðir hún líka innleiðingu NIS2 á Íslandi og nýjar kröfur sem bíða fyrirtækja. Guðmundur Arnar Sigmundsson, netöryggis- og gagnaþróunarstjóri Advania, stýrir þættinum að þessu sinni.
Unnur hefur starfað hjá Fjarskiptastofu í fimmtán ár. Bakgrunnur hennar er í lögfræði og stjórnsýslu og áður starfaði hún í forsætisráðuneytinu og á Alþingi. Netöryggissviðið var stofnað í kjölfar netöryggislaganna árið 2019 og þar starfa nú þrettán sérfræðingar, lögfræðingar, verkfræðingar og tölvunarfræðingar.
Haustið 2025 fengu íslensk stjórnvöld í fyrsta sinn heildstæða mynd af stöðu netöryggis hjá um 80 rekstraraðilum nauðsynlegrar þjónustu, eftir samhæft sjálfsmat sem netöryggissviðið vann fyrir hönd annarra eftirlitsstjórnvalda. Spurð hvort henni líði betur eftir að hafa séð heildarmyndina segir Unnur:
„Mér líður mikið betur að vita hver staðan er.“
Sjálfsmatið segir þó ekki alla söguna. Þegar Fjarskiptastofa fer í dýpri úttektir lækkar einkunnin yfirleitt töluvert frá því sem aðilarnir gáfu sér sjálfir.
„Sjálfsmatið er ákveðinn leiðarvísir, en þú getur ekki treyst því að fullu að allt sé innleitt þó að þú skorir hátt.“
Á grundvelli úttektanna hefur netöryggissviðið gefið út yfir 100 bindandi fyrirmæli um úrbætur. Enginn hefur mótmælt þeim og engar sektir hafa verið lagðar á. Unnur segir samstarfið við aðila á markaði skipta þar mestu. „Ég held að peningunum sé betur varið í að byggja þetta upp heldur en að rífast yfir einstökum atriðum.“
Nú breytir Fjarskiptastofa verklaginu. Í stað þungra og tímafrekra innbrotsprófana hjá einum aðila í einu verður byrjað á skönnun á kerfum margra, og dýpri prófunum beitt þar sem eitthvað kemur í ljós.
„Við fáum betri mynd af öllum í staðinn fyrir djúpa mynd af einum.“
Unnur segir að dreift eftirlit fimm stjórnvalda hafi ekki skilað þeim árangri sem vænst var. Frumvarp í samráðsgátt gerir ráð fyrir að netöryggiseftirlit með flutningum, orku, veitum og heilbrigðisþjónustu færist til Fjarskiptastofu. Þá er innleiðing NIS2 á þingmálaskrá innviðaráðherra. Með henni fjölgar geirum undir eftirliti úr sjö í átján og fyrirtækin bera sjálf ábyrgð á að kanna hvort þau falli undir lögin og skrá sig.
Unnur vekur einnig sérstaka athygli á reglugerð Evrópusambandsins um netöryggiskröfur til vara með stafræna eiginleika (Cyber Resilience Act). Frá 11. desember 2027 verður óheimilt að markaðssetja slíkar vörur á innri markaði Evrópu án samræmisyfirlýsingar. „Þetta er eitthvað sem ég hef áhyggjur af og það er gríðarlega mikilvægt að koma því á framfæri hér.“
Þrátt fyrir krefjandi tíma er Unnur bjartsýn. Hún rifjar upp rannsóknina á Vodafone-árásinni árið 2013, þegar fáir vissu um hvað málið snerist, og segir umræðuna um netöryggi hafa þroskast gríðarlega síðan.
„Það er engin ein stofnun sem tryggir netöryggi heils samfélags. En það verður einhver að draga vagninn og leiða samtalið.“