Insikter
När säkerhet reduceras till IT-fråga
Det moderna cybersäkerhetslandskapet befinner sig i en kritisk brytningspunkt där klyftan mellan teknisk investering och faktisk motståndskraft blir alltmer påtaglig. Trots att organisationer i snabb takt implementerar sofistikerade tekniska lösningar som Multifaktor autentisering (MFA), molnskydd och avancerade SIEM-system (SecurityInformation and Event Management), fortsätter framgångsrika intrång att drabba även de mest resursstarka aktörerna. Denna diskrepans bottnar i ett fundamentalt missförstånd av vad cybersäkerhet i grunden representerar. När säkerhet reduceras till en ren IT-fråga skapas en farlig illusion av trygghet som maskerar de verkliga sårbarheterna: de organisatoriska besluten, prioriteringarna och den underliggande kulturen. Dessa beslut som utgör en dold attackyta, där brister i ledarskap och arbetssätt öppnar dörrar som ingen brandvägg kan stänga.1
När vi tittar på aktuella incidenter visar att tekniken i sig sällan sviker; det är den kontext i vilken tekniken existerar – de mänskliga och organisatoriska ramverken – som fallerar. Genom att blint förlita sig på verktyg utan att undersöka och hantera de bakomliggande besluten skapar organisationer en miljö där tekniska skydd blir statiska monument i en dynamisk och föränderlig hotbild. Sättet som vi hanterar det tekniska skyddet behöver förändras genom att istället arbeta med en integrerad säkerhetskultur där människan och organisationen placeras i centrum för vårt cyberförsvar.
Den tekniska universallösningen paradox
Statistik över säkerhets-verktyg och larmhantering
Genomsnittligt antal larm per dag i en SOC-miljö
Andel larm som klassificeras som icke-actionabelt brus
Andel säkerhetsproffs som erkänner att de ignorerar vissa larm
Andel incidenter som beror på mänskliga handlingar/beslut
Kostnad för en genomsnittlig dataläcka 2024-2025
Värde
4 4899
MFA och den psykologiska sårbarheten
Fallet Uber: När frustration besegrar teknik
Intrånget hos Uber i september 2022 är ett av de mest pedagogiska exemplen på hur en teknisk organisation faller trots avancerade skydd.19 Angriparen, kopplad till Lapsus$-gruppen, kom över inloggningsuppgifter till en extern underleverantör.21 Trots att kontot skyddades av MFA, kunde angriparen skicka en oavbruten ström av push-notiser till underleverantörens telefon.16 Denna bombardering av förfrågningar, ofta utförd nattetid för att maximera förvirringen, skapade ett tillstånd av kognitiv utmattning hos användaren.12
Det avgörande steget i attacken var dock inte bara den tekniska utmattningen, utan ett socialt ingenjörskonstgrepp: angriparen kontaktade användaren via WhatsApp, utgav sig för att vara från Ubers IT-support och förklarade att push-notiserna var ett systemfel som bara kunde stoppas om användaren godkände en av dem.14 Genom att användaren till slut ”gav efter” och godkände förfrågan, öppnades dörren till hela nätverket.20 Det blir tydligt att den sårbarhet som utnyttjades var inte MFA-protokollet, utan det beslut användaren fattade under press.1
Den organisatoriska bristen i detta fall var mångfasetterad. För det första fanns det inget tekniskt skydd mot det oproportionerliga antalet MFA-förfrågningar (rate limiting), vilket är ett designbeslut fattat av IT-arkitekter.15 För det andra fanns det uppenbarligen brister i säkerhetskulturen och utbildningen; användaren visste inte hur man skulle rapportera en pågående attack utan kände sig tvingad att lösa problemet på egen hand.1 För det tredje, när angriparen väl var inne, fanns det interna system (som PowerShell-skript på en delad enhet) som innehöll hårdkodade administrativa lösenord – en konsekvens av bekvämlighetsbeslut tagna av tekniker långt tidigare.20
Från bekvämlighet till säkerhet i autentisering
