Så ser mätresultaten ut

Har din bank eller hemkommun viktiga säkerhetsfunktioner på plats sin webbplats och i sitt mejlsystem? Undersök mätresultaten själv genom att klicka här!

Hur säkra är egentligen de samhällsviktiga webbplatserna vi använder varje dag? Internetstiftelsens löpande mätning av hälsoläget i .se-zonen visar att det fortfarande finns mycket att göra för säkerheten.

Genom en löpande mätning med webbverktyget Hardenize mäter Internetstiftelsen säkerhetsstatusen för utvalda svenska domäner. Fokus ligger på banker, myndigheter, kommuner, medier och andra sektorer som är viktiga för att samhället ska fungera. Undersökningen är med andra ord en viktig koll av hälsoläget för vitala delar av internets infrastruktur i Sverige.

Säkerheten mäts inom de tre områdena webb, mejl och DNS, där mätningen visar om de samhällsviktiga aktörerna använder viktiga standardiserade tillägg och inställningar för att göra sina domäner, webbplatser och mejlsystem säkrare.

– Vi har inte tagit med något finlir utan vi tittar på de standardiserade, grundläggande delarna. Det handlar inte om några säkerhetsfunktioner  som ligger i framkant utan saker som helt enkelt ska finnas, säger Anne-Marie Eklund Löwinder, säkerhetschef på Internetstiftelsen.

Trots det når färre än hälften av de undersökta aktörerna upp till en tillräckligt bra standard i mätningen. 42 procent har en god nivå på sin webb, medan 41 procent når upp till kraven på sina mejlservrar. Ett negativt resultat kan antingen handla om att man inte infört olika säkerhetsfunktioner eller att man inte gjort det tillräckligt bra.

Stora skillnader i säkerheten mellan aktörer

Lär dig mer om säkerhet på Internetkunskap

Genom folkbildningssatsningen Internetkunskap lär du dig att skapa säkra lösenord, undvika kortkapningar och avslöja falska webbsidor.

Skillnaderna mellan olika säkerhetstillägg är stora. 95 procent använder till exempel krypteringsprotokollet https, som för en vanlig användare enkelt kan ses i början av en webbadress. Samtidigt använder bara 4 procent det viktiga protokollet DANE som bland annat krypterar mejl istället för att skicka dem i klartext.

Resultaten skiljer sig också beroende på bransch. Försäkringsbolag och dagstidningar sticker ut med höga poäng för webb respektive mejl, medan bankerna å andra sidan har låga poäng inom båda områdena, med några undantag. Bara 12 procent av bankerna i undersökningen har en god tillgång av de protokoll som är med undersökningen.

– Att så viktiga verksamheter har dåliga resultat när det handlar om vanliga säkerhetsfunktioner som redan funnits i fem-tio år är allvarligt. Det visar att man inte har tillräcklig koll på säkerheten. Om system är trasiga eller ouppdaterade blir det lättare för någon att ta sig in och orsaka stor skada. Större attacker mot de här verksamheterna är inte bra för vare sig medborgare, näringslivet eller Sveriges rykte på it-området, säger Anne-Marie Eklund Löwinder.

Men trots resultaten för branschen som helhet är det också hos bankerna en av de stora framgångarna finns. Handelsbanken är en av få aktörer med ett så gott som hundraprocentigt resultat i undersökningen.

Enligt Jean-Marc Clerc på Handelsbankens it-säkerhetsavdelning ligger framgången i ett tätt samarbete och korta beslutsvägar mellan hans team och resten av it-avdelningen, där säkerhetsavdelningen stöttar, ställer krav och följer de hotbilder som finns just nu.

– Vi insåg längs vägen att mycket av arbetet handlade om att slå på och konfigurera saker i de komponenter vi redan har istället för att köpa in dyra produkter och lösningar. Mitt råd till andra är att etablera ett bra samarbete mellan säkerhetsavdelningen och it-organisationen och bygga upp en vilja att lära sig mer om säkerhet, säger han.

Mycket handlade om att slå på funktioner vi redan hade istället för att köpa nya och dyra produkter.

Jean-Marc Clerc, Handelsbankens it-säkerhetsavdelning

Även Anne-Marie Eklund Löwinder ser avstånden mellan it-avdelningen och resten av verksamheten på olika företag som en vanlig stoppkloss i arbetet.

­– Ett vanligt problem är att de personer i ett företag som vet vad som behöver göras för it-säkerheten inte kan besluta om det, medan de som tar besluten inte vet vad som behövs. Säkerhetsfrågor landar inte tillräckligt ofta hos VD och företagsledningen utan har istället överlåtits åt it-avdelningen att sköta själva. Detta är dock något som blivit bättre under de senaste åren, säger hon.

Mätningen en hjälp för att öka den egna it-säkerheten

Den som jobbar med it-säkerhet på ett företag eller i offentlig verksamhet kan i Internetstiftelsens mätning inte bara se vilka åtgärder man inte redan använder, utan också hur viktiga de är och hur mycket arbete som krävs för att implementera dem. Poängen är att erbjuda hjälp till självhjälp för de som vill bli bättre.

Det är också i den andan som Anne-Marie Eklund Löwinder och Ulrich Wisser, DNS-expert på Internetstiftelsen, träffar aktörer inom olika sektorer för att gå igenom resultaten och lyfta upp diskussionen om it-säkerhet på bordet. Detta har redan gett resultat. Efter att de träffat ansvariga departement inom Regeringskansliet för att diskutera de statliga bolagens resultat gjorde dessa ett skutt uppåt i mätningen.

Till sin hjälp har Anne-Marie och Ulrich ett visst mått av gamification. De har utvecklat ett poängssystem där en aktör får plus- eller minuspoäng för varje säkerhetsfunktion de implementerat på ett bra eller mindre bra sätt. Utifrån det sätter de sedan ihop en topplista över till exempel alla försäkringsbolag, kommuner eller universitet. Detta får många av verksamheterna att spetsa öronen. Ingen vill vara sämre än värsta konkurrenten och många vill ligga i topp inom sin bransch.

Rådet: Börja med de enkla lösningarna

För den som vill förbättra resultaten i den egna verksamheten är ett bra första steg att undersöka vilka säkerhetstillägg som kan implementeras utan att det är vare sig kostsamt eller svårt. Senare bör man också ta sig an de delar som kräver mer tid och resurser – för användarsäkerhetens och trovärdighetens skull.

– Sverige är på väg mot en allt mer omfattande digitalisering, men varje liten incident gnager ett hål i förtroendekapitalet. Börjar medborgarna ifrågasätta om tjänsterna de förväntas använda är tillräckligt säkra har vi ett problem. Samtidigt är det positivt att se att det finns ett driv i de här frågorna. Informationssäkerhet är på allas läppar och det finns en ökad förståelse för att de här frågorna faktiskt hör hemma på ledningsnivå, säger Anne-Marie Eklund Löwinder.