Riksrevisjonen: – Kan få store konsekvenser for rikets sikkerhet

«Dette er en av de mest alvorlige rapportene Riksrevisjonen har lagt frem. Begrunnelsen er at svakhetene kan få store konsekvenser for rikets sikkerhet», skriver Riksrevisjonen.

Riksrevisor Karl Eirik Schjøtt-Pedersen la tirsdag frem Riksrevisjonens nyeste undersøkelse av Forsvaret. Der har de sett på Forsvarets informasjonssystemer for kommunikasjon og informasjonsutveksling i operasjoner.

Schjøtt-Pedersen er ikke nådig i sin kritikk.

– Informasjonssystemene har mangler, både når det gjelder samvirke og når det gjelder sikkerhet, sa han på pressekonferansen.

– Det betyr at vi er mer utsatt for angrep mot de IKT-systemene som Forsvaret bruker i operasjoner og at vår evne til å handle sammen er svakere enn den burde vært, sier riksrevisoren til Forsvarets forum.

– Og i praksis, hvordan påvirker dette Norges forsvarsevne?

– Dette er funn som viser sårbarhet, som gjør at vi kan være utsatt for hendelser som vil ha betydning for rikets sikkerhet.

Mangler kompetanse

Selve rapporten er sikkerhetsgradert til «konfidensielt», men det er laget en ugradert versjon av det Riksrevisjonen kaller Dokument 3:3.

Det legges vekt på at systemene Forsvaret og sektoren bruker, må kunne fungere sammen. Det avhenger ogmså av en infrastruktur som gjør det mulig å overføre data mellom systemer. Forsvarets kommunikasjonsinfrastruktur består av kjernenett, aksessnett, radionett og mobile og deployerbare kommunikasjonsløsninger, skriver Riksrevisjonen.

Disse må beskyttes mot tilsiktede handlinger som direkte eller indirekte kan skade nasjonale sikkerhetsinteresser, sånn som sabotasje, terror eller spionasje.

I konklusjonen av rapporten står det at:

• Mangler i samvirket mellom Forsvarets kommando- og kontrollinformasjonssystemer kan påvirke Forsvarets operative evne.
• Sårbarheter i sikkerheten i Forsvaretss kommando- og kontrollinformasjonssystemer gir risiko for svekket operativ evne.
• Forsvarsdepartementet har over tid ikke greid å realisere effektive og sikre informasjonssystemer som understøtter Forsvarets operative evne.

– Hvordan forsvaret har endt opp i denne situasjonen?

– Dette er et meget vesentlig spørsmål som jeg må si at jeg også har stilt meg. For det første så kan vi stille spørsmål ved hvordan endte vi opp i denne situasjonen når det gjelder de IKT-systemene vi bruker under operasjoner. Og det vi ser, er at her er det manglende oversikt over egne systemer i Forsvaret. For det andre så er det uklare ansvarsforhold, selv om forsvarsdepartementet mener å ha forsøkt å avklare det, så ser vi at det forholdet med Forsvarsmateriell har uklare ansvarsforhold . Det tredje er at det er svakheter knyttet til styringen på alle nivåer. Og vi ser at det er mangel på kompetanse, også på alle nivåer, sier Schjøtt-Pedersen.

– Når det gjelder ressurser, har man satset for lite på dette?

– Ressurser kan være så mangt, men hvis du spør om økonomi, så er svaret mitt at det er ikke åpenbart at det er økonomi som er viktig her. Men ressurser i betydningen av personell med den kompetansen, det er helt åpenbart at vi ikke har hatt nok av.

Mange systemer

Forsvaret har ikke utfordringer med å løse oppdraget i daglige operasjoner, men manglene som pekes øker risikoen for at effektiviteten blir redusert og de kan få betydning ved økt konfliktnivå dersom tid er av avgjørende betydning, står det i dokumentet.

Forsvaret har dessuten et høyt antall informasjonssystemer med ulike tekniske løsninger. Det bidrar til å gjøre samvirket vanskelig, og er ressurskrevende med tanke på forvaltning og drift, står det i dokumentet. Videre står det at det lenge har vært et mål å kutte ned på antall systemer, men at Forsvaret ikke har lykkes med det i tilstrekkelig grad. Dette begrunnes med at noen av dem ikke kan fjernes uten erstatning og at enkelte fagmiljøer har ønsket å beholde sine løsninger.

Det er etter Riksrevisjonens vurdering sterkt kritikkverdig at Forsvaret i liten grad har greid å begrense antall systemer, når dette i lang tid har vært et mål, står det i dokumentet.

Systemer uten sikkerhetsgodkjenning

I det ugraderte dokumentet gjennomgås en rekke elementer i Forsvarets informasjonssystemer. Ett av elementene beskrives slik:

«Undersøkelsen viser at Forsvaret har tatt i bruk systemer som ikke tilfredsstiller sikkerhetslovens krav til godkjenning. Den viser også at Forsvaret i enkelte tilfeller har latt hensynet til operative behov veie tyngre enn risikoen ved å bruke systemer uten sikkerhetsgodkjenning.»

Sikkerhetslovens krav skal sikre at skjermingsverdig informasjon ikke blir kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig, står det i dokumentet. Forsvarets manglende etterlevelse av sikkerhetslovens krav vil kunne få store konsekvenser både i fred, krise og krig. Riksrevisjonen mener dette er alvorlig.

Riksrevisjonen mener også at det er alvorlig at Forsvarets evne til å oppdage og håndtere digitale angrep er begrenset ved et forhøyet trusselnivå.

Undersøkte ikke E-tjenesten

Riksrevisjonen har undersøkt informasjonssystemene Forsvaret bruker i operasjoner og spurte i sin undersøkelse; er systemene sikre og fungerer de effektivt? Riksrevisjonen skriver at dette er en viktig undersøkelse fordi disse systemene er avgjørende for Forsvarets operative evne og Norges sikkerhet.

Kronikk

Derfor aksepterer vi risikoen ved å gå ut med etterretningsinformasjon

Undersøkelsen har omfattet Forsvaret og Forsvarsmateriell, men ikke Etterretningstjenesten og Forsvarets spesialstyrker.

– Det er alltid det spørsmålet om hvor mye ressurser du har til disposisjon og hva man finner mest naturlig å gå inn på. Vi vurderer det ut fra hvor vi mener risikoen er størst og hvor vi mener de mest vesentlige sakene kan være, sier Schjøtt-Pedersen.

I dokumentet fra Riksrevisjonen har statsråden i Forsvarsdepartementet fått anledning til å komme med sitt svar. Dessuten er det vedlagt et brev fra forsvarsminister Bjørn Arild Gram (Sp).

«Statsråden deler Riksrevisjonens oppfatning av at situasjonen er alvorlig og bemerker at oppfølgingen av tiltakene som er beskrevet i det foregående, vil ha høy prioritet både i Forsvarsdepartementet, Forsvaret og Forsvarsmateriell.»

Vanligvis følger Riksrevisjonen opp sine rapporter etter tre år. Schjøtt-Pedersen sier at situasjonen i Forsvaret er så alvorlig at de vil følge opp dette allerede etter ett til to år.

– Jeg forventer at de da har foretatt de grep som er nødvendig for å komme på rett spor, sier han.