WEBVTT 00:00.031 --> 00:03.912 [Automatisk tekstet av Autotekst med NB Whisper. Kan inneholde feil.] Så 00:04.112 --> 00:18.396 den obligatoriske KI-sliden kommer med KI og tar oss. Svaret er vel ikke ennå, men ganske snart. Vi ser stadig mer feilfri tekst. Når noen sender 00:18.516 --> 00:30.001 Fishing-appos, er det mye lettere å skrive perfekt norsk før. Det er også lettere å tilpasse seg stil og sjargong. For de som har en hverdag 00:30.041 --> 00:39.707 hvor de bruker e-post til vanlig saksbehandling ... Hvis noen hadde fått tak i noen av de e-postene og klarte å etterligne språket ditt, hvor 00:39.767 --> 00:47.993 mange er det som dobbeltsjekker at den e-posten hvor noen ba deg gjøre noe du vanligvis blir bedt om å gjøre, kommer fra den som sendte den, og 00:48.033 --> 00:57.395 ikke er en lure-e-post? Og en del manuelt arbeid kan jo nå automatiseres. Så det 00:57.875 --> 01:09.201 kommer nok en del ting der. Men du trenger ikke jagerfly hvis du kan klare deg med en sprettert. Angriperne hopper fortsatt over gjerdet hvor det 01:09.221 --> 01:20.704 er lavest. I forrige uke var det Lyd og Bilde i Norge som var hacka. Angrepet var å vise en tekstboks som ga instruksjoner til at du skulle 01:20.764 --> 01:30.871 åpne run-feltet på vinduet og lime inn en tekst og trykke enter. Da lurer angriperen brukeren til å kjøre kode på maskinen. Det er lettere å 01:30.931 --> 01:34.073 skrive den instruksjonen enn å gjøre angrepet teknisk. 01:37.975 --> 01:41.658 Men når kommer de og tar oss, da? Det er også et ganske godt spørsmål. 01:46.592 --> 01:51.033 KI er bare et nytt verktøy og kan endre balansen. Men vi vet ikke helt hvor det bikker ennå. 01:54.134 --> 02:05.816 Open AI, som står bak ChatGPT, jobber med et prosjekt som heter ArdVark. Afrikansk for jordsvin, tror jeg. Det er en som lever på bugs. Men da har 02:05.836 --> 02:11.057 de brukt sin teknologi til å lage et fullt maskineri som leter etter sårbarheter i programvare. 02:16.178 --> 02:26.564 Rigger opp, prøver å utnytte sårbarhetene, lager patcher og kjører det i en loop. Så det fungerer som et team med gode sikkerhetsforskere. Hvis 02:26.584 --> 02:36.929 de får det til å gå, så kan det jo gå begge veier. Havner det i hendene på noen, kan de finne sårbarheter og angripe verden. Og bruker de på den 02:36.989 --> 02:40.091 snille sida, kan du tette igjen sikkerhetshull veldig fort. 02:43.550 --> 02:54.816 Open Source-prosjekter pro bono, så de kan få rydda opp i sårbarheter. Men som igjen kan bikke balansen på et annet sted. Og så har du kanskje 02:54.856 --> 03:00.739 noen få stakkars utviklere som plutselig får inn rapporter med hundrevis av feil. Så er det ikke sikkert de har fritid nok til å fikse 03:00.759 --> 03:03.500 det. Det kommer også noen open source-varianter. 