– Den nye direktøren får en enklere jobb enn jeg har hatt, sier Tore Larsen Orderløkken.
Han var med å bygge opp Norsk senter for informasjonssikring (Norsis) på Gjøvik. Etter åtte år i direktørstolen går han i september over til Evry som konserndirektør med ansvaret for it-sikkerhet, kvalitet og risikohåndtering.
Søknadsfristen for hans etterfølger er 20. august.
Forøvrig gikk ikke utlysningen av stillingen helt som planlagt. Norsis presterte nemlig å gjøre denne sikkerhetstabben i utlysningsteksten.
Enklere å selge
At den nye sjefen får en enklere jobb handler ikke om at oppgavene løser seg selv.
– Da jeg tok fatt på dette arbeidet i 2006, var det vanskelig å nå frem med budskapet om å ta informasjonssikkerheten på alvor. De siste årene har truslene blitt flere og langt mer alvorlige. På den måten er det blitt enklere å selge inn budskapet, sier Orderløkken til Teknisk Ukeblad.
Les også: 17-åring erkjenner dataangrep mot norske selskaper
Penger etter press
Norsis’ hovedoppgave er å drive forebyggende virksomhet på informasjonssikkerhetsområdet.
Det startet som et forsøk i regi av Sintef i 2002 og ble en permanent offentlig-privat finansiert virksomhet i 2006.
De siste par årene har senteret fått grunnfinansiering fra Justis- og beredskapsdepartementet.
Denne kom på plass etter langvarig press fra flere hold om at en slik nasjonal instans ikke kan være avhengig av private midler fra samarbeidende it-selskaper, slik kravet fra myndighetene var de første årene.
Les også: Disse merkelige patentene gir amerikanerne hodepine
Farlig utvikling
Trenden på området er klar: Truslene blir stadig mer alvorlige fra aktører som blir stadig mer profesjonelle.
– De siste årene har vi sett en farlig utvikling. Flere aktører prøver å få tilgang til informasjon de ikke skal ha tilgang til. Trusselbildet blir spesielt skremmende ved at nasjonale myndigheter har kommet på banen. De har større ressurser til å ta seg inn digitalt for å forsyne seg med informasjon, sier Orderløkken.
Konsekvensen er at den nye Norsis-sjefen får en vanskeligere oppgave med å fortelle bedrifter, forvaltning og privatpersoner om hvordan de skal forebygge tap av verdier og informasjon.
– Fiendebildet er blitt vanskeligere å tolke ved at angripernes metoder og ressurser er blitt langt mer omfattende, sier den avgåtte direktøren.
Les også: Avdekket store feil i antiviruspakker - her bryter de seg inn i Symantec
– Egentlig en salgsjobb
Og kanskje nettopp derfor er det viktig å være en synlig frontfigur, og en som tør å si ifra når informasjonssikkerheten ikke er på stell.
– Dette er jo egentlig en salgsjobb, der produktet er informasjonssikkerhet, illustrerer han. Erfaringen er at ikke alle organisasjoner tar den biten like seriøst, og både private og offentlige virksomheter må overbevises om at tiltak må til.
– Da trenger Norsis en leder som kan selge budskapet både gjennom å håndtere mediene, holde foredrag og ved direkte beskjed til bedrifter.
Les mer: Norske bedrifter har overdreven tro på egen datasikkerhet
Politisk teft
Hvis du vurderer denne jobben, anbefaler forgjengeren at du må kjenne det politiske systemet for å påvirke utformingen av lover og forskrifter.
Innsikt i den politiske virkeligheten og å være på god fot med det offentlige apparatet er ingen ulempe.
Samtidig må du ikke være redd for å varsle med høy og kritisk røst, oppfordrer han.
– Vi har brukt både rosende omtale og kritiske røster. For vår rolle er ikke bare å være en positiv pådriver for økt datasikkerhet. Rollen må også være å si ifra hvis vi oppdager kritikkverdige forhold i en virksomhet, sier Orderløkken.
Les også: Norsk app lar deg søke i Netflix, GET og iTunes samtidig
Uten myndighet
– Men Norsis er ikke like frempå og like synlig som for eksempel Datatilsynet?
– Nei, men nå engasjerer Datatilsynet seg mer i personvern, som er mer forståelig for den enkelte. Det har også med rollene å gjøre. Norsis er ikke en myndighetsaktør, som Datatilsynet, men en privat aktør med grunnfinansiering fra det offentlige. Så vi har ikke myndighet til å sanksjonere eller ilegge foretaksstraff, som tilsynet kan, svarer Orderløkken.
Det er Nasjonal Sikkerhetsmyndighet som kan komme med med krav når det gjelder datasikkerhet.
Les også: Apper kan stjele sensitive data fra mobilen
Mer makt
– Burde senteret ha mer makt?
– Noen ganger merker jeg at det ville ha vært praktisk med litt myndighet i ryggen. På den annen side er det viktig at det er koordinerte roller mellom de ulike organene, mener den kommende Evry-direktøren
– Og vi gjør mer nytte som en uavhengig aktør. Hvis vi hadde blitt oppfattet som en myndighet som kommer for å sjekke om noe er galt, ville vi nok ikke fått den gode og åpne dialogen med dem vi skal lære forebyggende sikkerhet, mener Tore Larsen Orderløkken.
Les også:
Microsoft må gi innsyn i epost
