Russisk roulette med svensk IT-sikkerhed

For at fremme digital sikkerhed for virksomheder og organisationer skal vi gøre, hvad der er nødvendigt for at lukke kløften i sikkerhedsmodenhed blandt virksomheder. Dette kræver konkrete støtteforanstaltninger, skriver Johan Malmliden, administrerende direktør for Omegapoint.

Sikkerhedssårbarheder i små og mellemstore virksomheder

I en usikker krigstid i Europa og Mellemøsten, hvor organiseret cyberkrigsførelse er blevet mere og mere almindelig, har Sverige ikke råd til at stå passivt til, skriver Johan Malmliden, administrerende direktør for Omegapoint.

Nye tal fra det svenske sikkerhedsindeks 2025, som IT-sikkerhedsvirksomheden Omegapunkt udgivet i februar, afslører betydelige sikkerhedshuller i små og mellemstore svenske virksomheder. 59 procent mangler en fungerende leverandørstyringspolitik, og 41 procent er afhængige af eksterne certificeringer til at håndtere sikkerhedsrisici hos deres leverandører. I en tid med cyberkrig, hvor mindre og specialiserede IT-virksomheder spiller en nøglerolle i virksomheders forsyningskæder, skal vi nu anlægge en holistisk tilgang med fokus på hele kædens modstandsdygtighed.

Trusler mod digitale forsyningskæder

Virksomheders outsourcing og udbredte afhængighed af underleverandører skaber i dag lange og komplekse forsyningskæder. Ifølge MSB's rapport Trusler mod digitale forsyningskæder Dette gælder især for informationsstrømme, blød– og hardware og digitale tjenester. Underleverandører og øget specialisering blandt IT-leverandører har skabt et landskab, der MSB beskriver som "et netværk af nicheaktører" – hvor forskellige IT-virksomheder bidrager med unik ekspertise, der skaber potentielt farlige afhængigheder.

Hvis din virksomhed anskaffer et IT-system i dag, kan du forvente, at en række leverandører med specialiseret ekspertise har designet de forskellige dele af systemet. Hvis en af disse aktører, for eksempel en mindre leverandør med begrænsede ressourcer og utilstrækkelige sikkerhedsprocedurer, udsættes for et cyberangreb, kan det betyde et totalt IT-kollaps i hele forsyningskæden.

Solarwinds Hack 2020 er et skræmmende eksempel. Der lykkedes det en trusselsaktør at placere ondsindet kode i den amerikanske IT-virksomheden Solarwinds overvågningsværktøjet Orion. Som følge heraf risikerede op til 18.000 af dets brugere, herunder adskillige amerikanske myndigheder og store virksomheder, at få deres digitale netværk ødelagt, da de downloadede en softwareopdatering, der indeholdt skadelig kode.

Hjemme i Sverige Vi så en lignende. hændelse ved Tietoevry sidste år. IT-udbyderen, der håndterer følsomme data og digitale tjenester for en række svenske virksomheder, blev ramt af et ransomware-angreb, der resulterede i adskillige afbrydelser og potentielle datalækager for deres kunder, herunder Rusta, Filmstaden, Region Uppsala og Systembolaget.

Forskellen i sikkerhedsmodenhed mellem små og store virksomheder

Sårbarhedsrisikoen ved digitale forsyningskæder er derfor ikke et nyt problem. Det faktum, at forsyningskæder bliver lange og komplekse, kan argumenteres for at være et nødvendigt onde, da den moderne økonomi fremmer specialisering og outsourcing. Men det, vi ser i Svensk sikkerhedsindeks 2025 er, at forskellen i sikkerhedsmodenhed mellem små og store aktører bliver mere og mere mærkbar. Større virksomheder har ressourcerne til at revidere deres leverandører, fastsætte krav og implementere sikre rutiner.

Mindre virksomheder med begrænsede budgetter og ekspertise er ofte nødt til at stole på certificeringer – hvilket kan være utilstrækkeligt. Det svenske sikkerhedsindeks 2025 viser, at 41 procent af SMV'er forretning hælder mod certificeringer for at håndtere tredjepartsrisici, sammenlignet med 30 procent blandt større virksomheder. Kløften mellem disse grupper vokser, hvilket skaber betydelige forskelle i sikkerhedsbeskyttelsen af forsyningskæden.

Behovet for en holistisk tilgang til cybersikkerhed

Trusselaktører er klar over dette. Ved at angribe en lille aktør i forsyningskæden får de adgang til større operationer et par trin længere nede i kæden. Resultatet er, at små virksomheder er tvunget til at forsvare sig mod trusler, der faktisk er rettet mod deres kunder eller klienter. Dette er ikke bæredygtigt. Vi skal derfor holde op med at se sikkerhedsarbejde som isoleret til vores egne operationer og i stedet begynde at betragte hele forsyningskædens robusthed som afgørende.

Med sikkerhedsbeskyttelsesloven og den kommende Cybersikkerhedsloven Sverige har taget vigtige skridt i den rigtige retning. Disse regler kan være en drivkraft for forbedringer, men kun hvis de implementeres og følges op korrekt. For at forbedre sikkerheden i praksis kræves en holistisk strategi, hvor alle dele af forsyningskæden kan gennemgås og sikres. For at sikre, at selv de mindste IT-leverandører i kæden opfylder sikkerhedskravene, er følgende nødvendigt:

• Virksomheder og organisationer skal stille klare krav ved indkøb IT-tjenester, og udvis din egen due diligence, når du vælger leverandører.
• Myndigheder og større virksomheder skal sikre, at mindre leverandører modtager den vejledning og de ressourcer, de har brug for til at opbygge deres sikkerhedsrutiner.

I en usikker krigstid i Europa og Mellemøsten, hvor organiseret cyberkrigsførelse er blevet mere og mere almindelig, har Sverige ikke råd til at se passivt til. For at fremme digital sikkerhed for forretning Som enkeltpersoner og organisationer skal vi gøre, hvad der er nødvendigt for at lukke forskellen i sikkerhedsmodenhed blandt virksomheder. Dette kræver konkrete støtteforanstaltninger.

Alternativet er at fortsætte med at spille russisk roulette med Sveriges cybersikkerhed. Spørgsmålet er: har vi råd til at tage den risiko?