Kapittel 18: Sårbarhet som følge av ny teknologi

Lars Strømmen er leder for operativ informasjonssikkerhet i BaneNOR og har tidligere jobbet med sikkerhet og beredskap ved NTNU, Avinor og Forsvaret både nasjonalt og internasjonalt. Han har mange års fartstid innen fagfeltet, og bred erfaring med policy- og prosedyreutvikling, opplæring, strategiutvikling og rådgiving, risikoanalyser, beredskapsplanlegging og operativ krisehåndtering.

Randi Utstrand er utdannet organisasjonspsykolog, og jobber som rådgiver innen sikkerhet og beredskap ved NTNU. Hun har erfaring med organisasjonsutvikling og -endring og har en prosessorientert tilnærming til sikkerhetskultur og risikobevissthet i organisasjoner. Hennes faglige interesser handler om individets holdninger og kompetanse i møte med organisasjonskultur og ledelse.

Denne artikkelen er hentet fra boken Teknologien endrer samfunnet utgitt på Fagbokforlaget i 2017 (ISBN 978-82-450-2297-1).

Boken kan bestilles her: https://www.fagbokforlaget.no/sok/?q=978-82-450-2297-1

En verden av nye muligheter – og sårbarheter

Norge i 2017 befolkes av «digitale immigranter» og «digitalt innfødte». Et gap i digital kompetanse skiller i dag dem som er født inn i en hverdag med teknologiske hjelpemidler og digital underholdning, fra dem som har måttet forholde seg til ny teknologi og økt digitalisering som en faktor på utsiden av egen dannelsesreise.

Felles for oss alle, både som privatpersoner og som medarbeidere i virksomheter, kan være at vi deler en noe naiv antagelse om at vår egen og virksomhetens sikkerhet er ivaretatt, og at det som eventuelt kan skje, helst treffer noen andre enn oss selv. Vi lener oss på IT-bransjens eksperter, som løser den rekken av problemer vi ikke engang visste at vi hadde. Realiteten er at sammen med ny teknologi kommer nye utfordringer og problemer som vi må ha et bevisst forhold til, slik at teknologien kan tjene oss i stedet for å bli en sårbar inngang til våre verdier.

Tingenes Internett (IoT) og kunstig intelligens (AI), digitale penger, virtuell virkelighet, stordata, plattformer og sosiale media, autonome kjøretøy mv er viktige tema som er omtalt i egne artikler på NTVAs hjemmeside. I et samfunnssikkerhetsperspektiv er det all grunn til å være bevisst på at mulighetene knyttet til digitalisering og ny teknologi også kan utgjøre risiko. Risikoen kan være representert av de teknologiske nyvinningenes utforming og anvendelsesområde i seg selv, der vi kanskje mangler tilstrekkelig grunnlag for å si noe om det er trygt før vi tar ting i bruk. Videre vil det kunne være risiko forbundet med ny teknologi i interaksjon med andre innretninger og prosesser der vi mangler både erfaring og evne til å identifisere alle sårbarheter i forkant. En annen stor risiko er at ny teknologi med grensesnitt mot det digitale verdenssamfunnet kan, dersom de blir utnyttet av noen med onde hensikter, påføre både enkeltpersoner, virksomheter og samfunnet betydelig skade. Eksperter som er i stand til å identifisere problemer vil også være i stand til å utnytte disse, og med egen vinning som formål påføre andre skade.

Her presenteres noen risikofaktorer som gjør seg gjeldende for oss idet vi anvender ny teknologi og digitaliserer samfunnet. Vi belyser sårbarheter for enkeltpersoner, virksomheter og for samfunnet generelt, og avslutningsvis reflekterer vi over hvordan sårbarheten kan minskes.

