Er egen IT-säkerhet är sannolikt inte det som fäller er. Det är den ni aldrig ens tänkt på: leverantörens leverantör.
I somras försökte jag formulera VARFÖR så många verksamheter fortfarande underskattar cyberhygien i sin leverantörskedja. Inte för att någon behöver bli svartbältad i cybersäkerhet, utan för att det, rakt av, håller på att bli licensen att över huvud taget få göra affärer. Detta är inte GDPR-vågen igen. Det är ett paradigmskifte. Och den som väntar på att bli tvingad in i det gör det garanterat på sämsta möjliga sätt: mitt i en kris.
Tänk er att er verksamhet är ett hus i en lång kedja av hus. Egen ingång, egen trädgård, eget staket. Men väggarna är gemensamma, vinden är gemensam, elledningarna går genom hela längan. Ni sköter ert eget hus perfekt: nya lås, brandvarnare, elen kontrollerad varje år. Bra jobbat.
Men tre hus bort har någon glömt en spisplatta på. Elden bryr sig inte om vems hus den startade i. Den följer väggarna dit den kan ta sig och stannar inte vid er tomtgräns bara för att ni skött ert.
Vad händer om olyckan sker hos grannen?
Så fungerar de flesta stora it-incidenter. Inte som ett inbrott genom er framdörr, utan en brand hos en leverantör – eller en leverantörs leverantör – som sprider sig till er utan att ni gjort fel. 2021 slog ett hål i ett verktyg som många IT-leverantörer delar mot upp till 1 500 verksamheter samtidigt, bland dem Coop: nästan 800 butiker mörklagda i en hel vecka, utan att någon i kassan gjort fel. I januari 2024 slog en attack mot en leverantörs svenska datacenter ut molntjänster för svenska myndigheter, lärosäten och företag, i samma sekund. Enisa uppskattade redan 2021 att sådana attacker fyrdubblats på ett enda år. Mönstret gäller alla branscher – ingen skuld krävs, bara en delad vägg.
Vet ni, som vd, ekonomichef eller säkerhetsansvarig, egentligen vilka grannar ni har, och deras grannar? Vad händer med er om olyckan är framme några hus bort, mitt i natten, utan förvarning?
Liten som stor ska kunna delta
De flesta vet inte, och det beror inte på ovilja. För tio år sedan var granngatan en handfull hus. I dag är den en stadsdel – molntjänster, HR-system, betalningar, var och en med egna leverantörer i flera led. Det vanliga svaret, ett formulär per leverantör, involverar ofta åtta till tolv personer, tar i snitt sex veckor att besvara, och blir ändå bara ett foto av läget just den dagen. Globalt tar det i snitt 258 dagar innan ett intrång ens upptäcks – nästan nio månader i mörker. Tre av fyra organisationer som är skyldiga att ha koll saknar en person vars faktiska jobb är detta, och bara var sjunde riskansvarig litar fullt på sina egna uppgifter.
Lösningen är inte att knacka fler dörrar. Den är att göra det radikalt enkelt: låt varje hus, stort som litet, visa sin status på minuter snarare än veckor, uppdaterat löpande snarare än en gång om året, tyst som en brandvarnare tills något faktiskt förändras. Den minsta leverantören ska kunna delta lika enkelt som den största koncernen, annars är det bara ännu en börda, fast förskjuten längre bort. Och rikta blicken dit risken faktiskt är störst, precis som Enisa rekommenderar, i stället för lika mycket kraft på alla, eller ingen alls.
Ni bor fortfarande i samma kedjehus som innan ni läste detta. Frågan är inte längre om elden kommer. Frågan är om ni vet vilket hus den startar i nästa gång, och om ni då står redo, eller sover.
Elden frågar aldrig om lov.
Robert Willborg,
Onemore secure
Källor: Enisa, Threat Landscape for Supply Chain Attacks (2021) och Good Practices for Supply Chain Cybersecurity (2023); IBM, Cost of a Data Breach Report; dokumenterade uppgifter om incidenterna hos Coop (2021) och Tietoevry (2024).
