Vi målte den digitale sikkerheten i hele offentlig sektor — her er alle 1365

Hver dag stoler du på at en e-post fra kommunen, sykehuset eller Skatteetaten faktisk kommer fra dem — og at nettsiden du logger inn på, er ekte. Men hvor godt er egentlig norsk offentlig sektor sikret mot at noen utgir seg for dem? Avdekk har målt det. Vi har sjekket e-post- og nettsidesikkerheten til 1365 offentlige virksomheter — alle kommuner og fylkeskommuner, alle helseforetak og universiteter, statlige etater, og statlig og kommunalt eide selskaper.¹

Målingen er gjort utenfra, på informasjon som virksomhetenes egne servere kringkaster åpent, med samme metode som den internasjonale tjenesten internet.nl.² Ingen systemer er berørt. I den fullstendige oversikten kan du slå opp din egen kommune, ditt sykehus eller en etat — søkbar og sorterbar.

Slik står det til

Karakteren går fra A (best) til F (dårligst), og bildet er blandet. De aller fleste havner i midtsjiktet:

• A: 29 virksomheter
• B: 389
• C: 453
• D: 313
• F: 181

E-posten er det svake leddet

Nettsidene er stort sett i orden — nesten alle bruker kryptert forbindelse (https). Det er e-posten som svikter. Den viktigste beskyttelsen heter DMARC, og den avgjør hva som skjer med en forfalsket e-post i virksomhetens navn: blir den avvist, havner den i søppelpost, eller slipper den rett inn i innboksen din?³

Bare 35 prosent avviser forfalskning fullt ut (DMARC på «reject»). Hele 45 prosent har ingen reell beskyttelse — enten mangler de DMARC helt, eller så står den på «overvåk bare», som lar den falske e-posten slippe gjennom. I praksis betyr det at en svindler kan sende en falsk faktura eller en phishing-e-post som ser ut til å komme fra dem, uten at den stoppes.

Den forfalskede «UPS»-e-posten i toppen er et levende eksempel. Den var sendt i Skatteetatens navn, og Skatteetaten står nettopp på «quarantine», ikke «reject». Derfor ble den lagt i søppelpost og merket «ubekreftet avsender» — men ikke stoppet. Hadde Skatteetaten stått på «reject», ville mottakerens e-postserver nektet å ta imot den, og den ville aldri nådd fram.³

Enda mer umodent er MTA-STS, som tvinger e-post til å leveres kryptert: bare 6 prosent har det på plass. DNSSEC, som hindrer at noen forfalsker hvor e-posten og nettsiden skal, har 61 prosent.

Verktøyene følger med — men skrus ikke på

Handler dette egentlig om hvilken leverandør virksomhetene har valgt? Nei. Vi sjekket hvor e-posten deres faktisk driftes, og 74 prosent av alle 1365 ligger hos Microsoft (Microsoft 365). Likevel spriker sikkerheten voldsomt innenfor Microsoft-kundene: bare 37 prosent av dem har skrudd på ekte forfalskningsvern (DMARC på «reject»), 42 prosent har ingen reell DMARC-beskyttelse i det hele tatt, og bare 6 prosent har MTA-STS.⁴

Forklaringen er enkel: Microsoft leverer motoren, men hver virksomhet må selv skru på sikkerhetsutstyret i sitt eget DNS. DMARC, MTA-STS og DNSSEC er innstillinger virksomheten selv publiserer og velger styrke på — de følger med i abonnementet, men slår seg ikke på av seg selv. Forskjellen mellom en A og en F hos samme leverandør er derfor ikke teknologi, men om noen faktisk har gjort jobben.

Selskapene sikrer seg dårligst

Et tydelig mønster: de 687 statlig og kommunalt eide selskapene — kommunale energi-, renovasjons-, eiendoms- og transportselskaper og lignende — er gjennomgående svakere sikret enn eierne sine. Der kommunene i snitt får 67.7 poeng (av 100), får de eide selskapene bare 52.6. Selskaper som forvalter offentlige oppgaver, men er egne rettssubjekter, ser i mange tilfeller ut til å ha kommet kortere med e-postsikkerheten.

