Slik jobber vi med sårbarheten i Apache Log4j

Norsk helsenett ble 10. desember varslet om sårbarhet i Apache Log4j. Apache Log4j er komponent i en rekke Java-baserte tredjepartsprogramvarer og -tjenester.

Kritisk sårbarhet

Det ble fort klart at sårbarheten er særlig kritisk, fordi den muliggjør fjernkjøring av kode gjennom spesielt utformede tekstlinjer. Det er i tillegg skjerpende at Log4j benyttes som underliggende bibliotek for Java-installasjoner, som igjen benyttes i stort omfang til en rekke ulike formål.

Status

Norsk helsenett har gjennomført en omfattende kartlegging på alle våre systemer, og iverksatt tiltak der det var aktuelt. Det er ingenting som tyder på at våre systemer eller tjenester er kompromittert.

• Det kommer fortløpende nye versjoner av Log4j. Vi anbefaler alle å følge med, og sørge for at dere til enhver tid bruker den nyeste versjonen.
• Norsk helsenett sørger for at våre systemer og tjenester blir oppdatert når det kommer nye versjoner av Log4j.
• Du kan oppleve redusert tjenestekvalitet som følge av avhengigheter mot andre systemer og leverandører som midlertidig er ute av drift. Dette omfatter også tjenester utenfor Norsk helsenett.
• Dersom tjenester vi tilbyr våre kunder blir berørt, vil vi ta direkte kontakt. Vi vil også varsle gjennom driftsmeldinger.

Versjonsendringer av Log4j

Følg opp leverandørene dine

Vi presiserer at våre vurderinger gjelder for Norsk helsenettsine tjenester. Dersom du har andre leverandører, bør du be om bekreftelse fra disse om at de har gjennomført nødvendige tiltak i forbindelse med sårbarhetene i Log4j.

Informasjon til driftsleverandører

Her får du informasjon om hvordan du kan identifisere og håndtere sårbarhet

Vi følger situasjonen framover

Vi vurderer fortsatt situasjonen som alvorlig. Norsk helsenett følger med på utvikling av situasjonen, i samarbeid med sikkerhetsmyndigheter, fagmiljøer og leverandører.

Informasjon fra Nasjonal sikkerhetsmyndighet

Les mer om situasjonen på nettsidene til Nasjonal sikkerhetsmyndighet