03:08.980 --> 03:21.082 Så er det også ting som clode code og kodeks. Codex er fra OpenAI. Det er verktøy for å programmere som tar vanlig programmering med KE et hakk 03:21.122 --> 03:31.664 videre. I stedet for at du sitter og skriver tekst og får ut tekst du må lime inn, så gjør denne det mer automatisk. Da kan du beskrive tekstlig 03:31.684 --> 03:33.284 hva du vil den skal kode for deg. 03:36.925 --> 03:48.326 Nå er jeg ferdig med programvaren. Det gjør det lettere for angripere å lage kode og for sikkerhetsfolk å lage kode for å beskytte seg. En ganske 03:48.386 --> 04:00.394 spennende tid vi går inn i. Deepfake, lyd og bilde, nevnte jo Gard. Der har det vært en del hendelser. For ikke lenge siden snakka de fra DNB. Der 04:00.414 --> 04:11.203 hadde det vært lagd en deepfake-video av direktøren for DNB, som var med i et Zoom-møte. Det var brukt en gammel video. Og det var med gammel 04:11.223 --> 04:14.268 teknologi. Så hvis du begynner med nyere teknologi, kan man bli lurt. 04:19.585 --> 04:30.471 Et annet spørsmål er om anonyme data vil forbli anonyme. Med de enorme mulighetene som KI gir, har du en del gamle antakelser som ikke er sant 04:30.511 --> 04:39.697 lenger. Du anonymiserer et datasett, fjerner indikatorer og tenker at det er avidentifisert. Og så kan du plutselig sette inn en maskin og si at 04:40.217 --> 04:41.558 han finner noen datapunkter. 04:47.041 --> 05:01.931 Kanskje kan KI lage nye og gode nok datasett. Kan trene en KI på hele befolkningen og få samme demografi? Og så har det plutselig skapt noen 05:01.951 --> 05:06.093 nye muligheter til å kunne forske på data som ikke er persondata i det hele tatt. 05:09.976 --> 05:21.781 Ja. Nye sikkerhetsutfordringer. Det er vel mye av det samme gamle. Noe jeg ikke har nevnt, er hvis du plutselig får et maskineri som den glode 05:21.801 --> 05:32.327 code som kan utnytte sårbarheter ... Og utnytte alle sårbarhetene dine. Vanligvis har man sagt at en angriper må finne ett hull, mens en som 05:32.427 --> 05:39.792 forsvarer et nettverk, må tette igjen alle. Og hvis den som angriper deg, kan prøve å finne alle hullene og utnytte de samtidig, så kan det bli 05:39.812 --> 05:43.496 ganske utfordrende. Så skal vi se hvordan den ligger an på tid. 05:47.858 --> 05:57.705 Da kan jeg hoppe litt om hvorfor opplæring er viktig. Det er kanskje litt selvsagt på et universitet, men vi løfter gulvet. Vi har et 05:57.745 --> 06:08.894 minimumsnivå. Alle har hørt om noe, i hvert fall. Og de vet hvor de skal gå hvis det er ting de ikke får av den opplæringen. Sluttbrukeren er blitt 06:08.914 --> 06:17.138 den nye brannmuren der tekniske løsninger ... Brannmur og antivirus hørte man for 10-20 år siden at skulle fikse alle problemer. Der er det 06:17.178 --> 06:26.648 sluttbrukeren som må være den første skansen. Så er det å finne en balanse. For teknologien gir fantastiske nye muligheter. Du kan gjøre 06:26.688 --> 06:35.958 ting mye fortere. Og så ofte løper teknologien litt fortere enn opplæring. Enn man tenker på opplæring eller sikkerhetstingene 06:35.998 --> 06:36.258 etterpå. 06:40.002 --> 06:49.126 I forrige uke var det en alvorlig sårbarhet i et bibliotek som heter React. Det er et bibliotek som Facebook har lagd for å lage fancy 06:49.146 --> 06:54.828 nettsider. Den fikk en score ti av ti. Det gikk en bølge gjennom hele sikkerhetsverdenen. 06:56.709 --> 07:03.912 Problemet er at når mange har begynt å kode med KI, så veit de ikke engang at de bruker det i biblioteket. Og da har du et problem. 