Experten om Miljödata-intrånget: ”Omöjligt att skydda sig helt”

Vilken är den enskilt viktigaste lärdomen vi bör ta med oss från Miljödataläckan?

– Att det digitala samhället är så komplext och sammankopplat att vi måste återvända till grunderna i både IT-säkerhet och informationssäkerhet. Vilka system finns, vilka komponenter utgörs de av, vad exponeras och hur känsligt är det data vi hanterar

– Eftersom läckan skedde hos en tjänsteleverantör ska det även understrykas hur otroligt viktigt det är att kravställa på tredje part, och dessutom följa upp deras arbete kring säkerhet. Det blir extra komplext eftersom det sällan räcker att bara ställa krav på sin direkta leverantör. Man behöver även försäkra sig om att de i sin tur ställer motsvarande krav på sina underleverantörer. Det blir lätt en lång pappersexercis, men utan kontroll i hela kedjan faller skyddet.

Borde man ha kunnat förbereda sig på ett bättre sätt innan olyckan?

– Det kan man alltid. Även om det inte är offentligt exakt vilken metod som användes för att få initial åtkomst, visar tidigare rapporter om samma hotaktör att de ofta utnyttjar redan kända sårbarheter. Det understryker vikten av att ha bra kontroll på versionshantering, patchrutiner och kontinuerlig sårbarhetsövervakning. När man dessutom använder externa leverantörer blir riskbilden ännu mer komplex. Det kräver att man ställer lika höga krav på leverantörens säkerhet och processer som på sina egna, och den mognaden är fortfarande ovanlig. De flesta har fullt upp med att skydda den egna miljön.

Att sådant här händer, är det något som förvånar dig?

– Absolut inte. Det här speglar hur hotlandskapet ser ut. Angripare riktar sig i allt högre grad mot leverantörskedjor eftersom ett intrång hos en leverantör snabbt kan drabba många organisationer samtidigt.

Vad säger det här fallet om Sveriges digitala sårbarhet generellt?

– Utan att ha sett hela attackkedjan som föranledde intrånget hos Miljödata, så skulle jag utifrån erfarenhet ändå vilja påstå att detta inte är något unikt svenskt problem. Även om vi har väldigt mycket att förbättra kring säkerhet.

– Jag hoppas verkligen att alla nya direktiv med utökade krav på verksamheter, exempelvis NIS2, gör att vi snabbt kan höja nivån. Offentlig sektor och andra samhällskritiska organisationer är attraktiva mål, och de har dessutom ofta beroenden av externa leverantörer med varierande säkerhetsmognad.

Vad kan man göra för att se till att något sådant här inte händer igen?

– Jag tror tyvärr inte att det är möjligt att helt skydda sig från att det sker igen. Det vi kan göra är att försvåra för angriparen genom segmentering, begränsade rättigheter, patchhantering, riskhantering, leverantörskontroller, krav på transparens och till viss del juridiska påföljder i avtal.

Är det möjligt att värja sig helt mot liknande attacker?

– Inga åtgärder kommer ge ett hundraprocentigt skydd, men de kan minimera riskerna så långt som möjligt.