Många organisationer implementerar push-baserad MFA för att det är bekvämt för användarna, men missar att bekvämlighet ofta står i direkt konflikt med motståndskraft.12 Beslutet att prioritera användarupplevelse (UX) framför säkerhet skapar den attackyta som MFA-fatigue utnyttjar.12 En lösning som adresserar det bakomliggande beslutet är implementering av ”number matching”, där användaren måste skriva in en siffra som visas på inloggningsskärmen i sin app.15 Detta bryter den automatiska reflexen att bara trycka på ”godkänn” och tvingar fram ett aktivt, medvetet beslut.16
MFA-metod
Enkel push-notis
Number Matching
FIDO2
SMS-koder
Teknisk riskprofil
Hög risk för MFA-fatigue och oavsiktliga godkännanden 15
Låg risk; resistent mot phishing och fatigue 15
Organisatorisk inverkan
Låg friktion, men kräver hög användar-medvetenhet. 14
Ökar säkerheten utan betydande produktivitets-tapp 12
Högre initialkostnad och kräver hårdvaru-hantering 17
Det räcker dock inte med tekniska justeringar. Vi måste bygga en kultur där medarbetare känner sig trygga att neka en förfrågan och omedelbart rapportera det som en incident, utan att vara rädda för att de ”stör” IT-avdelningen.1 Detta kräver ett ledarskap som tydligt signalerar att säkerhet går före snabbhet vid autentisering.1
Molnsäkerhet och den spegelvända ansvarsmodellen
Övergången till molnmiljöer har radikalt förändrat hur organisationer hanterar infrastruktur, men beslutsmodellerna har ofta inte hängt med i svängarna.2 En vanlig missuppfattning är att molnleverantören (CSP) ansvarar för säkerheten i sin helhet.26 I verkligheten opererar molnet under en delad ansvarsmodell där leverantören ansvarar för säkerheten av molnet (hårdvara, datacenter), medan kunden ansvarar för säkerheten i molnet (data, identiteter, konfigurationer).26
Konfigurationsfel som organisatoriskt symtom
När molnincidenter inträffar, som de välkända läckorna från öppna S3-buckets i AWS, beror det sällan på att AWS har en teknisk brist.26 Istället är det resultatet av organisatoriska beslut som prioriterat snabb driftsättning framför noggrann konfigurationsstyrning.2 I en miljö där ”infrastructure as code” (IaC) tillåter tekniker att bygga hela nätverk på några sekunder, blir konsekvensen av ett enstaka felaktigt beslut – som att sätta en behörighet till ”Public” för att underlätta för ett utvecklingsteam – omedelbar och global.2
Statistik från Cloud Security Alliance och IBM visar att upp till 15 % av alla säkerhetsöverträdelser orsakas av felkonfigurationer i molnet.26 Detta är inte ett tekniskt problem som kan lösas med fler verktyg, utan ett styrningsproblem.2 Beslutet att låta utvecklingsteam hantera sina egna molnmiljöer utan centraliserade guardrailseller automatiserad kontroll är ett strategiskt val som direkt expanderar organisationens attackyta.2
Capital One och sårbarheten i arkitekturbeslut
Intrånget hos Capital One 2019, där information om 100 miljoner kunder exponerades, är ett belysande exempel på hur teknisk komplexitet i molnet möter bristfälliga arkitekturbeslut.27 Angriparen utnyttjade en sårbarhet kallad Server-Side Request Forgery (SSRF) i en felkonfigurerad brandvägg (WAF).27 Men den verkliga sårbarheten låg djupare: den komprometterade instansen hade tilldelats en IAM-roll (Identity and Access Management) med alltför omfattande behörigheter, vilket gjorde det möjligt för angriparen att läsa data från tusentals storagebuckets.27
Här ser vi hur ett beslut om att ge en roll ”lite extra behörigheter för att slippa felsöka” skapade en katastrofal konsekvens när den tekniska sårbarheten väl upptäcktes.28 Molnsäkerhet kräver därför en ständig verifiering av beslut (Zero Trust) snarare än statiska brandväggsregler.27 Organisationer som lyckas i molnet är de som flyttar fokus från att bara köpa säkerhetstjänster till att bygga in säkerhetsbeslut i själva kodbasen (Security as Code)29
CI/CD och mjukvarufabrikens dolda risker