Toppen og bunnen

Helt i toppen finner vi OsloMet, Domstolene I Norge, Rødbølveien 26 As, Finnmark Politidistrikt, Forsvarets Forskningsinstitutt. I bunnen — med manglende e-postbeskyttelse — ligger blant andre Rogaland Kollektivtrafikk Fkf, Rødøy-Lurøy Kraftverk As, Lindesnes Havn Kf, Brenselsutsalget As, Brønnøy Havn Kf. Vil du se hvorfor en enkelt virksomhet får karakteren sin, og nøyaktig hva de bør gjøre, kan du trykke deg inn på hver enkelt fra den interaktive oversikten — der forklarer vi hvert punkt.

Hva vi målte, og hvorfor det er lov

For hver virksomhet sjekket vi seks ting på e-post — SPF, DKIM, DMARC, MTA-STS, TLS-RPT og DNSSEC — og seks på nettside: om siden tvinger kryptert forbindelse (HTTPS og HSTS), om den bruker moderne kryptering (TLS 1.2/1.3, ikke utdaterte 1.0/1.1), om sertifikatet er gyldig, om sikkerhetshead­erne er på plass, og om siden er tilgjengelig på IPv6. Alt dette er informasjon som en hvilken som helst nettleser eller e-postserver får utlevert når den kontakter virksomheten — vi leser bare det som allerede kringkastes, og bryter oss ikke inn i noe.²

Hvilke virksomheter som er med, er bestemt av Enhetsregisterets institusjonelle sektorkode — Brønnøysunds egen klassifisering av hva et organ formelt er (statsforvaltning, statlig eid, kommunalt eid).¹ Det gir en etterprøvbar avgrensning av «offentlig sektor», ikke et skjønnsmessig utvalg.

Den beste beskyttelsen er mennesker

Alt vi har målt her er teknikk — og teknikk er nødvendig, men aldri nok alene. DMARC, SPF og MTA-STS gjør det vanskeligere å forfalske en avsender, men ingen innstilling fanger alt. En svindler kan bruke et domene som ligner til forveksling, kapre en ekte konto, eller nå deg gjennom SMS, telefon eller et vedlegg. Den forfalskede «UPS»-e-posten øverst i saken nådde tross alt fram til innboksen.

Derfor er den siste — og viktigste — forsvarslinjen et menneske som vet hva det ser etter: som stusser over en uventet «betal to euro»-lenke, sjekker hvem avsenderen faktisk er før noe klikkes, og heller melder fra enn å betale. En virksomhet med toppkarakter, men ansatte som aldri har hørt om phishing, er i praksis dårligere beskyttet enn en med middels karakter og folk som er lært opp til å kjenne igjen svindel.

Både Nasjonal sikkerhetsmyndighet og internasjonale fagmiljøer understreker det samme: god teknisk konfigurasjon og jevnlig opplæring og bevisstgjøring av de ansatte hører sammen.³ Teknikken gjør jobben tyngre for svindleren; årvåkne, informerte mennesker fanger det teknikken slipper gjennom. Det ene erstatter ikke det andre.

Avdekks egen måling, gjennomført utenfra mot offentlig observerbar konfigurasjon.

1. Utvalget av virksomheter: Enhetsregisteret, institusjonell sektorkode (statsforvaltning 6100, statlig eide 1120/1510/1110, kommunalt eide 1520/3600/3900) — data.brreg.no/enhetsregisteret.
2. Metode og målepunkter følger den internasjonale standarden fra internet.nl (nederlandsk myndighets-/EU-støttet). Alt måles passivt via DNS og åpne nettforespørsler.
3. Forklaring av SPF, DKIM, DMARC og MTA-STS: se Avdekks interaktive oversikt, der hvert punkt forklares, samt Nasjonal sikkerhetsmyndighet (NSM) sine råd om e-postsikkerhet — nsm.no.
4. Hvilken e-postleverandør hver virksomhet bruker: Avdekks egen måling, MX-oppslag i DNS kryssjekket mot e-postsikkerheten for alle 1365 virksomhetene.