Hva er Nasjonal sikkerhetsmyndighet (NSM)? Her finner du råd om digital sikkerhet

Du får en SMS som hevder at BankID må bekreftes med én gang, eller en e-post som sier at noen har logget inn på kontoen din. Skal du trykke på lenken, ringe avsenderen eller lete etter råd hos Nasjonal sikkerhetsmyndighet? Det viktigste er å ikke handle i hastverk: åpne tjenesten via en adresse du kjenner, ikke oppgi passord eller engangskoder til andre, og kontakt banken direkte dersom BankID eller penger kan være berørt. For mer varige sikkerhetstiltak finnes det pålitelige, gratis veiledere fra norske fagmiljøer.

Kort forklart: Nasjonal sikkerhetsmyndighet (NSM) er Norges direktorat for nasjonal forebyggende sikkerhet. NSM gir råd, fører tilsyn og bidrar til at Norge kan forebygge og håndtere alvorlige sikkerhetstrusler. Gjennom Nasjonalt cybersikkerhetssenter (NCSC) har etaten også en sentral rolle i håndteringen av alvorlige digitale angrep. NSM er derimot ikke en generell kundeservice for passord, mobilapper eller alle svindelmeldinger. Riktig kontaktpunkt avhenger av hva som har skjedd.

Hva gjør Nasjonal sikkerhetsmyndighet?

NSMs oppgave er å bidra til å beskytte informasjon, systemer og infrastruktur som er viktige for nasjonal sikkerhet. Arbeidet omfatter blant annet rådgivning, tilsyn, testing og koordinering ved alvorlige cyberoperasjoner. Etaten forklarer selv oppdraget på siden «Dette er NSM». Her fremgår det også at NSM arbeider sammen med andre sikkerhets- og etterretningstjenester, men har sitt eget ansvarsområde.

For vanlige innbyggere er det nyttig å kjenne til NSM fordi etatens faglige råd kan brukes til å sikre kontoer og utstyr. For en bedrift eller offentlig virksomhet er NSMs anbefalinger også et utgangspunkt for å organisere et mer systematisk sikkerhetsarbeid. Den nasjonale rollen betyr ikke at NSM automatisk etterforsker hver enkelt bedragerisak eller kan stenge en privat konto på dine vegne.

Hvor finner du pålitelige råd om digital sikkerhet?

NSMs grunnprinsipper er særlig rettet mot virksomheter. Versjon 2.1 er den versjonen som er angitt på NSMs publiserte oversikt, med oppdateringsdato 28. oktober 2024. Privatpersoner trenger vanligvis ikke lese hele rammeverket for å ta de første grepene. Begynn heller med praktiske råd om passord, svindel og sikring av mobiltelefonen.

Slik blir du tryggere på nett – fra enkleste grep til mer grundig sikring

1. Kontroller avsender og nettadresse før du gjør noe

En falsk melding kan ligne kommunikasjon fra banken, et leveringsselskap eller en offentlig etat. Særlig bør du reagere hvis du blir bedt om å handle umiddelbart, åpne et vedlegg, oppgi en engangskode eller logge inn via en ukjent lenke. Selv et kjent avsendernavn i SMS eller e-post er ikke nok til å bekrefte identiteten. Gå i stedet til nettstedet ved å skrive inn den kjente adressen selv, bruke en lagret favoritt eller åpne den offisielle appen.

På Nettvetts veileder om å vurdere nettsteder beskrives hvordan falske adresser kan etterligne et ekte domenenavn. Husk at hengelåsen i nettleseren eller «https» alene ikke beviser at en side er legitim; også svindelsider kan ha kryptert forbindelse.

2. Sikre e-postkontoen og de viktigste innloggingene

Velg et langt og unikt passord til hver viktig tjeneste. Hvis det samme passordet brukes både på e-post og i en nettbutikk, kan en lekkasje hos én tjeneste gi en angriper mulighet til å prøve det samme passordet andre steder. En passordbehandler kan hjelpe deg med å lage og lagre forskjellige passord. Slå på tofaktorautentisering eller annen sterk innlogging der tjenesten tilbyr det. NSM anbefaler nettopp unike passord og tofaktorautentisering for enkeltpersoner.

Begynn med e-postkontoen: Den brukes ofte til å tilbakestille passord på andre tjenester. Sjekk også gjenopprettingsadresse og telefonnummer, og avslutt eventuelle innloggede økter du ikke kjenner igjen dersom kontotjenesten har en slik oversikt. Har du grunn til å tro at et passord er på avveie, bør det endres fra en enhet du stoler på. Prioriter også andre kontoer der passordet er gjenbrukt.

3. Oppdater mobil, datamaskin og apper

Oppdateringer kan lukke kjente sikkerhetshull. Aktiver automatiske oppdateringer der det passer, og se etter utestående oppdateringer i operativsystemet, nettleseren og appene du bruker mest. Installer programvare gjennom betrodde kanaler. Bruk en skjermlås som andre ikke lett kan gjette, og vurder ansikts- eller fingeravtrykkslås som et tillegg der enheten støtter det.

