Tillsyn som missar kedjan

Föreställ dig ett brev. Tillsynsmyndigheten vill veta om din verksamhet följer cybersäkerhetslagen. Du svarar ja på det mesta, nämner några dokument och skriver under. Myndigheten är nöjd. Du är nöjd. Och en natt loggar någon in hos er via en leverantör som ingen frågade om du hade koll på, och som lagen också krävde.

Det är ingen skräckhistoria. Det är vad jag ser när jag läser det tillsynsmaterial som ett par myndigheter nu skickar ut, och jag läser med växande bestörtning. Andan går ur mig. Det här är, ifall någon missat det, instrumenten som ska visa om kommuner, regioner och samhällsviktiga verksamheter verkligen uppfyller lagens krav. Samhället blir inte säkrare av att myndigheter ställer frågor. Det blir säkrare när frågorna hjälper verksamheter att göra det rätta. Det här håller inte.

Börja där angreppen börjar: leverantörsledet. Lagen pekar ut säkerhet i leveranskedjan som ett av tio områden. Ändå saknas ämnet helt i ett av underlagen jag tagit del av, trots att föreskrifterna som gäller sedan 1 oktober har ett eget avsnitt om förvärv och utkontraktering. Ingen fråga om vem som driftar era system, vilka krav ni ställt eller hur ni följer upp dem. I ett annat får leverantörerna två frågor av trettiotvå. Allt ni inte själva kontrollerar men helt är beroende av förblir ogranskat. Med dagens kända brister i OT-miljöerna är jag mållös.

Den son frågar efter pärmar får pärmar

Frågorna om allt annat är inte mycket bättre. “Har ni skapat er en uppfattning om riskbilden?” går att besvara med ja efter en kafferast. Kontinuiteten avgränsas till “kritiska system”, fast lagen inte gör det. Frågan hur ofta ni testar återställning förutsätter att ni gör det. Svaren ska skrivas i fritext, “så kort som möjligt”, och då får man standardfraser som varken går att jämföra eller kontrollera. I ett annat underlag räcker det att det “finns dokumenterade beskrivningar och arbetssätt”. En policy i en pärm klarar det med glans. Det är som att kontrollera brandskyddet genom att fråga om det finns en brandpolicy. Om arbetssätten tillämpas, övas eller följs upp frågar ingen. Och så slarvet: dubblerade rader, stavfel, text som flutit ihop. Ett underlag som inte ens korrekturläses visar hur allvarligt uppdraget tas.

Så lär sig hela landet vad som räknas. Den som frågar efter pärmar får pärmar. Den som tiger om leverantörerna visar att de inte spelar någon roll, medan verkligheten visar motsatsen. Vilka leverantörer har åtkomst till era system? Vilka säkerhetskrav finns i avtalen? När kontrollerade ni senast att de uppfylls, och vem hos er äger svaret? Så enkla frågor. Så sällan ställda.

Visst, ett första skrivbordssteg kan vara rimligt, inga åsikter så långt. Men sedan måste det följas av det en tillsyn är till för: precisa frågor, krav på bevis, stickprov mot verkligheten och ett tydligt ledningsansvar för hela kedjan. Ingen annan kommer att täppa till detta åt oss. Gör inte tillsynsmyndigheterna det har verksamheterna inte en chans i Småland att bli säkra. Sårbarheterna förblir okända och öppna, och förtroendet urholkas, vilket också kostar konkurrenskraft, för tillit byggs på verifierbar efterlevnad, inte på ja-svar till frågor som är tveksamma eller aldrig ställdes.

Att kalla det jag läst tillsyn, när det inte frågar efter det som faktiskt slår ut verksamheter och som lagen kräver, är inte tillsyn. Det är en skam.

Robert Willborg
Onemore Secure