Välbesökt paneldebatt om cyberrisker och digital suveränitet

Samtalet tog sin utgångspunkt i den omfattande cyberattack som Uppsala universitets och SLU:s lärplattform Studium/Canvas utsattes för i början av maj i år. Cirka 9 000 universitet, skolor och utbildningsorganisationer världen över drabbades när angriparna stal användardata och krävde en stor lösensumma för att inte publicera den. Företaget bakom Canvas sägs ha betalat, men summan har inte offentliggjorts.

Säkerhetschef Fredrik Blomqvist vid Uppsala universitet inledde med en bred genomgång av attacken och vad den haft för konsekvenser för universitetet, studenter och anställda. Angriparna tog sig in i Canvas den 25 april och först fyra dagar senare upptäcktes intrånget. Den 7 maj publicerade angriparna ett meddelande inne i systemet. Det ledde till att Studium vid Uppsala universitet stängdes i cirka 12 timmar.

Nedstängningen av systemet största utmaningen

Totalt pågick incidenten i 18 dygn, och angriparna kom över 3,6 terabyte data — motsvarande cirka 72 miljoner e-postmeddelanden. Trots omfattningen blev konsekvenserna för Uppsala universitets kärnverksamhet begränsade, enligt Fredrik Blomqvist.

– Det var tillgänglighetsaspekterna som påverkades mest. Även om många personuppgifter läckte, som namn, e postadresser, studentidentiteter och meddelanden mellan lärare och studenter, så rörde det sig inte om känsliga data.

Diskussionen fortsatte om hur beroende universitet och kommuner är av globala molntjänster. När känsliga data lagras hos internationella aktörer hamnar de ofta under utländsk jurisdiktion, sa Daniel Melin, affärsutvecklare på Teracom, talesperson för EuroStack samt expert på digital suveränitet. Det kan skapa både juridiska och säkerhetsmässiga risker. Dessutom kan kritiska system som attackeras leda till förlust av åratal av information, vilket kräver reservrutiner. Han menade också att otydliga leverantörskedjor och krångliga system kan göra det svårt att bedöma molntjänsters lämplighet.

Krävs beredskap för alternativa lösningar

Uppsala universitet har länge varit försiktigt med molntjänster, men är nu på väg in i Microsofts ekosystem — med tydliga begränsningar för vilken typ av data som får lagras där, berättade Fredrik Blomqvist.

Enligt Robert Reineck, enhetschef för informations- och cybersäkerhet på Uppsala kommun, behöver man ställa krav, granska leverantörerna och göra gemensam uppföljning då man ofta sitter med samma leverantör i flera kommuner.

Han betonade också vikten av att kunna upprätthålla verksamheter av central betydelse för samhället när det blir störningar.

– Vad är vår handlingsförmåga att kunna kommunicera, dela dokument och ha digitala möten, om inte den tjänsten är till hands? Att prova sig fram och hitta andra lösningar tror jag är en nyckel här, sa Robert Reineck.

Ha exit-strategi i åtanke

Moderator Ida-Maria Sintorn, prodekan för samverkan vid teknisk-naturvetenskapliga fakulteten vid Uppsala universitet, undrade vilken hänsyn som tas till dessa frågor när man upphandlar nya system. Svaret från Robert Reineck var att organisationer ofta fokuserar på att välja en tjänst med rätt funktionalitet vid upphandlingen, men betydligt mindre på vad som händer senare.

– Man tänker desto mindre över kontinuitet. Vad händer när vi inte har tjänsten? Eller hur drar vi oss ur tjänsten? Kan vi ha en exit-strategi? Går det att flytta data från en tjänst till en annan?

Samtalet avslutades med en diskussion om digital suveränitet och EU:s arbete för att kontrollera sin egen digitala infrastruktur och för att minska beroendet av globala aktörer. Geopolitik, krig i närområdet och hot mot kritisk infrastruktur gör frågan akut, menade Daniel Melin.

– Vi har digitaliserat allt. Men vi måste ha mer egen förmåga, annars har vi ingen kontinuitet i våra egna länder.

Strategiskt arbete för digitalt oberoende

Enligt paneldeltagarna krävs både nationella strategier och lokalt arbete med informationsklassning, redundans, kontinuitetsplanering och genomtänkta exit-strategier vid upphandling. Kommuner och universitet arbetar nu med att identifiera vilka verksamheter som måste fungera även vid kris eller krig och utveckla alternativa lösningar.

Fredrik Blomqvist betonade vikten av höjd beredskap, totalförsvar och att kunna bedriva utbildning även vid krig. Han menade att det behövs strategiska inriktningar och strategiska beslut för Sverige som nation då detta är svårt att hantera dessa frågor för enskilda myndigheter.

– Som ett led i att stärka vår förmåga inom total försvaret arbetar Uppsala universitet med att identifiera samhällsviktig verksamhet med en början inom vetenskapsområdet för medicin och farmaci. Med detta som grund vet vi sedan vilken verksamhet som är prioriterad att skydda från alla typer av antagonistiska hot i det fall landet dras in i ett krig.

Anneli Björkman