Cyberangrep

Som følge av digitalisering hevder Gressgård et al. (2018) at virksomheter blir mer sårbare for cyberangrep og digital spionasje. Her kommer det også frem at de industrielle

automatiserings-, sikkerhets- og kontrollsystemene som blir anvendt i petroleumsindustrien i stor grad har blitt digitalisering. Digitaliseringsprosessen skaper behov for overføring av produksjonsdata til informasjonssystemene, noe som fører til at isolerte og proprietære nett ikke lenger er mulig å anvende. I rapporten «Digital sårbarhet – sikkerhet samfunn» fremkommer det at utstyr som blir brukt i dag ofte er standardkomponenter som datamaskiner med Microsoft Windows eller Linux. Studier viser at det eksisterer flere digitale sårbarheter i slike systemer (NOU 2015: 13).

Dette risiko- og sårbarhetsbildet fremkommer også fra informantene. Digitale løsninger som skytjenester gjør virksomhetene mer sårbare, og cyberangrep er dermed sett på som en av de største truslene. Kraftig økning i antall cyberangrep de siste årene var noe alle informantene hadde bemerket seg. Strategisk prosjektleder påpekte dette ved å fortelle: «(…) datasikkerhet er jo selvfølgelig noe vi har identifisert som en risk.» Gevinsten virksomhetene oppnår ved bruk av digitale verktøy er stor, og informantene var derfor tydelige på at de er villige til å ta risikoen og sårbarheten digitalisering medfører. Dette kom frem ved flere eksempler. Seniorrådgiver SSU og Strategisk prosjektleder forklarte dette ved å referere til risikoreduserende tiltak som tekniske barrierer som er utviklet for å kunne forebygge cyberangrep. Strategisk prosjektleder fortalte at systemene er designet slik at dersom de blir hacket skal aktøren bak angrepet ikke kunne gjøre store skader. Ifølge Engen et al. (2016) kan sårbarhet ses fra to perspektiver, teknisk- og sosial sårbarhet. Sosial sårbarhet blir her forklart som et systems manglende evne til å endre seg og tilpasse seg nye situasjoner uten å miste sin funksjonalitet. Gressgård et al.

(2018) påpeker at til tross for gode sikkerhetsbarrierer i digitale verktøy, kan cyberangrep likevel lykkes. Den vanligste årsaken til dette er svikt i den menneskelige barrieren (Telenor, 2020). Noen av informantene fortalte at de ikke jobber så tett opp mot cybersikkerhet, men at de likevel merker et stort fokus på cybersikkerhet i alle avdelinger av virksomhetene. Det økte fokuset forklarte informantene ved å vise til eksempel om phising. Seniorkonsulent fortalte om en pågående phising-kampanje i selskapet. For å øke oppmerksomhet og engasjement rundt phising-lenker blir det loggført statistikk, hvor god statistikk på en avdeling blir sett på som prestisje, og dårlig statistikk kan medføre konsekvenser for ansatte. Phising-kampanjen har ifølge Seniorkonsulent vært vellykket. Informanten forklarte dette ved å si følgende: «(…) det blir litt konkurranse mellom avdelingene, så det er veldig fokus på det.»

6.1.2 Situasjonsforståelse

Situasjonsforståelse ble nevnt fra samtlige informanter. Strategisk prosjektleder var tydelig på at det er en voksende gruppe risikoelementer rundt situasjonsforståelse, og at det er krevende

for operatørene å skape korrekte mentale bilder av det som foregår. Situasjonsforståelse blir også trukket frem i litteraturen som en av bidragsyterne til et endret risiko- og sårbarhetsbilde som følge av digitalisering (NOU 2015:13). En operatørs situasjonsforståelse refererer til kunnskap og erfaring fra både omgivelser og systemer, som til sammen danner mentale modeller. Mentale modeller gjør det dermed lettere å forstå en situasjon, og gjør det enklere for operatøren å ta riktige beslutninger i kritiske eller presset situasjoner (Flin & O´Connor, 2017).

Ved automatiserte systemer foregår prosesser på innsiden av datamaskiner, og prosessene blir dermed usynlig for operatøren. Dette gjør det vanskelig for operatøren å skape et helhetlig risiko- og sårbarhetsbilde over situasjonen. For å forsøke å redusere risikoen ved svekkede mentale modeller fortalte Strategisk prosjektleder at de har tatt i bruk simulatortesting. Testene bekreftet at det er vanskelig for operatører å skape et helhetlig risiko- og sårbarhetsbilde når prosessen blir usynlig for operatøren. Dette kom frem i empirien ved at Strategisk prosjektleder fortalte at operatører som ble testet hadde fått feil inntrykk av egen prestasjon. En operatør som håndterte testsituasjonen bra uttrykket en sterk misnøye med egen prestasjon i det kvalitative intervjuet i etterkant av testen, mens en operatør som presterte dårlig i testsituasjonen uttrykket at han var meget fornøyd med egen prestasjon. Leder for teknisk sikkerhet trakk også frem viktigheten av å skape et helhetlig risiko- og sårbarhetsbilde av situasjoner. Informanten fremhevet viktigheten ved å forstå sammenhengen mellom svekkelser i barrierer og avvik i pågående situasjoner. Leder for teknisk sikkerhet var tydelig på at målet var å bedre kommunikasjonen om tilstander og forståelsen av det komplekse samspillet mellom teknikk og organisasjon på en bedre måte. Dette gir tydelige indikasjoner på at operatørers situasjonsforståelse blir utfordret som følge av digitalisering.

Innsamlet empiri samsvarer godt med hvordan Gressgård et al. (2018), Flin & O`Connor (2017) og NOU 2015: 13 beskriver utfordringene rundt digitale verktøy og situasjonsforståelse. En utfordret situasjonsforståelse var godt kjent blant informantene. Dette ble tydelig ved at HVO-informant uttrykket bekymring fra sine operatører offshore rundt nye arbeidsprosesser og hvordan dette påvirket arbeidsbelastning. Ved spørsmål om nye digitale verktøy påvirket arbeidsbelastning svarte HVO-informant at: «(…) det er klart at det, spør du meg, selvfølgelig gjør det det.» Ved spørsmål for hvordan dette håndteres fremhevet Strategisk prosjektleder simulatortesting som et svært godt verktøy. Ved kontinuerlig trening av operatører var informanten tydelig på at simulatortesting kan bidra til å redusere denne risikoen.