Vikten av kvalitativa leverantörskontroller i en tid som präglas av eskalerade hotbilder
Det har inte undgått någon att det är en utmanande tid vi lever i. Sverige och västvärlden står just nu inför en eskalerande hotbild, ett underrättelsehot som saknar motstycke sedan Kalla kriget och ett mycket högt sabotagehot, som bland annat tar sig uttryck genom hybrida attacker. Dessa hot brukar vanligtvis beskriva som ”det yttre hotet”.
Samtidigt är det minst lika viktigt att även fokusera på ”det inre hotet”, där den organiserade brottsligheten är det mest allvarliga inre hotet just nu.
Vi på SRI följer noggrant och systematiskt olika myndigheters kommunikationer och analyserar den information, förslag på lagförändringar, remisser och annat som de släpper ifrån sig. Detta är en del av den omfattande omvärldsbevakning vi gör varje vecka, månad och år – något som vi uppmanar andra att göra också, i den omfattning som är nödvändig (eller möjlig).
Under årets andra kvartal kan man, väldigt kortfattat, sammanfatta att flera svenska myndigheter har informerat om- och flaggat för:
- En eskalerad hotbild
- Ett högt underrättelsehot
- Ett mycket högt sabotagehot
Ett urval av händelser i närtid:
- Störningar i Swish-tjänsten
- Banktjänster som ligger nere
- Överbelastningsattack mot Sveriges Television
- Ett stort antal saboterade telemaster längs med E22:an
Vad beror detta på och varför sker det nu?
Fler antagonistiska aktörer
Antalet antagonistiska aktörer som hotar och påverkar Sverige och svenska intressen har ökat kraftigt på senare år. Flera av dessa använder även proxies, vilket gör att det i vissa fall kan vara svårt att utläsa vilket land som egentligen är beställare eller förstå vad det egentligen är antagonisten vill uppnå.
I SRI:s årsbok om insiders (som du kan beställa kostnadsfritt här) framgår det bland annat att Sverige är ett av en handfull västländer som har blivit angripna av samtliga utpekade stora statsaktörer: Kina, Ryssland och Iran – både direkt och via proxy.
Sverige är också ett land som idag är hårt utsatta av hotet som kommer ifrån organiserad brottslighet och den så kallade ”kriminella ekonomin”, där kommuner, regioner och offentliga förvaltningar blivit infiltrerade runtom i landet på senare år.
Det framgår även i vår årsbok att antagonister i stor utsträckning riktar in sig på verksamhet som inte arbetar med säkerhetsskydd. En teori är att dessa verksamheter ses som mer ”lättplockad frukt” och lättare att exempelvis infiltrera.
Fler skyddsvärden i vårt samhälle
Som en konsekvens av digitaliseringen och privatiseringen av vårt samhälle blir fler och fler privata aktörer inblandade i bland annat drift och upprätthållande av funktioner som samhället är beroende av. Dessa inblandade aktörer utsätts också för den hotbild som riktas mot det svenska samhället – vilket i förlängningen innebär att fler skyddsvärden hamnar i riskzon.
Nya målval
Att lagstiftningar och regleringar, som exempelvis DORA och NIS2, har tillkommit är en effekt av att ett digitalt samhälle också är ett sårbart samhälle. Säkerhet och skyddsmekanismer behöver därmed även i större utsträckning tillföras. Det går att konstatera att digitaliseringen pågår i en takt som skapar möjligheter för antagonisterna samtidigt som säkerhet och skyddsmekanismerna släpar och inte införs i samma snabba takt.
Ett exempel på ett målval som reflekteras tydligt i skillnaderna mellan NIS och NIS2 är offentlig förvaltning, som inte var en identifierad samhällskritisk sektor i NIS-direktivet, men som är det i NIS2.
Vikten av kvalitativa leverantörskontroller
Allt det som beskrivits ovan gör att både offentliga och privata verksamheter behöver bli bättre på att kontrollera sina leverantörer och leverantörskedjor. Det är också viktigt att valda leverantörer är lämpliga samarbetspartners och även att de individer i dessa verksamheter som får tillgång till skyddsvärden är lämpliga från ett säkerhetsperspektiv.
Att välja en olämplig leverantör kan bli kostsamt på många sätt. Det mest självklara kan vara de direkta skador, såsom ekonomiska förluster eller informationsförluster, som kan uppstå – men konsekvenserna kan bli betydligt större och mer långtgående än så.
Att inte veta att ett leverantörsföretag drivs av organiserad brottslighet kan resultera i betydande anseendeskador, bedrägerier, försämrad kvalitet och funktionalitet, men det kan också innebära att verksamheten utsätts för hot och påtryckningar. I förlängningen kan det även innebära att enskilda individer och deras familjer kan utsättas för hot och påtryckningar.
Med det perspektivet blir kostnaden för att genomföra en gedigen leverantörskontroll – i samband med exempelvis en upphandling – försvinnande liten.