SVT Nyheters granskning visar att flera system som styr samhällsviktiga funktioner i Sverige är exponerade på internet och har sårbarheter som kan utnyttjas i ett angrepp. Det rör sig om industriella styrsystem, ofta kallade ICS eller SCADA, som används för att övervaka och styra processer inom bland annat elnät, vattenreningsverk, fjärrvärme och transporter. Ett angrepp mot sådana system kan i värsta fall leda till omfattande driftstörningar med allvarliga konsekvenser för människor och företag.
SVT har valt att inte peka ut enskilda anläggningar i detalj, med hänsyn till risken för skada. Enligt granskningen är det dock tydligt att systemen går att nå via internet, trots att de hanterar infrastruktur som vanligtvis betraktas som samhällskritisk. Fyndet bekräftar en bild som säkerhetsexperter fört fram under lång tid: många äldre industriella styrsystem byggdes för en sluten miljö där fysisk åtkomst var den enda vägen in. I takt med digitaliseringen har de successivt kopplats upp för fjärrstyrning, övervakning och underhåll – men säkerheten har inte alltid hängt med.
Problemet är internationellt känt. Styrsystem i energianläggningar, vattenverk och industrianläggningar har under senare år blivit en allt attraktivare måltavla för både cyberkriminella och statliga aktörer. I Ukraina har attacker mot elnätet visat hur sårbara dessa system är, och även i övriga Europa har myndigheter varnat för att samhällsviktiga verksamheter löper ökad risk. I Sverige har både MSB, Säkerhetspolisen och Försvarets radioanstalt uppmärksammat hotbilden, särskilt efter Rysslands fullskaliga invasion av Ukraina. Den säkerhetspolitiska utvecklingen har skärpt kraven på beredskap inom hela det civila försvaret.
Inom industrin används samma typ av teknik även inom exempelvis gruv- och mineralutvinning, där ventilationssystem, pumpanläggningar och processutrustning styrs digitalt. Ett angrepp mot ett gruvföretags kontrollsystem skulle inte bara innebära produktionsstopp, utan också risker för säkerheten under jord. Eftersom gruvsektorn är viktig för Sverige och övriga Europa, inte minst i arbetet med att säkra tillgången till kritiska råmaterial, har sårbarheter inom den här typen av verksamhet en bredare strategisk betydelse.
De senaste årens digitalisering har lett till att gränserna mellan kontorsnät och industriella nät suddats ut. Många anläggningar har av kostnadsskäl eller praktiska skäl kopplat samman system som borde vara isolerade. Det innebär att en angripare som tar sig in i ett vanligt företagsnät ibland kan ta sig vidare till processystemen. Förstärkt nätverkssegmentering, lösenordshantering, mjukvaruuppdateringar och kontinuerlig loggning är några av de åtgärder som experter brukar lyfta fram som särskilt viktiga.
EU:s nya NIS2-direktiv, som ska genomföras i svensk lagstiftning, sätter nu press på verksamheter inom kritisk infrastruktur att stärka sin cybersäkerhet. Direktivet omfattar en lång rad sektorer, däribland energi, transporter, vatten, hälsa och industri. Företag som inte uppfyller kraven riskerar sanktionsavgifter, och ledningen kan hållas personligt ansvarig för bristande tillsyn. Genom hårdare reglering har cybersäkerhet också blivit en allt viktigare fråga i styrelserummen.
Marknaden för säkerhetslösningar riktade mot industriella system växer snabbt. Stora aktörer som ABB, Siemens och Schneider Electric har utvecklat särskilda produkter och tjänster för att skydda äldre styrsystem. Samtidigt växer en framväxande sektor av specialistbolag som erbjuder övervakning, riskanalys och incidenthantering. Även försäkringsbolag har börjat ställa hårdare krav på företagens säkerhetsarbete, eftersom en allvarlig incident kan leda till omfattande ekonomiska skador.
SVT:s granskning understryker att uppkopplade system i samhällskritisk verksamhet inte bara är en teknisk fråga, utan också en samhällsberedskapsfråga. I ett läge där hotet från digitala angrepp ökar blir det allt svårare att motivera installationer som lämnas öppna för internet vid sidan av de skyddsnät som byggts upp. För de ansvariga verksamheterna handlar det inte längre om huruvida ett angrepp kan inträffa, utan när.