Säkerhetsexperten: Så bygger du en säker organisation

Denna intervju finns även som ett avsnitt i CIO Analytics poddflöde, som du bland annat hittar på Spotify eller i Podcaster-appen.

I Sverige kan vi se att nästan 20 procent av de svarande i årets CIO Analytics-rapport har utsatts för en cyberattack. Är det en siffra som förvånar dig?

– Ja, det gör det. Egentligen borde snarare 99 procent säga att de har varit utsatta för en cyberattack. Det här visar antingen på en ovilja att berätta, eller att man faktiskt inte vet om att man har blivit utsatt. Och det är nästan ännu mer skrämmande, säger Hanna Linderstål, cybersäkerhetsstrateg.

Så du tycker att siffran är låg?

– Extremt låg. Min erfarenhet är att det är betydligt värre än så.

Vilka är de största hoten mot organisationer i dag?

– Det beror förstås på vilken typ av verksamhet det handlar om. Men det största hotet är att kritiska processer slås ut och inte går att få i gång igen. Är du en butik kanske kassasystemet går ner, och det är förstås kritiskt för att kunna sälja varor. Är du en industri kanske OT-systemen eller driften slås ut. Då kan du inte bedriva verksamheten.

– Därför tror jag att vi måste fokusera på att ha en plan, redundans och att ha övat på vad man gör när kritiska processer går ner. Annars ligger vi risigt till. Vi kommer att drabbas allihop. Det kanske inte handlar om ett phishingmejl eller en överbelastningsattack. Det kan lika gärna vara en supply chain-attack eller någon annan mer massiv och strukturerad attack.

Hur ska man kunna kartlägga de här hoten? Var börjar man?

– I dag behöver nästan alla organisationer ha någon som arbetar med omvärldsanalys, någon som har örat mot rälsen och följer hur attackerna ser ut. Vi har varit vana vid överbelastningsattacker, DDoS-attacker, ransomware och ibland mer sofistikerade intrång. Men i dag ser vi en ökning av färre direkta hackerattacker och fler systemomfattande angrepp, som supply chain-attacker och attacker ännu tidigare i produktionsleden.

– Vi ser också väldigt många angrepp mot de mjuka värdena, alltså medarbetarna. Då handlar frågan om hur vi gör medarbetarna till ett slags antivirussystem. Hur höjer vi kunskapen? Är det genom krisövningar eller utbildningsinsatser? Hur gör vi det på ett positivt och bra sätt? Där har vi faktiskt inte riktigt lyckats knäcka nöten ännu.

– Jag ser många organisationer som bara arbetar med systematiska falska phishingmejl och menar att de därmed tränar personalen i cybersäkerhet. Jag tycker inte att det räcker på långa vägar, och jag tycker kanske inte heller att det är ett särskilt bra eller roligt sätt att träna.

Hur skulle du bedöma svenska företags och organisationers säkerhetsmognad?

– Vi har en ganska hög medvetenhet och en ganska hög förmåga att identifiera att cybersäkerhet är viktigt på ledningsnivå. Men vi har fokus på fel saker. Vi fokuserar på att möta regleringskrav i stället för att bygga robusta organisationer. Det tycker jag är det största problemet.

– Det blir en paradox. Jag träffar ledningsgrupper som säger: ”Vi har järnkoll. Vi ska följa NIS-direktivet till punkt och pricka så att vi inte får böter eller näringsförbud.” Samtidigt säger jag: Titta i stället på er organisation. Hur bygger ni en robust verksamhet som klarar morgondagens cyberklimat? För det kommer att bli tuffare.

Hur gör man det då?

– Det här är ingen turfråga. Det måste genomsyra allt vi gör. Vi pratar mycket om säkerhetskultur och säkerhetshygien, och när det gäller cybersäkerhet handlar det om allt vi gör, hela tiden. Det är tvärvetenskapligt och måste in i alla delar av verksamheten.

– Ledningen måste visa gott omdöme och förstå att en robust organisation byggs i vardagen, i rutinerna. Det kan börja redan när man går in på jobbet. Om tre personer smiter in bakom någon genom dörren behöver man reagera: ”God morgon, vem ska du träffa?” Cybersäkerhet handlar också om access. Tillträde är ofta första steget.