Hemligheter i öppen dager
Ett av de vanligaste tekniska misstagen i CI/CD-miljöer är ”secret sprawl” – att API-nycklar, lösenord och certifikat hårdkodas direkt i konfigurationsfiler eller skript.4 Detta är sällan ett resultat av okunnighet, utan ett beslut drivet av tidspress.4 Utvecklare som arbetar under strikta deadlines för att leverera nya funktioner väljer ofta den enklaste vägen för att få byggprocessen att fungera.4
När dessa hemligheter väl hamnar i ett Git-arkiv, även ett privat sådant, skapas en permanent säkerhetsskuld4 Angripare som får tillgång till en enda utvecklares konto kan snabbt skanna arkiven efter mönster som ”AKIA…” (AWS-nycklar) och inom några minuter ha full tillgång till organisationens molninfrastruktur.28 Beslutet att inte implementera en centraliserad och automatiserad hemlighetshantering (Secrets Management) är ett organisatoriskt val som prioriterar kortsiktig hastighet framför långsiktig överlevnad.4
Problem i CI/CD
Över-privilegierade tokens
Bristande segmentering
i byggmiljö
Osäkra tredje-partsberoenden
Manuella godkännanden
som ”vibbar”
Teknisk konsekvens
En läckt token ger tillgång till allt från kod till produktion 4
Säkerhets-kontroller blir en gissningslek under tidspress 29
Bakomliggande beslut/kultur
Beslut att använda en delad bygg-infrastruktur för att spara pengar 31
Brist på definierade och automatiserade säkerhets-policyer 30
Säkerhetsskuldens ränteeffekt
SIEM, Tool Sprawl och Analytikers Utmattning
Larmtrötthet: När varningsklockorna tystnar
En genomsnittlig SOC (Security Operations Center) hanterar idag över 4 400 larm per dag.9 Av dessa visar sig upp till 67 % vara rent brus eller falska positiva.9 Denna massiva volym av information leder till larmtrötthet (alert fatigue), ett tillstånd där analytiker blir avtrubbade och börjar ignorera larm.5
Analysen visar att 30 % av IT-professionella erkänner att de ignorerar larm på grund av den höga andelen falska positiva.5 Detta är ett livsfarligt beslut som fattas i vardagen, men det är en direkt konsekvens av ledningens beslut att prioritera inköp av verktyg framför personalens förmåga att faktiskt hantera informationen.2 När säkerhet reduceras till en IT-fråga mäts framgång ofta i antalet installerade agenter eller aktiverade loggkällor, snarare än i analytikernas förmåga att faktiskt upptäcka och stoppa ett intrång.5
Den mänskliga kostnaden för teknisk komplexitet
Verktygskaoset har också en betydande mänsklig kostnad. SOC-analytiker spenderar ofta mer tid på att växla mellan 15 olika konsoler och försöka få motstridiga data att gå ihop än på att faktiskt jaga hot.5 Detta leder till stress, missnöje och en extremt hög personalomsättning.9
Enligt forskning från IBM och KPMG anser 70 % av SOC-analytikerna att de lider av utbrändhet.9 När de mest erfarna personerna lämnar organisationen på grund av en ohållbar arbetsmiljö, förlorar organisationen inte bara teknisk kompetens utan även det institutionella minne som krävs för att fatta rätt beslut i en kris.10 Här blir kopplingen till Informationssäkerhetskultur tydlig: en organisation som inte bryr sig om sina medarbetares välmående och kognitiva belastning kan aldrig bli säker, oavsett hur mycket pengar de lägger på teknik.1
Skugg-IT: En tyst protest mot beslutsvånda
Varför medarbetare väljer skuggan
Drivkraft bakom Skugg-IT
Behov av snabbhet
Dålig användar-vänlighet
Krav på samarbete
Press från ledningen
Organisatorisk orsak
IT-avdelningens godkännande-process är för långsam 42
Fokus på resultat gör att säkerhetspolicyer ses som ”valfria” 45
Konsekvensen för säkerheten
Svag kryptering och bristande identitets-hantering 43
Att hantera skuggan genom inkludering
OT-miljöer: När IT-säkerhet möter den fysiska verkligheten
Colonial Pipeline och rädslan för det okända
