"Digital sikkerhet er en grunnleggende forutsetning for å opprettholde tillit til offentlig sektors IT-systemer og offentlige digitale tjenester. En vellykket digitalisering handler derfor også om å ivareta krav til sikkerhet og den enkeltes personvern på en god måte." -Regjeringa
Cybersikkerhet i offentlig sektor
Gruppe 10: Albert, Clemens, Sivert og Oscar
Hvorfor alle burde kunne cybersikkerhet!
Det blir stadig viktigere å kunne grunnleggende cybersikkerhet i dagens samfunn. Økende digitalisering og bruk av teknologi i hverdag og på arbeidsplasser gjør oss mer sårbare for digitale trusler enn noen gang før. Dermed er det essensielt at vi legger unna alderdomsmyter om at datasikkerhet kun er for de yngre og IT-ekseperter. Vi har derfor laget en opplæringsressurs for de av dere i offentlig sektor hvor det er desto viktigere å ha gode vaner innen nettbruk og den er spesielt laget for de med nesten ingen opplæring fra før.
Digitale angrep og trusler VIL ramme alle som leser dette uansett den tekniske kompetansen. Ifølge ny statistikk blir det sendt ut 3.4 milliarder skadelige eposter daglig. Etter bare kort tid vil du også kunne gjenkjenne disse epostene/meldingene samt ha helt nyfunnet kompetanse på hvordan du kan holde din og andres informasjon trygg.
Vi vil under gå gjennom viktige temaer, hvor vi først tar for oss noen av de vanligste digitale trusler i Norge.
Ulike trusler innen informasjonssikkerhet
Når vi ønsker å opprettholde informasjonssikkerhet er det smart å ha en anelse om hva vi ønsker å sikre slik at vi enklere kan identifisere hvor mulige sårbarheter ligger ligger. To viktige prinsipper vi ønsker å følge er konfidensialitet og integritet.
Kort forklart handler disse om å holde informasjonen eller dataen vi sitter med utilgjengelig for andre enn autoriserte personer, og å tilstrebe at systemene vi jobber med eller dataen vi behandler ikke kan manipuleres av angripere.
Under kan du lese litt mer om disse konseptene hvis du er interessert, og videre skal vi forklare kort om noen forskjellige typer angrep og hva man bør være oppmerksom på.
Mer informasjon
En modell som ofte brukes innen informasjonssikkerhet er CIA-triangelet som står for Konfidensialitet, integritet og tilgjengelighet. Dette brukes som en retningslinje både for å beskytte viktig data og sikre at kritiske systemer i en infrastruktur er driftsikre.
For oss er de mest interessante prinsippene konfidensialitet og integritet.
Med konfidensialitet mener vi at informasjonen vi behandler kun skal være tilgjengelig
for autoriserte personer. Enhver organisasjon som behandler sensitiv data bør benytte
adgangskontroll for fysisk sikring, men den digitale parten er vel så viktig. Hvis for eksempel
passordet til en ansatt blir kjent av en angriper slik at de får tilgang til systemene, er dette
et stort sikkerhetsbrudd. Derfor er det viktig å eksempelvis aldri bruke svake passord, eller å
behandle sensitiv data på åpne nettverk uten kryptering.
Insidertrusler er også et viktig poeng her, men dette vil være mer relevant på organisasjonsnivå.
Med integritet mener vi at data ikke blir manipulert på en måte som svekker systemers sikkerhet, eller endrer dataen selv. Dette innebærer mye, blant annet såkalt malware eller skadevare - programmer som er laget for å skade eller få uautorisert tilgang til datasystemer. Selv om det ikke er veldig sannsynlig, kan slike programmer ende opp på datamaskinen din hvis du ikke er forsiktig med hva du gjør.