07:09.668 --> 07:22.032 Siste slides. Spådommer for 2026. Jeg vil tro at antall sårbarheter vil øke. Den er ganske lett og ingen bombe. Antall hendelser som skyldes 07:22.092 --> 07:33.216 umoden bruk av KE, tror jeg også vil øke. Vi har sett noen i media med Tromsø kommune og andre sårbarheter. Når KE gjør det lettere å kode, 07:33.256 --> 07:41.816 gjør også at en del som kanskje ikke burde kode, begynner å kode. Det holder sånne som meg med jobb en stund til. Geopolitiske endringer. Vi 07:41.856 --> 07:52.939 setter IT-ene med press. Kan vi stole på skytjenestene? Hvor har vi dataene våre? Hvordan vil det her endre seg? Begynner teknologi og 07:52.999 --> 08:01.702 produkter å bli brukt mer som et politisk pressmiddel? Klarer Europa å være uavhengig av de store amerikanske IT-gigantene? Det er gode 08:01.762 --> 08:12.507 spørsmål som jeg ikke har så veldig mye gode svar på. Det er jo et punkt der òg som er litt sånn ... Tankekors innafor sikkerhetsverdenen. At det 08:12.967 --> 08:22.952 kommer stadig færre rapporter om hacking fra Kina og Russland og andre statlige aktører. Og så spekuleres det i om det er en del firmaer som får 08:23.012 --> 08:32.396 så mye økonomiske interesser at de er redd for å erte på seg noen. Så når det blir litt stille, foregår det en del ting som foregår under det vi 08:32.456 --> 08:43.500 ser. Supplychain-angrep kommer til å komme. Litt teknisk begrep. Verdikjedeangrep. Hvis du programmerer noe, bruker du ofte mange 08:43.540 --> 08:45.341 komponenter. 08:46.702 --> 08:55.988 Hvis noen plutselig har en sårbarhet i en av de komponentene, klarer du da å ha oversikt over hvor det er? Hvis en baker plutselig får vite at én av 08:56.028 --> 08:58.890 melposene var giftig, klarer du å finne igjen alle kakene med mel i? 09:02.630 --> 09:11.258 Og så vil det komme mer fishing. Yes, det var det jeg hadde. Da setter jeg ordet over til Linn Karine. 09:18.684 --> 09:20.826 Ja, hallo. Jeg er på. Supert. 09:24.010 --> 09:31.638 Da skal vi hjelpe dere i gang med grunnkurset i personvern og yttersikkerhet. Eller jeg skal hjelpe dere i gang. 09:36.228 --> 09:47.557 Dere finner kurset vårt i Canvas, altså UiOs læringssystem. Kanskje best kjent blant studenter og undervisere. Men nå skal altså alle 09:47.637 --> 10:00.368 ansatte inn i Canvas og ta kurset vi har laget. Alle ansatte skal ha fått en lenke på e-post. Og våre framtidige kollegaer kommer også til å få en 10:00.428 --> 10:12.093 lenke på e-post i forbindelse med at deres brukerkontoer opprettes. Den norske versjonen av kurset er direkte tilgjengelig i Canvas. Så 10:12.474 --> 10:23.420 bare logg inn, så skal den ligge der på dashbordet deres. Har man behov for den engelske utgaven av kurset, så er det noen flere steg. Men de er 10:23.480 --> 10:38.381 beskrevet godt på informasjonssiden for kurset. Den ser omtrent sånn ut. Og blar man litt ned, vil man finne knappen som tar deg direkte til 10:39.022 --> 10:49.314 kurset. Når du kommer inn i Kanvas, så ser det omtrent sånn ut. Her har jeg både den norske og den engelske utgaven. Men kurset skal ligge på 10:49.354 --> 10:51.937 dashbordet deres, og det er bare å ta det. 10:56.272 --> 11:07.342 Det er som nevnt et ganske kort kurs. 20-30 minutter skal det ta. Det består av tre hovedmoduler, fem inkludert innledning og avslutning. 