mot · H9023245 · 2021-10-04 00:00:00 — utbildar Försvarsmakten värnpliktiga cybersoldater i samarbete med KTH där värnplikten beskrivs så här: “Kärnan i arbetet med att förstärka cyberförsvarsförmågan är utökad kapacitet till defensiva och offensiva cyberoperationer mot kvalificerade motståndare i cyberdomänen. Cyberoperationer är en lika självklar del i modern krigföring som mark-, sjö- och luftoperationer och är därmed en naturlig del av det nationella försvaret av och svenska intressen.” Det är angeläget att cybersoldaterna blir fler. Den kompetens som de individer då utvecklar kan sedan, förutom att stärka Försvarsmaktens egen kompetens och cyberförmåga, också stärka cyberkompetensen i samhället i stort, exempelvis inom andra totalförsvarsmyndigheter men också inom näringsliv eller kommuner och regioner. Som vi ska se nedan är bristen på kompetens inom detta område skriande. Som vi ska se nedan är det också vanligt att strategisk kompetens kring cybersäkerhet ofta saknas i olika organisationers ledningar. Det hanteras som en it-fråga vilket inte är tillräckligt. För att belysa ett eventuellt behov av att stärka cyberfrågornas vikt i Försvarsmakten vill utreda om det finns ett behov av att införa ytterligare en cyber-försvarsgren jämte armén, flygvapnet och marinen. Under höjd beredskap och krig har staten stora befogenheter att beslagta och förfoga över privatägda industri, privatpersoners fordon och andra resurser som fysiskt kan behövas i en krigssituation. Syftet med förfogandelagstiftningen är att stärka förmåga att hantera och motstå krig utan att staten självt måste äga all materiell självt. Var och en är en del av totalförsvaret i . Förfogandelagstiftningen är baserad på fysiska enheter i en materiell värld. Men i och med att krigsarenan har utvecklats till att också omfatta en digital värld är inte bara fysiska utan även digitala resurser avgörande för statens förmågor . ger vissa möjligheter kopplat till själva näten, men det är oklart om dessa skrivningar räcker i dagens läge. Vi vill därför se över om förfogandelagstiftningen behöver uppdateras för att också inkludera digitala resurser för krigsföring i cyberdomänen. De frivilliga försvarsorganisationerna ligger varmt om hjärtat. Alla i ska kunna bidra till totalförsvaret, också om ens intresse och kompetens i huvudsak inte finns inom det traditionellt militära området, dvs. armén, flygvapnet och marinen. Samhällets förmåga att stå emot och återhämta sig från cyberattacker måste bli bättre. Vi vill därför att det övervägs att skapa ett cybervärn som står på två ben. Ett ben för att bidra till att stärka samhällets förmåga att hantera stora cyberattacker, och ett ben för att stå emot otillbörlig informationspåverkan under höjd beredskap och ytterst krig, dvs. cybervärnet ska också ha uppgifter inom det psykologiska försvaret. På så sätt kan vi också tydliggöra sambandet mellan cyber och psykologiskt försvar. Cybervärnet ska utgöra en aktiv del av totalförsvaret med kompetens som kan nyttjas av olika aktörer som själva saknar tillräcklig kompetens. Det blir en förstärkningsresurs på samma sätt som vissa andra kritiska resurser som frivilliga redan gör inom ramen för de frivilliga försvarsorganisationernas arbete. En nyckelaktör i cyberförsvar är FRA som skyddar de mest skyddsvärda verksamheterna. FRA identifierar och följer angripare från utlandet i syfte att skydda digitala integritet. Även om FRA fått utökade anslag är utmaningarna som ska mötas fortsatt så stora att ytterligare förstärkningar kommer behövas. Cybersäkerhet för hela samhället Det offentliga är bara en liten del av det svenska samhället. Ska ha ett bättre skydd är det alltså inte bara det offentliga som behöver ett bättre skydd. Det är också näringslivet, civilsamhället och inte minst den enskilda medborgaren. Civilsamhällets aktörer måste med in i utvecklingen av de policys som ska säkra medborgarnas rättigheter i den digitala vardagen. För den enskilda medborgaren är den avgörande