Cybersäkerhetens nya verklighet – från papper till praktik

Digitaliseringen har förändrat vårt samhälle i grunden. På bara några decennier har vi gått från pärmar, fax och manuella register till ett samhälle där information, kommunikation och verksamheter i stor utsträckning är digitala. Vi kan skicka information över hela världen på några sekunder, arbeta från nästan var som helst och låta digitala system hantera processer som tidigare krävde timmar eller dagar av manuellt arbete.

Men utvecklingen har en baksida. Ju mer vi digitaliserar, desto mer beroende blir vi av att systemen fungerar. Och ju mer information som samlas digitalt, desto större blir värdet av att kunna komma åt den – både för organisationen som äger informationen och för den som vill stjäla, förändra eller förstöra den.

Cybersäkerhet har därför genomgått en enorm förändring. Från att ha varit en relativt smal teknisk fråga har det utvecklats till en central del av hur företag, myndigheter och samhällsviktiga verksamheter måste arbeta.

För att förstå varför behöver vi gå tillbaka till början.

1971 – när programmen började röra sig

Under 1960- och 1970-talen var datorer fortfarande stora, dyra och långt ifrån den självklara del av vardagen som de är idag. De användes framför allt av större organisationer, universitet och myndigheter.

Men datorerna började kopplas samman i nätverk och därmed uppstod en helt ny möjlighet: information och program kunde röra sig mellan olika datorer.

År 1971 skapades Creeper, ett experimentellt program som kunde sprida sig mellan datorer i ett nätverk. Det var inte ett virus i dagens mening och skapades inte för ekonomisk vinning eller för att förstöra information. Däremot visade det något som senare skulle bli avgörande för cybersäkerheten – ett program kunde lämna den dator där det skapats och sprida sig vidare.

Det var en tidig föraning om den digitala värld som skulle växa fram.

1980-talet – datorn flyttar in på kontoret

Under 1980-talet började persondatorn få sitt stora genombrott. Datorn flyttade från stora datorsalar till skrivbord på kontor och arbetsplatser.

Det förändrade vardagen.

Skrivmaskinen började ersättas av ordbehandlingsprogram. Kalkyler kunde automatiseras. Register kunde lagras elektroniskt och information kunde sökas fram betydligt snabbare än i fysiska arkiv.

Digitaliseringen drevs framför allt av effektivisering. Företag ville spara tid och pengar och samtidigt kunna hantera större mängder information.

Men den nya tekniken skapade också nya risker. Ett fel i ett digitalt system kunde påverka många användare samtidigt och information som tidigare varit fysiskt begränsad kunde nu kopieras betydligt enklare.

Det var början på ett mönster som fortfarande präglar cybersäkerheten: varje ny teknisk möjlighet skapar samtidigt nya säkerhetsutmaningar.

1988 – Morris Worm förändrar synen på nätverk

År 1988 inträffade en händelse som blev en viktig milstolpe i internetets tidiga historia. Morris Worm spreds över internet och infekterade ett stort antal datorer.

Till skillnad från många av dagens avancerade cyberattacker handlade det inte om en professionell kriminell organisation. Men konsekvenserna visade tydligt hur snabbt ett problem kunde spridas när datorer var sammankopplade.

Tidigare hade säkerhet till stor del handlat om fysisk kontroll. Vem fick använda datorn? Vem hade tillgång till rummet? Vem kunde öppna arkivskåpet?

Nu behövde organisationer börja tänka på säkerhet på ett annat sätt.

När datorerna kopplas samman räcker det inte längre att skydda varje dator för sig. Man måste också skydda själva nätverket.

1990-talet – internet blir en del av vardagen

Under 1990-talet tog internet steget från att vara något som främst användes av universitet, forskare och tekniskt intresserade till att bli en del av samhället.

Företag började skapa webbplatser. E-post blev allt vanligare. Information kunde publiceras och delas på ett sätt som tidigare varit omöjligt.

Det var början på den moderna digitala ekonomin.

