DEL II – Relevante metoder
Arbeidstrinn 8. Sluttvurdering av virksomhetens betydning for de fem vitale samfunnsinteressene
4. Kriseledelse for store hendelser (avbruddsplaner, redundans, beredskapsplaner) Avdekke hvordan kriser håndteres og hvilke planer som finnes for krisehåndtering
6.9 Portugal – Ranking Critical Infrastructures for the Definitions of Protection Policies
Den 22. november 2004 ble det holdt en presentasjon for SCEPC (Senior Emergency Planning Committee) i NATO fra det portugisiske National Council for Civil Emergency Planning (NCCEP)87 om en måte å rangere kritisk infrastruktur på. Følgende informasjon er hentet fra denne presentasjonen:
Portugiserne definerer kritisk infrastruktur som et område, en fasilitet eller et sett av fasiliteter, eller et element som kjennetegnes av at en forstyrrelse eller misbruk, ødeleggelse (total eller delvis), permanent eller for en lang tidsperiode, vil redusere befolkningens velvære ved å påvirke funksjonaliteten til egen sektor eller andre sektorer, kontinuiteten i myndighetsutøvelse, rikets sikkerhet eller kollektive verdier og symboler.
Kritisk infrastruktur kan med dette utgangspunktet deles inn i fire sektorer, som vist i Tabell 6.19:
86 Federal Ministry of the Interior 2005. Protection of Critical Infrastructures – Baseline Protection Concept. Recommendation for Companies. Germany 2005.
87 NCCEP (på portugisisk): http://www.cnpce.gov.pt/
FFI-rapport 2007/00875 95
Security Myndighetsutøvelse Økonomiske sektorer Verdier og symboler
• Forsvar
Tabell 6.19 Oversikt over kritiske infrastrukturer, Portugal (”Ranking Critical Infrastructures for the Definition of Protection Policies”, presentasjon av NCCEP for SCEPC, 2004)
Alle disse sektorene er dermed med å understøtte det overordnede målet for nasjonen, som er å sikre befolkningens ve og vel.
Som arbeidsprosess for å identifisere og rangere kritisk infrastruktur, har NCCEP satt sammen en ekspertgruppe, CIP Working Group, bestående av 50 representanter fra ulike sektorer. Dette er gjort fordi NCCEP mener Portugal har mange eksperter, og at deres kompetanse og synspunkter må utnyttes. Ekspertene er plukket ut med bakgrunn i tre kriterier:
• Mangfold i synspunkter - ekspertene må tilhøre både privat og offentlig sektor, fra brede og representative kunnskapsfelt.
• Uavhengighet - ekspertenes meninger skal ikke være påvirket av andres innflytelse og restriksjoner.
• Desentralisering - flesteparten av ekspertene må tilhøre og jobbe i uavhengige tematiske
96 FFI-rapport 2007/00875
sektorer (helse, energi, sikkerhet, transport etc.)
For å rangere har NCCEP utviklet en metode som baserer seg på flermålsanalyse.88 To rammeverk er brukt for å rangere:
• MCDA – Multi Criteria Decision Aid for selve rangeringen
• Operasjonsanalyse; nettverksanalyse (graf-teori) for å modellere gjensidige avhengigheter Følgende kriterier er brukt i forbindelse med analyse av gjensidige avhengigheter:
• Forventet skadeverdi for hele systemet – her er det snakk om direkte konsekvenser
• Avhengighet – gjennomsnittlig eller maksimal sannsynlighet for å bli indirekte påvirket
• Kritikalitet – vektet forventet skadeverdi i forhold til utsatthet
NCCEP legger følgende definisjon til grunn for å måle kritikalitet av en infrastruktur:
An infrastructure, or asset, should be considered more critical than another if there is greater evidence that the exploitment of vulnerability could seriously affect one of the major objectives present in the definition of critical infrastructure.89
Med andre ord ligger fokus på sårbarheten i infrastrukturen, det vil si hvor utsatt en infrastruktur er. For å måle kritikalitet er det lagt vekt på sannsynligheter. I stedet for å bruke kvalitative mål på sannsynlighet (for eksempel høy, middels, lav) blir det tilegnet tallverdier på sannsynlighetene.
Ved hjelp av grafteori kan man dermed få frem en matematisk representasjon av en graf, som vist i Figur 6.9:
88 National Council for Civil Emergency Planning (NCCEP. Planeamenta Civil de Emergência) 2005.
Critical Infrastructure Protection in Portugal – Ranking Critical Infrastructures – the Portuguese Methodology.
89 National Council for Civil Emergency Planning (NCCEP. Planeamenta Civil de Emergência) 2005.
Critical Infrastructure Protection in Portugal – Ranking Critical Infrastructures – the Portuguese Methodology.
FFI-rapport 2007/00875 97
Figur 6.9 Eksempel på hvordan modellere avhengigheter og sannsynligheter ved hjelp av grafteori. Nodene kan representere f.eks. en sektor, infrastruktur eller et element.
Pilene mellom nodene representerer avhengigheter og deres sannsynligheter (NCCEP, 2005, ”Critical Infrastructure Protection in Portugal – Ranking Critical Infrastructures – the Portuguese Methodology”, s. 20).
Videre er det illustrert med en rekke eksempler hvordan man kan bruke matematiske algoritmer for å kalkulere sannsynligheten for at hver node skal bli berørt dersom det er oppstått forstyrrelse i en annen node.
NCCEP understreker at MCDA ikke egner seg som metode i en første fase for å komme frem til overordnede lister over hva som er mulige kritiske infrastrukturer. Dette skyldes blant annet at modellen må være forståelig for alle som skal delta i arbeidet, i tillegg til de som skal ta beslutninger. For å komme frem til tall som kan brukes for å tallfeste konsekvenser, kreves det modellering som både er tidkrevende og kostbart. MCDA vil derimot være et bra verktøy når man har kommet til en mer detaljert fase i hele prosessen og skal foreta rangeringer. Fordelene med å bruke verktøy innen MCDA er blant annet at det tilbyr en konsistent måte å aggregere score på og for å oppnå en endelig rangering for hvert alternativ.
Til grunn for å identifisere og rangere kritiske infrastruktur ligger det en 4-årig arbeidsplan som ledes og følges opp av NCCEP.90 Planen er nokså detaljert og lister opp aktiviteter som skal foregå over de fire årene, slik at man til slutt ender opp med en total gjennomgang av kritiske infrastruktur i Portugal. Et foreløpig resultat er vist i avhengighetsmatrisen i Figur 6.10:
90 National Council for Civil Emergency Planning (NCCEP. Planeamenta Civil de Emergência) 2005.
Critical Infrastructure Protection in Portugal – Workplan 2003-2007.
98 FFI-rapport 2007/00875
Figur 6.10 Eksempel på resultater fra portugisisk metode, som viser avhengigheter mellom strategiske sektorer (NCCEP, 2005, ”Critical Infrastructure Protection in Portugal – Ranking Critical Infrastructures – the Portuguese Methodology”, s. 25).
Det understrekes i metoden at denne figuren ikke er et helt ferdig produkt, men den gir en indikasjon på noe av det som vil komme ut av det portugisiske arbeidet. Dersom man ønsker å gå i dybden med enkelte sektoranalyser, er dette ett eksempel på hvordan det kan gjøres i praksis.
Det vil imidlertid stille store krav til kompetanse hos de som skal utarbeide det, i tillegg til at det vil være en tidkrevende prosess å få modellert alle forholdene.
6.10 EU – Critical Infrastructure Protection in the fight against terrorism