insatsen en ökad säkerhetsmedvetenhet. Det krävs kompetenssatsningar brett i samhället. Vi skriver mer om detta i kommande kapitel. måste så klart produkter, såsom exempelvis en mobil etc., som köps in hålla en viss säkerhetsnivå. går det att i handeln köpa smartphones som inte kommer säkerhetsuppdateras efter att den lämnar butiken. Det innebär i praktiken att den säljs med öppna säkerhetshål från dag ett vilket försvårar, om inte omöjliggör, för en enskild individ att kunna skydda sig och sin information. Det samma gäller andra typer av hårdvara, också sådan som köps in av offentliga aktörer. Samhället ställer krav på konsumentsäkerhet på en lång rad områden men inte på säkerhetsområdet. Det är dags att ändra på det och i konsumentlagstiftningen och vid offentlig upphandling kräva uppdateringsgarantier eller produktens levnadstid om denna är kortare. Näringslivet och civilsamhället är avgörande delar av samhällets funktion och även av samhällets beredskap. Utan fabriker som producerar varor och tjänster och utan organisationer som hjälper till i vardagen och stödjer det offentliga blir utmaningar till kriser. Som vi sett det under den pågående pandemin. Därför är näringslivets och civilsamhällets cybersäkerhet också ett nationellt intresse - men ansvar för varje organisation som inte riktigt vet vad som är tillräckligt bra nivå. Statens viktigaste roll är att skapa bättre förutsättningar för dessa organisationer och företag att vara motståndskraftiga som förmågan att skapa, utveckla och uppfinna behålls. Ett exempel på dagens utmaningar är beslut i Screms II domen. Alla svenska organisationer som använder molntjänster famlar inför hur de ska agera. Kan man fortsätta använda molntjänster som ägs av företag med bas utanför EU? Ska vi avsluta alla digitala utvecklingsprojekt där molntjänster ingår? Hela vårt CRM-system ligger i molnet, måste vi avsluta det? Det är frågor som ställs över hela . Men från staten kommer inga riktlinjer. Ska vi ha en fungerande digitalisering där företag och civilsamhälle får möjlighet att agera baserat på krav och hot måste staten, i detta tillfälle genom , vara mer konsekvent och snabb i att ge rekommendationer kring aktuella informationssäkerhetsutmaningar. Vi måste också konstatera att en del av problemet i dagens digitalisering av samhället ligger i samarbetet mellan företag och offentliga organisationer. Antalet havererade IT- och digitaliseringsprojekt är för omfattande för att nämna. Och det kostar miljarder av skattekronor och det kostar på säkerhetssidan. Skolplattform är ett i skrivande stund aktuellt exempel där återkommande allvarliga säkerhetshål har negligerats eller hanterats allt annat än skyndsamt. Personer som uppmärksammat säkerhetshålen har uppfattats som motståndare och inte medspelare. Det är en kultur som motverkar säkerheten i systemen. En orsak till problemen kring skolplattformen och liknande stora system kan vara att samma aktörer som bygger systemen ansvarar för att avgöra om de är säkra. Vid stora och samhällsviktiga IT- och digitaliseringsupphandlingar måste såväl köpare och leverantör ha kompetens att kravställa respektive leverera säkra system. Och dessa krav bör kontrolleras och dokumenteras av en oberoende granskare. På så sätt kan samhället undvika en lång rad allvarliga digitala säkerhetsbrister och stärka it-konsulternas fokus på säkerhet. Ett uppdrag ska även ges till relevanta myndigheter, tex och , att utreda stora IT-relaterade incidenter. Myndigheter som tar emot incidentrapporter, tex baserat på NIS-direktivet, MSB/ska ges i uppdrag att offentliggöra rapporter om det som inträffat för att möjliggöra lärande även utanför den drabbade organisationen. Näringsliv och civilsamhället besitter både kompetenser och förmågor som det offentliga inte besitter. Men enligt våra samtal är det tydligt att samarbete och förtroende saknas för varandras kompetens mellan det offentliga och det privata näringslivet. Civilsamhällets förtroende för staten