Equinors overvåkingssystem utviklet i Russland

Det norske energiselskapet Equinor har siden 1997 kjøpt programvareløsninger utviklet av Horten-firmaet Vissim. I perioden 2003–2023 hadde de egen utviklingsavdeling i St. Petersburg.

I 2018 fikk selskapet blant annet en kontrakt på 100 millioner kroner for å levere løsninger for overvåking av sikkerheten på olje- og gassinstallasjoner på norsk sokkel.

Vissim er samme selskap som leverte et av den norske Marinens sambandssystemer, som i stor grad var utviklet i Russland.

– Det at russiske utviklere har deltatt i utviklingen av Equinors overvåkingssenter er helt bisart. Dette er helt vilt, sier forsker Ståle Ulriksen ved Sjøkrigsskolen.

Også Tor Ivar Strømmen, hovedlærer i sjømakt ved Sjøkrigsskolen, mener at russiskutviklet programvare utgjør en stor sikkerhetsrisiko, uavhengig om det faktisk er funnet sikkerhetsbrudd eller ikke.

Equinor bekrefter at de er kjent med bruken av russere, og Vissim sier de hele tiden har vært åpne med alle sine kunder om dette. Begge avviser at dette representerer en sikkerhetsrisiko.

Horten-firmaet Vissim har blant annet levert systemer som brukes av overvåkingssentralen «Equinor Marin», som er en del av Equinors beredskapssenter på Sandsli i Bergen.

Beskytter installasjonene

Norsk olje- og gassproduksjon er en avgjørende bærebjelke i norsk økonomi og velferd. Den er også avgjørende for Europas energisikkerhet, etter bortfallet av russisk gass.

Over omtrent 8800 kilometer med olje- og gassrørledninger på norsk sokkel, seiler det daglig mellom fem og seks tusen store og små fartøyer.

Rundt 70 rigginstallasjoner overvåkes for å beskytte kritisk norsk og europeisk infrastruktur mot farer på, over og under havoverflaten.

Data som samles inn av Equinor og av andre sensorplattformer på installasjoner på norsk sokkel visualiseres på to gigantiske storskjermer på «Equinor Marin».

Mener systemet må byttes ut

Tidligere Vissim-ansatte Gjengangeren, NRK Vestfold og Telemark og Nettavisen har snakket med, forteller at sentrale deler av systemer og programvare som er levert til Equinor, er laget av Vissims nå nedlagte utviklingsavdeling i den russiske storbyen St. Petersburg.

Eksperter frykter at russiske myndigheter kan ha sikret seg en bakdør inn i «Equinor Marin» og andre deler av Equinor-systemet.

De mener risikoen er at selve oppskriften bak programvareløsningene – kildekoden – kan være kompromittert, fordi denne er delvis utviklet i Russland.

– Hvis all denne informasjonen går via dette systemet som er utviklet av russiske utviklere, er det helt sikkert noen som har funnet ut hvordan dette kan tappes, mener Ståle Ulriksen ved Sjøkrigsskolen.

Både Ulriksen og Strømmen mener systemet må byttes ut.

Bekymring i Equinor

Internt i Equinor har det vært bekymringer knyttet til Vissims leveranser.

«Det stemmer, etter 2022 har dette med Vissims tidligere kontor i St. Petersburg og russiske ansatte blitt tatt opp og diskutert internt. Vi har en åpen sikkerhetskultur og ønsker at folk skal ha lav terskel for å melde spørsmål og bekymringer om sikring og sikkerhet. Det ble da gjort undersøkelser og konkludert med at risikoen knyttet til dette er lav og håndtert», skriver talsperson Gisle Ledel Johannessen i Equinor.

Vissims utviklingsavdeling i St. Petersburg hadde på midten av 2010-tallet rundt 15 ansatte. Det har også vært russere i sentrale stillinger ved selskapets hovedkontor i Horten.

Etter at den russiske utviklingsavdelingen ble lagt ned i 2023, er det i dag fire russere igjen i selskapet. En av disse er medlem av ledergruppen i Vissim.

Equinor sier de har vært fullt klar over Vissims bruk av russiske ansatte.

