En rejält byggd mur kan stå emot attacker länge, men när den väl faller då faller den hårt. Tegelstenar trillar, armeringsjärn sticker ut, dammet ryker. Från att ha varit ett skydd är den helt plötsligt något som är i vägen, ett trasigt hinder man till och med kan skada sig på om man inte är försiktig. 

– Hela vårt samhälle är idag uppbyggt runt olika former av digitala, hoplänkade informationssystem, säger Carl Heath, senior forskare och fokusledare för området digital resiliens på RISE. 

– De började byggas ut stort under 1990-talet, åren efter Berlinmurens fall, när säkerhetsläget såg ganska optimistiskt ut. Men sedan februari 2022 är det helt annorlunda. Vi måste utveckla vårt sätt att tänka om säkerhet, och utöver att tänka på robusthet också tänka mer på resiliens. 

Grässtrået böjer sig för vinden men reser sig igen 

Ett robust system är som muren. Det kan stå emot väldigt mycket men när det väl faller, då faller det hårt, gör ingen nytta, och är svårt att laga. 

– Ett resilient system däremot ska både kunna stå emot och återhämta sig från störningar, kriser och hot, samtidigt som det kan bevara sin funktion, tillgänglighet och integritet. Man kan jämföra det med ett grässtrå som böjer sig för vinden – oavsett hur mycket det blåser och stormar så kommer det att resa sig igen. 

Och att det är viktigt blir tydligt när Carl Heath börjar rada upp alla de sammankopplade informationssystem ett samhälle idag består och är beroende av: telekommunikation, energiförsörjning, trafikljus, eller bara en så enkel sak som en enskild bil. Digitaliseringen ger enorma möjligheter att möta vår tids sociala, miljömässiga och ekonomiska mål, men gör oss också enormt sårbara. 

– När vi pratar om att informationssystem ska vara säkra, då pratar vi med andra ord om hela samhällets motståndskraft mot attacker. Allt från ransomware mot enskilda företag till storskaliga hybridattacker från statsaktörer. 

Ett resilient system kommer i en sådan situation, till skillnad från ett robust system, inte att gå sönder och bli oanvändbart. 

– Istället kommer det att anpassa sig. Kanske har det ett inbyggt sätt att koppla om information så att de viktigaste funktionerna fortfarande går att använda, men utan att röra sig i det skadade området så att det kan åtgärdas.  

Vad är det då som skapar ett resilient informationssystem?  

– Tekniken måste såklart fungera, men ju mer sammankopplade vi blir desto tydligare blir det att den också måste organiseras. 

Carl Heath tar energisystemet som exempel. Det existerar på flera olika organisatoriska nivåer (allt från det svenska stamnätet till solcellerna på sommarstugan och allt från det nationella Svenska Kraftnät ut till ett kommunalt energibolag), som alla måste klara av att interagera med varandra på ett säkert sätt. 

– Regelverken för de här systemen måste tillåta dem att prata med varandra så att den information som behöver delas gör det, men också så att den information som ska vara hemlig förblir hemlig. Det är komplext, för det innebär att olika aktörer med helt olika förutsättningar måste samarbeta, annars blir det glapp. 

För att uppnå resiliens krävs en målbild 

Men hur uppnår man det? För det första krävs en målbild, en bild av hur den här digitala världen som är byggd under fred ska kunna motstå allvarliga hot, i slutändan kanske till och med krig.  

– Man måste fråga sig vad man vill uppnå, vilka nivåer som är rimliga, vilka skyldigheter vi har. Det är jätteviktigt att de här frågorna är en del av det strategiska utvecklingsarbetet. 

För det andra behöver vi känna till vilka system vi har på plats idag och de risker och hot de utsätts för. En viktig del i det här är övningen. 

– Vi kan identifiera olika händelser och situationer i teorin, men för att verkligen förstå dem och veta hur de ska hanteras måste vi öva. Genom övning kan vi också upptäcka de risker och luckor vi inte hade tänkt på innan. 

En sådan övning är Nordic Pine, en NATO-övning som över på hållbarheten i den nordiska energisektorn och där RISE är en huvudpartner. 

