Vi har nu i dagarna hört om butiker som har fått sina kylrum och frysar hackade så att en angripare har kunnat ändra temperaturen till ett maxvärde på 50 grader celcius. Detta var inte bara ett fenomen i Sverige och Finland, utan många andra europeiska länder drabbades och i större skala än oss i Norden. Det bevisar att vi fortfarande inte tar IT-säkerhet/cybersäkerhet på allvar, trots att EU uppdaterade NIS* och trots att vi fått nya cybersäkerhetslagar. Kort sagt är inte IT-säkerhet en prioritering. Till detta kommer att en av leverantörerna, Danfoss, gick ut till sina kunder för månader sedan och förklarade att deras system var utsatta för risk och intrång. Ändå väljer man att ignorera varningen eftersom det är kostsamt att skydda osäker IT-utrustning.
Med vår nya lagstiftning så har vi flyttat upp ansvaret till det ledande skiktet/styrelsen och därtill förändrat ledningsansvaret så att dessa frågor inte längre kan delegeras till lägre chefer eller leverantörer. Det har dock visat sig att styrelserna inte har möjlighet, eller rättare sagt viljan, att ta detta på allvar och med detta ta sitt lagstadgade ansvar. Detta är alltså inte ett tekniskt problem, utan ett ledningsproblem!
Mot bakgrund av detta som har hänt måste vi kanske utöka området OT (Operationell Teknologi) till att även inkludera butiker, eftersom samhället är så beroende av att de fungerar, speciellt livsmedelsbutiker.
Så hur kommer vi vidare? Nu när EU har fått upp ögonen för detta och medlemsländerna har instiftat ny lagstiftning i ämnet så är vi från den IT-professionella sidan lite bakbundna. För att komma vidare så måste ni som sitter i styrelser bjuda in oss och/eller kanske till och med skapa utrymme i ledningsgrupperna så att vi kan vara med och hjälpa till med analyser, planering, arkitektur och uppföljning. Utöver detta måste alla styrelsemedlemmar (enligt lag) lära sig mer om ämnet och sluta förhala/motarbeta utvecklingen. För vad är den kortsiktiga vinsten värd när du senare kan behöva lägga ned det mångdubbla för att rätta till problemet när väl attacken kommer… för den kommer.
ADAM RYDSTRÖM
IT-ARKITEKT
*EU:s direktiv om informationssäkerhet i offentliga IT-system