Menneskelige sårbarheter
Ettersom datamaskiner og systemer blir sikrere og flere sikkerhetshull tettes, forsøker angripere i større
grad å finne andre måter å tilegne seg uautorisert tilgang til systemer. Ofte vil det være enklere for en
angriper å utnytte menneskelige sårbarheter enn fysiske eller tekniske. De aller fleste angrepene som lykkes
starter med en menneskelig feil. Dette kan være at man trykket på en lenke man ikke burde, at man lastet ned
et program fra en ukjent kilde, at man brukte et svakt passord, eller ble lurt til å oppgi informasjon.
Mennesker kan lures eller manipuleres og det er derfor viktig å være klar over hvilke sårbarheter som finnes
i de forskjellige oppgavene vi gjør til daglig, som å svare på mail eller telefon.
Mange av truslene vi diskuterer nedenfor baserer seg helt eller delvis på nettopp menneskelige sårbarheter.
Phishing/Spear-phishing
Phishing er en type digital svindel der en ondsinned aktør vil prøve å lure deg som forbruker til å gi fra deg sensistiv informasjon. Dette kan være passord, kredittnummer eller andre personopplysninger. Svindlere vil utgi seg som noe de ikke er. Dette kan være banken din, posten, skatteeteaten og mange flere. Vi vil vise noen eksempler på hvordan slike svindel forsøk kan se ut slik at du kan gjenkjenne dem i fremtiden.
Epost og SMS eksempel
Epost og SMS er hvor svindelere som oftest vil prøve seg på et angrep. Her er noen eskempler for å gjøre deg mer kjent med noen av svindleres mest brukte metoder.
Legg merke til mailen som avsender bruker i Figur 1, og lenken i meldingen i Figur 2.
Figur 1: Dette er et eksempel på en falsk e-post som prøver å lure deg til å oppgi login-informasjonen din. Den blå knappen vil antakelig føre til en falsk login-side som lagrer passordet du skriver inn.
Figur 2: Dette er et eksempel på en falsk SMS (smishing) fra noen som utgir seg for å være PostNord. Her brukes en lenke som ender i ".top/no", og ikke ".no".
fix
Falske nettsider
Noe som er spesielt viktig å merke seg i mail, sms og chat-meldinger er lenker som blir sendt. Uansett om det kommer fra familie, venner eller en kollega, må man forsikre seg om at lenken som sendes faktisk leder dit det ser ut som.
Dette er spesielt viktig for nettsider der man deler sensitiv informasjon, f.eks. til banken. Kontroller alltid at hele lenken er riktig, at det ikke er noen bokstaver der de ikke burde være, eller at de er byttet ut med noen som likner.
Eksempler på falske lenker
| Falsk lenke | Forskjell fra korrekt lenke |
|---|---|
| https://goggle.com | Denne lenken har én o for lite, og én g for mye. |
| https://gogle.com | Denne lenken har én o for lite. |
| https://g00gle.com | Denne lenken har byttet ut o med 0. |
| https://gooogle.com | Denne lenken har en ekstra o. |
Hvis man er i tvil er det bedre å navigere til nettsiden selv. Som oftest vil det første resultatet for kjente nettsider være riktig, men ikke alltid, så vær oppmerksom!
Fysiske sårbarheter
Når du forlater PC-en uten å låse den, kan andre få tilgang til e-post, dokumenter og systemer du er innlogget på.
Selv et kort øyeblikk er nok til at uvedkommende kan hente ut eller endre informasjon.
HUSK derfor å alltid trykke Windows + L for å låse maskinen før du går! Det tar kort tid og kan spare deg
for mye trøbbel.
Dette vil du for å unngå at andre kan utgi seg for å være deg. Som ansatt sitter du på verdifull info om andre, som bare
er ment til å bli sett av deg. Ingen andre, derfor er dette kritisk. Hadde du likt om tilfeldige personer fikk vite dine
helseopplysninger, bankinformasjon, eller personopplysninger?