Attacken mot Colonial Pipeline 2021 är ett av de mest kända exemplen på hur ett IT-baserat intrång (ransomware) ledde till att kritisk infrastruktur stängdes av, trots att själva driftsystemen (OT) inte var komprometterade.49 Ledningen fattade beslutet att stänga av pipelinen eftersom deras affärssystem för fakturering var nere, vilket innebar att de inte visste hur mycket olja som flödade eller vem som skulle betala.49
Detta belyser en fundamental brist i den organisatoriska förberedelsen: man hade inte fattat besluten om hur verksamheten skulle kunna fortsätta fungera i ”manuellt läge” eller utan stöd av IT-systemen.51 När säkerhet blir en IT-fråga, glömmer man ofta bort att bygga den operationella motståndskraften som krävs för att hantera teknikavbrott.51 En organisation med en stark säkerhetskultur skulle ha övat på dessa scenarier och haft färdiga beslutsvägar för att upprätthålla leveransen trots ett IT-haveri.51
Konflikten mellan patching och produktion
I en IT-miljö är det ett självklart beslut att installera säkerhetsuppdateringar så snabbt som möjligt.36 I en OT-miljö kan samma beslut innebära att en produktionslina som genererar miljoner i timmen måste stoppas, eller i värsta fall att säkerhetskritiska system (som ventiler eller tryckvakter) slutar fungera på grund av inkompatibilitet.49
Här blir det tydligt att säkerhet kräver affärskontext. Beslutet att låta bli att patcha ett sårbarbart system i OT kan vara det rätta beslutet ur ett helhetsperspektiv, förutsatt att man implementerar andra kompenserande skydd (som nätverkssegmentering)25 Men om säkerhet hanteras som en isolerad IT-fråga, uppstår ofta en destruktiv konflikt mellan IT-säkerhetsansvariga och produktionschefer, där båda parter fattar beslut utan att förstå den andras verklighet.49
Den svenska kontexten: Myndigheten för civilt försvar, Säkerhetspolisen och behovet av kulturförändring
Bristen på systematik och ledningsengagemang
Enligt MCF (2024–2025) uppnår endast drygt 5 % av de undersökta organisationerna en kvalificerad nivå i sitt systematiska säkerhetsarbete.57 De områden där man presterar bäst är de rent tekniska (”IT-säkerhetsarbetet”), medan områden som ledningens styrning, informationsklassning och upphandling släpar efter.57 Detta bekräftar tesen att många svenska organisationer har reducerat säkerhet till en IT-fråga och därmed missat den nödvändiga förankringen i ledningen.1
Säkerhetspolisen betonar i sina årsböcker (2024/2025) att den största sårbarheten ofta är bristande kunskap om hotet.56 Det handlar inte om teknisk okunnighet, utan om en oförmåga hos beslutsfattare att förstå hur deras vardagliga val – som att ingå ett samarbete med en utländsk forskare eller att outsourca en IT-tjänst till en billig leverantör – påverkar Sveriges nationella säkerhet.54
Mänskliga misstag som främsta incidentorsak
Nyckeltal från MCF/Säpo-rapporter
Andel myndigheter som når MCF:s kravnivå 3
Incidenter orsakade av misstag/systemfel
Främsta hotaktörer mot Sverige
Median-tid för upptäckt intrång (MTTD)
Genomsnittlig kostnad per incident i Sverige
Värde/Observation
8 av 120 (6,7 %) 57
En holistisk lösning på ett komplext problem
Psykologisk trygghet: Grundbulten i ett starkt försvar
En av de mest radikala och effektiva åtgärderna för att stärka säkerheten är att bygga psykologisk trygghet.6 Det innebär att ledare måste utplåna rädslan i organisationen.6 Om en medarbetare känner att de kommer att bli bestraffade för att de klickat på en phishing-länk, kommer de att försöka dölja misstaget.1 Genom att dölja felet får angriparen den tid de behöver för att etablera sig i nätverket (den s.k. dwell time).1
I en psykologiskt trygg organisation rapporteras misstag omedelbart, vilket gör att IT-avdelningen kan agera medan skadan fortfarande är begränsad.1 Detta är ett organisatoriskt beslut: att värdera öppenhet och lärande högre än kontroll och bestraffning.1
Beslut som en aktiv attackyta