Risikobegrepet forbundet med ny teknologi

For å forstå hvilke sårbarheter som til enhver tid gjør seg gjeldende, er det viktig å ha et bevisst forhold til risiko. Risikobegrepet ble av Sårbarhetsutvalget definert som «Uttrykk for fare for tap av viktige verdier som følge av en uønsket hendelse (NOU 2000:24 – Et sårbart samfunn). Risiko uttrykkes ved sannsynligheten for og konsekvensene av en ønsket hendelse». Denne tilnærmingen til begrepet er tilstrekkelig dersom vi kun ser på uhell og utilsiktede hendelser.

Etter en utvikling som har ført til at vi ser sabotasje og ødeleggelser av maskiner og programvare, gjerninger utført av aktører som handler med forsett, har også risikobegrepet utviklet seg. Nasjonal Sikkerhetsmyndighet har definert begrepet risiko som forholdet mellom faktorene trussel, verdi og sårbarhet. I dette forstås det at trusselen er en aktør med intensjon, kapasitet og motiv for å gjennomføre en tilsiktet handling.

For å forstå risiko forbundet med ny teknologi er det viktig å se på begge typer risiko – både mot utilsiktede og mot tilsiktede hendelser. Uhell og ulykker kan inntreffe, og noen kan gjøre en feil når teknologi anvendes. Like fullt kan vi bli utsatt for hendelser som har opphav i en handling utført av noen som enten ønsker å skade oss eller er motivert av egen vinning.

Trussel eller aktør med potensiale for å gjennomføre skadelige handlinger som komponent i risikofaktorene, må forstås ut fra hvilken bakenforliggende motivasjon og intensjon den enkelte aktør innehar og hvilke kapasiteter aktøren besitter. Disse kan eksempelvis kategoriseres innen følgende grupper:

• Ungdom med programmeringskunnskap, såkalte «script kiddies»
• Betrodde enkeltpersoner eller tidligere ansatte i virksomheter
• Politisk motiverte enkeltpersoner og grupper, såkalte «hacktivister»
• Virksomheter, der innsatsen er digital industrispionasje
• Terrorister, der datateknologi benyttes til terrorhandlinger
• Andre stater og utenlandske aktører

Trusselaktørene vil søke å utnytte sårbarheter i vår relasjon til teknologien for å tilegne seg våre verdier. Verdiene kan være i relasjon til økonomi, informasjonsverdier eller i ytterste konsekvens samfunnsverdier der systemets og enkeltpersoners trygghet blir utsatt for fare.

Informasjonsverdier og tilnærming til sikring

Både som enkeltpersoner, virksomheter og som samfunn er vi eiere og forvaltere av informasjonsverdier. Informasjonsverdier kan være personopplysningene våre, som danner grunnlaget for vår digitale identitet, det kan være en virksomhets nøkkelopplysninger, det kan være forskningsdata og gryende innovasjon, det kan være digitale helsejournaler og det kan være gradert informasjon om rikets sikkerhet. Informasjonsverdiene kan finnes i flere formater, eksempelvis i digital saksbehandling og forvaltning, som digitaliserte biologiske prøver, og som lyd, bilde og video.

En forutsetning for å si at vi har blitt utsatt for et uhell, en ulykke eller blitt offer for en ondsinnet handling, er at noe eller noen har blitt skadelidende som følge av hendelsen. En vidt anvendt tilnærming til sikring av informasjonsverdier i systemer og teknologi er inndeling i tre prinsipper, som enten kan stå hver for seg eller i sammenheng med hverandre. Disse prinsippene er systemenes eller teknologiens evne til å ivareta informasjonens konfidensialitet, integritet og tilgjengelighet.

• Konfidensialitet er å legge til rette for å sikre mot at uvedkommende får kjennskap til opplysninger eller adgang til systemer.
• Integritet er å sikre at informasjon og systemers form og karakter ikke endres eller gjøres utilgjengelig for eier slik at kontekst eller funksjonalitet endres i forhold til hvordan den var ment å være.
• Tilgjengelighet er å sikre at informasjon, systemet og teknologien er til stede og anvendelig for eier og brukere.

