Telefonen som endret alt
Det var lørdag ettermiddag da kommunedirektør Ragnar Christoffersen fikk telefonen fra kommunens beredskapsapparat.
Det var registrert unormal aktivitet i datasystemene. Alt tydet på at kommunen var utsatt for et pågående dataangrep, og beslutningen ble tatt om å stenge ned systemene for å få kontroll.
– Ganske umiddelbart forstår du at dette har omfattende konsekvenser, sier Christoffersen.
Lørenskog er blant Norges største kommuner, med rundt 52.000 innbyggere og nærmere 4.000 ansatte. Som andre norske kommuner er organisasjonen blitt stadig mer digitalisert. Det gir mer effektive tjenester, men gjør også kommunen sårbar når systemene plutselig ikke er tilgjengelige.
De første tankene gikk derfor til tjenestene der konsekvensene kunne bli mest alvorlige.
– Umiddelbart handlet det om liv og helse, og særlig helse og omsorg og hjemmesykepleien. Der ligger pasientopplysninger, arbeidslister og informasjon om medisiner i de digitale systemene.
Hjemmesykepleien bruker håndholdte enheter som en digital arbeidsbok. Når denne forsvinner, mister de ansatte oversikten over hvilke innbyggere de skal besøke, hva de skal gjøre, og hvilke medisiner den enkelte skal ha.
En krise uten fasit
Kommunen hadde øvd på kriser tidligere. Likevel var virkeligheten annerledes enn øvelsene.
På en øvelse er deltakerne gjerne samlet i et møterom. Hendelsen er avgrenset, alle relevante personer er tilgjengelige, og scenarioet avsluttes etter noen timer.
Dataangrepet skjedde på en lørdag. Ikke alle i kriseledelsen var tilgjengelige, og ingen visste hvor omfattende angrepet var eller hvor lenge situasjonen ville vare.
– Man går på en slags autopilot, fordi dette har vi øvd på. Men beslutningene må tas på et veldig usikkert grunnlag. Det følger ikke med noen fasit, sier Christoffersen.
Skulle kommunen stenge alt ned, med de store konsekvensene det ville få for tjenestene? Eller kunne systemene holdes i gang uten at angrepet spredte seg videre?
For Lørenskog viste nedstengningen seg å være riktig. Men beslutningen måtte tas før kommunen kjente hele skadebildet.
– Man må prøve å holde hodet kaldt, skaffe seg oversikt og ta så gode beslutninger som mulig.
Hele kommunen ble rammet
Kommunens digitale løsninger støtter langt mer enn administrativt kontorarbeid. Hjemmetjeneste, sykehjem, skole, barnehage, skolefritidsordning, barnevern, byggesak, vann, renovasjon og Nav er bare noen av områdene som er avhengige av fungerende systemer.
– Det var rubbel og bit, sier kommunikasjonssjef Kristin Klokkervold.
Også de vanlige kommunikasjonskanalene ble berørt. Teams, Outlook og andre kontorstøttesystemer var i perioder utilgjengelige.
Angrepet traff dessuten på et særlig krevende tidspunkt. Kommunen var midt i et heldigitalisert barnehageopptak. Tidskritiske nødhjelpsutbetalinger fra Nav skulle gjennomføres. Rundt 80 familier ventet på ferdigattester knyttet til bolig, og avgangselever skulle gjennomføre eksamen.
– Du kan øve på forhånd, men du kan ikke planlegge for alle eventualiteter. Tidspunktet i måneden og året har også stor betydning, sier Christoffersen.
Kommunen sto blant annet overfor et vanskelig valg mellom å bruke ressurser på å få gjennomført eksamen eller å prioritere systemene innen helse og omsorg.
Tirsdagen før eksamen satte kommunedirektøren en grense.
– Jeg sa at dette var siste forsøk. Hvis vi ikke fikk systemet opp, skulle vi avlyse eksamen og flytte ressursene til helse og omsorg.
Systemene var klare onsdag morgen. Eksamen kunne gjennomføres.
Et uskyldig søk ble inngangen
Angrepet startet flere uker tidligere.
Kommunen var i ferd med å oppgradere sikkerheten på flere tusen PC-er. De ansatte måtte ta med maskinene fysisk til rådhuset for oppgradering, og rundt 200 PC-er sto fortsatt igjen.
På en av disse maskinene gjennomførte en ansatt et vanlig internettsøk. Søkeresultatet viste det som fremsto som en legitim PDF-fil. Da den ansatte åpnet filen, fikk angriperne fotfeste i systemet.
