Jag börjar faktiskt bli ganska trött på att höra hur sårbart vårt digitala samhälle är. Hur beroende vi blivit av internet, hur allting är uppkopplat och hur stora konsekvenserna kan bli när någon tar sig in i våra system. Det låter nästan som om den digitala sårbarheten är ett naturfenomen. Att vi är sårbara offer. Något vi måste acceptera, försöka leva med och hoppas att vi själva inte drabbas av.
– Problemet är att vi accepterar att vara digitalt sårbara.
I oktober utsattes hundratals livsmedelsbutiker i Frankrike för cyberattacker där angripare manipulerade kyl- och fryssystem. Matvaror för miljontals euro förstördes. Tre veckor senare var det Sveriges tur. Ett 30-tal livsmedelsbutiker drabbades av liknande angrepp och återigen förstördes matvaror för miljontals kronor. I veckan rapporterade SVT dessutom om ett angrepp mot kylsystem för donerat blod i Frankrike. Där upptäcktes angreppet i tid, innan det fick allvarliga konsekvenser.
Vi pratar om vår livsmedelsförsörjning och vår sjukvård. Verksamheter som är helt avgörande för att vårt samhälle ska fungera. Men det som gör mig mest upprörd är inte att någon försöker angripa systemen. Det är att vi gång på gång verkar bli överraskade över att det går.
Varför tillåter vi oss att vara digitalt sårbara?
Jag tänker på Trafikverkets nollvision. Där har vi som samhälle bestämt oss för att ingen människa ska behöva dödas eller skadas allvarligt i trafiken. Vi investerar enorma resurser i säkrare vägar, säkrare fordon och säkrare beteenden. Hela kedjan förväntas bidra. Det räcker inte att säga åt bilföraren att köra försiktigt. Vägen, bilen, tillverkaren och alla andra delar av systemet måste också ta sitt ansvar.
– Varför tar vi inte samma ansvar för vår digitala infrastruktur?
Jag har full förståelse för att en ICA-handlare har annat att tänka på än IT-säkerheten i butikens frysdiskar. Men någon har tillverkat kylsystemet, någon har utvecklat styrningen, någon har installerat utrustningen och någon har kopplat upp den mot internet. Vem kontrollerade säkerheten? Vem ansvarade för uppdateringarna? Och vem tog ansvar för helheten?
Jag vet inte exakt vad som har brustit i de enskilda installationerna, men jag accepterar inte att ansvaret för säkerheten faller mellan stolarna. Det duger inte att var och en sköter sin lilla del om ingen ansvarar för vad som händer när delarna kopplas samman.
På Tripnet har vi också kylmaskiner och andra tekniska system som behöver övervakas och underhållas. Men vi skulle aldrig acceptera att känsliga styrfunktioner exponeras oskyddade mot internet. Det skulle varken våra systemingenjörer eller våra leverantörer tillåta. Det handlar om att känna sina system, begränsa åtkomsten, hålla utrustningen uppdaterad och reagera när nya risker upptäcks. Det är grundläggande säkerhet, oavsett om vi pratar IT, OT eller IoT.
Två dagar för sent
En detalj i rapporteringen från Sverige är särskilt talande. Coop hade uppmärksammat riskerna efter attackerna i Frankrike och planerat säkerhetsuppdateringar. Men angriparna hann före med två dagar. Enligt Coops tidiga analys hade de drabbade butikerna sannolikt klarat sig om uppdateringarna genomförts.
– Två dagar!
Jag har tidigare skrivit om att det ibland är farligare att vänta än att patcha. Det här är ett smärtsamt exempel på just det. Vi måste sluta behandla kända säkerhetsbrister som något vi åtgärdar när det passar verksamheten. När en konkret attackmetod demonstrerats, när myndigheter varnar och konsekvenserna redan är kända, då måste vi agera.
Vi befinner oss inte i ett normalt säkerhetsläge
Ryssland betraktar sig som indraget i en strategisk konflikt med väst. Cyberangrepp, sabotage och påverkansoperationer är en del av den verkligheten. Vi kan diskutera vad som formellt ska betraktas som krig, men hoten och konsekvenserna är verkliga oavsett vad vi väljer att kalla dem.
Vi investerar stora resurser i vårt totalförsvar, samtidigt som vi lämnar onödiga sårbarheter i tekniken som styr vår livsmedelsförsörjning, våra fastigheter, vårt vatten och vår energi. Det går inte ihop. Vi behöver inte veta vem som kommer att utnyttja en sårbarhet för att förstå att vi måste åtgärda den.
Alla har ett ansvar för vår digitala säkerhet
Jag försöker själv bidra där jag kan. Genom att dela kunskap och erfarenheter med våra kunder, leverantörer, vänner och familj. Jag hjälper exempelvis mina föräldrar att hålla sina datorer skyddade. Jag kan inte garantera att de aldrig drabbas av ett angrepp, men jag vet att de har ett mycket bra skydd. Det är inte särskilt komplicerat när man kan det, men för den som saknar kunskapen kan det vara ett nästan oöverstigligt hinder. Därför har vi som faktiskt kan IT-säkerhet ett ansvar att hjälpa andra.
Tillverkarna måste bygga säkra produkter. Installatörerna måste förstå vad de kopplar upp. Leverantörerna måste underhålla och skydda systemen. Verksamhetsansvariga måste ställa krav och följa upp dem. Och vi som arbetar professionellt med IT-säkerhet måste dela vår kunskap och våga säga stopp när säkerheten inte håller.
Vi behöver bygga samma säkerhetskultur kring vår digitala infrastruktur som vi har byggt kring trafiksäkerheten. Det börjar med att någon ställer en fråga, undersöker en risk, genomför en uppdatering eller hjälper någon annan att få ett bättre skydd. Många små förbättringar, genomförda av många människor som tar sitt ansvar, kommer tillsammans att göra en enorm skillnad.
– Det är dags att sluta tycka synd om oss själva för att vårt digitala samhälle är så sårbart. Det är dags att sluta acceptera sårbarheten som ett normaltillstånd.
Nästa gång någon försöker stänga av våra frysar, våra vattenpumpar eller andra viktiga system vill jag inte läsa ännu en artikel om hur sårbara vi är.
– Jag vill läsa om ett angrepp som misslyckades.
"Ett angrepp som misslyckades för att någon hade tagit ansvar innan det var för sent. Precis som under en vanlig söndagskväll på Tripnet.
Läs även När det blir farligare att vänta än att patcha och Snabbare patchning i praktiken där vi berättar mer.