Med en teknologisk utvikling som peker i retning av at alt er tilkoblet Internett, vil det være svært viktig å besitte grunnleggende kunnskap om hvordan vi sikrer informasjon, systemer og teknologi etter disse prinsippene. Det vi gjerne ser er at enkelte typer teknologi er utviklet og designet med funksjonalitet som grunnleggende og primær retningsgiver. Dette understøtter sjelden prinsippet om innebygget sikkerhet eller «security-by-design», og følgelig må sikkerheten ivaretas et annet sted i den teknologiske næringskjeden enn direkte på den aktuelle komponenten. Dette krever en helt annen risikobevissthet og kompetanse hos oss som enkeltpersoner, både privat og profesjonelt. Et eksempel på dette kan være webkamera. Utviklingen har ført til at de gjerne kan kobles direkte på nett der de mottar en IP-adresse automatisk. Dersom de ikke er designet for å besørge fl aspekter enn tilgjengelighet, vil alle med tilgang til det aktuelle nettet få tilgang til å kunne se bilder fra kameraet. Kobles webkameraet direkte mot Internett med en åpent tilgjengelig IP-adresse, vil det si at alle som finner den aktuelle IP-adressen kan se bildestrømmen fra kameraet. I slike tilfeller må sikkerheten legges på som et lag i nettverket slik at tilgangskontroll blir ivaretatt. Dette vil kunne bryte med intensjonen om å ha et kamera dersom det er en komponent i et system for å ivareta sikkerhetsovervåking. Videre vil det kunne være et brudd på personvernlovgivingen. Utfordringer knyttet til lover og reguleringer vil ofte være dilemma knyttet til ny teknologi, men det skal ikke utdypes nærmere her.

Sårbarhet for enkeltpersoner

Et ordtak sier at «det er ikke noe som heter gratis lunsj». Svært mye ny teknologi er rettet mot forbrukermarkedet og enkeltpersoner, hvor gratis tjenester og underholdning ofte gjøres tilgjengelig. Det er da kostnadsfritt å bruke tjenestene så lenge man aksepterer en sluttbrukererklæring som medfører at en setter deler av eget personvern til side. Her i Norge preges hverdagen av aktiviteter knyttet til det å være koblet på nett, både for å administrere eget liv, for å være sosiale og for underholdning. Vi legger fra oss digitale spor etter både hva vi bruker, når vi bruker det, hvor vi bruker det fra, hvordan vi bruker det og med hvilken hensikt. Data om brukeratferd er blitt en handelsvare, der store foretak som enten driver flere tjenester og/eller har samarbeid med andre, har store inntekter på grunn av at vi som enkeltpersoner bruker tjenestene. Ved å bruke tjenesten blir vi ikke lenger en målgruppe for tilbyderen, men vi blir selve målet. Alle større tilbydere av sosiale medier har eksempelvis store inntekter gjennom reklame og produktplassering. Innsamling, sammenstilling, analyse og prosessering av brukeres digitale adferd som del av stordata gjør det lettere å målrette reklame og tilbud om tjenester direkte mot enkeltbrukere.

For oss som enkeltpersoner og sluttbrukere skjer utviklingen innen digital teknologi og nye muligheter i et rivende tempo. Digitalisering av hjemmet er blitt en trend, og veldig mange har en eller flere komponenter som er tilkoblet nett, gjerne med mulighet for fjernstyring. Noe av det første som kom på markedet var boligalarm, der det i mange år var manuell av/på-styring og overføring av alarm via telefonlinje. Nå er trenden at vi kan gjøre det meste av handlinger og styre husalarmen fra en app på en mobiltelefon. Dersom vi ikke er opptatt av annet enn funksjonalitet og tilgjengelighet av en slik tjeneste, vil vi kunne risikere at utenforstående kommer seg inn i anlegget og slår det av. På samme vis er det, som nevnt i det innledende eksempelet, mulig å hente bilder fra privatlivet i hjemmet dersom vi ikke sikrer overvåkningskameraet vi installerte for å beskytte oss.

