Från teknisk skuld till AI-skydd – Siemens om framtidens cybersäkerhet


Cyberattacker mot samhällsviktiga funktioner ökar och ställer oss inför nya och komplicerade säkerhetsutmaningar. Men för att stå emot de växande hoten måste vi våga släppa sargen, lämna datorhallen och ge oss ut i verkligheten.

Cybersäkerhet har blivit en av de största utmaningarna för företag och samhällsviktiga funktioner. Enligt Myndigheten för samhällsskydd och beredskap (MSB) har cyberangreppen mot statliga myndigheter och leverantörer ökat. En utveckling som speglar hur hotbilden förändrats.

– Angriparna behöver bara lyckas en gång, medan vi som försvarare måste lyckas varje gång, säger Michael Dufva, Cyber Security Offices på Siemens AB.

Med bakgrund inom försvarssektorn och lång erfarenhet av säkerhetsfrågor leder han arbetet med att stärka cybersäkerheten både internt och hos Siemens kunder. Med verksamhet i över 200 länder hanterar Siemens dagligen miljarder säkerhetshändelser – från små försök till fullskaliga attacker.

– Det är en kamp mot tiden och tekniken. Graden av automatisering hos angripare är så hög att vi hela tiden måste ligga steget före, förklarar han.

Teknisk skuld ökar sårbarheten

Många företag brottas med teknisk skuld från äldre system som fortfarande används i verksamheten trots att de inte är byggda för dagens hotbild.

– Även om man har toppmoderna AI-lösningar kan de behöva samverka med system som är 30-35 år gamla, byggda i en tid då it-attacker inte ens var på kartan, säger Michael Dufva.

Äldre system saknar ofta nödvändiga säkerhetsfunktioner och öppnar dörren för intrång där angripare kan använda gamla svagheter för att ta sig in i nya system. Till detta kommer utmaningen med leverantörer. En produktionslinje kan innehålla hundratals OT-enheter från olika leverantörer, där varje leverantör kräver åtkomst till sina egna system.

– Det leder till en okontrollerad mängd accesspunkter och stora säkerhetsrisker.

Våga ställa krav på din leverantör

– Problemet förvärras när företag försöker hantera situationen själva genom kortsiktiga lösningar, utan att ha en tydlig strategi eller en djup dialog med sina leverantörer om hur systemen ska skyddas. En annan fallgrop är att vända sig till fel typ av leverantör. Det är lite som att be en it-leverantör av kontorssystem säkra upp industriella eller fastighetsbaserade nät, berättar Michael Dufva.

Därför, menar han, är det viktigt att kunna – och våga – ställa krav på sin leverantör för att se till att säkerhetskedjan håller. Att det finns en arkitektur som kontinuerligt stödjer uppdateringar av program och system. 

Säkerhetsstrategi som håller hela vägen

Även om angreppen intensifierats och blivit svårare att upptäcka, finns det sätt att skydda sig.

– Identifiera riskerna, bedöm hur stora de är, och bestäm hur mycket du är villig att investera för att skydda det. Att spendera mer på skydd än vad något är värt är inte hållbart. Men handlar det om ett företags rykte eller om kritisk information kan kostnaden för att inte skydda sig bli oöverskådlig. Samtidigt måste cybersäkerhetsinvesteringarna gå hand i hand med företagets digitalisering – annars halkar säkerheten efter.

Därför är det viktigt att förankra sin säkerhetsstrategi i alla led, upp till ledningsnivå, menar han.

Det gäller allt från att våga göra tester och simuleringar till att utbilda personal och ledningsgrupper.

– En modern säkerhetschef måste ha ett helt annat förhållningssätt, stötta ledningen och förstå verksamhetens behov. Om cheferna och ledningen inte tar det på allvar, kommer ingen annan att göra det heller. 

Han menar att det i slutändan är människorna och verksamheten som är det viktiga. Därför måste vi våga släppa sargen och tänka om när det gäller säkerhetsbranschen. Han förklarar att rollen som säkerhetschef traditionellt sett ofta gått till personer med bakgrund inom polisen och militären, eller till tekniskt utbildade ingenjörer. Något som fortfarande speglar branschen, som till stor del består av medelålders män, anser han. 

– Det är tragiskt, för säkerhetsarbetet behöver fler perspektiv och bredare kompetenser. För att möta framtidens utmaningar måste vi bygga team som speglar en global värld och kan förstå och möta olika behov. 

Måste byggas från grunden

Siemens strävar mot att certifiera så många produkter som möjligt för att uppfylla kundernas säkerhetskrav. Genom att delta i NATO-övningar och andra internationella samarbeten ges tillgång till värdefulla insikter om hur andra länder skyddar sina system. Dessa erfarenheter används för att förbättra företagets egna lösningar och stärka cybersäkerheten för kunder globalt.

Michael Dufva berättar att utgångspunkten handlar om att bygga från grunden, “security by design”.

– Vi utvecklar också arkitekturer och exempelmodeller som visar hur man bygger säkra lösningar, oavsett om det gäller fabriker, sjukhus eller ställverk.

Dock menar han att dialogen med kunderna är lika viktig som tekniken eftersom varje kunds behov och säkerhetsrisker är unika.

– Vi strävar efter att förstå deras verklighet, eftersom säkerhet aldrig är en universallösning. Oavsett om det handlar om stora koncerner eller småföretag är vårt mål att anpassa lösningarna efter deras behov och att skapa en öppen och inkluderande dialog. 

Nya EU-direktiv ska lokalisera sårbarheter

Det nya EU-direktivet NIS 2 är utformat för att stärka cybersäkerheten hos samhällsviktiga funktioner. Direktivet kräver att företag identifierar sina sårbarheter och hanterar risker. Konsekvenserna för den som inte följer kraven kan bli kännbara.

– Företag som inte lever upp till NIS 2 riskerar böter på upp till 10 miljoner euro eller 2 procent av sin globala omsättning. Det kan vara förödande, säger han.

Men NIS 2 är inte bara ett krav – det är också en möjlighet. Genom att skapa en standard för cybersäkerhet hjälper direktivet företag att skydda sig mot hot och bygga förtroende hos kunder och samarbetspartners.

Framtidens cybersäkerhet

Michael Dufva ser flera stora utmaningar framåt. En av de mest kritiska är att hantera de miljardtals IoT- och OT-enheter som kopplas upp i allt snabbare takt – från lysknappar till kylskåp och avancerade industrisystem.

– Frågan är hur vi ska hålla koll på allt och förhindra att dessa enheter missbrukas. AI kommer sannolikt att spela en viktig roll som en del av lösningen för att övervaka och skydda dessa system, säger han och konstaterar: 

– Vi måste våga tänka nytt, riva murarna och se säkerhetsarbetet som en självklar del av den dagliga verksamheten. Det är en förändring som måste ske inom en snar framtid.

På Elfack 2025 kommer Siemens att dela med sig av sina insikter och lösningar för att möta framtidens cybersäkerhetsutmaningar, från “security by design” till AI-drivna skyddssystem.

Säkra din biljett här.