som garant för frihet och öppenhet är också utmanat. Och särskilt när det kommer till cybersäkerhet är det avgörande att säkra att staten arbetar för att försvara medborgarnas rättigheter - inte utarmar dem. Därför måste civilsamhällets aktörer vara aktiva parter i framtagandet av policy på cybersäkerhetsområdet. Det är en utmaning för näringslivet att det inte finns EN ansvarig aktör, man vet inte vart man ska vända sig, eller så måste man vända sig till många olika aktörer som i värsta fall säger olika saker. Oklar ansvarsfördelning gör att frågor riskerar hamna mellan departement, budgetposter, ansvarsutkrävande. Vi har under våra samtal fått höra exempel från stora näringslivsaktörer, relevanta branschorganisationer, att de ser ett stort mervärde med att samarbeta med det nya cybersäkerhetscentret, att de har skrivit och föreslagit det men mötts av tystnad. Det är synd för kopplingen mellan centret och privata näringslivet är essentiell, inte minst för att företag äger samhällsviktig infrastruktur. Det kan möjligtvis ha att göra med att flera av de myndigheter som utgör cybersäkerhetscentret är underrättelsemyndigheter och att det eventuellt präglar deras kultur. Men cybersäkerhetsfrågorna i samhället blir inte bättre av isolering och brist på samverkan. Kopplingen mellan offentlig och privat sektor är oerhört viktig men det offentliga tycks vara så oerhört rädda för att sitta ner och samverka, eller ens samtala. Detta trots att det finns bra exempel på bra samverkan som lett till stor nytta, exempelvis science park. Det riskerar ytterst få konsekvenser både för hur lagförslag utformas och svensk konkurrenskraft, om svenska krav blir högre än inom resten av EU. Staten och det offentliga kan inte lösa allt självt. Näringslivet är avgörande för en hög cybersäkerhet och näringslivets säkerhet en del av samhällets säkerhet. Att det saknas säkerhetskrav på digitala produkter som enskilda använder, kanske till och med mer eller mindre tvingas att använda såsom Bank-ID så blir det ännu viktigare att de håller en hög säkerhetsnivå. Att en stor mängd produkter utvecklas utan krav på säkerhet möjliggör en ny typ av brottslighet. Och som samhälle har vi accepterat det. Här skulle fler kunna göra mer. Det gäller inte minst bankernas interna flaggningssystem. Kanske behöver bankerna ha en intern kontrollmekanism eller fördröjningsprocesser när 90 som aldrig förr gjort en utlandsbetalning helt plötsligt vill föra till . Wishingbrott riktade mot främst äldre för ca av privatpersoners besparingar ut från landet . Lägg därtill kontokortsbedrägerier där 99,av brotten inte lagförs, och kanske aldrig ens anmäls. I de fall någon döms är straffen låga. I princip innebär det att samhället har avkriminaliserat denna typ av kriminellt beteende. Och det är inte bara enskilda individer som utsätts, också småföretagare som utsätts för cyberangrepp såsom ransomware och intrång är oerhört utsatta. Brott kopplat till digitalisering är en stor del av dagens brottslighet. av alla polisärenden innehåller digitala bevis, med utökningen av IoT kommer den andelen att öka. Men de som utsätts för cyberbrott är hänvisade till den lokala polismyndigheten som inte sällan lägger ner ärendet och som sällan har kompetens att värdera innebörden i cyberbrottslighet. Det gör det också svårt att få en nationell lägesbild över omfattning och konsekvenser. Anmälningsprocessen för cyberbrott måste digitaliseras och anmälningarna gå direkt till IT-brottscentrum under . skrivs det mesta av direkt och många anmäler inte då det är för krångligt. är det kanske mest digitaliserade landet i världen. Det gör också att svenska bolag är särskilt utsatta för cyberkriminalitet. ligger till exempel klart i topp när det kommer till kostnaden för ransomwareincidenter. Men bland de sämsta när det kommer till att stoppa attackerna innan data krypteras. [2] Det kan också förklara varför svenska företag i mycket större omfattning än företag i andra länder betalar lösensummor