Løsninger for det digitaliserte hjemmet er også representert av annen teknologi. Mange hjem får TV-signalene gjennom bredbåndsnettet, og det strømmes både musikk, film og andre underholdningstjenester til PC, nettbrett, mobiltelefoner, mediespillere og rett inn i smart-TV-er. Digital styring av lys og oppvarming har etter hvert blitt utbredt, og såkalte smarte strømmålerne er installert i mange hjem. Med et mylder av smarte ting som kan kobles til nett (IoT), der de primært er utviklet for en gitt funksjonalitet, vil det også ligge risiko for at innebygde sårbarheter i disse kan bli vegen inn til å gjøre andre ting. Vi kobler gjerne opp et hjemmenettverk der alle våre smarte ting får en IP-adresse. De kan ha en innebygget logisk kjerne eller en liten datamaskin som kjører små programmer slik som DVD- og mediespillere, smart-TV-er, DAB- og Internettradioer og tidligere nevnte webkamera. Disse kan både ha fastlåst konfigurasjon eller ha mulighet til å endre funksjonalitet. Dersom vi ikke har et bevisst forhold til hvilke sårbarheter det nevnte utstyret har, og tar forhåndsregler og beskytter disse i hjemmenettverket vårt, kan de bli å anse som en åpen dør for uvedkommende inn til også andre komponenter i samme nett.

Vinningskriminalitet har i flere år vært rettet mot enkeltpersoner gjennom både e-post-svindel og direkte henvendelser over telefon. Denne formen for utnyttelse av enkeltpersoner kategoriseres gjerne som sosial manipulering, der aktøren søker å få offeret til å enten utbetale penger eller åpne sin datamaskin på slikt vis at de kan ta kontroll over den. Omfanget av slike aktiviteter er økende, og aktørene jobber systematisk med viten om at de alltid klarer å lure noen. Vegen inn er enten forlokkende tilbud om raske penger eller skremsel om at noe er forferdelig galt med datamaskinen, men dersom vi lar dem ta kontroll, skal de rette opp i dette med en gang. Konsekvensen av en slik hendelse kan være at personlige datafiler blir kopiert eller kryptert og at aktøren begynner utpressing mot offeret. Videre kan de hente personlig informasjon som de kan utnytte til ID-tyveri, de kan legge igjen programmer som logger passord til web-tjenester, og de kan til og med overta maskinen idet offeret bruker betalingstjenester.

Sårbarhet for virksomheter

Kostnader for cybersikkerhetshendelser er flere ganger forsøkt beregnet, både for virksomheter, nasjoner og globalt. I 2015 beregnet eksempelvis det britiske forsikringsselskapet Lloyds de globale kostnadene knyttet til cybersikkerhetshendelser for forretningsvirksomheter. De ble anslått å være 400 milliarder USD. Dette inkluderte både den direkte kostnaden forbundet med hendelsene, men også kostnadene i etterkant som direkte kunne identifiseres som medvirkende til påvirkning av kjernevirksomheten. Selskapet Cybersecurity Ventures har estimert at den globale investeringen i cybersikkerhetsprodukter og -tjenester totalt vil beløpe seg til én billion USD i perioden 2017–2021. I korte trekk omhandler dette å bygge sikkerhet i virksomheter, tilpasse systemer for å sikre informasjon eller forhindre uautorisert tilgang til digitale tjenester.

Virksomheter i den digitale tidsalderen har helt andre utfordringer enn bare for ti år siden. Det er et kappløp om modernisering og effektivisering. Mange virksomheter har hele verden som nedslagsfelt og har aktiviteter og operasjoner som pågår døgnet rundt. Konkurransen er ofte svært stor, og det er ofte små nyvinninger som kan gi en virksomhet et stort fortrinn. Dersom vi driver forretninger i stor målestokk både på nasjonalt og internasjonalt plan, er det viktig å både ha et forhold til modernisering av teknologi og risiko samt forholdet mellom disse.

