Fra vær og vind til bits and bytes

Abstract

Som et svar på et økende behov for å forstå og håndtere cyberrisiko som følger med samfunnets digitale utvikling, ønsker denne oppgaven å belyse disse aspektene i en sektor som forvalter en av våre mest kritiske funksjoner; den norske kraftforsyningen. Studiens problemstilling er derfor følgende:

Hvordan forstår og håndterer aktører i den norske kraftforsyningen cyberrisiko som følge av sektorens digitale utvikling?

For å besvare problemstillingen har offentlige dokumenter utgitt på nasjonalt nivå og av sektoren selv blitt analysert. Det er også gjennomført kvalitative intervjuer med åtte aktører tilknyttet den norske kraftforsyningen, som har delt sin erfaring og kunnskap om digitaliseringen i sektoren.

For å besvare problemstillingen har vi benyttet ulike teorier innen sikkerhetsfeltet. Teorien om normale ulykker illustrerer hvilken innvirkning digitaliseringen har hatt på bransjens risikostruktur. Ulike teoretiske perspektiver på risiko og sikkerhet belyser hvordan aktørene forstår risikoen som digitaliseringen introduserer. Teorier om HRO, resiliens og sikkerhetskultur har videre bidratt til å belyse hvordan nye farer og trusler håndteres.

Studien har avdekket at aktørene i den norske kraftforsyningen har en uklar forståelse av begrepet cyberrisko, og at hva de ulike aktørene legger i begrepet, varierer. Sammenstillingen av svar viser likevel at aktørene implisitt har en forståelse for at cyberrisiko som følge av digitaliseringen rommer mange ulike former for farer og trusler, utilsiktede og tilsiktede. Ulikheter i begrepstilnærmingen og variasjoner i oppfatninger om hva som kan forårsake en cyberhendelse indikerer at det kan være behov å skape konsensus i bransjen rundt disse forholdene.

Cyberrisiko håndteres videre gjennom risikovurderinger og preventive mekanismer i organisasjonen, samt samhandling på tvers av selskaper i sektoren. Viktigst blant alle disse er opplæring og bevisstgjøring av øvrige ansatte, og en underliggende forankring i ledelsen som bidrar til å muliggjøre nettopp dette; en felles risikoforståelse i hele virksomheten.