Equinor-direktør Ørjan Kvelvane skriver at Equinor er kjent med at Vissim tidligere hadde en utviklingsavdeling i St. Petersburg og mener systemet er trygt å bruke.

«Vi er også kjent med at Vissim fortsatt har noen ansatte med russisk bakgrunn», skriver Kvelvane.

«Visualisering av havområdene»

Vissim har levert ulike delsystemer til Equinor, blant annet radarer og systemer for visualisering av værdata, skipstrafikk og muligheten for å oppdage oljeutslipp på enkelte installasjoner.

Feed fra over 100 radarer kan ifølge Vissims nettsider være integrert i systemet som selskapet har levert og som brukes på «Equinor Marin».

På sine hjemmesider skriver Vissim at leveransene til Equinor også har inkludert muligheten for undersjøiske overvåkingssystemer, såkalt subsea systemer, integrerte VHF-løsninger for radiokommunikasjon, systemer for håndtering av nødssituasjoner og en nettportal og mobilapplikasjon.

Equinor understreker at de ikke nødvendigvis benytter seg av alle funksjonene programvaren fra Vissim har.

Pressetalsperson for Equinor, Gisle Ledel Johannessen, skriver at Vissims programvare ikke benyttes til å overvåke lufttrafikk eller undersjøisk infrastruktur.

«Men infrastruktur er en del av kartgrunnlaget for visualiseringen av havområdene. Dette er særlig nyttig når det dreier seg om dialog med fiskere som bruker trål i områder der det kan være ting på havbunnen», skriver Ledel Johannessen.

Equinor bekrefter at radarsystemer på en lang rekke installasjoner er koblet sammen med systemet Horten-selskapet har levert.

Vissim-sjef Jørn Kristian Lindtvedt forklarer at de har levert programvare til Equinor, som kjøres innenfor energiselskapets egne brannmurer.

– Det brukes for å visualisere input fra mange ulike sensorer som de har ute på norsk sokkel, sier Lindtvedt.

Equinor har i dag en serviceavtale med Vissim som løper fram til 2032.

Tilsvarende maritime overvåkingssystemer fra Vissim er også solgt til en rekke andre land. Teknologien benyttes blant annet ved Suezkanalen i Egypt, i Indonesia, Thailand og flere land i Midtøsten og Afrika.

– Uvurderlig informasjon

Forsker Ståle Ulriksen ved Sjøkrigsskolen har hatt mye med Equinor å gjøre opp gjennom årene, men var ukjent med at russiske utviklere har laget programvare som brukes for å overvåke aktiviteten rundt olje- og gassinstallasjoner på norsk sokkel.

Ulriksen mener konsekvensene er enorme dersom en statlig aktør som Russland får tilgang til det situasjonsbildet som Equinors overvåkingssentral til enhver tid sitter med.

– Kan ta fra oss bildet

Orlogskaptein Tor Ivar Strømmen, hovedlærer i sjømakt ved Sjøkrigsskolen, mener bruk av russiske statsborgere kan gjøre at russiske myndigheter lett kan få oversikt over hvordan systemet på Equinor Marin er bygd opp og satt sammen.

– En tilgang kan brukes til å overvåke hvilken beredskap vi har. De kan bruke den til å manipulere dataene, slik at vi har et dårligere bilde av hva som foregår og dermed lettere muliggjøre operasjoner som sabotasje eller mer direkte angrep. Og de kan selvfølgelig også ta fra oss bildet totalt, sier Strømmen.

– Samlet sett gjør det at dette systemet nå må anses for å være kompromittert, sier han.

– Hva bør skje med «Equinor Marin»?

– Det er sentralt for at vi skal kunne drifte energileveransene til Europa. Levere den energien som Europa er dønn avhengig av. Ergo; det systemet er særdeles viktig for Europa, for oss, for hele sikkerheten i Nordsjøen. Hvis det er potensielt kompromittert, må det skiftes ut fortløpende, svarer Strømmen.

Er blitt vurdert av Equinor

Equinor stiller seg uforstående til ekspertenes vurderinger.

Equinor-direktør Ørjan Kvelvane sier de ikke har sett noe behov for å bytte ut programvaren og systemer som er levert av Vissim.

