Aftenposten mener: Nødnettet må sikres bedre
Indisk IT-personell uten sikkerhetsklarering har hatt tilgang til det norske nødnettet. Etter at NRK avslørte saken mandag, er mange spørsmål blitt stilt. Flere av dem forblir ubesvart, men vi vet nok til å slå fast at dagens ordning ikke er tillitvekkende.
Nødnett-direktorat: Kan ikke svare på hvor lenge indiske arbeidere har hatt lovstridig tilgang til kritisk kommunikasjonssystem
Nødnettet skal alltid virke. Det er systemet som skal sikre at nødetatene kan kommunisere uavhengig av hva som skjer med andre typer nett i Norge. Derfor er driften av nettet underlagt særlige reguleringer i form av en egen lov. Det skal driftes fra Norge, av sikkerhetsklarert personell. Ingen deler av nettet kan unntas disse reglene, fordi ingen deler av nettet er unnværlig den dagen det smeller.
Derfor har det vakt berettiget oppsikt at selskapet Broadnet har latt ansatte hos sin underleverandør i India få tilgang til å jobbe i deler av nettet. Det er ingenting som tyder på at hensikten har vært ondsinnet, eller at skade har skjedd. Men det er ikke poenget. Kjernen i dette er at det overhodet er mulig at ansatte uten sikkerhetsklarering får denne tilgangen. Denne gangen gikk det bra, men neste gang kan det være nettopp denne typen slepphendthet som gjør at deler av nettet bevisst settes ut av spill. På et område der minutter og sekunder kan være avgjørende, er det slike scenarier som skremmer.
Broadnet har foreløpig ikke svart Direktoratet for nødkommunikasjon på spørsmål om hvor lenge de ansatte hadde denne tilgangen. Det må tas for gitt at kommunikasjonen mellom direktoratet og leverandører er åpen og ærlig, og at svaret kommer så snart det finnes et svar å gi.
Saken viser at rammen rundt avtalene som drifter nødnettet ikke er tydelige nok. Ingenting er bedre enn tillit og at alle involverte stoler på hverandre, men det er ikke nok. Rutiner er til for å fange opp brist på denne tilliten, uansett hva den skyldes. Her har ikke rutinene vært gode nok. Det er lett å mistenke at svak organisering av driftingen av nødnettet i seg selv utgjør en sikkerhetsrisiko.
Outsourcing av tjenester er ofte fornuftig og er ikke i seg selv en trussel mot kvalitet og sikkerhet. Men rammene rundt må være klare, og risiko må være grundig vurdert. Grundigere enn tilfellet ser ut for å være her.