– Det handlar också om vardagsrutiner längre fram i kedjan. Om jag ska ut på tjänsteresa kanske jag inte ska ta med tjänstemobilen till vissa platser, om det finns risk att information kopieras. Man måste prata om det här löpande och skapa rutiner.

– Och kanske viktigast av allt: när något händer måste vi våga berätta om det. Om jag får ett konstigt phishingmejl ska jag säga det till andra. Ännu hellre om jag faktiskt har gjort fel. Om jag till exempel beställer ett par sneakers från en falsk sajt som såg äkta ut, då måste jag kunna säga det. Det är ju bara genom att dela erfarenheter som vi lär oss.

– Jag brukar jämföra med flyget. Där finns en kultur av att rapportera incidenter. Det viktiga är inte vem som gjorde fel, utan vad som gick fel och hur vi ser till att det inte händer igen. Om någon glömmer att låsa en bagagelucka på ett litet plan, då rapporteras det. Sedan står det i checklistorna framöver. Den typen av tänkande skulle vi behöva mer av även inom cybersäkerhet.

– Om vi kunde få in samma kultur där, där man säger: ”Jag råkade göra så här. Jag var stressad, skulle ha ett Teams-möte och pluggade in en pryl i USB-porten som jag köpt på nätet, och det var inte så bra” – då skapas ringar på vattnet. Då lär vi oss av varandra.

På tal om beredskapsplaner: I rapporten ser vi också att över 40 procent i Sverige inte har en beredskapsplan eller inte har övat på sin plan, och att endast 15 procent övar regelbundet. Är det här siffror som förvånar dig?

– Nej, tyvärr inte. Och det är jättesorgligt. Men det här är också en historisk fråga. Jag har arbetat med övningar i 20 år, och förr var det så att när man skulle öva så var det ett jättestort projekt. Det kostade mycket, tog hela organisationen i anspråk och ibland stängde man nästan ner verksamheten. Då blev det jobbigt, tog för mycket energi och kanske bara blev av vart femte år.

– I dag ser vi att det inte fungerar så. Det är som att gå till gymmet, det vill säga man kan inte börja träna precis innan tävlingen. Ska man vara i form måste man träna kontinuerligt. Samma sak gäller här. Det är bättre med mindre övningar oftare än en jättestor övning ibland.

– Jag brukar säga att det kan räcka med att alla som har veckomöten lägger in en liten post-it-lapp eller en kort övning varje vecka: ”Du kommer till jobbet och upptäcker att det här har hänt. Vad gör du då?” Börja där och bygg sedan på. Kombinera det med större övningar regelbundet, men lägg inte alla ägg i samma korg och tro att en stor övning vart tredje år ska räcka.

– Vi måste få in kontinuitet även där. Och man övar ju inte för att bli stresstålig. Man övar för att identifiera sårbarheter.

Du möter många organisationer i ditt yrke, både i Sverige och utomlands. Vad är deras största utmaning inom säkerhetsarbetet?

– Det beror på vem du pratar med. När jag träffar säkerhetschefer eller personer på it-avdelningar säger de ofta: ”Kan du prata med vår ledning? Jag får ingen budget; jag kommer inte vidare.” När jag i stället träffar ledningen säger de: ”De vill göra en massa saker, men vi vet inte vad vi ska prioritera. Vi har budgetmål att nå och aktieägare att leva upp till. Hur lägger vi det här pusslet?”

– Det skiljer sig alltså beroende på var i organisationen man befinner sig. Men det handlar också om att bolag, särskilt börsnoterade, måste förstå att investeringar i cybersäkerhet inte bara handlar om långsiktigt marknadsförtroende. Det kan också vara en ren överlevnadsfråga.

– Det gör ont att drabbas. Tappar du kunddata kan det svida både i form av böter och i varumärkesförtroende.

Skiljer sig utmaningarna mellan privat och offentlig sektor?

– Ja, det gör de. Jag blir nästan sugen på att citera Michael Claesson, ÖB, som på Folk och Försvar i våras sa något i stil med att "jag har insett att alla i min organisation inte jobbar lika snabbt framåt för ökad beredskap, och jag kommer se alla som har en motvilja mot utveckling och tröga byråkratiska processer, som en fientlig handling och agera därefter".

