Cyber-risiko i den norske finanssektor

Abstract

Norge er et av de mest digitaliserte landene i verden. Den teknologiske utviklingen påvirker de fleste samfunnsområder og har bidratt til effektivisering og nyskapning i det norske samfunnet. Samtidig har den teknologiske utviklingen brakt med seg nye utfordringer, nye risikoer og nye sårbarheter. Det har ført til et behov for forståelse og håndtering av cyberrisiko. I denne oppgaven undersøkes cyber-risiko i finanssektoren og hvorfor den har utviklet seg de siste 10 årene. Dette gjøres gjennom å studere analyser, rapporter og dybdeintervju om risiko og trusselbilde mot den norske finanssektor og mot samfunnet for øvrig. Dokumenter og intervjuer bidrar sammen til å nå oppgavens målsetning. Målet med oppgaven er å øke forståelsen for hvorfor cyber-risiko har utviklet seg i finanssektoren, slik at man enklere kan forstå fremtidige utviklingstrender og best mulig håndtere risikoen. Gjennom å betrakte finanssektoren som et høyteknologisk system drøftes ulike trusler og farers påvirkning på risiko. Dette gjøres gjennom å benytte teori om normale ulykker og ved å anvende prinsipper fra høy pålitelig organisasjonsteori og IRGC-rammeverket. Trefaktormodellen bidrar til å belyse hvordan ulike perspektiver (safety og security) påvirker hvordan man tilnærmer seg og forstår risiko. Undersøkelsen av cyber-trusler, cyber-farer og risikostyring for cyber-risiko demonstrerer at det har skjedd store endringer det siste tiåret. Årsaken for hvorfor cyber-risikoen i finanssektoren har utviklet seg er sammensatte og oppgaven viser at: • Cyber-domenet gjennomsyrer finanssektoren i 2019, hvilket eksponerer verdier, tjenester og infrastruktur på stadig flere måter. • Risikoen knyttet til bruk av cyber-domenet må ses i lys av samhandlingen mellom menneske, teknologi og organisasjoner. • Kompleksitet i finanssektorens system og infrastruktur gjør det utfordrende å holde oversikt over cyber-domenet. • Cyber-farene som i sin tur utgjør trusler mot sektoren, har stor effekt på cyber-risikoen i sektoren og må forstås som trusler selv om de ikke er tilsiktede. • Trusselbildet er i kontinuerlig utvikling og trusselaktørene justerer sine metoder etter forsvarsverk og tiltak som blir gjort i sektoren. • Trusselaktørene har utviklet seg hurtigere enn tiltakene for å forhindre uønskede hendelser. Det var overraskende at sektoren i stor grad fokuserer på tilsiktede hendelser når risiko forklares og kommuniseres, særlig med tanke på at utilsiktede hendelser utgjør majoriteten av hendelser som påvirker sektoren. Det var også overraskende at sårbarheten i sektoren betraktes som lavere selv om truslene, verdiene og konsekvensene av en uønsket cyberhendelse er større i 2019 enn i 2009.