Klarar du och dina kritiska system en cyberattack?

Antalet cyberattacker riktade mot statliga myndigheter och samhällsviktiga organisationer har ökat kraftigt de senaste åren. Detta har blottlagt ett stort problem. Myndigheten för samhällsskydd och beredskap, MSB, släppte under 2024 en rapport som visade att 7 av 10 offentliga organisationer saknar grunderna i cybersäkerhetsarbete.  

Privata företag som bedriver samhällsviktig verksamhet tycks vara något bättre förberedda. Enligt en undersökning blir små och medelstora företag allt bättre på att inhämta kunskap om cybersäkerhet.  

Tydligt är att alla organisationer som på olika sätt jackar in i Sveriges infrastruktur – från energibolaget som förser hela samhället med el och värme, till kommunens VA-bolag som styr vattenförsörjningen – har nytta av att träna upp sin motståndskraft. 

– Cybersäkerhet handlar till stor del om hanteringen av attacken. Vad gör du om du kommer in till kontoret, startar datorn och den inte fungerar? Det är svårt att veta om man inte ställts inför den situationen tidigare, säger Karl Resare, affärsutvecklare på Cyber Range, RISE:s testbädd för cybersäkerhet. 

Öva på att bli påhoppad i säkra lokaler 

På Cyber Range går det att bygga virtuella kopior av IT-miljöer. Det kan handla om en kopia av en vattenreningsanläggning eller ett kraftverk. RISE:s etiska hackare, forskare som har stor kunskap om hur sårbarheter kan utnyttjas, testar då säkerheten i anläggningen genom att angripa den på olika sätt.  

– Hos oss kan man öva på att bli påhoppad i säkra lokaler. Genom att simulera en attack får ledningsgruppen möjligheten att förbereda sig för ett riktigt scenario, och då kan man identifiera vilka svagheter som finns, säger Karl Resare och fortsätter: 

– Det här är en förberedelseplats för cyberkrig, med riktiga soldater och riktiga vapen. Scenariona som utspelas är riktiga, men risken för att det ska gå åt skogen finns inte. Unikt för Cyber Range är att det inte kan komma ut några röjande signaler därifrån. Det innebär att signaler från elektronisk utrustning inte lämnar anläggningen, och därmed inte kan avlyssnas. Informationen som kommer fram under övningarna stannar säkert hos oss. 

Trots att övningarna som sker inom testanläggningens väggar är just övningar, uppstår ofta situationer som uppfattas som allvarsamma och stressiga för de inblandade. Under övningen blottläggs svagheter, inte bara inom IT-infrastrukturen utan även kopplat till samarbetet i gruppen. Det är svårt att förutse hur olika människor reagerar i skarpt läge, men på Cyber Range ges möjligheten att göra detta.  

Komplexa påverkansoperationer 

Förutom ledningsgrupper tar Cyber Range även emot utvecklare, som utbildas i att tänka cybersäkerhet under tiden som de tar fram en ny mjukvara. Syftet är att stärka IT-miljöer redan i utvecklingsstadiet.  

– Utvecklare som har höga krav på sig från uppdragsgivaren fokuserar oftast på funktionaliteten. Cybersäkerhet är ju sällan ett akut problem tills någon med onda avsikter hittar en sårbarhet och utnyttjar den, säger Karl Resare.  

För några år sedan handlade hoten mot IT-säkerheten om pengar, som i fallet med attacken mot Svenska kyrkan där hackers låste kyrkans digitala system för att pressa fram en lösensumma. Det motivet finns kvar, men det har också seglat upp en ny typ av hot – påverkansoperationer utförda av andra stater med it som hjälp- eller kommunikationsmedel.  

– Dessa attacker är mycket mer komplexa än de finansiella, som är lättare att förstå. I Sverige har vi ideal kring demokrati, öppenhet, möjligheter och valfrihet. Hybridkrigföringen gör att det kommer ut falsk information som gör att idealen får ta steg tillbaka. Det är väldigt allvarligt och gör det viktigare än någonsin att de samhällskritiska verksamheterna förbereder sig, konstaterar Karl Resare.