När ransomware lamslår en hel svensk kommun över en natt

När ransomware slår mot en svensk kommun kan konsekvenserna märkas långt utanför kommunhusets väggar. Plötsligt kan personal förlora tillgången till viktiga system, handläggning stanna upp och invånare få svårt att använda kommunens tjänster som vanligt. Ett sådant angrepp kan utvecklas snabbt och skapa omfattande störningar i verksamheter som samhället är beroende av varje dag. Samtidigt väcker händelsen frågor om hur väl offentliga organisationer är förberedda på moderna cyberhot. Vad händer egentligen när digitala system låses ner över en natt, och hur arbetar kommunen för att återfå kontrollen? Ransomware har blivit ett konkret samhällsproblem, inte bara en fråga för IT-avdelningen.

När kommunens digitala system plötsligt slutar fungera

När en ransomwareattack drabbar en svensk kommun kan utvecklingen gå mycket snabbt. Angriparna tar sig in i kommunens IT-miljö och försöker låsa eller kryptera filer och system som behövs i det dagliga arbetet. För personalen kan det innebära att vanliga arbetsverktyg plötsligt blir otillgängliga. E-post, dokumenthantering, ekonomisystem och andra digitala tjänster kan påverkas samtidigt. I ett sådant läge handlar det inte bara om tekniska problem. Kommunens förmåga att utföra sina uppgifter kan också försämras, vilket gör att en cyberattack snabbt får konsekvenser för hela den kommunala organisationen.

Så kan ett angrepp utvecklas

Ransomware bygger ofta på att angriparen först skaffar sig tillgång till en organisation och därefter försöker få kontroll över så många system som möjligt. Det kan exempelvis ske genom stulna inloggningsuppgifter, sårbarheter eller skadliga filer.

När angriparen har etablerat sig i nätverket kan olika delar av IT-miljön kartläggas innan själva krypteringen genomförs. För kommunen kan det därför vara svårt att upptäcka hela angreppet innan omfattande störningar redan har uppstått. Ju fler centrala system som påverkas samtidigt, desto svårare blir det att snabbt återgå till normala arbetsrutiner.

När systemen blir otillgängliga

Effekten av en ransomwareattack märks ofta genom att medarbetare inte längre kommer åt information eller program som de normalt använder. En kommun är samtidigt beroende av många olika digitala funktioner för att verksamheten ska fungera. Det kan handla om dokument, ekonomisk administration, intern kommunikation och system för olika former av handläggning. När flera funktioner påverkas samtidigt behöver organisationen prioritera vilka verksamheter som måste återställas först. Under tiden kan medarbetare tvingas använda manuella rutiner eller alternativa kommunikationsvägar. Det skapar merarbete och kan samtidigt öka risken för förseningar i verksamheten.

Så påverkas invånare och kommunens verksamheter

En kommun är mer än sina administrativa system. Den ansvarar för en rad samhällsnära funktioner som invånare använder regelbundet, och därför kan en större ransomwareattack få effekter som märks utanför den kommunala organisationen. Om digitala tjänster ligger nere kan invånare få svårare att lämna uppgifter, följa ärenden eller komma i kontakt med rätt verksamhet. Även kommunens interna arbete kan bromsas när personal saknar tillgång till information. Hur stora konsekvenserna blir beror bland annat på vilka system som angrips, hur länge störningen varar och vilka reservrutiner kommunen har.

Digital service kan påverkas

Många kommunala kontakter sker numera digitalt. Invånare kan exempelvis använda webbformulär, e-tjänster och andra lösningar för att kommunicera med kommunen utan att besöka ett kontor. Om sådana tjänster påverkas av en cyberattack kan kommunen behöva hänvisa invånare till telefon, fysiska besök eller andra alternativa kontaktvägar. Det kan leda till längre handläggningstider och högre belastning på personalen. För den som redan väntar på ett beslut eller behöver kommunal service kan situationen bli särskilt besvärlig. Samtidigt måste kommunen kunna fortsätta hantera verksamheter som är nödvändiga även när de ordinarie systemen inte fungerar.

Viktiga verksamheter måste fortsätta

Kommuner behöver kunna upprätthålla samhällsviktiga funktioner även under allvarliga IT-störningar. Därför är kontinuitetsplanering en central del av cybersäkerhetsarbetet. Vid ett omfattande angrepp kan kommunen behöva prioritera vissa verksamheter framför andra och använda manuella processer under en period.

• Kritiska verksamheter behöver kunna identifieras snabbt.

• Personal behöver känna till alternativa arbetsrutiner.

• Kontaktvägar måste kunna fungera även när ordinarie system ligger nere.

• Säkerhetskopior behöver vara tillgängliga och användbara.

• Ansvarsfördelningen under en kris måste vara tydlig.

Kommunikation blir en central fråga

När digitala system slutar fungera blir kommunikationen med invånare, personal och andra aktörer särskilt viktig. Kommunen behöver kunna förklara vad som har hänt utan att samtidigt lämna ut information som kan försvåra säkerhetsarbetet. Det kan också uppstå ett stort informationsbehov när invånare vill veta om deras uppgifter är berörda eller när olika tjänster kan börja fungera igen. En tydlig kommunikationsstruktur kan därför vara avgörande under hela incidenten. Samtidigt måste uppgifterna som lämnas ut vara korrekta, eftersom osäker eller motstridig information kan skapa ytterligare problem.

Återställningen efter ransomwareattacken

När den akuta delen av en ransomwareattack är under kontroll börjar ofta ett långvarigt återställningsarbete. Kommunens IT-personal och externa säkerhetsexperter behöver först skapa en bild av vad som har hänt och vilka system som fortfarande är påverkade. Därefter måste organisationen avgöra vilka delar som kan återställas och i vilken ordning. Det är viktigt att inte bara starta om systemen utan att först säkerställa att angriparen inte längre har tillgång till miljön. Annars finns en risk att återställda system återigen komprometteras och att arbetet måste börja om.

Säkerhetskopior kan få stor betydelse

Säkerhetskopior är en viktig del av återställningen efter en ransomwareattack. Om fungerande och skyddade säkerhetskopior finns tillgängliga kan kommunen i vissa fall återskapa information och system utan att förlita sig på angriparens krav. Det betyder dock inte att återställningen blir enkel.

Säkerhetskopior måste kontrolleras, system kan behöva byggas upp på nytt och information kan behöva verifieras innan verksamheten kan återgå till normala rutiner. Därför är det viktigt att säkerhetskopiering kombineras med regelbundna tester. En säkerhetskopia som aldrig har provats i praktiken ger ingen garanti för en fungerande återställning.

Efter incidenten väntar ett omfattande arbete

När systemen successivt kommer tillbaka behöver kommunen också analysera själva angreppet. Utredningen kan visa hur angriparna tog sig in, vilka delar av nätverket som påverkades och vilka säkerhetsbrister som behöver åtgärdas. Arbetet kan därför fortsätta långt efter att de första systemen har återställts. Organisationen kan behöva byta inloggningsuppgifter, stärka åtkomstkontroller, uppdatera programvara och förbättra övervakningen av nätverket. Erfarenheterna från incidenten kan dessutom användas för att förändra rutiner och beredskapsplaner. På så sätt blir återställningen även en möjlighet att identifiera svagheter som tidigare inte varit uppenbara.