– Dette er noe vi har grundig vurdert. Dataene som Vissim bruker i denne programvaren, er såkalt ikke-sensitiv, og vi har gode barrierer på plass, både teknisk og organisatorisk. Så vi er trygge på vår bruk, svarer Kvelvane.

Equinors talsperson Gisle Ledel Johannessen skriver at de ikke har blitt forelagt noen dokumenterte sikringsbrudd eller kilder som har fortalt om sikringsbrudd knyttet til bruken av Vissims programvare.

Underlagt sikkerhetsloven i 2022

Ingen av Vissims russiske ansatte har på noe tidspunkt vært sikkerhetsklarert av norske myndigheter, opplyser Vissim.

Vissims leveranser av programvareløsninger og overvåkingssystemer til Equinor fant sted flere år før regjeringen besluttet at Equinor og Gassco, det statlige norske selskapet med ansvar for transport av gass fra den norske kontinentalsokkelen til Europa, delvis ble underlagt Sikkerhetsloven.

Det innebærer at det da avtalene ble inngått ikke var noe krav om sikkerhetsklarering eller eventuell gradering knyttet til Equinor-leveransene. Det kravet kom først etter fullskalainvasjonen av Ukraina 24. februar 2022.

Forsker Ståle Ulriksen er kritisk til at Equinor ikke tidligere ble underlagt sikkerhetsloven. Han mener det tok altfor lang tid før denne beslutningen ble tatt, og at norske politikere derfor må bære et stort ansvar i tilfelle en alvorlig sikkerhetssvikt på norsk sokkel.

– Nå haster det virkelig. Nå er vi inne i en situasjon i verden der nesten alt kan skje veldig fort. Da bør en skifte ut alt som er usikkert, sier Ulriksen.

Equinor har i flere skriftlige svar presisert at Equinor Marin, der Vissims programvare brukes, ikke spiller en sentral rolle i krisehåndtering og beredskapen internt. De skriver at senteret kun har en støttefunksjon til Equinors øvrige beredskapsorganisasjon.

«Trafikkovervåkningen er en støttetjeneste til installasjonene, og begrenser seg til å følge med på skipstrafikken til havs», skriver Equinors talsperson Gisle Ledel Johannessen.

Jørn Kristian Lindtvedt, administrerende direktør i Vissim, sier de hele tiden har vært åpne med sine kunder om at de har russiske medarbeidere.

– Våre russiske ansatte har jobbet med generell plattformutvikling, sier Lindtvedt. Han understreker at russerne aldri har jobbet på graderte leveranser eller på gradert teknologi.

– De har kun jobbet med den åpne, sivile delen av det vi gjør i Vissim.

Militær betydning

Equinors overvåkingssentral gir ikke bare et unikt overblikk over virksomheten på norsk sokkel. Orlogskaptein Tor Ivar Strømmen påpeker at radarfeeden inn til senteret og andre sensorplattformer også kan ha en direkte militær nytteverdi ved utvelgelse av og beskytning av mål.

Dette stiller Equinor seg uforstående til.

– Godt samarbeid

Equinor-direktør Ørjan Kvelvane skriver at de har et godt samarbeid med både Forsvaret og norske sikringsmyndigheter når det gjelder sikring av infrastruktur på norsk sokkel.

Kvelvane skriver at Equinor har vurdert bruken av programvaren fra Vissim, både når det gjelder innsiderisiko, altså risiko for utro tjenere, og når det gjelder cybertrusler.

«Når det gjelder scenarioer som krig og sikkerhetspolitiske kriser som trekkes opp, minner vi om at det er myndighetene som har ansvaret for rikets sikkerhet», skriver Kvelvane.

Administrerende Vissim-direktør Jørn Kristian Lindtvedt forsikrer at selskapet fører løpende kontroll med all kildekode som utvikles i Vissim.

– Det å drive overvåking av kildekode er svært viktig for å avdekke sikkerhetshull og svakheter. Det tar vi på det største alvor, og vi bruker markedsledende systemer for å både drive kildekodeutvikling og ikke minst automatisk overvåke kildekoden og verifisere at det ikke finnes sikkerhetshull eller bakdører, sier Lindtvedt.