Samtidigt förändrades hotbilden. Virus, trojaner och andra former av skadlig kod blev mer utbredda. Internet skapade en enorm möjlighet att nå nya kunder och kommunicera snabbare, men det skapade också en ny attackyta.

Det som tidigare krävde fysisk tillgång kunde nu i vissa fall göras på distans.

Cybersäkerhet började därför bli en naturlig del av IT-arbetet. Antivirusprogram, brandväggar, lösenord och säkerhetskopiering blev allt viktigare.

Men fortfarande betraktades säkerheten ofta som en teknisk fråga.

2000-talet – information blir en tillgång

När vi gick in i 2000-talet hade digitaliseringen blivit betydligt mer omfattande. Företag började lagra allt större mängder information digitalt. Bankerna flyttade fler tjänster online och handeln började på allvar flytta ut på internet.

Det innebar att digital information fick ett allt större ekonomiskt värde.

Ett kundregister kunde innehålla tusentals eller miljoner människors uppgifter. Företagens produktionsdata kunde representera år av forskning och investeringar. Ett komprometterat e-postkonto kunde ge tillgång till interna system.

Samtidigt blev cyberbrottsligheten mer organiserad.

Målet var inte längre bara att skapa irritation eller visa teknisk skicklighet. Angreppen började handla om pengar, identitetsstölder, industrispionage och utpressning.

Det var under den här perioden som många organisationer på allvar började inse att cybersäkerhet inte bara handlade om datorerna. Det handlade om att skydda själva verksamheten.

2010 – Stuxnet och den digitala världen möter den fysiska

Om 1990-talet visade hur internet kunde förändra information och kommunikation, visade 2010-talet något ännu mer betydelsefullt: digitala angrepp kunde påverka den fysiska världen.

Kring 2010 upptäcktes Stuxnet, en mycket avancerad form av skadlig kod som riktade sig mot industriella styrsystem. Angreppet blev en viktig milstolpe eftersom det visade hur digital teknik kunde användas för att påverka fysiska processer.

Det förändrade synen på cybersäkerhet.

Ett cyberangrepp behövde inte längre bara innebära att någon stal ett dokument eller låste en dator. I en allt mer uppkopplad värld kunde digitala angrepp i förlängningen påverka fabriker, energisystem och annan fysisk infrastruktur.

Gränsen mellan IT-säkerhet och fysisk säkerhet började därmed suddas ut.

2016 – GDPR gör information till ett ansvar

Nästa stora förändring kom på det regulatoriska området.

EU:s dataskyddsförordning, GDPR, antogs 2016 och började tillämpas den 25 maj 2018. Regelverket stärkte skyddet för personuppgifter och gav människor större kontroll över hur deras information används.

För organisationer innebar det en förändrad syn på data. Personuppgifter kunde inte längre betraktas som information som bara låg någonstans i ett system. Det blev tydligare att den som samlar in och behandlar information också har ett ansvar för den.

Det väckte frågor som många organisationer tidigare inte hade behövt ställa med samma tydlighet: Var finns informationen? Vem har tillgång till den? Hur länge sparas den? Hur skyddas den? Vad händer om den läcker?

Cybersäkerhet började därmed närma sig juridik, ledning och verksamhetsstyrning.

2016–2023 – från NIS till NIS2

Samma år som GDPR antogs tog EU ytterligare ett viktigt steg genom NIS-direktivet. Syftet var att stärka säkerheten i nätverks- och informationssystem och skapa en högre gemensam nivå av cybersäkerhet inom EU.

Men den digitala utvecklingen fortsatte snabbt.

Molntjänster växte. Fler verksamheter blev uppkopplade. Leverantörskedjor blev mer digitala och beroendet av externa IT-tjänster ökade.

Därför kom nästa stora steg: NIS2.

NIS2 trädde i kraft 2023 och breddade kraven på cybersäkerhet. Fler verksamheter omfattas och större fokus läggs på riskhantering, incidentrapportering, leverantörskedjor och ledningens ansvar.

Det räcker inte längre att säga att IT-avdelningen ansvarar för säkerheten. Organisationen som helhet måste förstå sina risker och kunna visa hur de hanteras.

