| dc.description.abstract | Kraftforsyningen er underlagt et bransjespesifikt regelverk, som inneholder en blanding av overordnede krav og mer spesifikke krav. Innsidetrusler dekkes av de overordnede kravene, men dekkes i liten grad av de spesifikke. Denne oppgaven har forsøkt å svare på hvilke konsekvenser dette har, og om det bør gjøres endringer.
Det er gjennomført undersøkelser for å kartlegge nettselskapers og kraftprodusenters holdninger til innsideangrep som kan true forsyningssikkerheten. Det er tatt utgangspunkt i dagens regelverk, primært beredskapsforskriften, for å se om det er behov for og ønske om endringer for å styrke arbeidet mot innsidetrusler, og med det potensielt styrke forsyningssikkerheten til elektrisk kraft i Norge.
Det er først gjennomført en gjennomgang av relevant litteratur, og deretter empiriske studier. Det er utført to kvalitative intervjuer, med sentrale aktører i kraftforsyningen, og det er sendt ut en kvantitativ spørreundersøkelse. Av 159 inviterte selskaper, ble det mottatt 37 svar. Fordi noen svarte på vegne av flere selskaper, antas det at minimum 48 selskaper er representert. Antallet, kombinert med en relativt jevn fordeling av nettselskaper og kraftprodusenter og store, mellomstore og store selskaper taler for at resultatene fra den kvantitative studien er representative også for de øvrige nettselskaper og kraftprodusenter som er medlemmer av Kraftforsyningens beredskapsorganisasjon
Resultatene er vurdert opp mot tilgjengelig litteratur. Studien viser at innsideangrep pr. i dag ikke er et stort problem for bransjen, og selskapene mener selv at de har et godt sikkerhetsnivå. Samtidig gjør den manglende reguleringen at problemstillingen får mindre fokus under tilsyn. Etter hvert som teknologien har endret seg, har også angrepsflaten blitt utvidet. Det anbefales derfor å gjennomføre tiltak for å holde følge med utviklingen.
Til tross for at de aller fleste av selskapene mener at dagens beredskapsforskriften totalt sett er detaljert nok, mener et flertall at det vil være en fordel å innføre felles krav til bakgrunnskontroll av ansatte som skal gis tilgang sensitive systemer eller informasjon. Det tyder på at dette er et område som i dag er for dårlig regulert. Støtten til slike krav er størst blant middels store, og store, selskaper. Basert på dette, sett i lys av at større selskaper som hovedregel er viktigere for samfunnet, anbefales det å utrede muligheten for krav til bakgrunnskontroll som ikke nødvendigvis vil dekke de minste aktørene.
Selskapenes egne vurdering av risiko er på mange områder i samsvar med studier som er gjennomført i andre land, og gir mening ut fra relevante sikkerhetsteorier. Enkelte ting avviker noe, men kan til en viss grad forklares med forholdene i den norske kraftforsyningen som stor bruk av innleid personell, med tilsvarende frykt for at disse begår uønskede handlinger.
Selskapenes holdning til sikkerhetsloven er også studert. Veldig mange selskaper melder om manglende kunnskap om hvilke konsekvenser det vil få for dem om de legges under sikkerhetslovens virkeområde. Pr. i dag er det sikkerhetsklarering som er det mange av selskapene faktisk forholder seg til fra sikkerhetsloven, og rundt halvparten mener at slik klarering er en fordel for dem. Dette er imidlertid ikke en ordning som i dag er ment å beskytte verken kraftsensitiv informasjon eller annen sensitiv informasjon som ikke er gradert etter sikkerhetslovens bestemmelser, så dersom det er behov for å styrke denne sikkerheten må enten selskapene legges under sikkerhetsloven eller på annet vis få slike muligheter. | nb_NO |