för att få tillbaka sin data. Vilket i sin tur ökar incitamenten att attackera . Svenska försäkringsbolag betalar generellt inte ut ersättning för lösensummor och cyberförsäkringar är ännu i sin linda. Det kan alltså ha oerhört stora konsekvenser för de företag som drabbas. Ett intrång kostar typiskt och kan pågå länge innan det upptäcks. Därför är det också en utmaning att bara 1 av 7 svenska informationssäkerhetschefer rapporterar direkt till VD eller styrelse. [3] Att ge bättre förutsättningar att skydda sig mot cyberattacker är en avgörande fråga för svensk konkurrenskraft. kan kraven på företagen inte hindra svensk konkurrenskraft så konsekvensen av regleringar blir ett fattigare istället för ett säkrare . Det finns ett regeringsuppdrag till polisen (IT-brottscentrum) att höja förmågan inom organisationen kring cyberbrottligshet. Men regeringsuppdraget följdes inte av några pengar och internt på Polisen har heller inga resurser avsatts för uppdraget. Det innebär att kunskapshöjande insatser uteblir, att utredningar läggs ner och att brottslingar går fria. Bättre förutsättningar behövs. För medborgare och företag är det IT-brottscentrum, och inte cybersäkerhetscentret, som är den viktigaste aktören för att få hjälp mot cyberkriminalitet. Därför kan inte cybersäkerhetscentret ses som den enda spjutspetsen i kampen mot cyberhot. Skydda den digitala infrastrukturen Även om samhället snabbdigitaliserats under pandemin så hamnar långt ner på digitaliseringsrankningslista och långt efter snittet när det kommer till digitalisering av den offentliga sektorn[4] och vi ligger på plats 52 i Index. Både och EU är dessutom extremt beroende av andra länder för att få tag på hårdvara och eftersom leveranserna sker “just-in-time” principen finns heller inga lager att använda vid stoppade leveranser. I princip ingen produktion finns inom EU. Vi noterar att amerikanska It-jätten nu ska investera i utökad produktion av halvledare- dvs. microchip, i . Det är den globala bristen som gör att produktionen nu plockas hem till . Bristen påverkar inte minst bilindustrin. En mycket stor andel av all hårdvara som används i EU kommer från . som länge har hotat med militärt våld. Det är inte omöjligt att föreställa sig att skulle lägga exportrestriktioner på i händelse av ett väpnat angrepp. Det återstår att se hur och EU skulle hantera en sådan situation, inte minst om cyberattacker slår ut viktig infrastruktur eller applikationer i våra egna länder. Vår förmåga att hantera en sådan situation ter sig som mycket liten. Vi saknar beredskap för det. På nationell nivå finns i ingen samlad kunskap om hur säkra våra digitala nät och vår digitala infrastruktur är. De stora operatörerna har koll på sina respektive nät men ingen aktör har koll på knutpunkterna eller vad som sker om dessa släcks ned, vilka kaskadeffekter som då kan uppstå eller hur vi ska komma till rätta med dem. Det kan uppenbart vara så att främmande makt har koll på dessa men att som land saknar det helt enkelt för att ingen aktör, ingen myndighet eller organisation har ett utpekat ansvar för att ha en sådan lägesbild. Alla de små enskilda problem som kan finnas blir ett främmande-makt-problem för oss om de sitter och kartlägger var dessa brister finns. Vi vet att utländsk makt bedriver kartläggningsverksamhet mot och att de på olika sätt testar våra system inkl. sårbarheter i vår infrastruktur. Vi måste därför utgå från att informationen redan finns hos främmande makt. Att någon annan kan sitta på en samlad information om sårbarheter och svagheter i vår digitala infrastruktur men inte vi som land är en stor försvars- och säkerhetspolitisk utmaning för oss. Uppenbart riskerar det kraftigt begränsa vårt lands handlingsfrihet vid en stor cyberattack som påverkar samhällsviktig verksamhet. Vi ser behov av att PTS får i uppdrag att genomföra en nationell kartläggning om risker och sårbarheter i fibernäten och noder samt att i en sådan ta ett helhetsgrepp om beroenden och