2020-talet – när hela verksamheten blir digital

Under 2020-talet blev vårt digitala beroende ännu tydligare.

Pandemin gjorde på kort tid distansarbete, videomöten och digitala arbetsverktyg till vardag för miljontals människor. Många organisationer som tidigare planerat att digitalisera över flera år tvingades göra förändringar på några månader.

Samtidigt ökade användningen av molntjänster, mobila enheter och digitala plattformar.

Det skapade stora möjligheter, men också en större attackyta.

En organisation består idag sällan av en enda IT-miljö. Den består av en blandning av egna system, molntjänster, externa leverantörer, konsulter, uppkopplade enheter och användare som arbetar från olika platser.

Det innebär att frågan om var IT-gränsen går har blivit allt svårare att besvara.

I många fall finns det inte längre någon tydlig gräns.

2026 – cybersäkerhet från dokument till verklighet

Vi står nu inför nästa steg i utvecklingen.

Efter årtionden av digitalisering har de flesta organisationer förstått att cybersäkerhet är viktigt. De har policyer, riktlinjer och olika tekniska skydd. Men den stora utmaningen är att gå från att ha säkerhet dokumenterad till att faktiskt ha en verksamhet som är motståndskraftig.

Det är en avgörande skillnad.

Det går att ha en incidentplan utan att någon någonsin har testat den. Det går att ha säkerhetskopior utan att veta om verksamheten faktiskt kan återställas. Det går att ha regler för behörigheter utan att regelbundet kontrollera om gamla konton fortfarande är aktiva.

Därför är nästa steg inte nödvändigtvis ännu fler dokument.

Det handlar om praktik.

Organisationer behöver förstå vilka system och processer som är mest kritiska, vilka beroenden som finns och vad konsekvensen blir om en tjänst försvinner. De behöver kunna upptäcka incidenter snabbt, veta vem som fattar beslut och ha förmågan att återhämta sig när något faktiskt går fel.

Det är också här människan blir central. Teknik kan upptäcka mycket, men en medarbetare kan fortfarande vara den som klickar på länken, skickar information till fel mottagare eller upptäcker att något inte fungerar. En säkerhetskultur där människor vågar rapportera misstänkta händelser kan därför vara minst lika viktig som den tekniska säkerheten.

Från papper till praktik

Ser man tillbaka på utvecklingen blir den nästan logisk.

Först digitaliserade vi dokumenten. Sedan processerna. Därefter kommunikationen och tjänsterna. Till slut blev själva verksamheten digital.

Varje steg har gjort samhället snabbare och effektivare. Men varje steg har också ökat vårt beroende av att tekniken fungerar.

Det är därför cybersäkerhetens nya verklighet inte främst handlar om att bygga högre digitala murar. Den handlar om att förstå vad vi faktiskt är beroende av och vad som händer när något går fel.

På 1980-talet handlade säkerhet mycket om datorn på skrivbordet. På 1990-talet handlade det om nätverket. På 2000-talet blev informationen en central tillgång. Under 2010-talet blev det tydligt att cyberangrepp även kunde påverka den fysiska världen. Under 2020-talet har hela verksamheter blivit digitala och beroendet av teknik, molntjänster och leverantörskedjor har ökat ytterligare.

Nästa milstolpe är därför kanske inte en ny teknik.

Det är förmågan att omsätta säkerhet i praktiken.

Att kunna visa att organisationen vet vilka risker den har. Att personalen vet hur de ska agera. Att ledningen förstår konsekvenserna. Att leverantörer granskas. Att incidentplaner testas. Och att verksamheten kan fortsätta – eller återhämta sig snabbt – när något ändå går fel.

Digitaliseringen började som ett sätt att effektivisera vårt arbete. I dag är den en förutsättning för hur stora delar av samhället fungerar. Cybersäkerhetens uppgift är därför inte att stoppa digitaliseringen – den måste göra det möjligt för oss att fortsätta lita på den.

Det är resan från papper till praktik – och nästa kapitel har redan börjat.