Oljedirektoratet feilrapporterte om sin egen datasikkerhet | Sløseri- og idiotikartet · Sløseri- og idiotikartet
IT-prosjekterwarningIdioti
location_onStavanger, Rogaland
calendar_today2019
Oljedirektoratet feilrapporterte om sin egen datasikkerhet
Oljedirektoratet forvalter politisk-, børs- og forretningssensitiv informasjon om norsk sokkel. Riksrevisjonen ga to «sterkt kritikkverdig»-vurderinger: IKT-systemene hadde svakheter uvedkommende kunne utnytte, og direktoratet feilrapporterte om sikkerhetstilstanden til departementet.
calendar_todayPublisert: 9. juli 2026
Verifisert
menu_bookKilder: 2 dokumenter
Type sak
Uten prislappDenne saken handler om et vedtak eller en avgjørelse – ikke et konkret kronebeløp.
Idioti-poeng75Hårreisende
Status og kontroll
PublisertVerifisert
Fakta
Oljedirektoratet feilrapporterte om sin egen datasikkerhet — tilsynet fant svakheter som «uvedkommende kunne utnytte», og direktoratet ga departementet et feilaktig bilde av sikkerhetstilstanden.
Tallene i saken
Virksomhet: Oljedirektoratet (skiftet navn til Sokkeldirektoratet i 2024)
Tilsyn: Riksrevisjonen, Dokument 1 (2019–2020)
År for kontrollen: 2018 (rapportert i 2019)
Kritikk: To forhold vurdert som «sterkt kritikkverdig»
Risiko: IKT-systemene hadde konkrete svakheter som «uvedkommende kunne utnytte»
Mottaker av feilrapportering: Olje- og energidepartementet
Beløp: 0 kr
Sted: Stavanger, Rogaland
Hva skjedde
Riksrevisjonen kontrollerte Oljedirektoratets arbeid mot dataangrep for budsjettåret 2018. Konklusjonen var todelt: direktoratet hadde et grunnlag for systematisk sikkerhetsarbeid, men gjennomføringen manglet der det teller mest. IKT-systemene hadde konkrete svakheter som uvedkommende kunne utnytte — og i tillegg ble sikkerhetstilstanden feilrapportert videre til departementet.
Hvor alvorlig er dette?
At en etat som forvalter politisk-, børs- og forretningssensitiv informasjon har systemsvakheter, er alvorlig i prinsippet. Riksrevisjonen valgte det sterkeste kritikknivået, «sterkt kritikkverdig», for både sårbarhetene og for feilrapporteringen. Feilrapportering betyr at beslutningstakere fikk et for godt bilde av situasjonen — det svekker muligheten til å prioritere og styrke beredskap der det trengs.
Samfunnskostnadene — hva kan gå galt
Selv om denne saken ikke handler om et konkret økonomisk tap (Beløp: 0 kr i denne framstillingen), kan svak IKT-sikring gi andre typer kostnader:
Tap av tillit hos markeder og partnere når sensitiv informasjon forvaltes av en sårbar etat.
Forsinket eller feil beslutningsgrunnlag for myndigheter som baserer seg på riktige risikovurderinger.
Økt risiko for at innsyn og manipulering rammer politisk eller kommersielt sensitive opplysninger.
Disse kostnadene må vurderes kvalitativt; rapporten dokumenterer svakheter og feilrapportering, men ikke konkrete utfall av et angrep.
Gir tiltaket reell effekt eller bare flytter problemene?
Riksrevisjonen skriver at det fantes et grunnlag for systematisk arbeid, men at gjennomføringen sviktet. Det tyder på at endringer i styringsdokumenter alene ikke er nok — uten gjennomførte tiltak forblir sårbarhetene reelle. Feilrapportering videre til departementet kan dessuten bety at eventuelle forbedringstiltak ikke ble prioritert, så problemet kan ha blitt forskjøvet framfor løst.
Helhetlig livssyklustenkning for IKT: innkjøp, drift, oppdateringer og avvikshåndtering.
Samspill med andre samfunnskritiske aktører om felles trusselbilde og informasjonssikkerhet.
Langsiktige tiltak for å sikre at rapportering til departementet er rettvisende og verifiserbar.
Bedre alternativer
Fokus på dokumenterte gjennomførte tiltak, ikke bare styringsdokumenter: målbar oppfølging og etterprøvbare kontroller.
Uavhengig ekstern revisjon av IKT-sikkerheten og av rapporteringslinjene til departementet.
Bedre øvelser og scenariotesting som viser om «grunnlaget» faktisk tåler et reelt angrep.
Konklusjon: At Oljedirektoratet både hadde sårbare systemer og feilrapporterte til departementet er urovekkende — endring av navn til Sokkeldirektoratet gjør ikke sårbarhetene tryggere.
SATIRE-MERKET
comedy_mask
Med et glimt i øyet
Direktoratet som sitter på Norges mest verdifulle industrihemmeligheter, hadde både hull i sikkerheten og rapporterte oppover at alt var i skjønneste orden. To ganger «sterkt kritikkverdig» – én for hullet, én for å si at det ikke fantes.
Nok en gang viser våre undersøkelser at samfunnskritiske institusjoner ikke sikrer seg godt nok mot dataangrep. Dette kan få alvorlige konsekvenser og er sterkt kritikkverdig.