Ukjente minnepinner/USB enheter
Det er viktig å aldri benytte seg av ukjente minnepinner man finner liggende, eller kanskje til å med får
tilsendt. Hvis en angriper har lagt skadevare på minnepennen og du kobler den til datamaskinen kan angriperen
få tilgang til sensitiv data du har på maskinen, og potensielt ta seg videre inn i it-systemene til
organisasjonen/arbeidsstedet ditt. Typiske programmer som kan ligge på en slik minnepenn er såkalte keyloggers
eller tastaturloggere. Dette er et program som logger alt du skriver på tastaturet ditt, blant annet kan dette
være passord eller annen sensitiv informasjon.
Finner du en slik USB port, eller minnepinne som du ikke
har sett før, gå til IT-ansvarlig med en gang!
Hvordan forhindre potensielle trusler?
Nå som vi har folklart kort om noen vanlige trusler, ønsker vi å gå gjennom noen viktige virkemidler som kan forhindre at slike trusler blir utnyttet.
Gode passordvaner
Et av de aller viktigste tiltakene vi kan gjøre for å forhindre at våre egne kontoer ender i gale hender, er å ha gode passordvaner. Vi har samlet de tre viktigste prinsippene i et passord under. Så lenge man følger disse, minsker man sjansen for at passordet ditt kan brytes av en hacker/angriper.
Lange passord
Aller først må man vite at jo lengre et passord er, jo sterkere er det. Dette har så klart unntak, men som en generell regel bør passord være lengre enn 16 bokstaver. Hvis passordet er kortere vil det ta relativt kort tid å teste alle mulige passord for en rask datamaskin.
Tilfeldige passord
Neste punkt er å gjøre passordet tilfeldig. Dette innebærer at man ikke bruker personlig informasjon som fødselsdato, navn og liknende.
Når passordet ikke inneholder personlig informasjon har ikke angripere muligheten til å gjette deler av passordet. Hvis man f.eks. bruker et svakt passord som "TilfeldigOrd010175" og fødselsdatoen din er 01.01.1975, kan en angriper gjette at du har brukt dette i passordet. Siden passordet inneholder kun 12 andre bokstaver, vil det ikke ta lang tid å gjette for en datamaskin.
Vi kan anbefale to ganske enkle metoder å nå dette kravet.
- Bruk passphrase eller passordfrase
- BilLøperBlåSnakkeBlomst
- Bruk en password manager eller passordbehandler
- Yuc8$RikA34%ZoPPao98t
Med en passordfrase menes en rekke tilfeldige ord koblet sammen til et langt "ord". Man kan eksempelvis velge 5-7 (eller flere) tilfeldige ord og setter de sammen slik:
Hvis man ønsker kan man også bruke mellomrom eller andre tegn mellom ordene for å gjøre det enda sterkere.
Hvis man ønsker et enda sterkere passord, som man i tillegg ikke trenger å huske på, kan man bruke en passordbehandler. Dette er et verktøy som genererer et sterkt passord for deg, og ofte lar deg velge hva slags symboler som skal brukes og hvor langt det er. Et eksempel på et sterkt passord kan være noe som dette:
Unike passord
Sist men ikke minst er det en god vane å opprette et nytt passord for hver tjeneste man benytter seg av. Hvis du bruker det samme passordet på alle sider du går inn på, vil en hacker som får tilgang på passordet ditt på én side kunne komme seg inn på alle kontoene dine. For å unngå dette burde enhver tjeneste du bruker få sitt eget sterke passord. Dette kan føles tungvint ut, spesielt siden man potensielt må huske på et titalls eller hundrevis av passord. Dette problemet kan igjen løses ved å bruke en passordbehandler. Den gjør jobben med å huske på passordene dine slik at du slipper.
Passordbehandler
Alle kravene til et sterkt passord kan enkelt nås ved å bruke en passordbehandler som nevnt tidligere. Passordbehandlere lagrer passord for deg, lar deg generere nye sterke passord, og ofte har de mulighet for autofylling av informasjon på nettsidene passord er knyttet til.
Det er mange alternativer, og det finnes ikke én som er bedre enn alle andre. Noen vil koste penger, og andre vil ha gode gratis-tilbud. Vi gir noen eksempler her, men vil anbefale at man undersøker litt på egenhånd hvilken man ønsker å bruke.
