Reflektion
Knappt
en dag går förbi utan nya avslöjanden, eller för den delen
konstateranden, avseende vad som än så länge får anses vara det
största IT-säkerhetshaveriet i svensk historia. Nämligen
Transportstyrelsens outsourcing av sitt IT-system. System må outsourcas, men hur det outsourcats får anses vara det
största felet, då regelverk gravt åsidosätts och trots varningar
från andra myndigheter och inom egen myndighet tas det ej på
allvar, i den styrande delen av myndigheten.
Här
vill jag belysa det första området som jag anser det ej har bottnas i.
Har våra styrande inte förstått vilken säkerhetssituation
Östersjöregionen befinner sig i? Säkerhetspolisen delgav i sin
årsrapport för 2013 att krigsförberedelser genomförs på svenskt
territorium. I oktober 2014 genomfördes den s.k. Operation Örnen,
underrättelseoperation, i svensk skärgård, där den senare
efteranalysen gav i hand att svenskt inre vatten kränkts. Därtill
den övriga negativa säkerhetsutveckling
i vårt absoluta närområde.
Således
vid 2015 års infall, bör myndighetspersoner inom ramen för s.k.
bevakningsansvariga
myndigheter i Totalförsvaret, förstått att, nu är det
nog på riktigt, nu är det inte hypotetiska scenarier längre. Trots
det så förefaller logiken halta, som Generaldirektör på en
bevakningsansvarig myndighet får det anses att tjänsten innefattar
ett ansvar där det krävs att rikets säkerhet alltid
beaktas, annars åsidosätts tjänsteutövningen enligt mitt
förmenande.
Dock
förefaller det ej vara så i det aktuella fallet. Vilket får anses
vara en av de mer skrämmande delarna, att man ej kan göra
kopplingen mellan varningar inom egen organisation avseende
outsourceningen, omvärldsutvecklingen och sitt eget
myndighetsansvar. Här ställer man sig automatiskt frågan, hur ser
det ut på andra bevakningsansvariga myndigheter?
Nästa
faktor som bör tas upp, som inte belysts är effekt och ekonomi.
Då transportstyrelsen även är involverad i de s.k. kvalificerade
skyddsidentiteterna. Vilket t.ex. inom Försvarsmakten innebär
individer som arbetar med inhämtning av underrättelser med
särskilda metoder – personbaserad
och teknisk inhämtning. Varvid personbaserad
inhämtning innefattar att finna mänskliga källor och få dessa
att lämna information.
Varvid en intressant frågeställning, men även obehaglig, hade
denna information flyttas utom rikets gränser? Hade ej
säkerhetsprövad personal haft tillgång till denna information?
Sist men inte minst går det verkligen säkerställa att
informationen ej är röjd? För ytterst är det dessa individer inom
Polisen, Säkerhetspolisen och MUST som är ”längst ut på linan”
och riskerar sitt liv. För även om namnen byts ut, kan de
vara ”röjda” maa. att körkortsregistret som bekant även
innefattar ansiktsbilder.
Varvid
en moralisk, ekonomisk och effekt aspekt plötsligt inträder. Skall
man förutsätta att informationen ej är röjd och arbeta på som
vanligt med bibehålla effekt, eller måste personal/-en bytas ut? Ur
en moralisk aspekt måste, har sannolikt redan, någon fattat ett
beslut vilket inte kan ha varit ett trevligt beslut för oaktat hur
man väljer, kan det få långtgående konsekvenser. Är det så att
personal måste bytas ut, kommer det få en tydlig nedgång
(effektminskning) i underrättelseflöde från det personbaserade
spåret under en ansenlig tid, därtill tillkommer kostnaderna med
nyrekryteringar och utbildning, vilket troligtvis är en långsam
process maa. verksamhetens särart.
Nästa
intressanta sak man slås av i mediarapporteringen är den omfattande
informationsmängd som Transportstyrelsen de facto
besitter. Att vissa statliga myndigheter måste besitta ansenlig
mängd information har jag full förståelse för. Men någonstans
måste det då börja göras ordentliga riskanalyser, vad händer om
all denna information extraheras av någon? Hur kan vi säkerställa
att så ej blir fallet osv. För som det ser ut just nu kring
Transportstyrelsen så har det blivit en mindre version av det s.k.
”OPM-hacket”,
utan att ha blivit ”hackad” och då återkommer man till frågan
hur i hela fridens namn vet man att ingen information
hamnat i orätta händer?
Utländska
underrättelseorganisation, här avser jag alla, har sannolikt god
insyn in vilken informationsbärare Transportstyrelsen är. Varvid de
sannolikt redan under våren 2015, när det blev klart att IBM vann
upphandlingen, började titta på hur man skulle kunna få tillgång
till information. För onekligen torde de insett vilken guldgruva
som plötsligt kunde öppna sig för dem, om man snabbt lyckades
rekrytera någon eller försöka extrahera data vid
informationsöverföringen. Här vill jag poängtera att det får
förutsättas att det kan röra som om både västliga och östliga
underrättelseorganisationer. Då det som sagt inte finns några
vänner utan bara intressen i underrättelseverksamhet.
Listan
kan göras längre på områden som inte belysts, utan det som
rapporteras just nu är vilken skyddsvärd information som kan ha
läckt. Konsekvenserna berörs ej i någon större omfattning, ännu
skall tilläggas. Vilket jag hoppas massmedia börjar fokusera på,
för vidden av detta är mycket stort och kostnaderna och
konsekvenserna kan bli väldigt omfattande, ur
ett Totalförsvarsperspektiv och betydligt mer än 70 dagsböter.
Avslutningsvis
har vi nog inte sett slutet på detta debacle. Men en lärdom för
andra myndigheter bör vara att snabbt se över sina egna
IT-säkerhetsrutiner. För skadan kring Transportstyrelsen är redan
skedd, det är bara att acceptera och försöka göra det bästa av
situationen, men det är inget som bör upprepas. För just nu börjar
misslyckandena, eller om man vill nyttja ett populistiskt ord
utmaningarna, hopa sig ordentligt inom Totalförsvarssektorn och inte bara inom IT-området.
Have a good one! // Jägarchefen
