Attacker men inga rapporter

transportstyrelsen .jpg

Transportstyrelsen är en av myndigheterna som har utsatts för attacker.

Trots en myckenhet av ransomware och andra attacker så är det fortfarande få incidenter riktade mot myndigheter som rapporteras till MSB. Hittills i år har det rapporterats in 220 attacker mot totalt 244 myndigheter.

 

 Det är svårt att säga hur många anmälningar vi förväntar oss, men vi tycker absolut att det borde vara fler än vad som varit fallet hittills. Det finns fortfarande myndigheter med över 1 000 anställda som inte lämnat in en enda rapport på ett och ett halvt år. Det är märkligt, konstaterar Peter Jonegård, ställföreträdande chef på MSB:s underavdelning CERT-SE, som bland annat arbetar med att förebygga it-incidenter.

I april 2016 trädde de nya reglerna kring myndigheters it-incidentrapportering in. Den innebär att när en svensk myndighet är med om en it-incident som allvarligt kan påverka säkerheten så ska det rapporteras in till MSB, Myndigheten för samhällsskydd och beredskap. 

DDoS-attacker

Men ökningen av rapporterade incidenter, som också är viktig för att MSB ska kunna göra sitt jobb, har ännu inte skett. Från de 244 rapporteringsskyldiga myndigheterna kom det förra året in 214 incidenter, inskickade från en knapp tredjedel av myndigheterna. Och inte heller i år märks någon större förändring. Från januari till oktober rapporterades det till MSB totalt 220 attacker.

Det har, enbart under den senaste månaderna, förekommit ett antal tillkortakommanden inom säkerhet för det offentliga Sverige. Under oktober utsattes exempelvis Transportstyrelsen för två DDoS-attacker. Vid den första attacken slogs Transportstyrelsens hemsida ut och vid den andra det interna systemet.

En bedömningsfråga

– Vi kan inte utifrån rapportvolymen veta om hanteringen brister och i så fall i vilken omfattning. Antingen så händer inga incidenter i landet, men det tror jag inte är fallet. Det är nog snarare så att det sker intrång men de utsatta myndigheterna inte vet om det eller märker av det.

Sedan kan det också vara så att de inte bedömer incidenterna de varit med om som allvarliga. Det blir en bedömningsfråga vad som är allvarligt. Men generellt tror jag att myndigheter tar mer allvarligt på informationssäkerhet än vad de gjorde för ett halvår sedan. 

Det är ett moment 22, om inga rapporterar in så är det svårt för oss att ge en vettig återkoppling.

Peter Jonegård, ställföreträdande chef, CERT-SE

Ingen påföljd

En annan anledning till att anmälningarna är färre än väntat kan vara att regelverken om it-incidenter för myndigheter är ett obligatorium utan påföljd, det blir således inga straff för de som inte rapporterar.

Istället försöker MSB få in fler anmälningar genom att skicka månadsrapporter om anmälda incidenter till myndigheterna och det finns information på CERT-SE:s hemsida där man kan läsa om reglerna.

MSB sitter också mycket med i fysiska forum där de lär känna personer som kan vara bra att utbyta information med när incidenter inträffar. Dessa forum ser de som ett komplement till rapporterna för att få reda på vad som händer i Sverige.

PeterJonegard mindre bild.jpg

Peter Jonegård, ställföreträdande chef på MSB:s underavdelning CERT-SE.

Moment 22

 Visst kanske det hade blivit fler anmälningar om det funnits straff men jag uppskattar att vi går mer mot morot istället för piska. Att anmälningarna ska öka framöver är viktigt för vår verksamhet. Får vi in mer information om vad som sker och hur det hanteras kan vi också göra ett bättre jobb och hjälpa till att bedöma incidenterna.

 Det är ett moment 22, om inga rapporterar in så är det svårt för oss att ge en vettig återkoppling eftersom att vi inte har ett bra underlag. Vi måste visa de rapporteringsskyldiga det positiva i att dela med sig av sina erfarenheter. Då kan vi i det korta perspektivet varna andra som kan tänkas påverkas av samma incident och i det långa perspektivet sprida lärdomar som förbättrar it-säkerheten i hela Sverige. Men det bygger på en bra rapportering från alla.

Obligatorisk it-incidentrapportering

Från och med 1 april 2016 ska alla statliga myndigheter rapportera it-incidenter som inträffar i myndighetens informationssystem eller i tjänster som myndigheten tillhandahåller åt en annan organisation.

De it-incidenter som ska rapporteras in är sådana it-incidenter som inträffat i myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation.

Källa: MSB

 

10 november 2017Uppdaterad 2 oktober 2023Reporter Fredrik Adolfsson säkerhetFoto Adobe stock

Voisters nyhetsbrev

Allt om digitalisering, branschens insikter och smartare teknik.

Rekommenderad läsning

Stäng