Noen eksempler er:
To-faktor-autentisering
I tillegg til å bruke passord som er lange, tilfeldige, og unike, er det lurt å benytte seg av enda et sikkerhetslag. To-faktor-autentisering, eller 2FA, er et sikkerhetstiltak som krever at en bruker autentiserer seg med to forskjellige faktorer. Typisk er disse mail og passord, og en 2FA-app. Dette forhindrer at noen får tilgang på kontoen din selv om de finner ut hva passordet ditt er.
Det finnes mange forskjellige 2FA-apper og akkurat hvilken man bør bruke er ikke så viktig. Om arbeidsplassen krever at man bruker 2FA er det enkleste å bruke appen de anbefaler. Hvis arbeidsplassen ikke har krav til 2FA kan man for eksempel bruke noen av følgende alternativer:
Men det finnes mange andre alternativer og det er generelt liten forskjell mellom de. Det viktigste er å benytte seg av 2FA, ikke hvilken app du velger.
Operativsystem og programvaresikkerhet
Innen informasjonssikkerhet er det en evigvarende kamp mellom utviklere av operativsystemer og programvare, og angripere som forsøker å utnytte sikkerhetshull i disse.
For operativsystemer handler om å beskytte mot trusler og uautorisert adgang ved bruk av blant annet sikkerhetspolicy, autentisering og styring av tilgangsnivå. I tillegg til tiltakene en systemadministrator kan ta, må selve programvaren være sikker. Programvaren utvikles av operativsystemets utgivere, for Windows er dette Microsoft. De selger windows som et sikkert operativsystem og jobber hele tiden med å tette sikkerhetshull, både de som er oppdaget og der det er et potensiale for et sikkerhetshull.
På lik linje jobber utviklere av applikasjoner vi benytter med å tette slike sikkerhetshull. Dette gjøres både ved å blokkere virus eller skadevare direkte, og ved å advare brukeren mot å begå handlinger som utsetter systemet for potensielle trusler.
Det er generelt lite en kan gjøre med slike trusler, siden man ikke ved hvordan programmet fungerer på et lavt nivå. Derfor er det viktig å alltid oppdatere når den nyeste versjonen blir lansert. Ofte vil nye oppdateringer inneholde sikkerhetsfikser uansett om det er hovedformålet med oppdateringen eller ikke.
Dette gjelder både operativsystemet og alle programmer man benytter - husk å oppdatere!
Mer informasjon
Tekniske sårbarheter finner vi i programvare, operativsystemer, nettlesere og nettverk. Disse sårbarhetene kan bli utnyttet av ondsinnede aktører for deres egen fordel. En slik utnyttelse kom i form av et løsepengevirus i 2017 kalt «WannaCry». Dette angrepet infesterte mer enn 200 000 pc-er i over 150 land. Ofrene var ikke bare vanlige pc-er, men også store firmaer som FedEx, men mest alvorlig var NHS - Storbritannia sitt helsevesen.
Viruset kunne kryptere og stenge ned pc-er for å da tvinge ofrene til å betale penger for å få tilgang igjen. «WannaCry» brukte en sårbarhet kaldt «EtarnalBlue». Denne sårbarheten funket bare på eldre versjoner av Microsoft Windows operativsystemet som ikke hadde blitt oppdatert for å forhindre denne typen sårbarheter. Disse fantes det flere av, spesielt i firmaer som kanskje brukte eldre versjoner av Windows på grunn av kostnader knyttet til oppgradering av systemene.
Adskill arbeid og privatliv
Det er viktig og skille arbeid fra privatlivet, selv om det noen ganger kan virke som en litt fjern situasjon. Men det er her man som innehaver av sensitiv informasjon kan gå på en blemme.
PC-en og mobiltelefonen får stadig flere funksjoner, og de blir mer og mer brukt i hverdagen. På arbeidsplassen blir disse derfor et viktigere verktøy, som lettere gir tilgang til den informasjonen en trenger. Det er derfor viktig å kunne ha gode vaner rundt bruk av dem.
