Viktige lærdommer for Sverige fra cyberkrigen i Ukraina

I løpet av 2022 har 330 IT-hendelser blitt rapportert inn til MSB (Myndigheten för samhällsskydd och beredskap, den svenske beredskapsmyndigheten). Det er færre enn i 2021 da 343 hendelser ble rapportert inn. Antallet hendelsesrapporter fra myndigheter har sunket fra 261 i 2021 til 231 i 2022, mens det har økt fra andre samfunnskritiske virksomheter fra 82 i 2021 til 99 i 2022.

– At det rapporteres inn færre hendelser betyr sannsynligvis ikke at det skjer færre hendelser, det finnes et mørketall som kan skyldes for eksempel ufullstendige rutiner, frykt for at tilliten til virksomheten kan bli stilt spørsmål ved, tidsmangel eller et ønske om å unngå politianmeldelse. MSB ønsker å se flere rapporter i 2023 og oppfordrer alle rapporteringspliktige organisasjoner til å ta sitt ansvar. Jo mer informasjon MSB får inn om IT-hendelser, desto bedre kan vi støtte i det forebyggende arbeidet, sier Mathias Antonsson, senior saksbehandler ved avdelingen for cybersikkerhet og sikre kommunikasjoner hos MSB.

Mange IT-hendelser kan unngås

Av de IT-hendelsene som ble rapportert inn til MSB i løpet av 2022, oppgis 41 prosent å skyldes systemfeil, 26 prosent på feil og 12 prosent på en eller annen form for angrep. MSB sin vurdering er at mange av hendelsene kunne vært unngått med bedre rutiner og kompetanseutvikling av personalet.

– Det grunnleggende systematiske informasjons- og cybersikkerhetsarbeidet må prioriteres høyere og tildeles mer ressurser av organisasjoner innen samfunnskritiske virksomheter. Å se over alle tenkelige risikoer og lage planer for fortsatt virksomhet om noe skjer, gjør stor forskjell på hvilken effekt en hendelse får. Hvis samfunnskritiske tjenester ikke fungerer, kan det føre til alvorlige konsekvenser for innbyggerne, sier Charlotte Petri Gornitzka, generaldirektør hos MSB.

Tema om cyberkrigføringen mot Ukraina

Rapporten omfatter et tema om Ukrainas forsvar mot Russlands cyberkrigføring, en cyberkrig som har aktualisert viktigheten av et motstandsdyktig cyberforsvar også i Sverige.

– Cyberangrepene mot Ukraina har i stor grad kunnet motvirkes, og viktige samfunnsfunksjoner har kunnet opprettholdes eller gjenopprettes raskt, noe som i stor grad forklares av gode forberedelser der samarbeidet med andre stater og selskaper har vært avgjørende. Der har Sverige mye å lære, vi trenger å samarbeide for at den digitale infrastrukturen skal bli mer robust og kunne motstå alvorlige cyberhendelser, sier Johan Turell, enhetsleder ved avdelingen for cybersikkerhet og sikre kommunikasjoner hos MSB.

Tiltak for et styrket cyberforsvar i Sverige

Ved å kartlegge leverandørkjeder, unngå avhengigheter av enkeltstående tjenester, styrke relevante samarbeid og planlegge for alle slags risikoer, kan organisasjoner begrense effektene av IT-hendelser. MSB redegjør i rapporten for flere anbefalinger for å styrke informasjons- og cybersikkerheten i Sverige. Det handler hovedsakelig om tre områder:

• MSB trenger å kunne kreve inn mer informasjon fra samfunnskritiske virksomheter og gis et utvidet mandat til å agere på risikoer og sårbarheter.
• Et antall utredninger trenger å gjennomføres for å tydeliggjøre sentrale myndigheters oppdrag og fullmakter knyttet til cyberforsvaret.
• MSB foreslår for eksempel at all samfunnskritisk virksomhet bør omfattes av samlede krav på informasjonssikkerhet, noe som kan skje ved å utvide anvendelsesområdet i den kommende NIS2-reguleringen.

– Til tross for relativt få innrapporterte cyberangrep i Sverige, må ikke risikoene undervurderes, spesielt i forbindelse med den alvorlige omverdenstilstanden. Å kunne motstå alvorlige cyberangrep er en viktig del av totalforsvaret, ettersom cyberangrep utgjør en konstant trussel mot alle deler av samfunnet. Hvis informasjons- og cybersikkerhetsarbeidet prioriteres og ressurssettes, har Sverige mulighet til på kort tid å stå mye bedre rustet enn i dag, sier Åke Holmgren, sjef for avdelingen for cybersikkerhet og sikre kommunikasjoner hos MSB.