Hittills 50 rapporter om it-incidenter till MSB

– Vi är nöjda med rapporteringen och tycker att den sker på ett tillfredsställande sätt. Det är fortfarande för tidigt för att dra några riktiga slutsatser för det kommer att ta några år innan det här har satt sig, men vi upplever att de rapporter som kommer in, några stycken i veckan i snitt, är på rätt nivå, säger Richard Oehme, chef för verksamheten för cybersäkerhet och skydd av samhällsviktig verksamhet vid MSB.

MSB:s föreskrift omfattar alla statliga myndigheter med några undantag som regeringskansliet, domstolarna, myndigheter knutna till försvarsmakten och säkerhetspolisen. Sedan många år tillbaka finns dessutom en frivillig rapporteringsmöjlighet för företag, kommuner och landsting.

– Glädjande nog har det skett en viss förändring och cybersäkerhet finns numera på agendan i de flesta organisationer. Det beror sannolikt på att alla börjar inse att vi är helt beroende av att it-systemen fungerar. Däremot är det lite skrämmande att se hur dåligt ställt det fortfarande är med informationssäkerheten hos många myndigheter och kommuner, och jag ser inget som pekar på att det är bättre hos företagen. Med det sagt så finns det lysande undantag, men tyvärr så är de inte i majoritet. De flesta har upphandlat utifrån ett kriterie, det vill säga lägst pris, säger Richard Oehme.

Mycket kvar att göra

Det sker nu en hel del på EU-nivå, först och främst ett nytt dataskyddsdirektiv som håller på att införas. Sedan ska man även införa ett nytt EU-direktiv för nät- och informationssäkerhetsdirektiv som kommer att omfatta sex sektorer som bedöms extra viktiga för samhällets funktionalitet. Där finns bland annat energi, transport, sjukvård och tjänsteleverantörer.

– De senaste åren har flera analyser och granskningar skett av såväl statliga myndigheter som kommuner. Dels har vi på MSB på uppdrag av regeringen analyserat informationssäkerheten hos statliga myndigheter och sedan hos kommuner. Det senaste året har även Riksrevisionen granskat statliga myndigheter i två olika rapporter. Alla dessa studier pekar på att det fortfarande finns mycket att göra i offentlig sektor, säger Richard Oehme.

Han menar att det i en tid när gapet mellan säkerhetsarbetet och teknikutvecklingen blir allt större är viktigt att man identifierar vad som verkligen är värt att skydda.

– Det gäller att identifiera guldäggen i verksamheten och att ha en kontinuitetsplan om någon nu händer. Sedan får man acceptera att vissa saker går ner. Jag tycker att man mer och mer börjat inse att det inte bara att it-avdelningarna som är viktiga utan att besluten måste flytta in i styrelserummen och bli mer strategiska.