Dessutom vet vi att underrapporteringen är stor och att många myndigheter sannolikt befinner sig i riskzonen för att utsättas.
Förmågan att bygga ett tillräckligt försvar är framför allt beroende av två saker: hur de interna resurserna fördelas och det ramavtal myndigheten är knuten till.
Angående det förstnämnda är det positivt att cybersäkerheten klättrat högre upp på agendan. Samtidigt är det ett område där kunskapen på ledningsnivå är låg och där ansvaret för att förmedla budskapet uppåt och säkra rätt resurser hamnar på it-säkerhetschefen. Men även bland it-säkerhetschefer finns ett kunskapsglapp och kanske viss uppgivenhet.
Att agera för bästa möjliga säkerhet om man är fast i ramavtal som inte är anpassat efter hur cyberkriminella faktiskt agerar i dag är ett lika stort bekymmer. Dagens attacker sker sällan genom intrång i brandväggar utan måltavlor fångas in genom social ingenjörskonst, där man exempelvis hittar en väg in via medarbetarnas mejlinkorgar. Eller genom inkorgen hos en betrodd leverantör.
Mot sådant hjälper de tekniska lösningar som länge varit i fokus för cybersäkerhetsarbetet – exempelvis brandväggar – föga.
Att fortsätta investera i den här typen av lösningar är lite som att fortsätta gräva en allt djupare och bredare vallgrav för att skydda sig mot inkräktare, men samtidigt struntar i att placera vakter vid bryggan.
Ett modernt och proaktivt försvar där den anställde utgör den viktigaste brandväggen kräver ett annat tankesätt som behöver implementeras redan vid upphandlingsfasen. Det är ett långsiktigt arbete där kontinuerlig utbildning, fungerande rutiner och bättre insyn – inte minst i en tid där mycket personal arbetar flexibelt – är grundbultar.
Ett sådant omtag är nödvändigt för att minska antalet allvarliga attacker mot offentlig sektor men det kan vara komplicerat för beslutsfattare att förstå, krångligt att förklara och omständligt att förklara fördelar för affären kontra kostnader.
Det är förmodligen enklare att förlita sig på att tredjepartsleverantörer byggt tillräckligt skydd runt sina tjänster i stället för att övertyga en ledningsgrupp om att man snarare bör gå tillbaka till ritbordet och diskutera själva ramavtalet i stället.
Tekniken för att skydda oss bättre finns där, det är bara en fråga om att prioritera om. Vi måste helt enkelt sluta hålla tummarna för att den trojanska hästen bara var en skröna.
Mikael Järpenge
Teknisk cybersäkerhetsexpert
Proofpoint
