"Företagskulturen avgörande för god cybersäkerhet”

Utvecklingen ställer höga krav på motståndskraften i organisationer, och även om Sverige är framstående inom digitaliseringen är kunskapsläget kring säkerheten ojämn, menar Hanna Linderstål.

– Även de företag som är väl rustade behöver hela tiden utvecklas. Se bara vad som hände i början av året när it-leverantören Tietoevry utsattes för en cyberattack som drabbade 120 myndigheters personalsystem och även många andra företag.

Ju mer robust organisation, desto mindre risk att bli utsatt. Och det här är precis vad Hanna Linderstål hjälper företag med. Hon är även en internationellt eftertraktad föreläsare och utsågs till årets säkerhetsprofil 2024.  

– Det går inte att skydda sig helt mot cyberattacker, men det går att skapa motståndskraft och att ha rutiner som minimerar skadorna, säger hon. 

Jobba med organisationskulturen

Hennes mest grundläggande råd för att bygga upp motståndskraft är att jobba med kulturen inom organisationen.   

– Det krävs en företagskultur där alla vågar rapportera om något har gått fel, här är det av största vikt att ledningen föregår med gott exempel.

Hanna Linderstål ger ett exempel från en föreläsning ute hos en kund nyligen, där CFO:n reste sig upp och berättade att hon två veckor tidigare hade råkat klicka på ett phishing-mejl och direkt rapporterat om sitt misstag.

– Hon berättade öppet om sitt misstag och hur lätt hänt det är att bli lurad, det kan hända vem som helst. Lyckas man skapa en sådan företagskultur minskar risken att bli utsatt för ett intrång. Blame-game måste undvikas till hundra procent, säger Hanna Linderstål och tillägger:

– Det är komplicerat i dag, för alla medarbetare har tillgång till olika system och informationsflöden och det finns stor risk att någon klickar på ett phishing-mejl. Ett intrång är bara ett klick bort.

Utbilda personalen

Ett annan grundläggande råd är att utbilda hela personalen i informationssäkerhet och att se över alla kritiska processer. Hanna Linderstål understryker också vikten av att aldrig låta medarbetare koppla upp personliga enheter på företagets nätverk, att ha långa och svåra lösenord och att alltid ha en tvåstegsverifiering för alla konton.

– Det är knöligt och krångligt, men det är det enda sättet att skydda sig just nu.

Blickar vi framåt finns det all anledning att fortsätta jobba förebyggande, för samtidigt som AI-teknologin, VR (virtual reality), och XR, (extended reality), skapar nya möjligheter och kan effektivisera många branscher, ökar det också riskerna för nya typer av hot.

– Med AI är det lätt hänt att läcka företagshändelser utan att ens veta om det. Och när IT och verkligheten integreras med varandra genom XR når riskerna en ny nivå.

Identifikation på mindre än tio sekunder

Hanna Linderstål berättar om en forskningsstudie vid University of California-Berkeley, som visar att man, utifrån ett virtuellt verklighetsspel, kan identifiera specifika människor på mindre än tio sekunder – detta genom biomekaniken i personernas rörelse.

– Resultatet visade att det går att identifiera enskilda individer ur en pool på mer än 50 000 personer med 94,33 procents säkerhet, från 100 sekunders rörelsedata. Det är mer exakt än de flesta fingeravtrycksläsare som finns i dag och är viktigt att känna till för den personliga integriteten. Men också för insikten om hur lätt det är att identifiera personer utifrån rörelsedata, säger hon.

Med andra ord – arbetet med cybersäkerhet måste hela tiden gå hand i hand med den tekniska utvecklingen.

– Cybersäkerhet är inte en handbok som du har i bokhyllan. Det är en föränderlig värld där hotbilden och aktörerna ändras hela tiden. Och din hotbild kommer att ändras utifrån dina medarbetares beteende, säger hon.