PC-en og mobiltelefonen man får utdelt fra arbeidsgiver skal helst ikke brukes til noe annet enn arbeidsrelaterte oppgaver. Dette skyldes at om en skulle laste ned et uskyldig bilde, eller installere en artig applikasjon, så kan dette medbringe ondsinnet programvare. Dette kan skje rett under nesen på oss, uten at vi legger merke til det. Sensitiv informasjon du har kan da komme på avveie uten at du eller arbeidsplassen har kontroll.
Det samme kan skje med ditt eget private utstyr. Hvis du arbeider for en spesielt utsatt organisasjon, kan du være et mål for angripere. Åpner du en ukjent fil i en e-post på jobbkontoen, eller klikker på en ukjent lenke, så kan det føre til at en slik programvare ender opp på ditt private utstyr. Da kan din sensitive informasjon som bank, telefon, bilder ende i gale hender.
En kan ha en enkel regel: Jobbutstyr og arbeidskontoer brukes kun til jobbrelatert arbeid, og privat utstyr og private kontoer til privat bruk. Og selvfølgelig må man huske at mobiltelefonen kun er en liten datamaskin som på lik linje som en PC, kan være utsatt for et ondsinnet angrep.
Noen arbeidsplasser bruker egne programmer eller applikasjoner som en slags jobb-portal inne på pcen. Dette gjør at man for eksempel kan arbeide hjemmefra med informasjon som skal beskyttes. Slike løsninger er det it-ansvarlig som skal sikre at er trygt, men som beskrevet tidligere er det viktig å alltid holde slik programvare oppdatert for at det skal fungere og være så sikkert som mulig.
Likevel, hvis man forsøker å følge denne regelen, kan det bidra til et sikrere nettverk for arbeidsplassen.
Tiltak du kan ta for å holde arbeidsplassen sikker
Praktiske tiltak
- Lås alltid digitale enheter når du ikke er tilstede!
- Isoler og ikke koble til ukjente USB-enheter — bruk kun godkjente enheter.
- Etabler klare rutiner for å rapportere og håndtere sikkerhetshendelser.
OS/programvare
- Hold operativsystem og programvare oppdatert — installer sikkerhetsoppdateringer raskt.
- Bruk VPN ved tilkobling til åpne eller ukjente nettverk.
Passord/etc
- Bruk sterke, unike passord eller passfraser og en passordmanager.
- Aktiver tofaktorautentisering på alle kontoer som støtter det.
- Ta regelmessige sikkerhetskopier og test gjenoppretting.
Ofte stilte spørsmål
Hva skal jeg med posters?
De kan henges opp på arbeidsplassen. Spesielt i områder hvor man bruker mye PC!
Kan jeg bruke nettleseren min sin innebydge passordbehandler?
I mange tilfeller vil vi fraråde dette, men hvis nettleseren har 2FA innebygd og kryptering er påskrudd vil det som oftest gå fint. Gjerne henvend deg til våre tidligere nevnte alternativ på passordbehandlere.
Hva skal jeg gjøre hvis jeg tror jeg har blitt lurt?
Meld ifra til IT-ansvarlig, ikke hold det for seg selv.
Kilder
Kilder
Bergs, H., Windvik, R. & Øverlier, L. (2020). Digital Sikkerhet: En innføring. Universitetsforlaget.
Charles GriffithsThe Latest 2025 Phising Statistics(updated October 2025). AAG. Hentet 30.oktober fra https://aag-it.com/the-latest-phishing-statistics/
En digital offentlig sektor. Regjeringen.no. Hentet 29.oktober fra https://www.regjeringen.no/no/dokumenter/en-digital-offentlig-sektor/id2653874/?ch=10
Bergs, H., Windvik, R. & Øverlier, L. (2020). Digital Sikkerhet: En innføring. Universitetsforlaget.
