”Grundlæggende synes jeg, at cybersikkerhed er et område, hvor det giver mening, at kommunerne samarbejder på tværs. Jeg støtter gerne det fælleskommunale samarbejde om opbygning af en operationel cyberenhed KommuneCERT. Men min kritik går på, at det går alt, alt for langsomt med opbygningen af KommuneCERT i KOMBIT regi”. Det siger IT- og digitaliseringschef Anders Schøler Kollin, Viborg Kommune.
Anders Schøler Kollin fortæller, at han fik de første mails om KommuneCERT for tre år siden, da han var IT- og digitaliseringschef i Skanderborg. ”Og selvom der nu er gået tre år, synes jeg, at KommuneCERT i KOMBIT befinder sig på ”slideniveau” og at vi stadig lægger planer og har forhåbninger til fremtiden. Det er bare ikke godt nok”.
For tre år siden var et DDos angreb noget, der skete en gang imellem i kommunerne. Siden er antallet af angrebene bare steget og steget og det samme er trusselsniveauet.
”Cybersikkerhed var noget vi snakkede om for tre år siden. I dag står vi midt i en ubrudt kæde af angreb mod vores netværk. Det er ikke noget vi leger og snakker om. Det er en del af driften at beskytte sine data og netværk. Det er virkelig aktuelt. Det påvirker kommunikationen ind og ud til organisationen, det påvirker vores internet, vores programmer – alt som er relevant for driften i det daglige. Og det er her min reelle bekymring er. Jeg er ikke sikker på, at KOMBIT er klar til på alle 98 kommuners vegne at påtage sig ansvaret for driften af KommuneCERT i form af en egentlig SOC-tjeneste,” siger Anders Schøler Kollin.
Fælleskommunal infrastruktur
Kommunerne har bundet alle løsninger op på den Fælleskommunale Infrastruktur. Derfor bliver de også afhængige af oppetider og driften på den platform, og ”der har vi haft en række situationer med hyppige udfald på den platform, og hvor jeg synes, at det har taget lang tid at nå derhen, hvor jeg oplever, at KOMBIT forstår, hvad det er for en driftssituation, vi befinder os i,” siger Anders Schøler Kollin.
Kommunernes opgave med drift af komponenter i den fælleskommunale infrastruktur som eksempelvis Adgangsstyring og Organisation, her varetages driften af KMD, mens KOMBIT har ansvaret for at sikre, at KMD også gør det. Men når en medarbejder på et plejehjem i Midtjylland ikke kan få adgang til sit fagsystem, så ringer hun til Anders Schøler Kollin midt om natten.
”KOMBIT er megagode til at konkurrenceudsætte vores IT-systemer og indgå kontrakter med leverandørerne. Men jeg synes de mangler at levere på det, vi kalder for IT-drift – som eksempelvis drift af den Fælleskommunale Infrastruktur. De har ikke vist, at de forstår den opgave helt til bunds. Og det bekymrer mig, inden jeg lægger driften af KommuneCERT over til KOMBIT, som skal være i drift 24x7,” siger Anders Schøler Kollin.
”Jeg synes ikke KOMBIT er der endnu, og så bliver jeg bekymret, når de vil til at opbygge en KommuneCERT, hvor de også vil drive en SOC-tjeneste. Kombit har tre – om lidt fem - ansatte i enheden. Når vi i Viborg Kommune snakker med leverandører om 24x7 døgndækning inden for cybersikkerhed, har de mindst 30 ansatte bare for at kunne tilbyde døgnovervågning. Det er jo det, vi har brug for. Det er ikke et 8-16 job. Jeg synes der er langt til, at KOMBIT kan drive en KommuneCERT på den måde der er lagt op til.”
”Jeg er ikke sikker på, at det er KOMBIT, der skal løfte driften af en fælleskommunal CERT for os. Jeg synes, at den rigtige vej for KOMBIT vil være at sikre, at vi fik nogle gode fælleskommunale aftaler med et par leverandører, der kunne løfte det for kommunerne generelt,” siger Anders Schøler Kollin.
KOMBIT svarer på kritikken
”Det er nogle meget valide pointer. Når vi ser på trusselbilledet mod kommunerne, kan det kun gå for langsomt. I arbejdet med at opbygge KommuneCERT har vi stort fokus på, at kommunerne er inddraget, så vi kan levere de ydelser og produkter, de efterspørger, og det tager tid. Det er præmissen, når man laver noget i fællesskab, men det skulle også gerne stå stærkere, når vi har en operativ CERT, siger Mille Østerlund, chef for KommuneCERT”