For mobilbrukere har NSM publisert 13 råd for bedre sikkerhet på mobile enheter. Noen punkter er skrevet med arbeidslivet som utgangspunkt, men anbefalingene om oppdateringer, skjermlås og beskyttelse av informasjon er også relevante privat. Hvis telefonen ikke lenger får sikkerhetsoppdateringer, bør du undersøke om den bør erstattes.

4. Ta sikkerhetskopi av det du ikke vil miste

Beskyttelse handler ikke bare om å holde uvedkommende ute. Du må også kunne få tilbake bilder, dokumenter og viktige filer hvis en enhet svikter, blir borte eller rammes av skadevare. Bruk en betrodd skyløsning eller en separat lagringsenhet, avhengig av behov. En kopi som alltid er tilkoblet og tilgjengelig for samme konto, kan selv være sårbar dersom denne kontoen blir overtatt. Test derfor at du faktisk kan hente frem noen filer fra kopien. NSM understreker betydningen av både sikkerhetskopiering og gjenoppretting i sine råd mot digital utpressing, primært rettet mot virksomheter.

Hva gjør du dersom du allerede har trykket på en mistenkelig lenke?

Det riktige neste steget avhenger av hva som skjedde. Å åpne en lenke betyr ikke nødvendigvis at kontoen din er overtatt, men det er heller ikke grunn til å ignorere situasjonen dersom du har gitt fra deg opplysninger eller installert noe.

• Du åpnet bare nettsiden: Lukk siden uten å oppgi informasjon. Hvis du lastet ned eller kjørte noe, undersøk enheten med oppdatert sikkerhetsprogramvare og søk hjelp ved tegn på kompromittering.
• Du skrev inn passord: Gå direkte til den ekte tjenesten og bytt passordet. Bytt også på andre steder der det samme passordet er brukt, aktiver tofaktorautentisering og kontroller innloggingsaktivitet der dette er mulig.
• Du oppga BankID-informasjon eller godkjente en ukjent innlogging: Kontakt banken umiddelbart via dens offisielle kanal. BankID sier at du skal avvise godkjenninger du ikke selv har startet, og kontakte banken raskt ved mistanke om misbruk.
• Penger er overført eller identiteten er misbrukt: Ring banken straks for å forsøke å stanse videre tap. Politiet anbefaler rask anmeldelse av bedrageri og ID-tyveri.
• Det gjelder jobbens konto eller utstyr: Meld fra til IT-ansvarlig eller sikkerhetsansvarlig etter virksomhetens rutiner, også om du er usikker på skadeomfanget.

Du kan ta vare på e-poster, meldinger, tidspunkt og annen relevant dokumentasjon uten å spre mistenkelige lenker videre. Ikke send passord eller sensitiv informasjon i en vanlig e-post for å få hjelp.

Når skal NSM eller Nasjonalt cybersikkerhetssenter varsles?

NCSC er en del av NSM og håndterer alvorlige digitale hendelser på nasjonalt nivå. Ifølge NSMs veiledning om varsling skal virksomheter som omfattes av sikkerhetsloven, varsle om relevante sikkerhetstruende hendelser og brudd. NSM oppgir telefon 02497 til NCSC ved akutte digitale hendelser og datainnbrudd. Denne informasjonen er særlig aktuell for virksomheter, og ansvarsdelingen mot sektorvise responsmiljøer må følges.

Som privatperson kan du også varsle NSM om observasjoner som du frykter kan skade nasjonale sikkerhetsinteresser. Men ved en vanlig falsk SMS, tap av bankmidler eller en overtatt privat brukerkonto bør du normalt først kontakte tjenesteleverandøren, banken eller politiet. Ved akutt fare for liv og helse gjelder nødnummeret 112. NSMs varslingsside bør brukes for oppdaterte opplysninger om riktig kanal og hvilken informasjon som skal oppgis.

Sjekkliste: Har tiltakene dine virket?

• Kan du åpne bankens og andre viktige tjenesters nettsider uten å følge en lenke fra en ukjent melding?
• Har e-post, BankID og andre viktige kontoer forskjellige passord, og er ekstra innloggingsbeskyttelse aktivert der det tilbys?
• Er telefon, datamaskin, nettleser og viktige apper oppdatert?
• Har du kontrollert kontogjenoppretting og eventuelle ukjente innlogginger?
• Har du en sikkerhetskopi som du har prøvd å gjenopprette en fil fra?
• Vet du hvem du skal ringe hvis BankID misbrukes, og hvor du finner politiets anmeldelsestjeneste?

Hvis du kan svare ja på punktene, har du etablert flere viktige barrierer. Det er ingen garanti mot alle angrep, men risikoen og skadevirkningene kan reduseres. Start gjerne med ett konkret tiltak i dag: sikre e-posten din, aktiver en ekstra innloggingsfaktor eller ta en fungerende sikkerhetskopi. For bakgrunn om nasjonal sikkerhet og råd til virksomheter er NSM rett kilde; for spørsmål om praktisk nettvett er NorSIS og Nettvett ofte et enklere sted å begynne.