Mye av den nyeste teknologien på markedet omfatter eksempelvis digitale administrative tjenester og kommunikasjonsteknologi. Virksomheter må ta stilling til om de skal sitte på all kompetanse og eie all teknologi selv, eller om de skal kjøpe tjenester der risikoen vil være forbundet med å flytte virksomhetskritiske informasjonsverdier i digitale løsninger som driftes av andre selskaper, gjerne i andre land. For storparten av norske bedrifter vil det siste være tilfellet. Ifølge Statistisk sentralbyrå hadde 99,4 % av norske bedrifter færre enn 100 ansatte ved inngangen til 2016. Praksisen med å kjøpe administrative støttetjenester innen blant annet økonomi- og personalsystemer og kommunikasjonsteknologi gjør små og mellomstore bedrifter sårbare. De legger kontrollen av informasjonsverdiene og inngangen til egen digital sårbarhet i eksterne hender.

I Norge har det vært flere tilfeller av at leverandører til offentlige tjenester har etablert seg i andre land eller benyttet seg av tredjepartsleverandører i utlandet. I slike tilfeller vil det være risiko forbundet både med tilgjengelighet og integritet i tjenesteleveransene. Det er nye eksempler på at sensitive norske persondata har vært tilgjengelige for mange ansatte hos utenlandske tjenesteleverandører. Dersom en teknologivirksomhet som bedriver forskning og nyskaping kjøper digitale tjenester fra leverandører i andre land, vil også de kunne bli utsatt for uautorisert innsyn i sine virksomhetskritiske informasjonsverdier.

På lik linje med enkeltpersoner er også virksomheter utsatt for sosial manipulering. De siste årene har det vært en trend at aktører, spesielt gjennom e-post, enten har virus som defineres som ransomware i vedlegg eller lurer offer til å klikke på lenker som fører til at store mengder datafiler blir kryptert og det kreves løsepenger for å få åpnet dem. Videre har det vært svært mange tilfeller av phishing, der e-post sendes med det formål å lure offeret til å gi fra seg passord, bankkontonummer eller annen sensitiv informasjon. En annen form for slik e-postsvindel er whaling, der aktøren retter angrepet mot sjefer og eksempelvis prøver å overbevise dem om å gjennomføre transaksjoner som kan virke helt legitime og se svært troverdige ut. I disse tilfellene er det ofte gjennomført en del informasjonsinnhenting om offeret og virksomheten, og det finnes eksempler på at aktører har «lånt» toppsjefens navn og rettet seg mot personell i økonomistaber med spørsmål om hjelp til å gjennomføre en transaksjon.

Virksomheters sårbarheter idet ny teknologi innføres, er i likhet med tilfellene for enkeltpersoner økende og omfattende. Teknologi for å legge til rette for elektronisk samhandling finnes i svært mange virksomheter.

Det finnes eksempler på at uvedkommende både har åpnet mikrofoner på videokonferanseutstyr eller har kommet seg inn som deltagere i elektroniske møter. Adgangskontrollsystemer har eksistert i lang tid, men det har i løpet av de siste årene utviklet seg i retning av at alle enkeltkomponenter i systemet har en IP-adresse. Systemene blir mer og mer utbygget, og det kan være svært utfordrende å ivareta forsvarlig drift og holde oversikt. Svært ofte er både adgangsgrupper og enkeltpersoners tildelte rettigheter på adgangskort med en funksjonalitet langt ut over tjenstlige behov. Dersom vi ikke ivaretar en systematisk kontroll, vil vi ende med at driftspersonell, vektere og rengjøringspersonale, eller ansatte i helt andre funksjoner, har direkte adgang til virksomhetens mest sensitive områder, som datarom, arkiver og laboratorier.