Metoden omtales som SEO poisoning. Angriperne manipulerer søkeresultatene slik at en falsk nettside eller skadevare plasseres høyt i søkemotoren. Treffet kan se profesjonelt og troverdig ut.
– Det kunne vært meg som klikket på den lenken, sier Christoffersen.
Han har vært opptatt av at den ansatte ikke skal få skylden.
– Angriperne trenger bare å lykkes én gang. Vi må lykkes hver eneste gang.
Ifølge kommunens undersøkelser lå angriperne i systemet i rundt en måned. I denne perioden fulgte de med og forsøkte å skaffe seg bedre tilganger og flere rettigheter før selve angrepet ble utløst.
Profesjonelle kriminelle organisasjoner
Jens Dale Røttereng, Cyber Security Incident Handler i Atea, beskriver dagens trusselaktører som profesjonelle, kommersielle organisasjoner.
Mange angrep er opportunistiske. Angriperne leter ikke nødvendigvis etter en bestemt virksomhet, men etter systemer med svakheter de kan utnytte.
– De er litt som en tyv som går nedover en gate og kjenner på bildørene for å se hvilken bil som er åpen, sier Røttereng.
Hensikten med løsepengevirus er vanligvis å kryptere virksomhetens data og kreve betaling for å låse dem opp igjen. I mange tilfeller truer angriperne også med å offentliggjøre eller selge informasjon de har hentet ut.
Lørenskog kommune fulgte rådene om ikke å gå i dialog med angriperne og ikke betale løsepenger.
– Så lenge virksomheter betaler, vil angrepene fortsette. Når betalingene stopper, forsvinner også motivet, sier Klokkervold.
Undersøkelsene har ikke avdekket tegn på at store mengder sensitive personopplysninger er hentet ut. Sikkerhetsselskapet som bistår kommunen, overvåker likevel det mørke nettet for å se om informasjon fra Lørenskog skulle dukke opp.
Kommunikasjon under sterkt press
Mens teknikerne jobbet med å begrense skaden og bygge opp systemene igjen, måtte kommunen informere ansatte, innbyggere, samarbeidspartnere og medier.
For Klokkervold var åpenhet viktig, men krevende.
– Hvor mye kan vi dele? Kan informasjonen gjøre oss mer sårbare for nye angrep? Og hva kan vi si uten å påvirke den pågående etterforskningen?
Kommunen samarbeidet tett med blant andre Kripos, Nasjonal sikkerhetsmyndighet, Statsforvalteren og Datatilsynet.
Til tross for risikoen valgte Lørenskog å være åpen om både angrepet og hvordan det hadde skjedd.
– Vi tror åpenhet skaper tillit. Samtidig kan erfaringene våre gjøre at andre slipper å oppleve det samme, sier Klokkervold.
Christoffersen mener kommunikasjonen også var avgjørende for å opprettholde motivasjonen internt.
– Den som forstår, aksepterer også. Det blir mer raushet og tålmodighet når man kommuniserer åpent om situasjonen.
Ansatte holdt tjenestene i gang
Innbyggerne merket ifølge kommunen mindre til situasjonen enn det enorme arbeidspresset skulle tilsi.
For de ansatte var belastningen langt større.
IT-avdelingen jobbet dag og natt gjennom flere uker. Samtidig måtte ansatte i hele kommunen finne nye måter å utføre oppgavene sine på, uten tilgang til systemene de vanligvis bruker.
– Det har vært vanvittig krevende. De ansatte har måttet endre måten de jobber på i hele organisasjonen. Det er bare å bøye seg i støvet for innsatsen, sier Klokkervold.
Kommuneledelsen fryktet at tålmodigheten etter hvert skulle gå over i frustrasjon.
– Når en krise varer lenge, blir folk fratatt arbeidsverktøyene de tar som en selvfølge. Likevel opplevde vi en enorm raushet, sier Christoffersen.
Han mener organisasjonskulturen, som også ble satt på prøve under koronapandemien, gjorde kommunen bedre rustet til å håndtere belastningen.
Krisen kom ikke alene
Mens dataangrepet fortsatt pågikk, brøt det ut en omfattende boligbrann i kommunen. En boligblokk ble rammet, ti leiligheter brant, og flere familier ble evakuert og sto uten bolig.
Kommunen måtte dermed håndtere to alvorlige hendelser samtidig.
– En viktig erfaring er at en krise kan oppstå mens du allerede står i en annen, sier Klokkervold.
En kommune kan heller ikke stanse den ordinære driften for å konsentrere seg om krisehåndteringen. Innbyggerne har fortsatt krav på tjenester, enten datasystemene fungerer eller ikke.
