En cyberattack stannar inte vid organisationsgränsen. När kommuner, vårdgivare och företag är beroende av samma driftleverantörer, molntjänster och identitetslösningar kan en enda incident få följder i stora delar av samhället.
Ändå behandlas ransomware fortfarande alltför ofta som ett problem för den enskilda verksamhetens IT-avdelning. Det synsättet är föråldrat. När digitala system bär upp vård, omsorg, transporter, betalningar och kommunal administration blir skyddet mot utpressningsangrepp en fråga om samhällsberedskap.
Ransomware handlar dessutom inte längre bara om att filer krypteras. Angreppen kombineras ofta med stöld av information och hot om publicering. Även om systemen kan återställas kan uppgifter om patienter, barn, brukare eller anställda redan ha hamnat i angriparnas händer. Den tekniska incidenten kan vara över långt innan integritetsskadan är det.
Leverantören är en del av säkerheten
Attacken mot ett av Tietoevrys svenska datacenter i januari 2024 visade hur en cyberincident hos en IT-leverantör kan påverka flera kunder samtidigt. Bolaget beskrev offentligt händelsen som en cyberattack. Det finns därför inte stöd i det här researchmaterialet för att slå fast att just den attacken var ransomware, men den illustrerar ändå den centrala risken: beroendet av gemensamma leverantörer kan omvandla en lokal incident till ett bredare avbrott.
Det räcker därför inte att fråga hur säker en kommun, region eller myndighet är. Man måste också fråga hur leverantörens underleverantörer arbetar, hur behörigheter hanteras, om säkerhetskopior är skyddade och testade samt hur snabbt verksamheten kan återgå till drift.
Det är också därför NIS2-direktivet lyfter säkerheten i leveranskedjan och ger ledningsorgan ett uttryckligt ansvar för att godkänna och följa upp cybersäkerhetsåtgärder. Cybersäkerhet är inte en teknisk bilaga till verksamheten. Den hör hemma i ledningens beslut om inköp, kontinuitet, informationsklassning och risk.
Regler finns – men ansvaret är splittrat
Sverige står inte utan regler eller stöd. Det första NIS-regelverket har ställt krav på säkerhetsåtgärder och incidentrapportering för berörda leverantörer av samhällsviktiga och digitala tjänster. Säkerhetsskyddslagen kan omfatta både offentliga och privata verksamheter av betydelse för Sveriges säkerhet, och GDPR ställer krav på lämplig säkerhet för personuppgifter.
MSB har samtidigt ett nationellt ansvar för att stödja och samordna arbetet med informations- och cybersäkerhet. CERT-SE ger varningar och stöd vid incidenter, och Nationellt cybersäkerhetscenter samlar flera myndigheter för att stärka den gemensamma förmågan.
Problemet är alltså inte att ingenting görs. Problemet är att tillsyn, ansvar, kompetens och praktisk förmåga är fördelade mellan många aktörer. Kommunal självstyrelse innebär dessutom att mycket av arbetet med IT-drift, upphandling och kontinuitet organiseras lokalt. Alla kommunala verksamheter omfattas inte automatiskt av samma cybersäkerhetsregler, och alla leverantörer har inte samma resurser.
På papperet kan ansvarsfördelningen vara logisk. Under ett pågående angrepp riskerar den i stället att bli en karta där varje aktör förväntas känna till sin egen ruta, medan angriparen rör sig fritt mellan dem.
Minimikrav får inte bli pärmar
Det finns ett rimligt motargument mot fler nationella krav. Små kommuner och mindre leverantörer kan få svårt att bära kostnaderna, och dåligt utformade regelverk riskerar att belöna dokumentation framför faktisk säkerhet. En välskriven policy stoppar inte ett angrepp. Det gör däremot bland annat fungerande åtkomstkontroller, segmenterade miljöer, multifaktorautentisering, testade säkerhetskopior, reservrutiner och återkommande övningar.
Därför bör Sverige inte eftersträva en enda teknisk mall för alla. Kraven måste vara riskbaserade och proportionerliga. Men proportionalitet får inte bli en ursäkt för att samhällsviktiga verksamheter saknar en praktisk basnivå.
Gemensamma krav bör kombineras med finansierat stöd, upphandlingsmallar, övningar och konkret hjälp att granska leverantörskedjor. Annars vältrar staten bara över ännu en skyldighet på de aktörer som redan har minst kompetens att uppfylla den.
Information måste delas snabbt och säkert
Bättre informationsdelning kan göra det möjligt för andra verksamheter att blockera angreppsvägar, byta komprometterade uppgifter eller täppa till sårbarheter innan de själva drabbas. Men mer delning är inte detsamma som okontrollerad offentlighet.
Incidentrapporter kan innehålla personuppgifter, känsliga uppgifter om nätverk och information som i fel händer underlättar nya angrepp. Delningen måste därför ha tydliga mottagare, säkra kanaler och regler för sekretess, dataminimering och åtkomst. Även omfattande loggning och övervakning måste utformas med hänsyn till dataskyddet.
Det går inte heller att reglera bort all ransomware. Okända sårbarheter, komprometterade leverantörer och mänskliga misstag kommer att finnas även i välskötta organisationer. Förebyggande skydd måste därför kombineras med motståndskraft: manuella reservrutiner, prioriterad återstart, testad återläsning och förmåga att fortsätta leverera de viktigaste tjänsterna.
Sveriges digitala omställning har gjort verksamheter snabbare och mer sammanlänkade. Samma kopplingar har gjort konsekvenserna av ett angrepp större. Därför kan ransomware inte längre lämnas åt varje företag, kommun eller IT-avdelning att hantera på egen hand.
Det behövs tydligare basnivåer, säkrare informationsdelning och ett samordnat stöd som faktiskt når de mindre aktörerna. Lokalt ansvar kommer fortfarande att vara nödvändigt, men det får inte betyda att den nationella motståndskraften avgörs av vem som råkar ha råd med rätt kompetens.
