Kungliga tekniska högskolan utbildar just nu de första kullarna av svenska cyber­soldater för att möta de eskalerande cyberhoten. Pontus Johnson, professor på KTH, är en av dem som leder utbildningen.

• 08 december 2020
• 0
• AV: Adam Öhman

– Vi kan räkna med att den här typen av attacker kommer att öka även i Sverige, så vi måste prioritera frågan på nationell nivå. Det fundamentala problemet när vi pratar om cybersäkerhet är att vi är oförmögna att bygga säkra system. Därför behövs mer forskning för att komma på nya tekniker, metoder och plattformar för att kunna skydda oss. Vi förvarar allt större värden i våra datorer, vilket gör att de ekonomiska incitamenten för de kriminella ökar, säger han.

Under hösten har flera spektakulära cyberattacker mot vårdsektorn uppmärksammats i internationella medier.

I Finland drabbades i oktober psykoterapeut­företaget Vastaamo av ett dataintrång som beskrivs som historiskt stort i landet, då tusentals patientjournaler läckte ut till en anonym utpressare, och i Tyskland dog i september en patient efter att ambulansen kört till ett avlägset sjukhus på grund av en cyberattack. Och nyligen drabbades ett av Sveriges största hyrläkarföretag av en omfattande läcka, där uppgifter om över 12 000 svenska och norska läkare och sjuksköterskor ska ha hamnat i en utpressares händer.

Myndigheten för samhällsskydd och beredskap (MSB) delar hotbilden och uppmanar vårdsektorn att ta varningar om IT-attacker på större allvar. Tidigare i år tog myndighetens avdelning CERT-SE, som består av ett nationellt team med uppgift att stödja samhället i arbetet att hantera och förebygga IT-incidenter, fram rekommendationer som kan användas inom vården för att öka motståndskraften. Ett arbete som gjordes tillsammans med Säkerhets­polisen och Polismyndigheten.

KTH och Försvarsmakten startade i januari ett forskningscentrum för cyberförsvar och informationssäkerhet (CDIS). Under året har man anställt sex doktorander som forskar om exempelvis bevisbart säker hårdvara, attack­simuleringar för försvarssystem och maskininlärning för cyberoperationer. En del av centrumets verksamhet fokuserar på att utbilda värnpliktiga cybersoldater.

I nuläget är Sverige föremål för lågintensiva, men återkommande, cyber­angrepp från andra nationer. Pontus Johnson, professor på KTH

En av dem som delvis har personlig erfarenhet av vad cybersoldaterna går igenom under sin utbildning är Sam Hamra, som just nu är på god väg att ta sin examen i datateknik med inriktning datasäkerhet på KTH. Han är en av Pontus Johnsons studenter och har gjort ett examensarbete om etisk hackning. Högskolan bygger alltså, annorlunda uttryckt, hackerkompetens som i fel händer kan göra mycket skada, men i rätt händer kan användas för att skydda delar av samhället.

– Vem som helst kan lära sig att bli en hacker, men det tar lång tid. Det är omöjligt för svenska myndigheter och företag att försvara sig mot cyberattacker om man inte har rätt kompetens. Man måste förstå vad man kämpar emot, säger Sam Hamra.

I dag är ransomware de stora hoten, utpressningsprogram, som tar sig in i IT-system och krypterar och låser systemen och stjäl information. Lägg därtill cyberattacker med politiska motiv och påverkansoperationer. Det värsta tänkbara scenariot, enligt Pontus Johnson, skulle vara en stor attack mot elkraftnätet. När elen försvinner skulle följderna bli katastrofala för transporterna, matförvaringen och handeln. Sjukvården skulle man försöka hålla igång med dieselaggregat, men det kan man bara göra i ett antal dagar.

– I nuläget är Sverige föremål för lågintensiva, men återkommande, cyber­angrepp från andra nationer. Ryssland och Kina utgör de största hoten. Sedan har vi ju de cyberkriminella, terroristerna och de så kallade hacktivisterna, säger han.

– På 1990-talet pratade man mycket om kreativa och listiga tonåringar med huvtröjor som hackade system. Den kliché­bilden stämmer inget vidare i dag, även om den typen av brottslingar förekommer.

Pontus Johnson beskriver hur den digitala omställningen i pandemin med digitala möten och hemarbete har medfört en acceleration av vissa typer av säkerhetsproblem. En del organisationer har exempelvis öppnat sina brandväggar för att medarbetare ska komma åt sina arbetsplatser hemifrån, vilket underlättat för potentiella angripare.

Pontus Johnson säger att rapporterna­­ om problem inom sjukvården framförallt kommer från andra länder, men även från Sverige. Delvis handlar det om problem som är kopplade till digitaliserad sjukvårds­utrustning, där angripare kan ta sig in i allt från digitala röntgenapparater till pacemakers.

– Det handlar kanske främst om problem kopplade till administrativa system. Dessa skiljer sig i regel inte från andra delar av samhället. Det är ofta samma operativsystem, mejlklienter och webbservrar som andra företag använder, exempelvis Microsoft. Och alltför ofta handlar det om just system som inte är uppdaterade, säger Pontus Johnson.

Sverige ligger i ett internationellt perspektiv inte särskilt bra till i fråga om cybersäkerhet. Sverige kniper plats 39 på National Cyber Security Index, vilket går att jämföra med Danmark och Finland som ligger på plats åtta respektive nio.

Sverige utmärker sig för att genomföra förändringar i ett högt tempo där IT-säkerheten inte hänger med.

– Digitaliseringen innebär att vi överlämnar förvaltningen av många centrala funktioner inom vården, kritisk infrastruktur och nästan all annan mänsklig verksamhet till datorsystem. Det faktum att systemen är så komplicerade att vi människor inte längre fullt ut förstår dem medför att vi introducerar sårbarheter i dem som gör att de kan hackas.

Det mest centrala är mer kunskap och forskning. Pontus Johnson, professor på KTH

Pontus Johnson tycker dock att man börjar få upp ögonen för cyberhoten, men att det inte räcker.

– Sverige har fått en ny säkerhetsskyddslagstiftning. Men det är inte tillräckligt. Vi måste få en sammanhängande lagstiftning och tillsyn på ett annat sätt än vi har i dag. Mycket sker i privata system och ägs av privata aktörer och det har stor påverkan på samhället i stort och måste bli mer enhetligt. Det mest centrala är dock mer kunskap och forskning. Om vi inte satsar mer inom dessa områden kan priset som vi måste betala bli enormt, säger han.