vad som behöver göras för att fibernäten tillsammans ska ge ökad förmåga för alla de aktörer som utnyttjar dem. En sådan kartläggning behöver göras tillsammans med näringslivet som äger mycket av infrastrukturen. Vattenrening, elförsörjning och andra helt grundläggande delar av samhällets infrastruktur är digitaliserade och därmed sårbara mot attacker. Men sårbarheterna testas inte på ett strukturerat sätt och överblick över sårbarheterna saknas. Den kritiska infrastrukturen måste sårbarhetstestas löpande så vi själva känner till bristerna. Våra motståndare testar den redan. finns tydliga säkerhetskrav på att sjukhus måste ha reservkraft eller att offentliga aktörer ska ha ett brandskydd mm, men det finns inga krav på robusthet i digital infrastruktur. Digital infrastruktur är ett vitalt samhällsintresse och måste beaktas som det. Digitalisering utan krav på säkerhet och robusthet kan få stora konsekvenser för människors integritet, ökar risken för att utländska statsaktörer såväl som kriminella ligor kan få tillgång till information de inte ska ha, ger dem möjlighet att utnyttja säkerhetsluckor för att stänga ner samhällsviktig verksamhet och tjänster vi gjort oss beroende av i vardagen. Människors möjligheter att arbeta effektivt hemifrån påverkas vid störningar. Experter vi pratat med har bedömt att det främst är de underliggande näten, som utgör en svag punkt, en sårbarhet. Det påverkar inte minst människors möjligheter att jobba hemma på ett effektivt och hanterbart sätt när kommunikationen avbryts titt som tätt. Dessutom kostar avbrott både företag och medborgare tid och pengar. Att det saknas krav på digital säkerhet gör det svårt för bl.a. kommuner och regioner att ställa krav på säkerhet i sin egen digitaliseringsresa, man har inte kunskapen själv inom sina organisationer och olika kommuner ställer olika krav vilket i sin tur gör det svårt för företag att utveckla produkter och delta med ”standard-säkerhetsprodukter” i upphandlingar. Branschorganisationer vi pratat med efterfrågar standarder eftersom det då också blir lättare att utveckla produkter som är användbara för fler vilket de kan tjäna pengar på, och spara tid i en upphandlingsprocess. har länge, inom ramen för försvarsberedningen, drivit att funktionskrav för samhällsviktig verksamhet ska tas fram. Att det skulle omfatta också den digitala infrastrukturen känns viktigt och nödvändigt. Samhället digitaliseras också i mångt och mycket utan att hänsyn tas till vare sig hotbild eller förståelse för säkerhetsbehov, inte minst inom offentlig sektor. Snarare är det vanligt att nya system utvecklas och när det är färdigt så tänker man säkerhet, men då är det ofta för dyrt eller komplext för att göra någonting åt det. Istället vill man få ut sin nya produkt, exempelvis en app. En expert vi pratat med beskrev det som att många incidenter är onödiga, både systemmässigt och kompetensmässigt. Vi bygger helt enkelt för dåliga IT-system där inställningen ofta är följande: “Snälla vi har precis fått systemet att fungera - ställ nu inga säkerhetskrav på oss”. Teknologiutvecklingen går framåt, och sen lägger vi i bästa fall på säkerhetsperspektivet efteråt. Inte undra på att gapet mellan digitalisering och cybersäkerhet ökar. Fler aktörer måste på bredden se den vardagliga nyttan för medborgaren med ett integrerat cybersäkerhetsperspektiv i det fortsatta digitaliseringsarbetet. Det är de minsta, men viktiga aktörerna, som inte har kraft att komma ikapp och minska det gap som ständigt vidgas. Här borde staten kunna stödja i större utsträckning . Inte minst i arbetet med att formulera grundläggande funktions- och säkerhetskrav. Det hade underlättat också för kommuner och regioner när de utvecklar nya IT-system och produkter i takt med att samhället digitaliseras. Hade sådana funnits hade det också varit lättare för näringslivet att utveckla produkter att använda sig i utvecklingen av nya tjänster och produkter. En del i ett robust samhällssystem är att ha