– RISE består av 3000 nördar som har spetskompetens inom enormt många områden. Vi kan teknikutveckling och vi kan göra övningar, vi kan bidra med kunskapsöversikt och vi kan skapa mötesplatser. Att skapa resilienta informationssystem handlar om både teknik, organisation och människor och förutsätter att man kan hantera alla de här tre dimensionerna. 

Cyberangreppen ökar. Hackergrupperna har blivit mer målinriktade och sofistikerade. Att vara medveten om hur hoten ser ut och vad som går att göra för att skydda viktig information är en nationell angelägenhet. Det har Myndigheten för samhällsskydd och beredskap, MSB, slagit fast.  

Samhällskritiska verksamheter måste ha ett effektivt skydd mot dataintrång 

Särskilt viktigt är att samhällskritiska verksamheter, exempelvis för elförsörjning, har ett effektivt skydd mot dataintrång, eftersom de måste kunna upprätthålla sina tjänster även vid intrångsförsök och attacker. Nätkraft Borås har tagit fasta på detta.  

För snart två år sedan började bolaget, som förvaltar, driftar och utvecklar elnätet och fibernätet i Borås stad, att kartlägga sina processer för att identifiera sårbarheter. I september 2023 blev de först i branschen att få sitt ledningssystem för informationssäkerhet certifierat enligt standarden ISO 27001. Certifieringen visar att Nätkraft Borås jobbar för att hantera information på ett säkert sätt, skydda kunddata och minimera riskerna för integritets- och säkerhetshot.  

– Eftersom det har skett incidenter hos andra kommunala bolag har Borås stad bestämt att vi ska ha ett systematiskt arbete när det gäller informationssäkerheten. Dessutom kommer vår fibernätsverksamhet snart att träffas av ett nytt EU-direktiv kopplat till den här frågan, och vårt elnät har kravet sedan tidigare, berättar Lars Hedendahl som är vd på Nätkraft Borås och fortsätter:  

– Det finns också ett konkurrensmässigt perspektiv. Kan vi vara tidiga och jobba med informationssäkerhet på ett bra sätt borde vi vara mer attraktiva för våra kunder och därmed också mer konkurrenskraftiga.  

Nätkraft Borås certifierades av RISE, som en månad tidigare blev först i Sverige med en ackreditering för certifiering av ledningssystem hos samhällskritiska verksamheter inom el-, gas- och vattenförsörjning.  

Certifiering är ett kvitto på systematiskt arbetssätt 

Men vad innebär det att certifieras enligt ISO 27001? Camilla Rosswill, revisionsledare för ledningssystem på RISE, förklarar att en certifiering enligt denna standard är ett kvitto på att en organisation har ett systematiskt arbetssätt och rutiner för att upprätthålla informationssäkerheten.  

 – Fördelen med att införa ett systematiskt ledningssystem och ta vägledning av standarden är att det medvetandegör organisationen. Standarden ställer krav på att man ska identifiera, bedöma och behandla risker, säger Camilla Rosswill.  

Lars Hedendahl: 

– Vi kan inte säga att vi är helt skyddade för att vi jobbar enligt ISO 27001. Det handlar snarare om att vi har en process för att hantera olika typer av krissituationer, ett intrång till exempel, och i det läget försöka minimera skadorna och göra det bästa av situationen. 

Viktigaste delen är att få med sig människorna 

En del i arbetet med att stärka informationssäkerheten är att bygga lösningar, fysiska och digitala, som skyddar informationen. Det kan till exempel handla om att skapa backupfiler som minskar sårbarheten för attacker där hackers låser data och kräver lösensumma, så kallade ransomwareattacker. Ett annat exempel är en stark lösenordspolicy. Kanske är dock den viktigaste delen i arbetet att få med sig människorna.  

– Vi som jobbar här ska veta vad vi ska göra när det väl händer något. Det är inte bara några få personer som har involverats, utan alla i större eller mindre utsträckning. Det smidigaste hade förstås varit om vi hade en informationssäkerhetsansvarig som skötte allting, men då bygger man inte resiliens över tid. Går den personen ut ur huset försvinner systematiken och vårt skydd, förklarar Lars Hedendahl.  