Sårbarhet for stater og samfunnssikkerheten

Direktoratet for samfunnssikkerhet og beredskap utgir regelmessige publikasjoner med Nasjonalt risikobilde, der eksempelvis langvarig bortfall av strøm utgjør en betydelig risiko. Et slikt scenario er kritisk med tanke på oppvarming, belysning og tilgang til å kunne bruke husholdningsapparater, drift av offentlige bygg, samferdsel og opprettholdelse av samfunnsviktige funksjoner. Det er heller ikke små konsekvenser av vedvarende strømbortfall når vi ser samfunnets samlede avhengighet til digitale tjenester. Nettverkene som knytter tjenestene sammen, vil også rammes. Dette kan berøre registre som eksempelvis pasientjournaler. Videre vil trafikkstyringssystemer som direkte understøtter vegtrafikk, jernbane og flytrafikk kunne bli påvirket. Bortfall av systemer for digital samhandling, der eksempelvis autentiseringstjenesten MinID har fått en svært sentral posisjon, vil føre til at et stort omfang av offentlige digitale tjenester blir utilgjengelige.

Nyvinninger innen helsesektoren muliggjør at utføring av operasjoner på mennesker kan foregå ved at kirurgen fjernstyrer en robot fra en datamaskin i ett land, og pasienten befinner seg i en operasjonssal på den andre siden av kloden. I en slik situasjon vil bare det å miste kapasitet i datanettet kunne være kritisk, for ikke å snakke om dersom en aktør med onde hensikter klarer å forstyrre eller overta styringen av roboten.

Trusselvurderinger fra Politiets Sikkerhetstjeneste og Nasjonal sikkerhetsmyndighet har pekt på at samfunnsviktige funksjoner er utsatte mål for angrep fra andre nasjoner. I dagens krigføring foregår angrepene også på den digitale slagmarken, som et supplement til mer tradisjonelle angrepsstrategier. Fremmede makter kan gjennom et eskalerende scenario og opptrapping til mellomstatlig konflikt bryte seg inn i offentlige tjenestetilbyderes digitale infrastruktur. Formålet vil ofte være å overta og overstyre funksjonalitet. Om trusselaktørene har kompetanse på systemene de bryter seg inn i, er det en åpenbar risiko for at de klarer å nå sine mål. Konsekvenser kan være at de med terror som motivasjon overstyrer prosesskontrollsystemer, setter trafikkstyringssystemer ut av drift eller i verste fall kontrollerer mekanismer som framprovoserer og forårsaker en storulykke. Vi ser at om ikke lenge kan førerløse transportmidler bli en realitet både for privatpersoner og i offentlig kommunikasjon. Faren for sårbarheter i slike nyvinninger kan fort få enorme skadefølger, og de må følgelig utvikles med svært robuste sikkerhetsmekanismer og barrierer.

Gjennom vår adferd og sosiale interaksjon på den digitale arena, kan en annen samfunnskritisk risikofaktor utkrystallisere seg og ramme vårt lands styrende organer: Norge kan som nasjon oppleve å komme i en identitetskrise dersom Norges verdigrunnlag sakte endres gjennom polariseringen i nettdebatten. Våre sosiale nettverk er i ferd med å bli til siloer, hvor en av tre sier sosiale nettverk er deres viktigste nyhetskilde. Mer enn en av fire verdsetter sine kontakters meninger høyere enn politikeres, og vår digitaliserte sosiale profil skal tjene oss mange formål, både privat og profesjonelt. Om publikum opplever økt grad av overvåkning knyttet til en eventuell opprettelse av digitalt grenseforsvar og en vegring mot å etterlate seg digitale politiske spor, kan den demokratiske åpenheten og debatten forringes. Ytringsfriheten som grunnleggende verdi for Norge som demokratisk nasjon kan derfor sies å være truet.

