I takt med att IT-system blir allt mer komplexa blir säkerhetshoten fler. Många styrsystem som tidigare varit fristående kommunicerar via telenät och intranät. Säkra system kopplas ihop med system med låg säkerhet. Dessutom är den mänskliga faktorn ständigt närvarande.

För att bygga förmåga till försvar mot IT-attacker måste man öva. FOI har därför en anläggning CRATE i Linköping.

– Målet med våra övningar är att IT-tekniker ska lära sig att försvara sina system. Vår miljö är så flexibel att den kan anpassas efter de flesta kunders behov, såväl myndigheters som privata företags, säger Mikael Wedlin, forskningsledare på FOI i Linköping.

De praktiska övningarna och simuleringarna kombineras med föreläsningar och genomgångar av IT-säkerhet och möjliga säkerhetshot. Men inte ens ett högt säkerhetstänkande och framtagna säkerhetsrutiner är någon garanti om en incident skulle inträffa.

– Hur ska man kunna veta att säkerhetsrutinerna fungerar om man aldrig har övat, säger David Lindahl, forskningsingenjör på FOI. Det finns så mycket som kan gå fel. De säkerhetskopior som tagits av kritiska system kanske inte fungerar eller innehåller rätt data. Personer som behövs för att fatta kritiska beslut har inte identifierats och finns därför kanske inte tillgängliga. Det är sådant man bara upptäcker genom att öva.

Nyligen genomfördes hos FOI IT-säkerhetsövningen iPILOT2017 där IT-personal från Sveriges kärntekniska anläggningar och myndigheter övade ihop. Även personal från IAEA, det Internationella atomenergiorganet, var inbjudna som observatörer. Under övningen simulerades angrepp mot it- samt styr- och kontrollsystem på kraftverk som försvarades av den övade IT-personalen.