Under maj månad drabbades den amerikanska staden Baltimore av en omfattande cyberattack. Sedan attacken inleddes har stadens viktigaste datorer inte fungerat och samhällskritiska funktioner har legat nere. Varken löner eller räkningar har kunnat betalas. Bostadsmarknaden i staden har också stått helt stilla då hackarna har låst åtkomsten till fastighetsdokument.
Idag, drygt en månad senare, har skadorna efter attacken, som spreds via ett så kallat ransomware, uppskattats till hissnande 18 miljoner dollar. De flesta funktioner rapporteras dock återigen fungera.
Vi frågade cyberexperten Rolf Rosenvinge, vd för konsultföretaget Cyberinsights som bland annat agerar stöd åt företagsledningar i cybersäkerhetsfrågor, hur vanlig denna typ av attacker är och hur överhängande risken är att Sverige drabbas på motsvarande sätt.
”Det sker varje dag”
”Cyberattacker av det här slaget sker mer eller mindre dagligen och det som rapporteras av media är tyvärr bara toppen av ett isberg. Det kan vara alltifrån tonåringar som vill spela organisationer ett spratt till mer organiserad brottslighet som gör det här professionellt”, säger Rosenvinge.
”Det som är tydligt är att många stora organisationer inte är förberedda. De har svårt att upptäcka attackerna och när de väl sker har de problem att isolera eventuella skador och svårigheter att återställa sin IT-miljö, fortsätter han.
Enligt Rosenvinge är det inte långsökt att tro att en cyberattack kan drabba exempelvis en svensk kommun på motsvarande sätt som Baltimore.
”Det känsliga i sådana här fall är att det drabbar samhällskritiska funktioner, vilket gör att skadorna blir väldigt påtagliga. Det kan röra alltifrån vattenförsörjning till äldreomsorg och sjukvård.”
Sverige oroväckande outvecklat
”I Sverige lever vi i en tro om att vi ligger väldigt långt fram när det gäller cybersäkerhet, men det stämmer inte. Jag tycker att vi är olyckligt lång bak om man jämför med länder som USA och Storbritannien. Även mindre länder som Israel och Estland skulle jag säga ligger före oss och har jobbat systematiskt med dessa frågor under lång tid.”
”Att Sverige släpar efter är allvarligt då vi samtidigt är ett av världens mest digitaliserade länder, men att säga att man är ett litet land är ingen ursäkt. Det handlar om att bestämma sig för att ta tag i frågan.”
Svårt att begära ut lösensumma
I samband med större cyberattacker kräver ofta förövarna en lösensumma i bitcoin för att återställa de drabbade systemen. Så var också fallet i Baltimore. Rosenvinge tror dock inte att utvecklingen av kryptovalutor nödvändigtvis är förklaringen till att organiserade cyberattacker blivit vanligare.
”Det man ska komma ihåg är att det är väldigt svårt för en kommun eller ett företag att betala ut bitcoins. En kommundirektör kan inte bara kvittera ut hundratusen kronor och köpa bitcoins. Revisorerna skulle slå bakut. Det finns exempel där lösensumman gått i stöpet just på grund av sådana här frågeställningar.”
”Den stora kostnaden är samtidigt inte lösensumman. Det är kostnaden för att system ligger nere. Vi hade nyligen ett fall där Norsk Hydro råkade ut för en liknande attack. Slutnotan i det fallet blev cirka 500 miljoner norska kronor.”
Digitalisering framför säkerhet
Enligt Rosenvinge är den stora utmaningen för svenska företag att man rusat in i digitaliseringen, utan att tänka på säkerheten kring dessa satsningar. Samtidigt har man haft svårt att kvantifiera denna typ av risker, vilket skapat en stor frustration hos många företagsledare och styrelser.
”Jag tror man har haft svårt att sätta cyberrisker i relation till andra risker såsom valutarisker eller kreditrisker, vilket också kan vara en förklaring till varför svenska företag heller inte investerat tillräckligt i cybersäkerhet”, resonerar Rosenvinge.
Samtidigt säger han att försäkringar kopplade till cyberrisk är en snabbt växande marknad, men att det är svårt att försäkra sig mot hela skadan och i vissa fall svårt att få ut försäkringen.
”Problemet med cyberförsäkringar är att du bara kan försäkra risken för stilleståndskostnader, men kostnader som är relaterade till andra mer subtila värden som varumärkets rykte, ingår inte.”
”Det finns ett fall där ett spanskt företag stämt sitt försäkringsbolag som vägrat betala ut pengar kopplade till skador som uppstått av ett globalt cyberintrång. Resonemanget lyder att attacken var en del av den ryska statens cyberkrigföring och därför inte går under definitionen av en cyberattack utan anses vara force majeure.”
”Det är med andra ord osäkert vad du faktiskt kan få ut av din försäkring den dagen du drabbas. Den bästa försäkringen är att investera i ett bra skydd mot attacker. Där har svenska organisationer fortfarande en lång väg att vandra.”
Rolf Rosenvinge diskuterar återkommande cybersäkerhetsfrågor i podcasten Cybertalks. Podcasten finner du här.
Läs om hur GDS Fund investerar i cybersäkerhet: Cyberattacker skapar investeringsmöjligheter