Carlsen, H., Holm-Nilsen, S. (2022, 22. november).Trodde hun hadde politiet på tråden - ble frastjålet 750.000 kroner. NRK Nyheter. Hentet 29.oktober fra https://www.nrk.no/norge/advarer-mot-falskt-politi-som-ber-om-bank-id-1.16187394
Cloudflare. (u.å.). What is domain spoofing? Hentet 28. oktober 2025 fra https://www.cloudflare.com/learning/ssl/what-is-domain-spoofing
Cloudfare (2025).What was the WannaCry ransomeware attack? Hentet 6. november 2025 fra https://www.cloudflare.com/learning/security/ransomware/wannacry-ransomware/
Datatilsynet. (18. september.2024). Personvernundersøkelsen 2024 Hentet 31. Oktober 2025 fra https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/personvernundersokelser/personvernundersokelsen-2024/personvernundersokelsen-2024/
Federal Bureau of Investigation. (2019, 10. juni).Cyber Actors Exploit 'Secure' Websites In Phishing Campaigns Hentet 28. august 2025 fra https://www.ic3.gov/PSA/2019/PSA190610
Jaatun, M. (2020, 15. August). Arkitekturanalsye som risikosport. SINTEF INOSEC. https://infosec.sintef.no/informasjonssikkerhet/2016/08/arkitekturanalyse-som-risikosport/
Microsoft. (2024, 01. oktober).How Microsoft Edge can protect you from typosquatting. Hentet den 28. Oktober 2025 fra https://www.microsoft.com/en-us/edge/learning-center/how-edge-can-protect-you-from-typosquatting?form=MA13I2
Microsoft. (u.å).Protect yourself from phising. Microsoft. Hentet 5. Oktober 2025 fra https://support.microsoft.com/en-us/windows/protect-yourself-from-phishing-0c7ea947-ba98-3bd9-7184-430e1f860a44
Nasjonal Kommunikasjonsmyndighet (2025, 18. august)Digital svindel. Hentet 28.august fra https://nkom.no/telefoni-og-telefonnummer/telefonsvindel#ulike_typer_telefonsvindel
Nätt, Tom Heine; Bartnes, Maria: Løsepengevirus i Store norske leksikon på snl.no. Hentet 28. august 2025 fra https://snl.no/l%C3%B8sepengevirus
Nätt, Tom Heine:Nettfiske i Store norske leksikon på snl.no. Hentet 28. august 2025 fra https://snl.no/nettfiske
Norges Teknisk-Naturvitenskapelige Universitet (u.å.). Informasjonssikkerhet - risikovurdering. https://i.ntnu.no/wiki/-/wiki/Norsk/Informasjonssikkerhet+-+risikovurdering
Politiets sikkerhetstjeneste. (2025). Dette gjør vi: Forebyggje Hentet 26. Oktober 2025 fra https://www.pst.no/alle-artikler/artikler/dette-gjor-vi/forebyggje/
Regjeringen(u.å).En digital offentlig sektor. Regjeringen.no. Hentet 29.oktober fra https://www.regjeringen.no/no/dokumenter/en-digital-offentlig-sektor/id2653874/?ch=10
Svindel. (u.å).Om kampanjen. Svindel. Hentet 20. Oktober 2025 fra https://www.svindel.no/om-kampanjen/
Telenor (u.å.) Hva er mobilkapring – og hva kan du gjøre med det?Hentet 28. august fra https://www.telenor.no/bedrift/blogg/sikkerhet/mobilkapring/
Økokrim. (2024).Nordic threat assessment on online fraud 2024. Norwegian National Authority for Investigation and Prosecution of Economic and Environmental Crime. Hentet 10. Oktober 2025 fra https://www.okokrim.no/nordic-threat-assessment-on-online-fraud-2024.6685282-562360.html
Spørsmål ikke besvart over? Send oss melding!
Spør i vei hvis det er noe du lurer på eller vi kan hjelpe deg med. Kanskje flere lurer på det samme så legger vi det til i vår FAQ!