Malmö stad stärker IT-säkerheten

En oberoende granskning och ett simulerat nätfisketest har nyligen visat att Malmö stad behöver höja medvetenheten om IT-säkerhet bland medarbetarna. Testet bidrar med viktiga lärdomar till det fortsatta arbetet med IT-säkerhet.

Under senhösten 2024 genomförde Malmö stad ett nätfisketest i samarbete med revisionsbyrån KPMG. Testet visade att över 30 procent av medarbetarna klickade på en länk i ett falskt e-postmeddelande, utformat för att efterlikna ett vanligt ärende i stadens dokumenthanteringssystem.

Ett realistiskt scenario

Testet utformades för att efterlikna en verklig nätfiskeattack. Ett mejl skickades till 3 500 medarbetare med en länk till ett fejkat ärende i ett av stadens interna system.

– I detta fall kom det simulerade nätfiske från ett internt verksamhetssystem vilket ökade trovärdigheten av mailet. De tekniska säkerhetsfunktioner vi har på plats för att skydda mot bland annat nätfiskemejlet var under testet frånkopplade för att testet skulle kunna genomföras. I en skarp situation hade dessa funktioner varit aktiva, , säger Jessica Hülse, enhetschef på IT- och digitaliseringsavdelningen.

Hon fortsätter:

– Vi behöver säkerställa att medarbetarna har en kunskap om vilka risker som finns och hur man bör agera. Parallellt med detta är säkerhetsfunktionerna viktiga för att förhindra och minimera riskerna för incidenter. Det är alltså en kombination av båda som är viktigt i arbetet.

Granskningen pekar på viktiga åtgärder

Revisorskollegiet rekommenderar kommunstyrelsen att vidta flera åtgärder:

• Ta fram en uppdaterad informationssäkerhetspolicy som följer etablerade internationella standarder, såsom ISO 27000-serien.
• Säkerställa att uppföljning och kontroll av informationssäkerhetsarbetet sker löpande – och att efterlevnaden följs upp.
• Upprätta en tydlig rutin för hur det övergripande säkerhetsarbetet i staden ska följas upp.
• Genomföra återkommande utbildningar för medarbetare – och säkerställa att dessa verkligen genomförs.

Satsning på ökad medvetenhet och kunskap

Under året kommer informationen på intranätet Komin förstärkas och en utbildning lanseras i den nya e-plattformen Malmö Lär. Idag används MSB:s infosäk-utbildning DISA och planen är att den ska anpassas till Malmö stad och vara tillgänglig för alla medarbetare under 2025.

– Målet är att alla ska känna sig trygga i att känna igen risker och agera rätt – oavsett roll eller arbetsplats. Det handlar om att skapa en gemensam säkerhetskultur, säger Kajsa Thelin, informationssäkerhetssamordnare vid stadskontorets hållbarhetsavdelning.

Granskningen visar att tekniska skydd bara räcker en viss bit. Människors beteenden är avgörande – och just därför är utbildning, dialog och stöd viktiga verktyg framåt.