Säkerheten i de digitala system som styr samhällsviktig verksamhet har hamnat i fokus efter en rad incidenter i Sverige och utomlands. SVT:s lokalredaktion i Örebro har i en granskning visat att flera tusen styrsystem ligger oskyddade på internet. Bland dem finns kylar och frysar i mataffärer och sjukvårdslaboratorier, avfrostningssystem vid vindkraftverk, ventilation i offentliga byggnader och utrustning inom lantbruket. På Västra Götalandsregionens kontor i Skövde krävs inte ens lösenord för att få åtkomst.
Västra Götalandsregionen är en av landets största regioner med ansvar för sjukvård och kollektivtrafik i västra Sverige. Regionen driver flera sjukhus och är en viktig aktör inom hälso- och sjukvården. Att just sådana system kan nås utan lösenord visar hur svårt stora organisationer kan ha att hålla koll på alla uppkopplade enheter.
Sårbarheten i industriella styrsystem, ofta kallade ICS eller SCADA, har varit känd i säkerhetsbranschen i flera år. Systemen byggdes från början för att vara robusta i drift, inte för att stå emot cyberattacker. Många av dem är gamla och har en lång teknisk livslängd, vilket gör att de fortfarande är i drift långt efter att hotbilden förändrats. Inom branschen talar man nu allt oftare om OT-säkerhet, det vill säga skydd av operativa system inom industri, energi och transporter. I takt med att allt fler enheter kopplas upp ökar angreppsytan, samtidigt som samhället blir mer beroende av att systemen fungerar.
Samma vecka rapporterade franska tidningen Le Monde att mat för hundratals miljoner kronor förstörts i attacker mot de största dagligvarukedjorna. Temperaturen i kylrummen fjärrhöjdes till över 50 grader, vilket gjorde stora mängder livsmedel oanvändbara. Attackerna skedde under loppet av några dygn och upptäcktes först när temperaturen började avvika. För kedjorna handlar det om direkta ekonomiska förluster och en påminnelse om hur beroende livsmedelsförsörjningen är av digitala system.
Även Regeringskansliet, som är den centrala myndigheten under regeringen, har hamnat i blåsväder. Dagens Nyheter avslöjade att en tjänsteman i en av de mest känsliga verksamheterna fått sin säkerhetsprövning underkänd, men ändå behållit passerkortet och tillgången till it-systemen. Enligt DN kunde personen röra sig fritt, inklusive på statsministerns kontor, och fortsatte att ha åtkomst till säkerhetsskyddsklassificerade uppgifter utan att det upptäcktes. Säkerhetsprövningen är ett centralt verktyg för att skydda statsledningen, och uppgifterna väckte frågor om de interna rutinerna.
Inom offentlig förvaltning finns fler exempel. Skatteverket, som hanterar medborgarnas privatekonomiska uppgifter, har enligt Sveriges Radios Ekot gått emot sina egna dataskyddsexperter och lagt känslig information i molnet. Det innebär att uppgifterna förvaras hos en extern tjänsteleverantör, något som väcker frågor om sekretess och kontroll. Myndigheten har tidigare varit kritiserad för brister i it-säkerheten.
Även i vardagen syns de nya sårbarheterna. Många produkter för smarta hem samlar in stora mängder data om användarna, ofta utan att det är nödvändigt, och i vissa fall delas uppgifterna vidare till tredje part. Tidningen Hem & Hyra har beskrivit hur ett blixtnedslag i ett bostadsområde i Linköping gjorde att portarna med elektroniska kodlås fastnade i låst läge i flera dagar. För vanliga hushåll kan konsekvenserna bli påtagliga vid strömavbrott, men också vid enklare tekniska fel. Vid ett längre strömavbrott kan sådana system bli en belastning snarare än en bekvämlighet.
Frågan om digital sårbarhet har också blivit en allt viktigare marknadsfråga. Globalt växer cybersäkerhetsmarknaden snabbt, och efterfrågan på skydd av operativa system har ökat. Flera uppmärksammade attacker mot energisektorn, sjukvården och livsmedelskedjor har visat att angripare allt oftare riktar in sig på infrastruktur som samhället är beroende av. Inom EU har NIS2-direktivet införts för att ställa hårdare krav på riskbedömning och säkerhet i samhällsviktiga verksamheter. Samtidigt visar branschrapporter att många organisationer har svårt att rekrytera personal med rätt kompetens.
För Sveriges del handlar det om en central del av det civila försvaret. En rad utredningar har pekat på behovet av att stärka motståndskraften mot digitala angrepp, men många bedömare anser att arbetet går för långsamt. Flera myndigheter har fått i uppdrag att stärka det digitala skyddet, men resurserna upplevs ofta som otillräckliga. Sårbarheten finns på flera nivåer, från enskilda bostadsportar till regeringskansliet och internationella livsmedelskedjor. Den senaste tidens incidenter har gjort det tydligt att frågan inte längre handlar om ifall allvarliga attacker kommer att ske, utan när. Det återstår att se om skyddet hinner byggas upp i tid.
