Måste huset ha brunnit ner innan vi investerar i brandsläckare?

Generellt ser vi allt mer sofistikerade angreppsmetoder där företag, organiserad brottslighet och till och med länder i tysthet infekterar datorer och servrar för att kunna övervaka, kopiera och vid behov stänga ner. Trots det skapas det största kaoset ibland av den enklaste av alla attackerna som varit välkänd och väl dokumenterad under många år - den så kallade ddos där man helt enkelt stressar servrar och nätverk så mycket att de inte orkar med belastningen och stänger ner eller lamslås. En del hävdar att det bara handlar om hemsidan och att det inte kan påverka organisationens interna system men det stämmer tyvärr sällan.  

Vi lever i ett nätverkat 24/7-samhälle där allt fler funktioner flyttar ut på nätet, och där kunder och medborgare räknar med att alltid ha tillgång till sina tjänster mer eller mindre dygnet runt. Men med stor flexibilitet och öppenhet följer också stora risker. Idag är det många som är omedvetna om dessa, eller till och med verkar ignorera att göra genomtänkta riskanalyser på den information man hanterar. Data måste klassificeras och konsekvensanalyser genomföras med jämna mellanrum för att kunna hantera riskerna. Man verkar hellre hålla tummarna för att inget ska hända snarare än att vara proaktiv i sin riskhantering.

Gårdagens ddos-attacker var varken den första eller sista men de visar att organisationer fortfarande inte tar tag i problemen. Trots att IT och kommunikation är centralt för praktiskt all verksamhet verkar det vara svårt för många organisationer att ta riskerna på allvar. Det finns många leverantörer av lösningar som stoppar till exempel dessa ddos-attacker och långt allvarligare hot än så. Ändå tvekar man på ett sätt som man inte skulle göra när det handlar om att installera sprinklers, inbrottslarm eller avancerade inpasseringssystem. Man vill ha inbrott innan man sätter ett bättre lås på dörren.

Att ett företags webbplats ligger nere någon timme är kanske inte hela världen - men om det är ett kommersiellt företag kan man förmodligen mäta kostnaden för avbrottet i form av uteblivna intäkter och annat. En kostnad som i vissa fall säkerligen överstiger kostnaden för att skaffa sig skydd mot dessa attacker.

Nu är det kanske hacktivism-grupper som vill visa sitt missnöje med polisens räd mot Pirate Bay, hanteringen av Julian Assange eller något annat. Men det kommer alltid finnas något som din myndighet, din organisation eller ditt företag gjort fel som betyder att du ska straffas av en eller annan organisation. Detta är den värld vi lever i nu och vi måste ta situationen på allvar. Dessa aktivister förfogar över tusentals smittade PC, Mac:ar och andra datorer, surfplattor och mobiltelefoner som kan användas för attacker. Och de farligaste hacktivism-grupperna förfogar troligtvis snarare över 100 000-tals datorer som de skulle kunna aktivera i en liknande attack mot svenska samhällsfunktioner om de skulle vilja.

Vi bygger ett smidigt samhälle där allt finns tillgängligt, när som helst för alla. Men allt bygger på Internet och att vi är de vi säger oss vara, att infrastrukturen inte är vidöppen för angrepp av olika typer och att uppgifter i myndigheternas databaser inte kan manipuleras. Man måste ta arbetet med risk och konsekvensutredningar på allvar, innan det är för sent. Det finns inget försvar för att vänta med detta tills attacken kommer, för den kommer att komma. Som sagt, som att vänta med att köpa brandsläckare tills huset står i lågor.