Russisk rulett med svensk IT-sikkerhet

For å fremme digital sikkerhet for bedrifter og organisasjoner, må vi gjøre det som er nødvendig for å lukke gapet i sikkerhetsmodenhet blant bedrifter. Dette krever konkrete støttetiltak, skriver Johan Malmliden, administrerende direktør Omegapoint.

Sikkerhetssårbarheter i små og mellomstore bedrifter

I en usikker krigstid i Europa og Midtøsten, hvor organisert cyberkrigføring har blitt stadig mer vanlig, har ikke Sverige råd til å stå passivt til, skriver Johan Malmliden, administrerende direktør Omegapoint.

Nye tall fra den svenske sikkerhetsindeksen 2025, ettersom IT-sikkerhetsselskapet Omegapunkt utgitt i februar, avslører betydelige sikkerhetshull i små og mellomstore svenske bedrifter. 59 prosent mangler en fungerende leverandørstyringspolicy, og 41 prosent er avhengige av eksterne sertifiseringer for å håndtere sikkerhetsrisikoer hos leverandørene sine. I en tid med cyberkrigføring, hvor mindre og spesialiserte IT-selskaper spiller en nøkkelrolle i bedriftenes forsyningskjeder, må vi nå ta en helhetlig tilnærming med fokus på robustheten til hele kjeden.

Trusler mot digitale forsyningskjeder

Bedrifters outsourcing og utbredte avhengighet av underleverandører skaper i dag lange og komplekse forsyningskjeder. I følge MSBs rapport Trusler mot digitale forsyningskjeder Dette gjelder spesielt informasjonsflyt, myk– og maskinvare og digitale tjenester. Underleverandører og økt spesialisering blant IT-leverandører har skapt et landskap som MSB beskriver som ”et nett av nisjeaktører” – hvor ulike IT-selskaper bidrar med unik ekspertise som skaper potensielt farlige avhengigheter.

Hvis bedriften din anskaffer et IT-system i dag, kan du forvente at en rekke leverandører med spesialisert ekspertise har designet de ulike delene av systemet. Hvis en av disse aktørene, for eksempel en mindre leverandør med begrensede ressurser og utilstrekkelige sikkerhetsprosedyrer, blir utsatt for et cyberangrep, kan det bety en total IT-kollaps i hele forsyningskjeden.

Solarwinds-hacket 2020 er et skremmende eksempel. Der klarte en trusselaktør å plassere ondsinnet kode i den amerikanske IT-selskapet Solarwinds overvåkingsverktøyet Orion. Som et resultat risikerte opptil 18 000 av brukerne, inkludert flere amerikanske myndigheter og store selskaper, å få sine digitale nettverk ødelagt da de lastet ned en programvareoppdatering som inneholdt skadelig kode.

Hjemme i Sverige Vi så en lignende. hendelsen ved Tietoevry i fjor. IT-leverandøren, som håndterer sensitive data og digitale tjenester for en rekke svenske bedrifter, ble rammet av et ransomware-angrep som resulterte i flere driftsavbrudd og potensielle datalekkasjer for kundene deres, inkludert Rusta, Filmstaden, Region Uppsala og Systembolaget.

Forskjellen i sikkerhetsmodenhet mellom små og store selskaper

Sårbarhetsrisikoen med digitale forsyningskjeder er derfor ikke et nytt problem. Det faktum at forsyningskjeder blir lange og komplekse kan hevdes å være et nødvendig onde, ettersom den moderne økonomien fremmer spesialisering og outsourcing. Men det vi ser i Svensk sikkerhetsindeks 2025 er at forskjellen i sikkerhetsmodenhet mellom små og store aktører blir stadig mer merkbar. Større selskaper har ressurser til å revidere leverandørene sine, sette krav og implementere sikre rutiner.

Mindre bedrifter, med begrensede budsjetter og ekspertise, må ofte stole på sertifiseringer – noe som kan være utilstrekkelig. Den svenske sikkerhetsindeksen 2025 viser at 41 prosent av små og mellomstore bedrifter virksomhet heller mot sertifiseringer for å håndtere tredjepartsrisikoer, sammenlignet med 30 prosent blant større selskaper. Gapet mellom disse gruppene vokser, noe som skaper betydelige forskjeller i sikkerhetsbeskyttelse i forsyningskjeden.

Behovet for en helhetlig tilnærming til cybersikkerhet

Trusselaktører er klar over dette. Ved å angripe en liten aktør i forsyningskjeden får de tilgang til større operasjoner noen steg lenger ned i kjeden. Resultatet er at små selskaper blir tvunget til å forsvare seg mot trusler som faktisk er rettet mot deres kunder eller klienter. Dette er ikke bærekraftig. Vi må derfor slutte å se på sikkerhetsarbeid som isolert til vår egen drift, og i stedet begynne å betrakte robustheten i hele forsyningskjeden som avgjørende.

Med sikkerhetsvernloven og den kommende Lov om nettsikkerhet Sverige har tatt viktige skritt i riktig retning. Disse forskriftene kan være en drivkraft for forbedring, men bare hvis de implementeres og følges opp riktig. For å forbedre sikkerheten i praksis kreves en helhetlig strategi, der alle deler av forsyningskjeden kan gjennomgås og sikres. For å sikre at selv de minste IT-leverandørene i kjeden oppfyller sikkerhetskravene, er følgende nødvendig:

• Bedrifter og organisasjoner må sette tydelige krav ved innkjøp IT-tjenester, og utfør din egen aktsomhet når du velger leverandører.
• Myndigheter og større selskaper må sørge for at mindre leverandører får veiledningen og ressursene de trenger for å bygge opp sikkerhetsrutinene sine.

I en usikker krigstid i Europa og Midtøsten, hvor organisert cyberkrigføring har blitt stadig mer vanlig, har ikke Sverige råd til å stå passivt til. For å fremme digital sikkerhet for virksomhet Som enkeltpersoner og organisasjoner må vi gjøre det som er nødvendig for å lukke gapet i sikkerhetsmodenhet mellom bedrifter. Dette krever konkrete støttetiltak.

Alternativet er å fortsette å spille russisk rulett med Sveriges cybersikkerhet. Spørsmålet er: har vi råd til å ta den risikoen?