Genom att se varje beslut som en potentiell attackyta kan vi börja arbeta proaktivt. Det handlar om att ställa rätt frågor i rätt tid:
● När vi godkänner en snabb lansering utan kodgranskning – vilken säkerhetsskuld tar vi på oss? 34
● När vi ger en administratör obegränsade rättigheter – hur stor blir då skadan när en angripare tar sig in genom en sårbar MFA-lösning4
Svaren på dessa frågor är inte tekniska, de är affärsmässiga och strategiska.2 En robust säkerhetskultur gör det enklare att fatta rätt beslut även när det är obekvämt eller kostsamt på kort sikt.1
Slutsatser och vägen framåt
När säkerhet reduceras till en IT-fråga blir resultatet en bräcklig organisation som är sårbar för allt från enkla mänskliga misstag till sofistikerade statsstödda cyberattacker.2 Den blinda tron på tekniska lösningar som MFA, molnskydd och SIEM fungerar endast om de vilar på en stabil grund av organisatoriska beslut och en sund säkerhetskultur.1
För tekniska organisationer, IT-chefer och tekniker är utmaningen nu att lyfta blicken från konsolerna och skärmarna och börja adressera den dolda attackytan: beslutsfattandet.1 Det handlar om att integrera säkerhet i ledarskapet, främja psykologisk trygghet och sluta se människan som den ”svagaste länken” och istället se henne som organisationens viktigaste sensor och försvarare.1
Framtidens cybersäkerhet vinns inte av den som har flest verktyg, utan av den som fattar de mest medvetna besluten i vardagen.1 Genom att arbeta holistiskt med styrning, beteenden och beslut kan vi bygga organisationer som inte bara överlever nästa attack, utan som växer sig starkare av varje utmaning.1 Cybersäkerhet är, när allt kommer omkring, inte ett IT-problem – det är en ledningsfråga, en kulturfråga och framför allt en mänsklig fråga.1
Källförteckning
Varför säkerhetskultur inte kan köpas
Som specialist inom informationssäkerhet eller ansvarig för företagsanpassade utbildningar har du förmodligen hört det förut: ”Vi behöver köpa in en utbildning för att fixa vår säkerhetskultur.” Det finns en utbredd föreställning om att kultur är något som kan paketeras, licensieras och rullas ut som vilken SaaS-tjänst som helst. Men verkligheten är att om du försöker köpa en kultur, får du i bästa fall regelefterlevnad – och i värsta fall en organisation som har lärt sig att klicka på rätt knappar i en e-learning utan att förändra ett enda beteende i den fysiska eller digitala vardagen.
Säkerhetskultur är inte en produkt; det är resultatet av organisationens samlade attityder, normer och beteenden. Det är vad som händer när ingen ser på, när tidspressen är som högst och när valet står mellan att följa en krånglig policy eller att ta en snabb genväg för att nå ett affärsmål. Att bygga detta kräver inte ännu en inköpsorder, utan ett tydligt skifte i hur vi ser på att människan är en viktig del av säkerheten.
Skillnaden mellan "Awareness" och Kultur
n av de vanligaste fallgroparna är att förväxla säkerhetsmedvetenhet (awareness) med säkerhetskultur. Att vara medveten om en risk innebär bara att man har kunskap om den. Kultur däremot handlar om handling.
Vi kan utbilda medarbetare i hur ett nätfiskemejl ser ut, men om kulturen straffar den som rapporterar ett misstag, eller om ledningen ständigt signalerar att leveranssnabbhet trumfar allt, kommer medvetenheten inte att leda till ökad säkerhet. Vi måste gå längre än att bara följa standarder och föreskrifter, vi måste i stället arbeta proaktivt med de sociala strukturernaoch tryggheten för våra medarbetare.
Tabell 1: Awareness vs. Kultur – Ett metodskifte
Dimension
Mål
Metod
Mätetal
Fokus
Hållbarhet
Säkerhets-medvetenhet (awareness)
Kunskaps-spridning och kännedom.
E-learning, quiz och affischer.
Genomförande-grad och provresultat.
Individens kunskapsnivå.
Ofta kortsiktig (kräver repetition).
Informations-säkerhetskultur
Förändrade beteenden och normer.
