Bristande cybersäkerhetskunskap bland svenska företag

2023 går mot att bli ytterligare ett mörkt år för svenska företag och offentliga verksamheter när det kommer till cybersäkerhet.

Senast i mars drabbades Piteå kommun av en cyberattack där 1 500 anställda drabbades av en storskalig nätfiskekampanj.

Månaden innan rapporterade Västra Götalandsregionen att en överbelastningsattack slagit ut hemsidor och Vårdguiden 1177.

Piteå kommun och Västra Götalandsregionen är långt ifrån ensamma. Enligt en enkät från TV4 Nyheterna uppger 44 procent av alla regioner och kommuner att de blivit utsatta för en eller flera misstänkta cyberattacker det senaste året. Flera gånger med allvarliga följder. Bara de senaste veckorna har vi sett hur allt från skolskjutsar till trygghetslarm drabbats av problem till följd av cyberattacker.

Tidigare i år släppte cybersäkerhetsföretaget Proofpoint den nionde upplagan av sin årliga State of the Phish-rapport, som kartlägger hur företag arbetar med cybersäkerheten. Sverige är ett av länderna som är med i undersökningen – och siffrorna visar att det definitivt finns utrymme för förbättring.

94 procent av de svenska organisationer som rapporterade att de varit utsatta för en e-postbaserad nätfiskeattack under 2022 drabbades av minst en framgångsrik attack. Det är högst av samtliga EMEA-länder i undersökningen. 37 procent av de svenska företagen som drabbats av en nätfiskeattack under 2022 rapporterade att förlorade kontouppgifter och/eller kapade konton som resultat.

Michael Järpenge

– Allt som krävs för att en attack ska drabba hela organisationen är att cyberkriminella kommer över känslig information från en enskild anställd. Samtidigt är den här typen av attacker är så vanliga att man nästan kan räkna med att alla organisationer kommer att bli utsatta. Det som sticker ut och som är oroväckande är att en så stor andel rapporterar att attackerna varit framgångsrika, att de cyberkriminella elementen bakom helt enkelt fått ut det de ville av sin attack, säger Michael Järpenge, teknisk cybersäkerhetsexpert på Proofpoint.

Nätfiske frånvarande på utbildningar
De nedslående siffrorna skulle, enligt Michael Järpenge, kunna förklaras med att svenska företag brister i sin cybersäkerhetsutbildning. Hälften av företagen lägger mindre än en timme per år till formell träning i cybersäkerhet för sin personal. Bara 40 procent av de svenska företagen med en utbildning kring säkerhetsmedvetande på plats tar upp nätfiske över mejl som en punkt. Detta trots att det är en av de vanligast förekommande attackerna.

Samtidigt uppger 74 procent av de svenska organisationerna i undersökningen att de är nöjda med sin cybersäkerhetskultur.

– Det är ytterst allvarligt att kritiska samhällsinstanser drabbas av allvarliga attacker. Givet den oroliga omvärld som råder är det viktigt att medborgarna kan lita på offentliga verksamheter, sådant här riskerar att gå ut över förtroendet. Förmodligen hade flera av de här incidenterna kunnat undvikas om man haft en återkommande och uppdaterad utbildning i cybersäkerhet. Vi ser gång på gång att cybersäkerhetsincidenter är ett direkt resultat av bristande kunskap och slarv bland anställda. Säkerhetskulturen behöver omfatta hela organisationen och inte bara vara en angelägenhet för säkerhetsteamet, säger Michael Järpenge.

– Alla anställda behöver ta ansvar för säkerheten. Genom det bygger man en stark säkerhetskultur som motiverar medarbetarna att hålla goda säkerhetsvanor och implementera dem varje dag.

Tilltro till systemen stor
Just kunskapsglappet är en punkt som berörs i undersökningen. Hälften av anställda på svenska företag misslyckas att på ett korrekt sätt identifiera vad nätfiske är. Och bara 45 procent klarar av att korrekt identifiera en ransomware-attack.

Dessutom uppger bara en tredjedel av de anställda att cybersäkerhet är ett prioriterat ämne för dem. Bland de anställda som uppger att de ser cybersäkerhet som något mindre viktigt menar 28 procent att deras arbete inte är tillräckligt avancerat för att de ska behöva prioritera cybersäkerheten.

– En tankevurpa som riskerar att bli kostsam, säger Michael Järpenge.

Många anställda (38 procent) verkar lägga stor vikt vid att företagets cybersäkerhetsskydd automatiskt blockerar eller på annat sätt tar hand om alla misstänkta mejl.

– För ett företag eller organisation är det oerhört viktigt att hela personalstyrkan har lika starka cybersäkerhetsrutiner. En vanlig taktik är att cyberkriminella förlitar sig på just oaktsamma användare för att komma åt känslig information som kan användas för att ta sig längre upp i organisationen. Därför är det centralt att alla är medvetna om vilka risker som finns och hur man bör agera vid misstänkt aktivitet.