11:07.983 --> 11:20.774 Og så er det en quiz på slutten av hver av de tre hovedmodulene. Det er deltekst, noen videoer med lyd, og så har vi noen illustrasjoner. Og 11:20.934 --> 11:27.700 navigering gjør man nederst under teksten, eventuelt i menyen på høyre side. 11:30.682 --> 11:41.151 Så har vi jo vært litt rundt og informert om dette kurset. Og det har dukket opp noen spørsmål, så vi kan ta de stilte spørsmålene med en gang. 11:43.093 --> 11:54.615 Har min gjennomføring blitt registrert? Det lurer mange på. Det registreres jo i den delen av DFØ som ledere og HR-personell har tilgang 11:54.675 --> 12:06.340 til. Så det betyr at hvis du vil være helt sikker på at det er registrert på rett sted, kan du spørre nærmeste. Hvis du nå er leder og tenker 'oi, hvor 12:06.460 --> 12:17.002 sjekker jeg det' ... Så har vi vært rundt og informert om dette på flere møter, bl.a. i HR-ledernettverket og nettverk for administrative 12:17.062 --> 12:28.544 ledere, mener jeg det heter. Spør noen som har vært der, så får dere hjelp til å finne fram til det. Hvis ikke ville jeg bare hatt tillit til at det er 12:28.584 --> 12:29.005 registrert. 12:33.787 --> 12:46.190 Ja. Erstatter dette kurset eksisterende kursopplegg? Det er det noen som lurer på. Og svaret på det er jo nei. Dette er et grunnkurs 12:46.230 --> 12:55.532 obligatorisk for alle. Men det er fortsatt høyst relevant å ta relevante fordypningskurs avhengig av deres rolle. For folk har 12:55.572 --> 13:03.854 forskjellige roller, man har behov for forskjellig kompetanse. Og det kan jo være vedtatt andre kurs obligatorisk lokalt på deres enhet. Så 13:04.214 --> 13:06.715 det må dere fortsette å ta. 13:10.507 --> 13:26.957 så er folk opptatt av sanksjoner. Og det har vi jo snakket litt om. Og da må man bytte passord én gang i uka fram til man har tatt kurset. Nei da. 13:27.157 --> 13:38.461 Vi har tillit til at folk tar kurset uten mer om og men. Så vi håper at det skal gå veldig bra. Og så rapporterer vi gjennomføringsgraden til 13:38.541 --> 13:48.507 enhetene til styret. Sånn at vi har incentiver her til å gjøre det bra likevel. 13:48.607 --> 14:00.034 Så da tenkte vi kanskje vi skulle ta en smakebit på hva vi har i vente. Vi har gjort et lite utvalg fra delen som heter Enkle sikkerhetsregler 14:00.114 --> 14:09.706 alle kan følge. Sikkerhetsregel nummer én.: : Klassifiser informasjon og lagre den riktig. Jeg håper mange er kjent med 14:09.766 --> 14:20.713 klassifiseringsguiden fra før. Som Vilde og Espen var inne på, Ujo har enorme mengder data. Og da har vi alt fra de dataene vi publiserer åpent 14:20.753 --> 14:35.022 på nettsidene våre, til store datasett med sensitive opplysninger som vi lager i. For å hjelpe ansatte og studenter med å plassere 14:35.042 --> 14:44.487 informasjonen riktig, avhengig av informasjonens beskyttelsesbehov, har vi denne guiden. Basert på klassifikasjonen 14:44.507 --> 14:58.832 til dataene har vi lagringsguiden og delingsguiden, som viser hvor man kan lagre og dele data, avhengig av hvor sensitiv dataen er. Og jeg kan 14:59.133 --> 15:08.565 legge til at tjenestekatalogen også er veldig nyttig å navigere i. Hvis man lurer på hva slags tjenester man kan ta i bruk. Så les disse guidene. 15:08.846 --> 15:11.770 Ha et aktivt forhold til dem. Det er veldig nyttig i arbeidshverdagen. 