– Vi kan ikke kjøpe oss fri fra de andre oppgavene. Vi må håndtere hendelsen og samtidig drifte kommunen, sier Christoffersen.
Gjenoppbyggingen kan ta måneder
Et dataangrep er ikke over når angriperen er stanset.
Systemene må undersøkes, sikres og bygges opp igjen i riktig rekkefølge. Samtidig vokser restansene i hele organisasjonen.
– Produksjonstapet blir voldsomt. Backloggen er stor, og vi er nok ikke tilbake i full normaldrift før til høsten, sier Christoffersen i samtalen.
Kommunen hadde på forhånd inngått en rammeavtale med et eksternt sikkerhetsselskap. Det gjorde det mulig å få spesialister raskt inn i arbeidet.
– Selv en stor kommune med en kompetent IT-avdeling kan ikke ha spisskompetanse på absolutt alt. Man må tenke gjennom hvilken kompetanse man trenger tilgang til før hendelsen skjer.
Kostnadene øker raskt når eksterne eksperter må arbeide intensivt over lang tid. I tillegg kommer belastningen på ansatte, tapte arbeidstimer og forsinket saksbehandling.
– Øv på at det kan vare lenge
Lørenskog kommune er fortsatt i operativt hendelsesmodus, og den grundige evalueringen vil først komme når systemene er tilbake i normal drift.
Likevel er noen lærdommer allerede tydelige.
Kommunen vil prioritere IT-sikkerhet høyere, både i budsjetter, øvelser og beredskapsarbeid. Organisasjonen vil også øve mer på langvarige hendelser og på situasjoner der flere kriser oppstår samtidig.
– Det går ikke an å forberede seg nok. Øv på ulike scenarioer, øv på at de kan vare lenge, og øv på at flere ting kan skje samtidig, sier Klokkervold.
Røttereng trekker særlig frem betydningen av sikkerhetsoppdateringer, rask reaksjon ved unormal aktivitet og en backup-løsning som angripere ikke kan manipulere.
Christoffersen mener virksomheter også må bygge en robust kultur før krisen oppstår.
– Det er litt sent å begynne med det når du står midt i situasjonen. Når hendelsen først skjer, må du være tett på og ta de riktige beslutningene i riktig rekkefølge, på et høyst usikkert beslutningsgrunnlag.
For Lørenskog ble angrepet en brutal påminnelse om hvor avhengig en moderne kommune er av digitale systemer.
Men også om hvor avgjørende menneskene er når teknologien svikter.
10 læringspunkter etter dataangrepet
- Øv før krisen rammer
Virksomheter bør trene på dataangrep, også på hendelser som varer i flere uker og oppstår utenfor normal arbeidstid. - Forbered dere på flere kriser samtidig
Et cyberangrep stopper ikke andre hendelser. Beredskapen må tåle at flere alvorlige situasjoner oppstår parallelt. - Prioriter liv og helse først
Når systemene går ned, må det være tydelig hvilke tjenester som skal gjenopprettes først. Helse, omsorg og tidskritiske utbetalinger må prioriteres. - Ta beslutninger selv om informasjonen er mangelfull
I de første timene finnes det sjelden en komplett situasjonsforståelse. Ledelsen må klare å holde hodet kaldt og beslutte på usikkert grunnlag. - Reager raskt på unormal aktivitet
Tidlig oppdagelse og rask nedstengning kan begrense skadeomfanget. Uvanlig aktivitet må tas på alvor umiddelbart. - Hold alle enheter oppdatert
En enkelt PC som mangler den siste sikkerhetsoppdateringen, kan gi angripere inngang. Oppdateringer og sikkerhetstiltak må omfatte hele organisasjonen. - Sørg for en sikker og utilgjengelig backup
Backup må være testet, oppdatert og beskyttet slik at angripere ikke kan kryptere eller slette den. - Avtal ekstern ekspertbistand på forhånd
Spisskompetanse bør være tilgjengelig gjennom rammeavtaler eller beredskapsavtaler før angrepet skjer. Det er for sent å starte leverandørjakten midt i krisen. - Kommuniser åpent, men koordinert
Åpenhet kan skape tillit og forståelse, men kommunikasjonen må balanseres mot sikkerhetshensyn og en eventuell politietterforskning. - Ta vare på menneskene som håndterer krisen
Gjenoppbyggingen kan vare lenge og kreve svært mye av de ansatte. Ledelsen må planlegge for avlastning, utholdenhet og fortsatt drift av ordinære tjenester.