redundanta system. har en monopolberoende på flera områden. Ett tydligt sådant exempel är Swish som har de facto monopol på digitala mobila betalningar . I vissa länder finns det ett flertal tjänster att välja bland vilket minskar risken för att inte kunna betala. BankID har också nästan monopol och godkänner till exempel enbart identifiering via BankId. Möjligheten att hantera välfärden ligger i händerna på en monopoltjänst från bankerna som dessutom inte accepterar alla som behöver interagera med offentlig sektor som kunder. Digitala betalningar och offentliga tjänster måste vara tillgängliga för alla och via mer än en enskild digital identitetslösning. Staten bör även ha en egen identifiering utöver att det ska vara öppet för andra aktörer. har cyberattacker mot sjukvården runt om i världen stängt ner kliniker, ambulanssystem och hela sjukhus. Det har kostat liv och miljarder och gett kriminella aktörer möjlighet att tjäna stora pengar genom att pressa ut både sjukhusledningar och enskilda patienter genom att antingen ta kontroll över systemen eller genom att hota läcka personlig och integritetskänslig information som de stulit. En vanlig metod är att skicka mejl som verkar vara helt legitima som när de öppnas försätter vitala sjukvårdssystem i känsligt läge, stänger ner journalsystem eller stjäl information om patienter eller för politiska syften. Man har också sett att cyberattackerna allt mer riktar in sig på vitala styrsystem i sjukvården, exempelvis olika livsuppehållande apparater. En angripare som kommer åt en hjärt- och lungmaskin har direkt påverkan på en människas liv och död. ser vi att säkerheten inom vårdsektorn inte följt med digitaliseringen. som ansvaret för cybersäkerheten ofta legat hos drifttekniker, som dessutom haft det som en tillikauppgift och heller inte fått rätt utbildning eller förutsättningar att veta hur de ska agera om en attack faktiskt sker, hur incidentrapporteringen ska gå till osv. Det har också visat sig svårt att ställa rätt krav, att veta vad som är rätt krav vid upphandlingar. finns i regioner flera kritiska system, livsviktiga system som drivs av operativsystemet Windows XP. Problemet är att Windows XP inte längre uppdateras och dessutom innehåller flera kända sårbarheter. sätter juridiken stopp för att sjukhusen/regionerna uppdaterar programmen själva. Det betyder att svensk sjukvård sitter på extremt sårbara och osäkra system som de inte har råd att byta ut som de inte får uppdatera dem själva. Livslängden på sjukvårdssystemet är längre än på operativsystemet. saknas i också best practices på hur man undviker att liknande situationer uppstår. Här menar vi att det nyinrättade cybersäkerhetscentret bör kunna göra mer för att sprida information om detta och stödja regioner och andra aktörer. Att det i stort saknas krav på säkerhet och robusthet gör det också svårt för enskilda företag att veta vilken säkerhetsnivå de själva ska lägga sig på. Och andra sidan, om staten skulle ställa allt för specifika, hårda krav på säkerhet som inte återfinns på EU-nivå, så kommer svenska företag drabbas av konkurrensnackdelar. Det är viktigt att utforma statliga krav på säkerhet i ett helhetsperspektiv och att liknande regler gäller i andra länder och också beakta andra perspektiv såsom integritet och tillgänglighet, som vi skriver ovan. Stärkt kompetens kring cybersäkerhet Det saknas kompetens och förståelse för den digitala hotbilden mot , både i det politiska systemet, i näringslivet och på bredden i samhället. Kompetensbrist och långsiktig kompetensförsörjning är utmaningar som lyfts tidigt av i princip alla som vi pratat med i framtagandet av den här rapporten. Problemen beskrivs som skriande och akuta. har kallat avsaknaden av kompetens ett nationellt säkerhetsproblem. [7] Problemet är inte mindre i . Det saknas kompetens både på bredden och spetsen i samhället för att kunna minska det ständigt vidgade glapp som finns mellan en accelererande digitalisering och en god cybersäkerhet.