«Ikke stol på bil­produsentene»

For noen uker siden kom det fram at Ruters nye busser kunne stoppes fra Kina. Grunnen var et skjult e-simkort i en av bussens komponenter som kunne kommunisere med styringssystemet for kraftforsyning.

Nå skal politiet anskaffe 1500 nye patruljebiler, og sikkerhetsekspert Arild Tjomsland oppfordrer politiet til å ta bilenes datasikkerhet og informasjonshåndtering på største alvor.

Lion Cage

Seniorrådgiver Tjomsland ved Universitetet i Sørøst-Norge har forsket mye på datasikkerhet i moderne biler. 

Sammen med sikkerhetsekspert Tor Indstøy hos Telenor og flere andre har de gjennom prosjektet «Lion Cage» avdekket hvor mye data som sendes ut fra en vanlig Nio familiebil. Som alle moderne biler er Nio stappfull av sensorer, radar, kommunikasjonsutstyr, mikrofoner og kameraer.

– Det vi fant, var at bilen hele tiden prøver å koble seg opp mot internett for å overføre informasjon. Hva denne informasjonen skal brukes til, vet ikke vi, men at den kan være verdifull for fremmede makters etterretning er ganske opplagt, sier Arild Tjomsland.

Ropte på Kina

Han forteller videre at de gjennom prosjektet gjerne ville finne ut hva som skjedde dersom bilen ble fullstendig isolert fra internett. De tok derfor med bilen ned i en gruve og monterte sine analyseinstrumenter.

– Da den var helt uten dekning, oppdaget vi at den forsøkte å rope på det kinesiske satellittsystemet BeiDou. Den forsøkte sannsynligvis bare å finne ut hvor den var, men det er interessant at den har mulighet til å velge BeiDou framfor GPS, som er det vanlige her i Vesten, sier Tjomsland.

BeiDou er et globalt nettverk av rundt 35 satellitter som eies og drives av «China National Space Administration». Systemet har både militære og sivile bruksområder og var ferdig utviklet med global dekning i 2020. 

Les mer om Lion Cage-prosjektet hos NRK. Der ser du også hva Nio svarte.

Anbudsrunde

Politiet har akkurat lukket sin anbudsrunde for anskaffelse av nye patruljebiler. 

Nå skal PFT (Politiets fellestjenester) bruke tiden fram mot sommeren 2026 på å velge nye leverandører. 

I dag har politiet en stor flåte med Volvo XC60 ladehybrider som gradvis har erstattet V90 diesel – som igjen har gått ut av produksjon. De har også en stor andel Mercedes Benz Vito som store patruljebiler. 

Det er allerede kjent at PFT vurderer en gradvis overgang til elbiler, men at hybrid- og dieselbiler fortsatt vil være i bruk en god stund framover. 

Alvor

Seksjonsleder Anita Arvesen hos PFT skriver i en e-post til Motor at de tar datasikkerhet på alvor når de gjør nye anskaffelser.

 – Datasikkerhet for politiets kjøretøy er et felt som vi opplever har økt i både kompleksitet og viktighet de siste årene. Siden 2020 har politiet hatt krav til at patruljebilene våre ikke har kommunikasjon med leverandøren eller tredjeparter. Dette har vi sikret gjennom deaktivering eller fjerning av kommunikasjonsmoduler i bilene. Samtidig som at vi opplever at bilene vi benytter i dag er trygge, har også politiet behov for å styrke kontrollen knyttet til datasikkerhet. Vi har jevnlige interne diskusjoner knyttet til temaet, både innenfor tekniske fag, men også knyttet til anskaffelsesfaget, skriver Arvesen.

Kinesiske politibiler?

Volvo har vært storleverandør av norske politibiler gjennom veldig mange år. Nå eies Volvo av det kinesiske Geely-konsernet, som også eier Polestar, Lotus, Zeekr, Smart og flere andre bilmerker. 

Tjomsland vil derfor advare politiet om å stole for mye på gamle venner. 

– Selv om Volvo representerer trygghet for oss her i Skandinavia, er det absolutt grunn til å være på vakt, sier Tjomsland, som oppfordrer politiet til å gjøre egne tester av datasikkerheten. 

Han understreker at han ikke har noen grunn til å tro at Volvo skiller seg negativt ut, men at de må behandles på lik linje med alle andre bilprodusenter i denne sammenhengen. 

Stoler på leverandørene

Politiets fellestjenester, som er ansvarlige for innkjøp av nye patruljebiler, forteller at de velger å stole på leverandørene.

– Generelt kan vi si at vi stoler på leverandørene våre og har god dialog med dem om både eierskap og deling av informasjon. Vi har ingen mistanke eller bekymring for at for eksempel Volvo deler informasjon om våre biler med kinesiske myndigheter. Det har også kommet nye regelverk fra FN (UN-R 155 og 156) de siste årene, som regulerer informasjons­sikkerhet. Dette må leverandørene forholde seg til, skriver seksjonsleder Anita Arvesen hos PFT.

Hun skriver videre:

– I hver anskaffelse av nye biler må vi som oppdragsgiver vurdere informasjons­sikkerheten og risikoene knyttet til sporing og styring av bilene. Hvordan vi velger å håndtere disse risikoene, avgjøres med bakgrunn i en konkret vurdering i hver enkelt anskaffelse. Risikoene kan for eksempel reduseres gjennom kontraktskrav, tekniske krav i kravspesifikasjonen, kvalifikasjonskrav som stilles til leverandørene og gjennom tiltak knyttet til bruken av bilene. 

Kunstig intelligens

Det kinesiske Geely-konsernet bekjentgjorde tidligere i år at de vil benytte den avanserte DeepSeek R1 modulen som kunstig intelligens i sine biler. DeepSeek R1 vil gå mye dypere inn i bilens systemer enn det vi er vant til, der KI som regel bare fungerer som stemmeassistent.

Ifølge motorpublikasjonen motor1.com vil samarbeidet mellom Geely og DeepSeek være viktig på veien mot autonome kjøretøy. 

Nasjonal sikkerhetsmyndighet (NSM) har gått langt i å advare mot bruken av DeepSeek, og ledelsen har forbudt sine egne ansatte å ha applikasjonen på sine mobiltelefoner.

– Gjør egne tester

Arild Tjomsland advarer PFT om å stole på produsentenes dokumentasjon av datasikkerhet og GDPR-håndtering.

– Våre tester viste at det var et stort gap mellom det produsentene oppga i sin dokumentasjon, og det bilen lagret og kommuniserte i virkeligheten. Det er derfor stor grunn til å gjøre egne tester av bilene som er aktuelle for innkjøp, sier Tjomsland.

Han forteller at slike tester kan gjøres ganske enkelt ved å sette opp et såkalt «man-in-the-middle» nettverk som loggfører hvilke data bilen sender fra seg til enhver tid. 

– Samtidig er det viktig å ha kontroll over komponentene i bilen. Enkeltkomponenter rundt om i bilen kan ha skjulte e-simkort som kan kommunisere med telenettverket, forklarer Tjomsland. 

Politiets fellestjenester regner med å ha tatt en beslutning om nye patruljebiler innen sommeren 2026.