Hon leder arbetet mot cyberskurkarna – 3 tips från it-experten

Sedan hösten 2021 leder juristen och polisen Thérèse Naess Nationellt cybersäkerhetscenter, en satsning för att stärka Sveriges förmåga att förebygga, upptäcka och hantera cyberhot. En samverkansplattform där bland andra Säpo, Försvarsmakten och Polismyndigheten ingår.

Arbetet med cybersäkerhet går trögt och är inte ändamålsenligt sett till hoten och riskerna, skriver ni i en rapport. Varför är Sveriges chefer så dåliga på cybersäkerhetsarbete?

”Vi lever i en tid där resultat och innovation premieras. Incitamenten för att syssla med cybersäkerhetsarbete är inte lika starka. Många vill jobba med innovationer, och tänker kanske att säkerhetsfrågorna är något för it-avdelningen att ta hand om. Det uppstår ett gap”, säger Thérèse Naess.

Man skulle kunna likna det vid dåligt underhåll av vägar, järnvägar och annan infrastruktur, jämfört med att bygga nya transportvägar.

”Få vd:ar belönas för sitt säkerhets­arbete”, säger hon.

Sverige är ett av världens ledande teknikländer. Är svenska chefer för godtrogna inför riskerna med digital teknik? 

”Generellt skulle jag inte kalla dem naiva. Men det finns många organisationer som inte gjort sin hemläxa. Samtidigt tror jag att chefer och ledare börjar vakna upp inför problemen. Inte minst på grund av all medial uppmärksamhet kring cybersäkerhetsfrågorna.”

Vad kan och bör den enskilda chefen först och främst göra?

”Skapa rätt förutsättningar för ett kontinuerligt it-säkerhetsarbete. Att bara inrätta en ny roll som it-säkerhetschef räcker inte. Cybersäkerhet är något som måste genomsyra hela verksamheten.”

”Det handlar om att göra riskanalyser, få skyddsstrukturer på plats, och inte minst budgetera för det. Förebyggande insatser är i längden billigare än att hålla tummarna för att inget ska hända.”

Vad oroar dig mest?

”Just att man inom många organisationer inte arbetar tillräckligt med cybersäkerhet. Det är en risk inte bara för den egna verksamheten, utan för hela samhället. Oskyddade system kan utnyttjas som ett nav för ytterligare attacker mot andra.”

Vad är det värsta som kan hända?

”Vi vet att cyberangrepp kan utlösa krig. Den ryska invasionen av Ukraina föregicks av cyberattacker mot samhällsviktiga funktioner, som statliga myndig­heter och banker. Vilket lett till att man där verkligen skärpt it-säkerheten.”

Inte alla polisanmäler cyberangrepp. Varför då?

”Man ser inte alltid incitamenten. Ett vinstdrivande företag, som fått sina system utslagna av ransomware (utpressning till följd av inplanterad skadlig kod, reds anm), kan befara att marknadsandelar och marknadsvärde går ner om angreppet blir känt. Men jag uppmanar ändå alla att polisanmäla.”

”På EU-nivå och inom Europol görs i dag stora och framgångsrika insatser mot cyberbrottsligheten. I det pusslet är varje enskild anmälan av betydelse, och kan leda till att än större resurser sätts in.”

Bör chefen se till att cyberutpressare får betalt för att låsa upp spärrade system?

”Nej, för då försörjer man ju den kri­minella organisation som ligger bakom. Och den cyberbrottsligheten bedöms vara lika lönsam och omfattande som droghandeln – men med risker och straffvärden som är betydligt lägre”, säger Thérèse Naess.