”Skapa rutiner och öva inför it-attacker”

Vad är svenska chefer sämst på när det gäller cyber­säkerhet?

”Det är nog att argumentera för kostnaderna. Ett bra och ibland nöd­vändigt skydd mot cyber­angrepp kostar, samtidigt som skyddet måste anpassas till ofta svårbedömda risker. Osäker­heten i hotbilden kan göra skydds­åtgärder svåra att motivera.”

”Det är som med försäkringar: Skyddet kan upplevas som för dyrt och högt prioriterat, eller så visar det sig i efterhand att det var långt ifrån tillräckligt”, säger Nada Kapidzic Cicovic som är teknologie doktor i IT-säkerhet och senior expert på Omegapoint med huvudsakligt fokus på cybersäkerhet.

Hur vet chefen om verksamheten satsar för mycket på cybersäkerhet?

”Ja, det där kan som sagt vara svårt. Höga nivåer av säkerhet kan upplevas som hinder i verksamheten, om det går ut över systemens enkelhet och användarvänlighet.”

”Men jag menar att säkerhet och övriga kvaliteter går att förena, om alla inblandade samarbetar och har klart för sig vad de vill åstadkomma. Säkerhet bör betraktas som en investering som driver värde, inte ett hinder för utveckling.”

Är beroendet av big tech ett säkerhetsproblem?

”Det har inte uppfattats så tills nyligen, då många sett enbart fördelar med att ­placera sina data i de stora techbolagens molntjänster snarare än att bygga egna system. Den senaste tidens politiska utveckling i USA har fått fler att se riskerna med dominansen av ett fåtal amerikanska bolag.”

”Det finns initiativ till europeiska molntjänster som skulle kunna bryta beroendet till de amerikanska, och föra datan lite närmare oss. Men Europa har hamnat på efterkälken, eftersom de stora amerikanska systemen har utvecklats med mycket resurser och bra kvalitet under lång tid.”

Många minns hur Coop tvingades stänga 800 butiker sedan cyberutpressare slagit ut kassasystemen. Matjätten valde öppenhet och vägrade betala lösensumman på motsvarande 70 miljoner dollar i bitcoin – var det rätt?

”Det tycker jag. Att lägga locket på kan göra det svårare att få nödvändig hjälp utifrån. Det är inte heller säkert att cyber­utpressare åtgärdar problemen de skapat sedan de fått in den begärda lösensumman, det vet vi av erfarenhet.”

”Mitt råd är i stället att återuppbygga systemen runt de delar som slagits ut i den här typen av attacker. Och att i förebyggande syfte skapa reservrutiner om systemen skulle gå ner i någon framtida attack. Rutiner som behöver testas och övas regelbundet.”

Kommer cyberattackerna att bli värre med AI?

”Redan nu ser vi hur brottslingar utnyttjar AI för att snabbare söka igenom datasystem för att hitta sårbarheter som går att utnyttja. Samtidigt som också försvarsförmågan förbättras med AI. Det är en kapprustning på båda sidor. Tyvärr ligger försvarssidan alltid lite efter. Därför gäller det att inte vänta med åtgärder vid upptäckten av sårbarheter som kan utgöra tänkbara mål för en framtida cyberattack.”

En attack mot appen Sportadmin, som används av många idrottsföreningar, skapade skandal 2025 när det visade sig att hackarna kommit över uppgifter om 2,1 miljoner barn och unga, inklusive skyddade personuppgifter. Vad borde gjorts annorlunda där?

”Fallet visar att även mindre organisationer, långt från börsbolagen, kan drabbas av omfattande dataläckor, och att de ofta har svårast att försvara sig. Efteråt konstaterade Integritetsskyddsmyndigheten att bristerna var kända men inte åtgärdade, vilket gör fallet extra allvarligt. Det handlade alltså om en styrningsfråga snarare än en teknisk miss.”

”Att skyddade personuppgifter läcker ut kan få mycket allvarliga konsekvenser för de drabbade. En lärdom är att ansvaret för personuppgifter aldrig går att lämna över till en leverantör. Det är den som samlar in uppgifterna som själv måste se till att de skyddas.”