Hva kan gjøres for å redusere sårbarhet?

Ingen sikkerhetstiltak er hensiktsmessige dersom de kun gjennomføres «for sikkerhets skyld». I de aller fleste tilfellene vil sikkerhetsmekanismer gjøre systemer, tjenester og digitale løsninger mer komplekse, og derved bli mindre brukervennlige. Videre vil sikkerhetsmekanismene gjøre tjenester og teknologi dyrere å utvikle og å anvende. Dette vil både berøre brukerne og de som utvikler, leverer og tilbyr teknologi. Et viktig moment i et økonomisk perspektiv er utfordringen med å måle effekten av sikkerhetsmekanismer. Hvordan måles konsekvensene av en hendelse som ikke inntraff? Når dette blir vanskelig å måle, hvordan kan vi da forsvare investeringen av sikkerhetstiltakene?

Mennesket viser seg i alle tilfeller å utgjøre den største risiko, både som utvikler, som bruker av ny teknologi og som potensiell trusselaktør. Gjennom både ubevisste og overlagte handlinger kan vi sette oss selv, våre medmennesker eller arbeidsgiver i fare for å miste kontroll på informasjonsverdier og digitale systemer. Ved å ha et bevisst forhold til hvilken risiko informasjonsverdier, teknologi og digitale tjenester er utsatt for, vil vi enten som enkeltperson, en bedrift eller ansvarlig for en statlig tjeneste, kunne utvikle tilpassede sikkerhetsløsninger og risikoreduserende tiltak.

I lys av det som skal ivaretas fra et samfunnssikkerhets- og beredskapsmessig perspektiv, er spørsmålet rundt opprettelse av digitalt grenseforsvar dagsaktuell. Den digitaliserte terroren og krigføringen møtes med diskusjonen om hvorvidt nødvendig etterretning og overvåking mot identifiserte potensielle trusselaktører kan gjennomføres. Dette fordrer at vi som samfunnsborgere og enkeltpersoner må vise våre ledere den tilliten som kreves gjennom å sette deler av vårt personvern til side. I dette må demokratiske kjerneverdier som ytringsfrihet og åpenhet vernes om i et tillitsforhold mellom stat og befolkning.

I statsforvaltningen skal handlingsplaner for informasjonssikkerhet ivareta integriteten og konfidensialiteten til personopplysninger og andre virksomhetskritiske og sensitive informasjonsverdier. Handlingsplanene skal også sørge for at IT-systemene er tilgjengelige og robuste. I store virksomheter har styringssystemer for informasjonssikkerhet med internkontroll og revisjon kommet inn som et dynamisk virkemiddel for risikobevissthet og kontroll på egne informasjonsverdier.

Likevel, i møtet mellom mennesket og teknologi, er det viktigste elementet for å unngå større risiko utvikling av hver og ens digitale kompetanse. Det er helt essensielt at vi lærer oss å forstå risikomomentene og beherske aspektene av stadig nye teknologiske flater, og ikke bare den primære funksjonaliteten. Fokus på risikobevissthet, risikoreduserende tiltak og digital adferd må inn som del av den opplæringen som gis når nye digitale tjenester skal tas i bruk. Vi ser at det i samfunnet i løpet av de siste årene satses på å innføre flere tiltak for å øke den generelle digitale kompetansen på tvers av generasjoner, blant annet gjennom regjeringens strategi Digital agenda. På skolene får elevene PC og nettbrett, og de utfører arbeid og læring i digitale læringsmiljø og på webtjenester. Det gjøres konkrete tiltak for å få de eldre til å ta i bruk offentlige digitale tjenester. Om ikke lenge er «de digitale immigrantene» fullt ut erstattet av «de digitalt innfødte», som privatpersoner, i virksomheter og som digitale samfunnsborgere i en sammensmeltning av den fysiske og virtuelle virkelighet.