Informations- och IT-sårbarhet

Den snabba tekniska utvecklingen både globalt och nationellt har gjort att vi ofta saknar etiska normer och juridiska ramar för ansvarsfull teknisk utveckling. Internet och sociala medier har bidragit till spridning av desinformation och polarisering, samtidigt som kommuner, näringsliv och invånare blir alltmer sårbara för cyberattacker.

Nya risker och sårbara samhällen

Digitaliseringen har förbättrat många aspekter av vardagen, men har också medfört nya och ökade risker. Samhällets beroende av IT-infrastruktur är idag så stort att IT-avbrott kan få lika allvarliga konsekvenser som avbrott i elförsörjning eller transporter. Cyberattacker utgör ett reellt hot mot både offentliga och privata aktörer.

Med utvecklingen av smarta städer, uppkopplade enheter och 5G-nätverk har sårbarheten ökat ytterligare, vilket kräver proaktivt säkerhetsarbete för att skydda invånarnas, företagens och kommunens verksamheter. Kommuner är särskilt utsatta, då de hanterar stora mängder känslig data men ofta har begränsade resurser för cybersäkerhet.

Den vanligaste formen av cyberangrepp mot kommuner och företag är så kallade ransomware-attacker (utpressningsattacker), där en organisations data krypteras och en lösensumma krävs för att låsa upp den. Detta motiveras ofta av ren ekonomisk vinning för angriparna. Ännu mer oroande är att cyberangrepp också används av främmande makter och kriminella nätverk som verktyg för destabilisering och påverkansoperationer.

Exempelvis utsattes Irlands nationella sjukvårdssystem 2021 för en allvarlig ransomware-attack och i Sverige har myndigheter som Riksidrottsförbundet och flera universitet fått intrång kopplade till utländska aktörer. Under 2023–2024 såg vi en ny typ av hot då statsstödda hackergrupper genomförde DDoS-attacker (överbelastningsattacker) för att släcka ner webbtjänster hos bland annat sjukhus, kollektivtrafik och banker som hämnd för politiska händelser. Dessa attacker – som ofta maskeras som “hacktivism”, men i själva verket kan orkestreras av exempelvis ryska intressen, visar att informationssamhällets sårbarhet kan utnyttjas för att skapa kaos och misstro i samhället.

Social manipulation (social engineering) är en annan växande utmaning. Enskilda anställda luras att avslöja lösenord eller klicka på farliga länkar, vilket kräver ökad utbildning och medvetenhet. Deepfake-teknik (AI-skapade förfalskade bilder eller röster) innebär att angripare kan försöka vilseleda genom att utge sig för att vara chefer eller kollegor. Även detta kopplar tillbaka till generativ AI-trenden – nya verktyg för att generera innehåll medför nya former av bedrägerier.

Satsningar på ökad säkerhet

För att möta dessa hot krävs strategiska investeringar i cybersäkerhet, kontinuerliga uppdateringar av system och tydliga utbildningsinsatser för personalen. EU:s nya NIS2-direktiv (Network and Information Security 2), som började gälla i oktober 2024, ställer skärpta krav på cybersäkerhet för tusentals svenska verksamheter. Detta omfattar många kommunala bolag och förvaltningar.

Lagen omfattar 18 samhällsviktiga sektorer och inkluderar i praktiken nästan all offentlig verksamhet. Kraven på riskhantering, incidentrapportering och ledningsansvar skärps avsevärt, vilket innebär att cybersäkerhet blir en strategisk ledningsfråga snarare än enbart en teknisk funktion. NIS2 innebär bland annat att ledningen i organisationer får ett tydligare ansvar att säkerhetsåtgärder finns, att allvarliga incidenter måste rapporteras inom 24 timmar, att riskanalyser och leverantörskontroller ska göras löpande samt att sanktionsavgifter kan utdömas vid brister. För Huddinges del betyder det att cybersäkerhet inte längre är en “IT-fråga” enbart, utan en ledningsfråga och en del av det systematiska kvalitetsarbetet.

Samhällskritiska funktioner blir måltavlor

Det handlar inte bara om tekniska lösningar utan också om att skapa en säkerhetskultur som kan hantera dagens komplexa hotbild. Det innebär exempelvis att anställda vågar rapportera incidenter och “nära ögat”-händelser, att säkerhet byggs in vid inköp och upphandling (t.ex. krav på leverantörers informationssäkerhet), samt att kommunen deltar i informationsdelning inom nationella nätverk som CERT-SE (MSB:s samverkansfunktion för cybersäkerhet). Under 2024 tog Huddinge fram en uppdaterad informationssäkerhetspolicy som bland annat innehåller rutiner för lösenordshantering, flerfaktorsautentisering och incidenthantering – detta är viktiga steg för att minska riskerna.

Digitaliseringen har alltså bidragit till smartare förvaltning, bättre tjänster och en enklare vardag, men också i förlängningen till större risker och ökad sårbarhet på en rad områden. Vi lever idag i ett samhälle som är alltmer beroende av el, digital teknik och ständig uppkoppling. IT-infrastruktur är lika verksamhetskritiskt som elnätet. Globaliseringen, i kombination med detta ökade digitala beroende, innebär nya risker – som möjligheten att fjärrstyra eller sabotera uppkopplade enheter. Riskerna kommer att fortsätta öka i takt med utbyggnaden av smarta städer och införandet av 5G i mobilnäten.

Denna omfattande teknikanvändning, tillsammans med ofta oreflekterad hantering av data, medför att hoten blir fler. Därför är ett proaktivt säkerhetsarbete avgörande för att Huddinge ska stå robust mot framtidens digitala utmaningar.