DN Debatt. ”Kostnaden för it-attacker räknas i mer än bara kronor och ören”

Psykologiskt stöd under och efter en incident måste vara en självklar del av grundläggande cybersäkerhetsarbetet,skriver artikelförfattaren. Foto: Alexander MahmoudDN DEBATT.

När en it-attack slår till drabbas också personalen som måste lösa de tekniska problemen,hantera upprörda kunder och arbeta utan vila tills krisen är löst. När stormen är över återstår en arbetsplats där allt fler säger upp sig. Kostnaden för dessa angrepp måste mätas i mer än bara pengar,skriver Christian Schenholm vid cybersäkerhetsföretaget Integrity 360.

Varje gång en större cyberattack inträffar fylls nyhetsflödet med siffror: miljontals stulna uppgifter,kostnader i miljarder och rubriker om ”läckor” och ”intrång”. Men det som ofta glöms bort i allt detta är människorna. Anställda,kunder,familjer – alla drabbas på djupet,känslomässigt och psykologiskt. Den mänskliga kostnaden för en cyberattack är långt ifrån obetydlig – den är förödande,och ändå nästintill osynlig i samhällsdebatten.

Vid en cyberattack kastas it-team och operativ personal in i ett kaos där varje sekund räknas. Under enorm press från ledning och kunder arbetar de många timmar i sträck utan vila,ibland dygnet runt,tills det tekniska problemet är löst. Chefer sitter i krismöten under konstant mediebevakning och skuldbeläggs både internt och externt. När systemen har återhämtat sig kommer nästa kostnad: anställda kan bära på känslor av osäkerhet på arbetsplatsen,och efter en incident upplever företag vanligtvis högre uppsägningsfrekvens,vilket ytterligare påverkar företagskulturen och arbetskraftens stabilitet.

Alla hot kommer inte från utsidan. Misstag från anställda är en ofta underskattad,och väldigt vanlig,risk. Det kan handla om att en anställd av misstag för in virus via ett usb-minne eller kringgår säkerhetsrutiner för att spara tid. För att undvika fel på grund av den mänskliga faktorn är det viktigt att regelbundet utbilda personalen i intern cybersäkerhet,till exempel att ansvara för sin egen it-hygien: uppdatera datorer,använda unika lösenord och vara vaksamma på misstänkta försök till intrång via länkar och AI.

I vissa fall kan det till och med bli fysiskt farligt,exempelvis när en skyddad identitet röjsI slutet av augusti 2025 utsattes systemdataleverantören Miljödata för en omfattande utpressningsattack där personuppgifter,även skyddade,om över 1 miljon svenskar lades ut på Darknet. 80 procent av Sveriges kommuner använder Miljödata. Och i veckan drabbades ett stort antal svenska lärosäten när en ökänd hackargrupp slog till mot lärplattformen Canvas. I Sverige rör det sig om uppgifter från ett 30-tal lärosäten,globalt tros läckan omfatta 275 miljoner användare.

Exponering av känsliga uppgifter som personnummer,ekonomiska detaljer och kontaktuppgifter kan öka riskerna för identitetsstöld och bedrägerier. I vissa fall kan det till och med bli fysiskt farligt,exempelvis när en skyddad identitet röjs. Långt efter att ett intrång är åtgärdat kan konsekvenserna för personerna som drabbas bli långvariga. Att återuppbygga varumärkesförtroende kräver avsevärda ansträngningar och sätter ytterligare känslomässig belastning på anställda som har i uppgift att hantera kundrelationer och offentlig kommunikation.

Många cyberattacker riktar sig i allt högre grad mot underleverantörer och tredjepartsaktörer. En enda incident kan drabba hundratals företag och tusentals människor. Det är inte bara ett it-problem – det är ett samhällsproblem.

Exempelvis genomförde i början av 2024 hackergruppen Akira en cyberattack mot it-leverantören Tietoevry vilket innebar att Sveriges största hr-system Primula stängdes ner. 120 svenska myndigheters lönesystem drabbades,liksom ett flertal stora företags bokningssystem och sajter.

Foto: Trons/TTVi som arbetar med den tekniska sidan av cybersäkerhet pratar mycket om att utrustning som brandväggar och säkerhetskopior ska fungera. Cyberattacker är dyra,men vad betyder egentligen ”miljardförlust” på ett mänskligt plan?

Det betyder nedskärningar,avvecklade stödprogram för anställda,färre resurser till psykisk hälsa,utbildning och arbetsmiljö. Driftsstörningar påverkar inte bara it-system – de påverkar hela organisationens rytm. Kundtjänstpersonal,logistikavdelningar och andra ”icke-tekniska” delar av företaget tvingas hantera frustrerade kunder och trasiga system utan att själva vara ansvariga vilket bidrar till ökad frånvaro och lägre produktivitet.

Resultatet av Myndigheten för civilt försvar (tidigare Myndigheten för samhällsskydd och beredskaps,MSB) mätning Cybersäkerhetskollen 2024 visar att nästan sex av tio organisationer i offentlig förvaltning saknar de mest grundläggande delarna i ett systematiskt cybersäkerhetsarbete. I mätningen kunde man se att ledningar med bristande engagemang för att förbättra säkerheten,inte bara i budgeteringen utan även i avsaknad av resurser gällande personal,presterar svagast. Respondenterna i undersökningen angav i relativt stor utsträckning att relevant kompetens för förbättringsarbete redan finns i organisationerna. MSB drog slutsatsen att ökade resurser kan leda till minskad personalomsättning och att ta tillvara på kunskapen inom organisationen kan skynda på förbättringsarbetet.

Cyberattacker är dyra,men vad betyder egentligen ”miljardförlust” på ett mänskligt plan?Organisationer måste skydda medarbetarna från konsekvenserna av cyberattacker lika mycket som de skyddar sina datasystem. Det kräver:

● Kontinuerlig utbildning i cybersäkerhet för att minska osäkerhet och stress. Ha tydliga rutiner för hur misstänkta situationer ska hanteras. Upprätta ansvarsområden. Anställda som känner att de har kunskap och mandat från ledningen att hantera attacker får bättre självförtroende och motivation att stanna kvar inom organisationen.

● Psykologiskt stöd under och efter incidenter. Ett sådant stöd måste vara en naturlig del av det grundläggande cybersäkerhetsarbetet. Det kräver budget och tid,men förebygger sjukskrivningar och långvariga psykiska problem.

● Krishanteringsplaner som inkluderar mänskliga aspekter. Många företag arbetar med personalvård och ”employer branding” (arbetsgivarvarumärke) för att öka attraktionskraften som arbetsplats och locka till sig talanger. Om ett cyberangrepp blir verklighet och beredskap utifrån de anställdas perspektiv saknas grusas bilden av en arbetsplats som man vill söka sig till. Här är det viktigt att hr får vara delaktig i framtagandet av en krisplan,på samma självklara sätt som man aktiverar it-avdelningen för att lösa det tekniska.

I slutändan måste alla verksamheter inse att även människors välbefinnande är grundläggande för effektiv hantering av cybersäkerhet –– inte bara för att skydda personlig data,utan också för att skydda deras mest värdefulla tillgång: medarbetarna.

Läs fler artiklar från DN Debatt:

Tre experter inom it-frågor: ”Sveriges kommuner har tappat kontrollen över våra data”

Johan Alvehus och Eddy Nehls,forskare: ”Släpp AI-fusket fritt – och skrota examinationerna”