Digital sårbarhet og sikkerhet – Cyber security

Innhold

1. Sikkerhetsstyring, risikostyring og trusselvurderinger 
2. Sikkerhetskultur og opplæring 
3. Kryptering i praksis 
4. Sikkerhetsutfordringer i sosiale medier 
5. Sikkerhetslover-standarder og –rammeverk 
6. Sikkerhet i nettskyen 
7. Digitale angrep og hendelseshåndtering 
8. Sikker programvareutvikling  
9.  IoT- og OT-sikkerhet 
10. Etiske dilemmaer i cybersikkerhet 
11. Hendelseshåndtering, Krisehåndtering, beredskap og kontinuitet 

Studenten

• har kunnskap om sentrale begreper, prosesser, metoder og verktøy som anvendes innenfor cybersikkerhet, inkludert risikostyring, trusselvurdering, sikkerhetskultur, kryptering, sikkerhetsstandarder, skysikkerhet, digitale angrep og hendelseshåndtering, sikker programutvikling samt IoT- og OT-sikkerhet 
• har kunnskap om sentrale lover, forskrifter og forskriftskrav knyttet til cybersikkerhet, personvern og informasjonssikkerhet (f.eks. GDPR, NIS2, ISO/IEC 27001) 
• kjenner til aktuelle yrkesroller og ansvarsområder innen cybersikkerhet, inkludert drift, hendelseshåndtering, sikker utvikling og IoT/OT-sikkerhet 
• kan oppdatere sin yrkesfaglige kunnskap og holde seg orientert om nye sikkerhetstrusler og relevante teknologier, og vurdere hvordan disse påvirker eksisterende sikkerhetsløsninger 
• forstår fagområdets betydning i et samfunns-, verdiskapings- og sikkerhetsperspektiv 
• har kunnskap om etiske dilemmaer og faglige problemstillinger innen cybersikkerhet 

Studenten

• kan anvende faglig kunnskap på praktiske og teoretiske problemstillinger innen cybersikkerhet 
• kan bruke relevante verktøy, teknikker, metoder og prosedyrer for å identifisere, analysere og håndtere problemstillinger innen blant annet IoT- og OT-sikkerhet, skysikkerhet og risikostyring 
• kan finne informasjon og fagstoff for å støtte beslutninger i cybersikkerhetsarbeid, som risikoanalyser, hendelseshåndtering eller sikkerhetsforbedringer 
• kan gjennomføre sikkerhetskartlegging av systemer, nettverk og prosesser for å identifisere sårbarheter og trusler 

Studenten

• har forståelse for etiske problemstillinger knyttet til cybersikkerhet, som håndtering av persondata, overvåkning, digital integritet og ansvarlig bruk av informasjon 
• kan utføre arbeidsoppgaver og prosjekter innen cybersikkerhet, både selvstendig og i samarbeid med andre 
• kan utføre sikkerhetsarbeid og kommunikasjon til ulike målgrupper, som teknisk personell, ledelse, sluttbrukere og eksterne samarbeidspartnere 
• kan samarbeide med IT-avdelinger, utviklere, ledelse og eksterne partnere for å implementere sikkerhetstiltak og håndtere sikkerhetshendelser 
• kan utvikle og forbedre metoder for sårbarhetsvurdering, sikkerhetsovervåkning, hendelseshåndtering og risikostyring 

Mal og vurderingskriterier for arbeidskrav/avsluttende vurdering ligger på læringsplattformen.

Arbeidskrav er obligatorisk, studenten skal velge ett arbeidskrav:

1. Sikkerhetsstyring, risikostyring og trusselvurderinger 

• Grunnleggende begreper innen sikkerhet 
• Grunnleggende innføring i, samt prinsipper for sikkerhetsstyring
• Metoder for risikovurdering
• Trusselaktører og motivasjon: Statlige, kriminelle, hacktivister 
• Case-studier: Analyse av reelle hendelser  