– Jag tyckte att det var väldigt bra sagt. För vi har många byråkratiska hinder som gör att det tar för lång tid. Vi har ibland halvdumma rutiner. Vi har lagen om offentlig upphandling, vilket gör att det ibland tar väldigt lång tid att komma vidare. När man väl gör upphandlingen finns det dessutom risk att det dyker upp aktörer som inte är de man egentligen borde släppa in.

– Om vi upphandlar på pris finns en risk att vi köper in själva hotet i organisationen, utan att tänka oss för. Det tycker jag är ett problem.

– I privat sektor finns ofta en annan typ av invändning: ”Oj, vad dyrt med cybersäkerhet, varför ska vi ha det?” Då brukar jag säga att du inte heller måste ha säkerhetsbälte eller krockkudde. Det är också frivilligt.

Om vi går in lite på AI, som används i högre utsträckning även i cyberattacker: Hur ser du på den utvecklingen framåt? Kommer den att förändra hotbilden?

– Ja, vi kommer att se mer. Om du i dag vore yrkeskriminell och arbetade med phishingmejl, då har AI kraftigt sänkt kostnaderna för din verksamhet. Det har blivit billigare och enklare att göra systematiska, direktanpassade phishingattacker som ser väldigt verkliga ut.

– Jag fick själv ett phishingmejl för bara några dagar sedan som var briljant gjort. Det såg ut att komma från polisen och handlade om en trafikförseelse. De hänvisade till en plats där jag faktiskt hade varit, och tidslinjen stämde. Nu var det ganska lätt att ta reda på eftersom det var offentligt att jag skulle tala på en konferens där, men det var väldigt snyggt gjort. Och den typen av angrepp görs förstås med hjälp av AI.

– Det är inte någon enskild person som sitter och manuellt granskar vad Hanna gör. Det är automatiserat. Det kommer att öka, vilket gör att du och jag som användare kommer att få det tuffare. Det är synd, eftersom internet i grunden bygger på länkar och kopplingar, och det är just det som utmanas här.

– Jag tror också att vi kommer att se nya typer av attacker i takt med att medarbetare börjar använda agenter i allt större utsträckning. Alla agenter har inte säkerhetsmognad. Man installerar en öppen AI-lösning i sin mejlbox för att hantera mejlen, och plötsligt får den ett mejl med instruktioner som den börjar agera på. Helt plötsligt skickar din egen mejlbox ut phishingmejl via din agent. Vem är juridiskt ansvarig då? Det kan hända mycket.

– Jag tror därför att vi kommer att behöva ha stor respekt för AI. Vi automatiserar väldigt snabbt nu, och vi riskerar att ta med oss vår cybersäkerhetsskuld in i AI-utvecklingen. Vi måste jobba med säkerhet hela vägen.

– Jag brukar säga att det är som att köra iväg med en gammal skranglig buss som inte varit servad på flera år och som fortfarande har vinterdäck, fast det snart är juni, och ändå tro att resan kommer att gå bra. Samtidigt står ledningsgruppen där med svett i pannan och tänker att man är modern bara för att man kopplar upp sig.

Så vi behöver bli lite mer skeptiska?

– Ja, eller snarare lite sundare. Vi ska inte ta med den här cybersäkerhetsskulden in i framtiden, utan ta tag i den direkt. Vi ska inte koppla upp saker som inte är tillräckligt säkra.

Avslutningsvis: Vad är ditt främsta råd till it-beslutsfattare i Sverige när det gäller cybersäkerhet?

– Mitt främsta råd just nu är att hänga med, för det går väldigt fort. Och då menar jag inte bara på den tekniska sidan eller när det gäller sårbarhetsrapportering, utan också i omvärldsläget och det geopolitiska läget.

– Vi har aldrig haft ett så instabilt geopolitiskt läge under min livstid, vår livstid. Det kalla kriget hade sin typ av spänning, men då handlade det om kapprustning och kärnvapen. Det var på ett sätt enklare att förstå. I dag har vi en digital kapprustning där många aktörer konkurrerar om teknisk makt, informationsmakt och systemmakt.

– Vad innebär det för mig som organisation? Det måste man försöka förstå. Så häng med i det. Mitt bästa råd är att hitta dina favoritpoddar eller andra bra källor och följa dem regelbundet, till exempel på väg till jobbet, så att du har en bra lägesbild.

Denna intervju spelades in i maj.