Ledarskapsstöd, psykologisk trygghet och strukturell förändring.
Incitaments-efterlevnad, rapporterings-benägenhet och kvalitativa observationer
Organisationens sociala DNA och kollektiva val.
Långsiktig och själv-förstärkande.
Människan som tillgång, inte sårbarhet
Inom traditionell utbildningsdesign har människan ofta betraktats som ”den svagaste länken”. Detta perspektiv skapar en pedagogisk distans som motverkar sitt eget syfte. Om vi iställetbygger utbildningar och strategier utifrån att människan är vår viktigaste tillgång, förändras hela angreppssättet.
En god säkerhetskultur bygger på psykologisk trygghet. Det innebär att designa system och rutiner som uppmuntrar till att lyfta risker tidigt utan rädsla för repressalier. Det handlar även om att skapa en miljö där ett rapporterat misstag ses som en möjlighet till lärande snarare än en grund för bestraffning. Detta är en av hörnstenarna i god informationssäkerhetskultur: att bygga robusthet genom öppenhet och ansvar.
Design för verkligheten: Varför färdigpackat ofta fallerar
De som tar fram företagsanpassade utbildningar står ofta inför valet att köpa in färdiga paket. Problemet med dessa är att de sällan adresserar de specifika normerna i just din organisation. Säkerhetskultur är kontextuell. Den påverkas av:
För att lyckas måste vi inom informationssäkerhet arbeta som en ”intelligence partner” tillsammans med HR och andra affärsfunktioner. Det handlar om att identifiera var de kognitiva och kulturella sårbarheterna finns och designa insatser som möter medarbetarna i deras faktiska arbetsflöden.
Den nya kravbilden: Från checklistor till styrning
Med implementeringen av NIS2 och den nya svenska cybersäkerhetslagen under 2025 och 2026, är det tänkt att fokus flyttas från att bara ”ha en policy” till att kunna demonstrera faktisk effekt. Det innebär att det systematiska säkerhetsarbetet omfattar mer än bara de kritiska systemen utan även organisationen och de mänskliga beteendena.
Detta ställer högre krav på oss. Vi kan inte längre nöja oss med att peka på en hög genomförandegrad på en årsutbildning. Vi måste kunna visa hur vi arbetar systematiskt med riskhantering i leverantörsledet, hur vi hanterar den mänskliga risken vid användning av AI och hur vi säkerställer att säkerhet är en integrerad del av designen i alla processer.
Tabell 2: Förslag på nyckelområden för framtidens säkerhetsutbildning (2026)
Område
Kognitiv residens
Incidentkultur
Human-Centric-Design
Etiskt beslutsfattande
AI-governance
Fokus för säkerhets-organisationen
Träna förmågan att kritiskt värdera information och deepfakes.
Sänka tröskeln för rapportering och öva på krishantering.
Förenkla säkerhetsrutiner så att de stöttar arbetet istället för att hindra det.
Integrera moraliska överväganden i tekniska utbildningar.
Utbilda i ansvarsfull användning av generativa verktyg.
Utmaning att adressera
Manipulering av beslutsfattande genom AI.
Rädsla för att göra fel (skuldkultur).
”Security fatigue” och genvägar i vardagen.
Gråzoner mellan bekvämlighet och säkerhet.
Skugg-AI och oavsiktliga dataläckor.
Sammanfattning: Din roll som kulturarkitekt
Att bygga en informationssäkerhetskultur är ett hantverk, inte ett inköp. För dig som arbetar med informationssäkerhet innebär det att du behöver skifta fokus från tekniska specifikationer till mänskliga interaktioner. Du behöver verktyg som hjälper dig att mäta och analysera kulturen, systematik för att förändra beteenden och ett nära samarbete med ledningen för att säkerställa att de förstår sitt ansvar.
Säkerhetskultur kan inte köpas för att den inte ägs av en leverantör – den ägs av varje medarbetare som väljer att göra rätt när det är svårt. Din uppgift är att ge dem förutsättningarna, förtroendet och kulturen för att lyckas med det valet.
Behöver din organisation hjälp med att gå från awareness till en verklig säkerhetskultur? Securebyme stöder specialister och utbildare i att bygga robusthet genom att sätta människan och beteendet i centrum.