15:14.369 --> 15:25.212 Ta passord på alvor. Ha sterke, unike passord på kontoer der du har informasjon av betydning. Og det vil jo da naturligvis gjelde din 15:25.692 --> 15:37.748 UJO-konto. Er du usikker på hvordan du lager et sterkt passord, så fins lenke til UJOs passordguide i kurset. Vi har tofaktor på UO-kontoene 15:37.768 --> 15:47.254 våre, og det er et nyttig tiltak. Men det finnes phishing som også omgår tofaktor, ved å lure deg til å gi fra deg både passordet ditt og 15:48.094 --> 15:52.857 tofaktor-antentiseringen din. Så vær våkne, er budskapet. 15:56.725 --> 16:01.813 Pass på enhetene dine og lås skjermen. Men hvis du lukker igjen PC-en, så låser den seg. Så det kan dere jo teste ved anledning. 16:09.483 --> 16:21.912 Det lønner seg derfor å lære seg hurtigtastene. Og så vil jeg bare minne alle på å passe på enhetene sine. Vi ser jo bølger av tyverier, og det er 16:21.972 --> 16:28.237 faktisk bare en liten tur på toalettet som skal til før den PC-en er borte, så lås kontorene deres for all del. 16:32.360 --> 16:36.503 Og flere enkle sikkerhetsregler finner dere i kursen. 16:39.520 --> 16:53.224 Så tenkte jeg å ta en liten status. Hvordan ligger vi egentlig an her? Vi har snakket om 7000 ansatte. Jeg hører litt forskjellige tall. Men her 16:53.284 --> 17:04.528 var vi, ca. i hvert fall, på fredag. 1890 ansatte har tatt kurset. Og så håper vi at dette tallet vokser raskt fram til vi når taket på antall 17:04.648 --> 17:13.308 ansatte Og så håper jeg alle som har møtt opp her i dag, vil være gode ambassadører for kurset og oppmuntre kollegaer til å ta det. 17:16.350 --> 17:22.912 Ja. Hvis dere vil komme i kontakt med oss, så kan dere gjøre det på behandlingsansvarlig.no. 17:24.173 --> 17:36.686 Da vi tar tilbakemeldinger på både kurset og ... Ja. Sikkerhets-Simen og hva enn det måtte være, har tilbakemeldinger til. Og da er det deg 17:36.726 --> 17:36.927 igjen. 17:46.596 --> 17:58.428 Ja, tusen takk til dere tre som pratet. Da er det på tide å skryte litt. Jeg sa 'god jul' i sted, så hva skal man si da? Jo, Arne og Ragnhild sa at ... 18:00.959 --> 18:10.647 Vi er veldig flinke. Jeg var inkludert i den, så jeg torde å si det nå. Men dere er veldig flinke. Vi har ikke veldig mye tull. Det er stort sett 18:10.787 --> 18:20.775 uhell og stress som gjør at vi gjør de åpenbare tingene. Som er gærent av og til, som av og til dukker opp. Men tenk på dette videre. Det er utrolig 18:20.815 --> 18:34.099 viktig. Vi har øyeblikksangriperne, som bare er interessert i kluss her og nå. Det er det dette kurset kan motvirke. Mens man leser i avisen at 18:34.259 --> 18:43.201 når andre statlige aktører lager ting som går i produksjon i mange år før man begynner å åpne bakdørene, det er det Espen som skal ta seg av. Så vi 18:43.241 --> 18:54.672 skal ta det som er rett foran oss der og da. Det hjelper dette kurset veldig på. Jeg tror det er ekstremt viktig også på privaten å lære ... Ta 18:54.712 --> 19:04.185 litt av dette videre til barn og ikke minst sånne som meg som har gamle foreldre som kanskje av og til er litt ivrige på å trykke på ting. Jeg 19:04.365 --> 19:15.570 ønsker å skryte av CERT-teamet vårt. De er utrolige på hugget. Det