Ledningssystemet för informationssäkerhet hjälper Nätkraft Borås att upprätthålla en stabil leverans i alla lägen.  

– Vår fiberverksamhet ligger till grund för en stor del av kommunikationen i Borås och el klarar sig ingen utan i dag. Kanske är kommunikation och el det mest samhällskritiska vi har? Störningar kan få allvarliga konsekvenser. Därför är det så viktigt att vi upprätthåller driften, säger Lars Hedendahl. 

Certifieringen granskas och leder till ständig utveckling 

Certifieringen var en milstolpe för Nätkraft Borås – men arbetet har egentligen bara börjat.  

– En stor fördel med att vara certifierad är den systematiska granskningen. Vi kommer och genomför revision varje år för att kontrollera att ledningssystemet fortsätter att uppfylla kraven, och verksamheten ska själv genomföra internrevision. Det går inte att luta sig tillbaka, säger Camilla Rosswill. 

– Omvärlden förändras. I morgon kanske nya hot har dykt upp. Därför behöver vi utvärdera våra metoder och titta efter om det finns något bättre. Det här är ett långsiktigt arbete, säger Lars Hedendahl.

- Med en certifiering av din kunskap så kan du styrka att du har rätt kompetens och erfarenhet vilket alltid är positivt. Då vet exempelvis fastighetsägare och kommuner att du uppfyller kraven, förklarar Hilda Malm, Ingenjör inom Personcertifiering på RISE.

Tryggt med styrkt kompetens

Efterfrågan på styrkt yrkeskompetens blir allt vanligare i yrkeslivet. 

— Det är förståeligt när det handlar om barns miljö inte minst. Och som skola, kommun eller myndighet vill du veta att personen som besiktar en lekplats är kunnig. Utan ordentlig besiktning så kan de också bli skadeståndsskyldiga om olyckan är framme. Certifieringen är ett stöd i arbetet för både besiktningsmän och deras uppdragsgivare, säger Hilda Malm. 

Det finns ett antal regler som styr utformningen av lekplatser, bland annat Plan- & Bygglagen, Boverkets byggregler (BBR) samt standarden Standard SS-EN 1176 och 1177. Det är fastighetsägarens ansvar att besikta en lekplats. Säkerhetsbesiktningar rekommenderas enligt Europastandard att ske en gång per år och utföras av en person med erforderlig kompetens. Enligt Plan & Bygglagen bör planer upprättas och följas för besiktning, kontroll, drift och underhåll för varje lekplats. 

- Det är bra med tydliga regler, men man ska se reglerna som en möjlighet att utveckla roliga lekplatser. Det finns vissa standardkrav som behöver uppfyllas på lekplatser, men det går ju att göra det roligt och inspirerande för barnen. I dag är det ju tyvärr många lekplatser som ser likadana ut vilket kanske är lite tråkigt, säger Hilda Malm. 

Årlig rapportering för certifierade besiktningsmän

Kraven för certifiering av besiktningsman säkerställs genom att en certifieringsingenjör handlägger och granskar ansökan mot certifieringsregeln. Ett beslut fattas därefter av ytterligare en certifieringsingenjör som inte har varit involverad i handläggningen. Certifieringen är därefter giltig i fem år under förutsättning att en årlig rapportering lämnas in till RISE. 

- Det är viktigt att vara aktiv som besiktningsman, därav den årliga uppföljningen av certifieringen. 

Det finns många besiktningsmän som åker runt i hela landet och besiktar lekplatser vilket ger bra erfarenhet och uppdaterad kunskap jämfört med någon som kanske inte varit aktiv på flera år.  Att endast gå en kurs och tro att man kan allt är nog lite naivt. Men vi hjälper gärna till med frågor om någon undrar vad som gäller för certifieringen, avslutar Hilda Malm. 

RISE personcertifierar inom en rad olika områden såsom Entreprenadbesiktningsman, Energiexperter, Kontrollansvarig, Funktionskontrollant och Innovationsledare.