Det behövs säker infrastruktur kring styrsystem för värme, vatten, el, lås laddstolpar och egna appar. Tyvärr är många enheter publicerade rakt ut på internet. Ofta saknar de till och med lösenord. Men en vaken styrelse kan göra mycket för att öka säkerheten.
– Majoriteten av leverantörerna har inga bra system för att hantera säkerheten på ett bra sätt, säger Magnus Järnhandske, Chefsarkitekt för cybersäkerhet på IT Total.
Han ger exempel: dörröppningssystem, passersystem, kontroll för värme, allt som är uppkopplat mot nätet är utsatt.
– I många system finns inte säkerhet med i den grundläggande arkitekturen – vilket gör systemen mycket sårbara, säger han och framhåller att bostadsrättsföreningar köper tjänsterna via leverantörer som ofta brister i sitt säkerhetstänk.
Därför gäller det att vara medveten och precis i sin kravställan och att ställa rätt frågor:
Hur ser säkerhetsaspekten ut?
Kan systemen nå internet?
Sitter de på ett skyddat nät?
Är det segmenterat mellan enheterna och kan alla enheter nå varandra?
Hur ser patchningen (uppdatering av buggar) ut, aldrig, en gång per år?
Nya sårbarheter upptäcks hela tiden, sju nya presenteras per timme. Patchar man aldrig så finns det till slut x antal sårbarheter som någon kommer att hitta. Till sist är det så enkelt att vem som helst kan komma åt systemen, varnar Magnus Järnhandske.
Stark autentisering
– Lösenord räcker inte, det krävs stark autentisering, allt anslutet till internet måste ha mycket stark autentisering annars kommer attacker.
Han förklarar att attacker oftast har två syften. Antingen används de som överbelastningsattacker mot tredje part, eller också är syftet att ta sig vidare in i infrastrukturen i moln och hämta kontouppgifter, rättigheter eller annan känslig information. Då kan förövaren koppla ransomware, skadlig kod till exempelvis en värmepump och kräva lösensumma för att öppna systemet igen. Om den utsatta bostadsrättsföreningen inte har någon back-up blir det stora problem.
Lär om hotlandskapet
Magnus Järnhandske anser att det är alldeles för få som jobbar alldeles för lite med IT-säkerhet och att det är svårt att gardera sig i befintliga system om leverantören inte arbetar aktivt, kunnigt och målmedvetet med säkerhetsfrågorna.
För en bostadsrättsförening ställer det sig dyrt att hyra in kompetens på timbasis för att göra en översyn och lägga upp rutiner.
– Då är det bättre att bostadsrättsföreningen ställer rätt krav från början. Det är leverantören som ska stå för säkerheten. Att ställa rätt krav kräver kunskap, säger han och förespråkar att styrelsen tar en user/awarenessutbildning för att lära sig hur hotlandskapet ser ut med phishing, vd-bedrägerier, ransomwareattacker och annat.
Det finns en hel del gratiskurser på Youtube.
Viktig styrelsefråga
Ett hett tips är att ha bra betalningsrutiner med tvåfaktorsautentisering på all mail som gör det svårare att kapa konton
– IT-säkerhet är en viktig styrelsefråga. Styrelsen bör lägga tid och resurser på att utvärdera, göra sig en bild av läget och vidta adekvata åtgärder, fastslår han.
