Svenska Yle gjorde i september 2019 en sammanställning av webbsäkerheten på offentliga webbplatser i Finland. Sammanställningen visade att många saknar viktiga säkerhetsfunktioner och av 248 kommuner fick nästan 80 procent underkänt.
I testet gick man med hjälp av verktyget Mozilla Observatory igenom förekomsten av säkerhetsmekanismer som ska skydda från aktörer som vill installera skadlig kod, stjäla information om användare eller komma åt att manipulera innehåll på webbplatser.
Mozilla Observatory gör inga aktiva försök att penetrera hemsidor, men visade alltså att många offentliga webbplatser kan vara känsliga även fast man bara skrapar på ytan.
Sedan dess har nästan två år gått och i helgen fick vi se hur en it-attack mot det amerikanska mjukvaruföretaget Kaseya bland annat slog ut hela den svenska matbutikskedjan Coops kassasystem. Förövaren använde sig av så kallad ransomware vilket innebär att man med hjälp av ett virus kan låsa hela måltavlans system. Sedan kräver man en lösensumma för krypteringsnyckeln.
Ransomware-attacker har under de senaste åren blivit allt vanligare och tillvägagångssätten mer sofistikerade. I maj blev till exempel Irlands offentliga sjukvårdssystem, Health Service Executive (HSE) drabbade av en allvarlig ransomware-attack som påverkade sjukhusens arbete med patienter. Hackarna krävde efter attacken 20 miljoner dollar i bitcoin för att låsa upp systemen. HSE vägrade betala och fick till slut krypteringsnyckeln, men innan hackarna gav den publicerade man stulen patientdata.
För alla som utsätts för ransomware-attacker är det emellertid inte lika självklart att inte betala. Har man inte tillräckliga backuplösningar kan man stå med sina egna system otillgängliga i veckor, och för många är det inte tänkbart. Dessutom kan hackarna hota med att sprida den känsliga information som de kommit över.
Problemet med it-säkerhet är att det fortfarande är en fråga som prioriteras ned, särskilt i små organisationer och företag där resurserna är mindre. För många är frågan ett icke-problem tills man blir drabbad, men sannolikt är det inte en fråga om om det händer, utan när.
Att vissa väljer att köpa sig ur attackerna betyder också att man rätt och slätt finansierar de kriminella gruppernas affärsidé. ”Här finns det pengar att göra”, är budskapet.
Särskilt bakvänt är det dessutom när försäkringsbolagen erbjuder så kallade cyberförsäkringar som täcker kostnaderna om försäkringstagaren blir utsatt för en attack – något som bara ytterligare säkrar intäkterna för de kriminella grupperna samtidigt som offren kan strunta i it-säkerheten eftersom försäkringen ”ändå täcker kostnaderna”.
Det har också visat sig att många av dem som betalar lösensumman faktiskt blir attackerade igen.
För att frågan på riktigt ska tas på allvar borde det finnas laftstiftade krav på it-säkerhet och flera länder har redan börjar utreda om man kan förbjuda betalning av lösensummor för ransomware-attacker via lag.
I Finland finns sedan 2019 dessutom lagen om informationshantering inom den offentliga förvaltningen. Syftet med lagen är att säkerställa en enhetlig och kvalitativ hantering samt informationssäker behandling av myndigheternas informationsmaterial.
Lagen är kanske inte en heltäckande åtgärd för att möta problemen med till exempel ransomware-attacker, men den ställer åtminstone vissa krav på den offentliga förvaltningen och myndigheterna.
Lagen gäller emellertid inte på Åland och man kan därför fråga sig om de åländska myndigheterna är mindre säkra än sina motsvarigheter i Finland.
Klart är åtminstone att det är svårt att förhålla sig till budgetering av it-säkerhet när det inte finns några faktiska krav, och resultatet är troligtvis att det därför inte blir gjort i den utsträckning det borde.
På Åland finns det dessutom sedan länge en bild av att vi klarar oss undan sånt där, men när attackerna blir fler är det dumt att tro att vi inte kan drabbas. Hackergrupperna gör ingen skillnad på offer utan agerar om de kan tjäna pengar. På senare tid har det även blivit möjligt att köpa ransomware-attacker som en tjänst, vilket innebär att egentligen vem som helst kan initiera en attack.
Det är därför viktigt att även åländska företag och organisationer tar frågan på allvar och tar höjd för att man faktiskt kan drabbas. Helst genom att redan på förhand säkra sina system med tillräckliga åtgärder.
Det vore dumt att inte göra något alltmedan världens hackare blir mer sofistikerade och cyberattackerna fler.
