Lunds universitet skiljer sig inte från mängden. Antalet cyberattacker mot lärosäten och andra myndigheter, men också mot företag, har skjutit i höjden de senaste åren. På vissa håll med flera hundra procent. Trenden är densamma internationellt.
Använt pandemin
De kriminella har använt pandemin för att nå så många som möjligt och öka sina chanser. De vet att många vill läsa det senaste om vad som gäller kring covid-19. Det alla inte vet är att det som ser ut som ett vanligt informationsmail kan innehålla en länk som släpper in cyberkriminella utpressare i universitetets it-system.
– Det räcker med att en person klickar på länken så har de kriminella tagit sig innanför skalet. Sedan kan det ta ett par veckor eller månader så har de tagit över 80–90 procent av it-miljön och släcker ner den. Det är inte konstigare än så.Det säger Ingegerd Wirehed, universitetets Chief Information Security Officer (CISO).
Mer professionella
Tillsammans med Heiko Herwald, ordförande i Medicinska fakultetens informationssäkerhetsråd och fakultetens vicedekan, skapade hon hösten 2020 ett scenario där omkring tusen forskare och andra anställda under en till två månader förlorade tillgång till it-nätverk, e-post, känslig patientdata och annan kritisk information. Genom intervjuer försökte de ta reda på vad en sådan attack skulle innebära, dels för forskning och utbildning, dels ekonomiskt. De slutade räkna när de nått en halv miljard kronor.
– Det var länge sedan det handlade om att släcka ner en dator och sedan skicka ett mail att man låser upp den för 5 000 kronor. Idag är attackerna mycket mer professionella och helt automatiserade, ett klick på en länk kan frigöra en teknisk agent som söker av en hel it-miljö och släcker ner den. När det är gjort kommer utpressarna in i bilden, säger Ingegerd Wirehed.
En krypteringsnyckel
Ett exempel är universitetet i Maastricht i Nederländerna. Där har ledningen varit öppen med att man betalat motsvarande 1,9 miljoner svenska kronor för att få en krypteringsnyckel efter att utpressare släckt ner stora delar av it-miljön. Att inte betala hade kostat betydligt mer i både tid och pengar, enligt deras analys. Och skadan hade blivit långt större.
– Ett svenskt universitet kan inte betala lösensummor på det sättet. Skattepengar får helt enkelt inte användas för att betala utpressare, säger Heiko Herwald.
Känslig information
Medicinska fakulteten hanterar stora mängder känslig information, bland annat persondata om patienter. Det gör fakulteten till ett tacksamt mål för cyberbanditer. Enligt Heiko Herwald pågår phishing-attackerna i stort sett hela tiden. Ett sätt att hålla garden uppe är att informera och utbilda alla anställda.
– Man kan öva och träna en organisation genom att till exempel universitetets informationssäkerhetsfunktion skickar ut egna phishingmail och sedan pratar med de medarbetare som har öppnat dem. Det är ett sätt att jobba proaktivt, säger Heiko Herwald.
Att anställda tar säkerhetskopior och jobbar med de senaste uppdateringarna är självklarheter, menar både han och Ingegerd Wirehed. Och att ha fungerande brandsläckare på plats i form av krishanterings- och återställandeplaner är väl så viktigt som nya nätverk byggda med den senaste säkerhetstekniken. Teknik som är ny blir snabbt gammal och risken är stor att universitetet hela tiden ligger steget efter de uppfinningsrika cyberbrottslingarna.
– De kan ta en helt annan väg än vi har trott och då hjälper inte alltid teknisk it-säkerhet. I första hand måste vi utbilda alla och öka medvetenheten. Det är inte en fråga om det händer utan när och då måste krishanteringen fungera, säger Heiko Herwald.
Ett dilemma med öppen arbetsplats
Sårbarheten, hoten och sannolikheten för att drabbas – allt detta har ökat de senaste åren. Ur säkerhetssynpunkt är det ett dilemma att universitetet är en kreativ och öppen arbetsplats. Att det dessutom är en myndighet med allt vad det innebär av människors rätt att ta del av inkomna och upprättade handlingar underlättar inte säkerhetsarbetet.
– Akademisk frihet och en hög grad av delegation präglar universitetet. Samtidigt har universitetet ett enda organisationsnummer, ett gemensamt it-nätverk, delade it-system och vi delar byggnader och många andra resurser. Detta är motstridigt och delikat att hantera för universitetsledningen, säger Ingegerd Wirehed.
Hon svarar varken ja eller nej på frågan om Lunds universitet har bra skydd mot cyberattacker.
– Det finns ingen definition av ”bra skydd mot cyberattacker”. Det som avgör är hur stor risk organisationen vill ta och den kompetens man har. Det finns en anledning till att högsta ledningen har anställt mig.
