Installatörens ansvar och cybersäkerhet

Åsa Schwarz är IT-säkerhetskonsult på Knowit, ett av Nordens största bolag inom IT-säkerhet. Hon är också författare, hennes IT-thriller De sju nycklarna, blev en julklapp till Sveriges riksdagsledamöter med tips för ett cybersäkrare Sverige. Här delar hon med sig av sina insikter till installatörsbranschen.

Hur står sig Sverige när det kommer till cybersäkerhet?

– Företag och offentlig sektor är extremt digitala, vi hamnade på femteplats när det kommer till digital förvaltning enligt en FN-undersökning. Därför borde vi ha högre säkerhet än vad andra länder har. Sverige ligger på 17:e plats när det gäller cybersäkerhet enligt en rapport från Internationella teleunionen som är ett specialorgan inom FN. Det innebär att vi är okej rustade för cyberattacker. Problemet är att vi löper mycket högre risk att drabbas eftersom hela vårt samhälle är beroende av IT. Att vara på 17:e plats behöver alltså inte betyda att vi är jättebra eftersom cyberangrepp är ett världsproblem. På den ljusa sidan har Sverige ett antal personer som är exceptionellt duktiga på cybersäkerhet. Det visade sig bland annat när vi helt otippat kom trea i den internationella cyberförsvarstävlingen Locked Shields.

Åsa Schwarz är IT-säkerhetskonsult på Knowit och författare av IT-thrillern De sju nycklarna.

Vad är lösningen på Sveriges säkerhetsproblem?

– En del är att produktleverantörerna måste ta sitt ansvar. Konsumenterna kommer aldrig bli experter. Just nu håller EU på att ta fram Cybersecurity Act som är en certifiering för cybersäkerhet. När den är på plats hoppas jag att fler leverantörer kommer höja säkerheten på sina produkter.

Varför gör inte leverantörerna säkrare produkter i dag tror du?

– Om man köper något från ett välkänt varumärke tar man som konsument för givet att produkten är säker och ställer därför inga säkerhetskrav. Leverantörerna gör inte säkrare produkter när ingen begär det. Titta på låsindustrin som inte varit uppkopplade särskilt länge. Vi har exempelvis sett att de saknar rutiner för att uppdatera portkodssystem. Samma brister finns bland uppkopplade värmesystem, kylskåp, tvättmaskiner och så vidare. Bolagen kopplar upp sina prylar, som ofta har ouppdaterade och gamla operativsystem, utan att tänka på säkerheten.

I Hager Magasin har vi tidigare skrivit om Mirai , finns det risk att liknade attacker kommer drabba Sverige?

– Absolut, det kommer även hända större och värre saker. Frågan är hur vi hanterar incidenterna. Man måste ständigt jobba med säkerhetsfrågor. Ju mer beroende vårt samhälle är av IT desto mer ökar riskerna. Företagen måste ha processer på plats för att kunna hantera säkerhetsbrister i och med den snabba teknikutvecklingen. Man måste alltså ändra arbetssätt ganska rejält.

Vems ansvar är det att göra internet säkrare?

– Egentligen är det alla vi som röstar. Än så länge har vi inget politiska parti som gjort detta till sin fråga. Men eftersom frågan blivit allt mer aktuell kommer vi se fler politiska diskussioner om IT-säkerhet framöver.

Installatören är den som i många fall installerar uppkopplade system med säkerhetsbrister. Vilket ansvar bär de?

– Det är installatörsföretagets ansvar att säkerställa de anställdas kunskap inom IT-säkerhet. Generellt borde de installera system efter de säkerhetsnormer som finns. Installatören bör också rekommendera säkra produkter.

Ett av problemen med så kallade smarta fastigheter är att de består av flera olika system. Varför finns det inte en standard som alla använder?

– Det finns standarder för IT-säkerhet, men det är inte alla som använder dem. Det beror på okunskap och på att kunderna inte ställer krav på produkterna. Ett exempel är Enisas rekommendationer för att få en grundläggande nivå på säkerhet inom IoT.

Hur ska installatörsföretagen bli bättre på cybersäkerhet framöver?

– Genom att utbilda personalen, först då kan de göra ett bra jobb. Även om det finns säkerhetsfunktioner i de flesta uppkopplade prylarna blir funktionerna inte påslagna. Exempelvis ska man alltid byta användarnamn och lösenord från standard till något unikt. Dessutom måste leverantörerna se till att det finns rutiner för säker installation så att rätt produkter används på rätt sätt. Allt handlar om att slutkunden ska vara trygg och säker med den installation som genomförs.