Cybernodens krönika
Krönikör: Petter Larsson, Secure by Q
När cybersäkerhet blir en nationell samarbetsförmåga
Det finns en tid då varje organisation kan tro att cybersäkerhet är en intern angelägenhet. En fråga för den egna IT-avdelningen. Den egna budgeten. Den egna riskaptiten. Den egna incidentplanen. Den tiden är förbi.
I dag är Sverige ett sammanlänkat digitalt system av system. Kommuner, myndigheter, universitet, leverantörer, start-ups, industribolag, forskningsmiljöer och kritisk infrastruktur är inte separata öar. De är delar av samma större verklighet. En sårbarhet hos en aktör kan snabbt bli en störning hos en annan. En brist i en leverantörskedja kan få konsekvenser långt bortom den organisation där bristen först uppstod. En lyckad attack mot det lilla kan bli en språngbräda mot det stora.
Därför behöver vi också sluta tala om cybersäkerhet som om det bara vore teknik. Tekniken är central, men den är inte ensam. Cybersäkerhet är också ledning, kultur, kompetens, juridik, innovation, forskning, ansvar, beredskap och förmågan att samarbeta när läget är oklart.
Det är här nätverk som Cybernoden blir viktiga.
Inte som ännu en plats där redan övertygade människor talar med varandra. Utan som en nationell mötesplats där olika delar av Sverige kan börja förstå varandras behov, språk och verklighet. Där forskningen möter verksamheten. Där små och stora företag möter offentliga aktörer. Där idéer kan prövas, utvecklas och ibland bli något som stärker hela samhällets motståndskraft.
En särskild styrka ligger i att viktiga frågor kan få egen kraft genom de olika fokusgrupper som ryms inom Cybernodens arbete. Det gör nätverket mer än bara samlat. Det gör det operativt användbart. Frågor som kräver särskild fördjupning, särskild expertis eller särskild samverkan kan drivas framåt utan att tappa kontakten med helheten.
På så sätt kan Cybernoden fungera som ett nationellt team of teams. Inte en enda stor struktur där allt måste passera samma flaskhals, utan flera kompetenta grupper med egna uppgifter, sammanhållna av ett gemensamt syfte. Varje fokusgrupp kan bidra med djup. Nätverket som helhet kan bidra med riktning, samband och gemensam lärande förmåga.
Det är viktigt, eftersom vissa frågor är för stora för att ägas av en ensam funktion, sektor eller disciplin. En sådan fråga är allriskperspektivet.
Allrisk betyder inte att allt ska analyseras samtidigt, överallt, hela tiden. Det betyder att säkerhetsarbetet behöver förstås i sitt sammanhang. Cyberrisk kan inte isoleras från beroenden, leverantörskedjor, geopolitik, informationspåverkan, fysisk säkerhet, ledningsförmåga, juridik, ekonomi, personalfrågor och samhällsberedskap. I verkligheten kommer risker sällan prydligt sorterade efter våra organisationsscheman.
En ransomware- eller än värre en wiperattack[1] kan snabbt bli en verksamhetskris. En störning i en digital tjänst kan bli en förtroendekris. En brist i leverantörsledet kan bli ett juridiskt problem. En geopolitisk konflikt kan förändra hotbilden mot forskning, industri eller offentlig sektor. En informationspåverkan kan försvåra själva krishanteringen. Och en teknisk sårbarhet kan ytterst få konsekvenser för människor, samhällsviktig verksamhet och demokratisk tillit.
Därför bör allriskperspektivet genomsyra säkerhetsarbetets övergripande ram. Inte som en ersättning för cybersäkerhetens specialiserade kompetens, utan som ett sätt att placera den kompetensen där den hör hemma: i verksamhetens, samhällets och totalförsvarets större verklighet.
För en av våra stora utmaningar är inte att vi saknar kompetens. Sverige har mycket kompetens. Problemet är snarare att kompetensen ofta är utspridd, överbelastad och ibland inlåst i stuprör. Vi har specialister som ser hotbilden. Vi har forskare som förstår nästa tekniksprång. Vi har myndigheter som ser systemriskerna. Vi har företag som möter marknadens krav. Vi har offentliga verksamheter som varje dag försöker hålla ihop välfärd, drift, säkerhet och ekonomi.
Men vi behöver fler broar mellan dessa världar.
Cybersäkerhetens nästa mognadssteg handlar därför inte bara om fler verktyg, fler kontroller eller fler regelverk. Det handlar om samlad förmåga. Om att snabbare kunna dela lägesbilder. Om att våga beskriva behov innan de blivit incidenter. Om att bygga tillit innan krisen. Om att skapa innovation som fungerar i vardag, kris och ytterst krig.
Det kräver en annan sorts nationell disciplin. Inte centralstyrning av allt, men gemensam riktning. Inte att alla gör likadant, men att fler gör rätt saker i rätt tid. Inte att varje organisation ska bli bäst i världen ensam, men att Sverige som helhet blir svårare att störa, svårare att lura och snabbare att återhämta.
Det är också därför innovationsfrågan är så viktig. Vi kan inte bara konsumera säkerhet. Vi måste också utveckla den. Vi behöver svensk och europeisk förmåga, forskning och företagande som kan möta den verklighet vi faktiskt står i. Där hotbilden är antagonistisk, teknikutvecklingen accelererar och beroendena blir alltmer komplexa.
Cybernoden kan i detta vara något mycket värdefullt. Nämligen en plats där vi inte bara pratar om cybersäkerhet, utan övar på den samverkan som säkerheten i praktiken kräver.
För i slutändan är det kanske just detta som avgör vår framtida motståndskraft. Inte bara hur bra varje enskild organisation är. Utan hur väl vi klarar av att tänka, lära, bygga och agera tillsammans.
[1] som primärt syftar till att sabotera och/eller radera