2. Sikkerhetskultur og opplæring 

• Hva er sikkerhetskultur?: Holdninger, atferd, ledelsesforankring, bærekraftige løsninger (-ansvar)   
• Opplæringsstrategier: bevisstgjøringskampanjer, (awareness), phishing-simuleringer, øvelser  
• Motivasjon og adferdspsykologi: Hvorfor folk bryter regler, motivasjon, hvordan få sikkerhet som en naturlig del av virksomheten.   
• Måling av kultur: Spørreundersøkelser, modenhetsmodeller, Virksomhets KPI som måler sikkerhet,  
• Ledelsens rolle: Forankring og ansvar  

3. Kryptering i praksis 

• Symmetrisk vs. asymmetrisk kryptering  
• Hashing og signaturer  
• TLS/SSL og HTTPS  
• Krypteringsverktøy: GPG, VeraCrypt, BitLocker  
• Bruksområder og svakheter: E-post, lagring, kommunikasjon 

4. Sikkerhetsutfordringer i sosiale medier 

• Personvern og datadeling  
• Sosial manipulering og phishing  
• Påvirkning og desinformasjon (deepfake)  
• Sikkerhetsinnstillinger og bevisst bruk  
• Case: Analyse av kjente hendelser  

5. Sikkerhetslover-standarder og –rammeverk 

• Sikkerhetslover 
• Sikkerhetsloven   
• Digital sikkerhetslov  
• Personopplysningsloven / GDPR  
• Standarder 
  • ISO 27001 og 27002 
  • Rammeverk  
• EKOM-loven  
• Arbeidsmiljøloven (Kontrolltiltak i arbeidslivet)   
• Lov om grunnsikring   
• (EU-direktiver)   
• NSM Grunnprinsipper  
• IEC 62443  
• NIST Cybersecurity Framework  
• CIS Controls  
• Hvordan bruke rammeverk i praksis 

6. Sikkerhet i nettskyen 

• Modeller: IaaS, PaaS, SaaS  
• Ansvarsdeling mellom kunde og leverandør  
• Sikkerhetsmekanismer i skyen: IAM, logging, kryptering  
• Trusler og sårbarheter: Feilkonfigurasjons (Misconfigurations), datalekkasjer  
• Etterlevelse (Compliance) og revisjon  
• Exit strategi  

7. Digitale angrep og hendelseshåndtering 

• Typer angrep: Phishing, ransomware, DDoS, zero-days,   
• Reelle hendelse: Østre Toten, Hydro (eksempel på åpenhet), departement saken etc  
• Angrepslivssyklus: Cyber Kill Chain, MITRE ATT&CK (kjenne til)  
• Verktøy og logging: SIEM, IDS/IPS Kjenne til soc-tjenester. Innføring i de forskjellige verktøyene fra å forhindre til å detektere (eks Brannmur, backup, redundans)  
• Øvelser og simuleringer  

8. Sikker programvareutvikling  

• OWASP Top 10 for utviklere  
• Secure Software Development Lifecycle (SSDLC)  
• Sikker kodepraksis: Inputvalidering, autentisering, logging  
• Verktøy for kodeanalyse: SAST, DAST  
• DevSecOps og automatisering  

 9. IoT- og OT-sikkerhet 

•  Forskjeller mellom IT, IoT og OT  
• Typiske trusler og angrep: Mirai, Stuxnet  
• Sikring av enheter og nettverk  
• Standarder og beste praksis: IEC 62443, NIST IoT, CRA  

10. Etiske dilemmaer i cybersikkerhet 

• Etikk vs. juss: Hva bør vi gjøre vs. hva kan vi gjøre  
• Overvåking og personvern   
• Etiske hackere og ansvarlig avsløring   
• AI og automatisering i sikkerhet AI-act/KI-forordningen  
• Åpenhetsloven (etikk og menneskerettigheter i leverandørkjeden)  
• Diskusjon og refleksjon rundt dilemmaer  

11. Hendelseshåndtering, Krisehåndtering, beredskap og kontinuitet 

Grunnleggende innføring i;  

• Krisehåndtering; Krisekommunikasjon, planverk og kriseorganisasjon 
• Beredskap; Beredskapsorganisering, beredskapsplaner 
• Kontinuitet; Kontinuitetsplanlegging