Med fel cyberskydd riskerar kommuner att bryta mot lagen

Vårt samhälle, och framför allt samhällsviktig verksamhet, är mycket beroende av fungerande IT-infrastruktur- och tjänster.

Den kommunala verksamheten är inget undantag och kommunerna har ett stort ansvar när det gäller att upprätthålla samhällsservice även under svåra samhällsstörningar såsom naturkatastrofer och cyberattacker.

Vi är alla beroende av kommunernas samhällsservice på ett eller annat sätt. Du kanske har ett barn i förskolan, jobbar inom socialtjänsten eller dricker kommunalt vatten. Flera av kommunernas uppdrag är samhällskritiska och omfattas därför av extra hårda krav när det gäller exempelvis informationshantering av IT-stöd. NIS-direktivet ställer krav på informationssäkerhet och incidentrapportering för leverantörer av samhällsviktiga tjänster. För att ens ha en rimlig chans att kunna uppfylla kraven på att rapportera ett intrång inom 72 timmar måste det finnas en tydlig överblick över IT-miljön och standardiserade strukturer för rapportering av incidenter i berörda nätverk och informationssystem.

Karlskoga kommun och deras IT-driftchef Mattias Löfroth är kund till Check Point Software Technologies och förklarar att många svenska kommuner har flera punktlösningar som skyddar olika delar av IT-miljön, vilket gör det svårt att få överblick och verkligen säkerställa att säkerheten är heltäckande. Faktum är att flera punktlösningar också är resurskrävande eftersom olika lösningar kan kräva olika kunskaper och olika personal.

• Vi ville bort från flera punktlösningar och i stället ha alla enheter samlade under ett enhetligt hanteringsverktyg som ger oss överblick och uppfyller våra krav när det gäller cybersäkerhet, säger Mattias Löfroth. Dessutom ingår spårbarhet hos Check Point Software vilket underlättar för oss att anmäla en incident inom 72 timmar. Utan en tydlig överblick och spårbarhet hade det tagit längre tid för oss att göra en incidentrapport och vi hade riskerat att bryta mot lagen med otillräckligt cyberskydd.

Rätt kravställning och licensform är grundläggande

Många verksamheter jobbar med segmentering på något sätt eftersom alla användare inte behöver ha tillgång till exakt samma data och applikationer. Vissa verksamheter väljer också att prioritera och ger inte alla användare samma skydd men här har Karlskoga kommun valt en lite annan väg som fortfarande är kostnadseffektiv i längden.

• Jag vet att många kommuner väljer att prioritera skydd av sina anställdas, alltså exempelvis lärarnas enheter men inte elevernas, fortsätter Mattias Löfroth. Vi menar dock att skolan också är elevernas arbetsplats och vi ser betydelsen av ett allomfattande cyberskydd, inte minst när många jobbar på distans från ett potentiellt sårbart nätverk. Vi vet också att de cyberkriminella annars skulle kunna ta den enkla vägen in i verksamheten, via exempelvis en elevdator för att nå en lärares dator.

Mattias Löfroth poängterar att överblicken över kommunens IT-miljö är väldigt viktig eftersom de har många kritiska system och uppdrag att skydda. Även kravställningen och licensformen är grundläggande för att kommunen ska få såväl rätt nivå av skydd som stöd vid en svår samhällsstörning. Detta är också något lagen kräver.

• En färsk rapport från Check Point Research visar att antalet attacker är 40 procent fler per vecka 2021 jämfört med 2020, säger Jonas Bruzelius, Sverigechef, Check Point Software. Vi vet att många verksamheter har utmaningar kopplat till cybersäkerhet och vi känner oss trygga med att kommuner som har höga säkerhetskrav vänder sig till oss för att få hjälp. Faktum är att desto mer samhällsservice som kräver IT-stöd och kopplas upp, desto mer sårbar blir verksamheten om den inte skyddas på rätt sätt, och här är vi redo att stötta.