To tidligere ansatte i Vissim sier at tredjepartssystemer for å drive løpende overvåking av kodeutvikling ikke var i bruk i Vissim på 2010-tallet, da Horten-selskapet fikk flere nye kontrakter på å ytterligere forbedre og utvide Equinors overvåkingssentral på Sandsli.

Lindtvedt svarer i en e-post at selskapet alltid har benyttet slike tredjepartssystemer.

Equinor slår fast at selskapet gjennom løpende nettverksmonitorering vil fange opp informasjonslekkasjer fra egne datasystemer dersom eventuelle sårbarheter i kildekoden i programvare blir forsøkt utnyttet.

«Vi overvåker datastrømmene gjennom våre brannmurer og har alarmer og tiltak som utløses ved mistenkelig trafikk, det har vi ikke fått knyttet til denne programvaren», skriver talsperson Gisle Ledel Johannessen.

Han skriver også: «Om vi hadde avdekket sikringsbrudd ville vi tatt aksjon på det»

Mener kildekode må gjennomgås

IT-ekspert og partner Torgeir Waterhouse i rådgivningsselskapet Otte AS mener generelt at løpende nettverksmonitorering av datatrafikken alene ikke er et tilstrekkelig sikkerhetstiltak.

– Det er fullt mulig å bake inn kode som ikke skal være der, moduler som ikke skal være der, og som man kan bruke teknikk for å skjule, og som kan være sovende, som kan trigges av spesifikke hendelser, sier Waterhouse, og legger til:

– Det kan være en dato, et tidspunkt, det kan være andre ting det trigges av, som gjør at det aktiveres. Det gjør at man i utgangspunktet ikke vil fange det opp med nettverksovervåkning før systemet eventuelt blir aktivt og begynner å gjøre noe det ikke skal.

– Dette er en av grunnene til at man må kjøre review av all kode og overvåke systemene og følge med kontinuerlig på hva de gjør. Tilsvarende følge med kontinuerlig på hva som foregår når det kommer oppdateringer. For du kan jo også tilføre den type bakdører eller fiendtlig kode ved en senere oppdatering av et system, påpeker han.

Fjernadministrasjon

Equinor opplyser at de har etablerte løsninger for hvordan eksterne kontraktører utfører support på IT-løsninger.

Direktør Ørjan Kvelvane forklarer at Vissims programvare kun er tilgjengelig via Equinors brannmur, og ikke direkte fra internett.

«Leverandøren må gå via våre systemer ved behov for feilrettinger eller oppdateringer. Denne aktiviteten loggfører vi. Dette gir oss god oversikt over situasjonen», skriver han.

«Personell som støtter Equinor fra Vissim har kun tilgang til servere og klienter som er knyttet opp til deres egen programvare. Det er ingen russiske statsborgere som har tilgang», skriver Kvelvane.

Frykter bakdør

Orlogskaptein Tor Ivar Strømmen ved Sjøkrigsskolen slår fast at muligheten for å logge på eksternt, selv om dette skjer via Equinors brannmur, betyr at programvareløsningene i praksis er koblet til internett.

At det er åpnet for å drive fjernadministrasjon av Vissims programvare i Equinors systemer, mener han representerer en vesentlig økt risiko.

– En slik bakdør kan brukes til å tappe data, den kan brukes til å manipulere data. Den kan brukes til å slå av utstyr, eller faktisk få utstyr til å selvdestruere, svarer Strømmen.

– Det eneste som er helt trygt ville være dersom systemet overhodet ikke er koblet til internett, slik tilfellet er for noen av Forsvarets systemer. Altså system hvor kun dedikerte terminaler i et kontrollert område gir tilgang og hvor også porter inn i systemet er fysisk plombert, påpeker Strømmen.

Equinor slår fast at det er leverandørene som plikter å sikre at programvaren som er levert ikke inneholder sikkerhetshull.

«Det er Vissims ansvar å ha kontroll på kildekoden og å sørge for at den ikke har sikkerhetshull eller sårbarheter. Dette er vanlig praksis fra IT-leverandører», skriver Equinors talsperson Gisle Ledel Johannessen.