Debatt om sårbarheten hos samhällsviktig IT-struktur

På SvD Brännpunkt publicerades en artikel av Fredrik Ljunggren från säkerhetsföretaget Kirei.

Fredrik Ljunggren
Fredrik Ljunggren.

Fredrik skriver om sårbarheten hos samhällsviktig IT-struktur. Poängen Fredrik gör i sin artikel är att då det saknas såväl lagmässiga krav på säkerhet för dessa system som kompetens och metoder för att kravställa på säkerhet vid upphandling och effektivt hantera incidenter. Fredrik skriver:

En stor mängd samhällsviktig IT-infrastruktur saknar effektivt skydd mot IT-angrepp. Särskilt tydligt blir det i kommunal verksamhet, som till exempel vattenförsörjning och fjärrvärme. Här saknas ofta både kunskap och resurser för att stärka motståndskraften mot IT-angrepp, och det finns heller inga affärsrisker eller verksamhetskrav som driver på arbetet.

Den myndighet som ansvarar för området är Myndigheten för Samhällsskydd och Beredskap (MSB), Fredrik ser dock inte att MSB i dag gör det jobb som krävs:

SB har utarbetat en gammal hederlig femårsplan som de kallar ”strategi för samhällets informationssäkerhet 2010-2015”, och som ges ut i form av en glättig fyrfärgsbroschyr. I strategin saknas dock helt konkreta mål, och undermeningen tycks vara att om vi bara pratar med varandra så löser sig allt av sig självt. Detta strutsbeteende riskerar att leda till att vi möter ytterligare ett förlorat decennium vad gäller säkerhet och mognad i samhällsviktig IT-infrastruktur.

Det Fredrik ser behöver göras är istället att driva på konkreta riktlinjer och krav samt se till att de efterlevs:

Reglering och juridiska verktyg i all ära, men Sverige behöver gå i bräschen för att utforma europeiska riktlinjer för IT-säkerhet i styrsystem, och ställa konkreta krav på alla verksamheter som kan betecknas som samhällsviktiga.

Fredrik har även kompletterat artikeln med en kommentar på Kireis webbplats.

Även om jag inte är säker på om den hotbild (dvs vem som utgör hotet) stämmer, men Jag håller med Fredrik om det grundläggande problemet. Jag ser en trend mot ökad uppkoppling av SCADA-system till administrativa system, och då ofta över Internet med hjälp av radio. Det finns många goda effektivitets- och kostnadsskäl för detta. Men det är sällan förändringar i särkerheten för systemen diskuteras och hanteras när detta sker.

Kommentera

E-postadressen publiceras inte. Obligatoriska fält är märkta *