er døgnkontinuerlig vakt, så ikke vær bekymra. Er man i tvil, så er det som 19:15.630 --> 19:24.033 pilotene sier. Da er man ikke i tvil, da tar man kontakt med CERT. Er man litt i tvil, så har vi en fantastisk lokal-IT, områdenær-IT og 19:24.093 --> 19:37.543 helptesk. Ta kontakt med dem. Og hvis de er i tvil, så er det SERT. Det er ikke noen fare å melde fra en gang for mye. Får man en phishing-e-post, er 19:37.723 --> 19:47.988 det lov å sende til SERT. Og de har gode systemer. Dere bugger dem ikke ned. Det håndterer de og automatiserer. Så har vi en gjeng som bygger 19:48.088 --> 20:02.280 infrastruktur. Og noe av det som er mest populært, er logløsninger. Og de to-tre store selskapene som lager logløsninger, de har kjøpt opp 20:02.481 --> 20:12.485 alle andre systemer som lager logg, og så har de skrudd opp prisen også inn i granskogen. Så det folka til Kjetil Kirkebø gjør, er å levere en 20:12.525 --> 20:22.351 logløsning som er sånn at norsk offentlig sektor og en del private sikler etter den. Og den koster mellom 1 og 2 % av hva det hadde kosta å 20:22.771 --> 20:34.756 levere den fra Sky. Og de vet alt om dere. Men vi går ikke og titter inn på alt dere gjør før det er krise. Men da kan de finne ut. Oi! Noen har logga på 20:34.816 --> 20:47.762 Lills konto fra USA og Sør-Afrika med ti minutters mellomrom. Det var vel i overkant kjapp flytur. Og sånn oppdaga Espen at det plutselig var 20:47.822 --> 20:56.325 50 stykker som hadde mista påloggingen sin med tofaktorer. Og så kan de grave i dette etterpå og se. Helt fantastisk. Og så har jeg lyst til å 20:56.385 --> 21:07.131 skryte litt av disse infrastrukturfolkene også. Det har vært mye snakk om TSD. Vil skryte litt av det også. Vi har blitt pekt på av Helse- og 21:07.171 --> 21:14.495 omsorgsdepartementet og Kunnskapsdepartementet for å lage en nasjonal infrastruktur for sensitive data. Den leder UiO sammen med 21:14.555 --> 21:27.505 NTNU og Bergen. Det er fordi vi har hatt et langt arbeid for sikkerhet. Ikke minst tillitsskapende arbeid når det gjelder IT. Så er det dette 21:27.545 --> 21:36.430 her ... Det er en grunn. Man konkluderer gjerne med at man kan ikke gjøre det pga. IT-sikkerhet og personvern. Men det er en grunn. Det er ikke 21:36.470 --> 21:45.954 bare fordi de er vanskelige og vrange og vil ha makt. Det er fordi man ønsker ikke å havne i en hengemyr. Enten på VG eller i Datatilsynet eller 21:45.994 --> 21:55.301 med krypterte harddisker og en regning i bitcoins. Så det er en god grunn. Og vi prøver å ta en fornuftig mengde restrisiko. Det er kanskje 21:55.321 --> 22:05.328 ikke alltid vi har tort å ta nok risiko. Men vi jobber med hva som er riktig mengde risiko. Og det er utrolig viktig å være på riktig side av riktig 22:05.368 --> 22:17.983 mengde risiko. En del av IT-avdelingen står utafor når vi er ferdige. De har på seg skilt. Jeg var stolt og viste det fram til Gyda, som har laga 22:18.023 --> 22:22.228 skiltene. Men jeg klarte å legge det igjen på kontoret. På mitt sto det 'kan litt om alt, men ikke veldig mye om noe'. 22:27.331 --> 22:37.024 Vi er ca. 20 stykker. Ta gjerne kontakt. Og siden jeg da sa 'god jul' i sted, så er det på tide å si 'godt nyttår' etter hvert. Tusen takk!